Accusée d’avoir enfreint plusieurs principes du RGPD, l’entreprise américaine est tenue de supprimer les données relatives aux personnes en Italie.
Un nouveau coup dur pour Clearview AI. Après la menace d’une amende par le Royaume-Uni et la mise en demeure par la CNIL en France, l’entreprise spécialisée dans la reconnaissance faciale vient d’être sanctionnée par l’Italie. Le 9 mars, la Garante per la protezione dei dati personali (GPDP), l’équivalent italien de la CNIL, lui a infligé une amende de 20 millions d’euros. Elle l’accuse notamment d’avoir instauré la « surveillance biométrique de personnes se trouvant sur le territoire italien ».
À la suite de diverses plaintes et signalements, elle a en effet mené plusieurs enquêtes lui ayant permis de constater que « Clearview AI – contrairement à ce qu’elle avait affirmé – permet la surveillance de citoyens italiens et de personnes se trouvant en Italie ». La GPDP lui reproche un traitement illégal des données personnelles qu’elle détient, dont des informations biométriques et de géolocalisation, sans base juridique appropriée.
Une violation des principes de base du RGPD
Pour rappel, Clearview AI possède actuellement une base de données composée de plus de 10 milliards d’images faciales du monde entier. Ces images ont été extraites de sources web publiques comme les réseaux sociaux. Elle est souvent critiquée pour avoir procédé à cette collecte sans le consentement des personnes concernées. Pour la GPDP, elle l’a fait en utilisant le web scraping, qui correspond à une technique d’extraction du contenu des sites web afin de le transformer et permettre son utilisation dans un autre contexte. Clearview AI offre en effet à ses clients, notamment les forces de l’ordre, un service de recherche sophistiqué permettant de comparer une image faciale avec sa base de données.
La GPDP accuse également l’entreprise américaine d’avoir enfreint plusieurs principes de base du règlement général sur la protection des données (RGPD) tels que la transparence ou la durée de conservation limitée. Le premier, car elle n’a pas correctement informé les utilisateurs et le second, car elle n’a fixé aucune durée de conservation des données. L’autorité italienne lui reproche, en outre, d’avoir violé les libertés des personnes concernées, y compris la protection de la vie privée et la non-discrimination.
En plus de l’amende qui lui a été infligée, Clearview AI s’est aussi vue ordonner d’effacer les données relatives aux personnes en Italie. La GPDP a par ailleurs interdit toute collecte et traitement ultérieurs des données à l’aide du système de reconnaissance faciale de l’entreprise. Enfin, la société a été sommée de désigner un représentant dans l’Union européenne à qui s’adresser en plus ou à la place du responsable de traitement basé aux États-Unis pour faciliter l’exercice des droits des personnes concernées.
