La Cnil somme Clearview AI de cesser la collecte de nos photos sur le net

Clearview AI a deux mois pour mettre un terme à sa collecte de photos et vidéos en libre accès sur Internet, mais aussi pour stopper l’exploitation des contenus déjà capturés. C’est du moins ce qu’annonce la Cnil dans un communiqué publié hier. Cette mise en demeure fait office de coup de semonce à l’égard du groupe américain en France. Passé le délai prévu par cette action, la commission informatique et liberté pourrait sévir en lui infligeant une amende d’un montant substantiel.

Spécialiste des solutions d’identification faciale aux méthodes controversées, Clearview AI procède depuis plusieurs années à une collecte automatisée de contenus disponibles publiquement sur le web (comme des photos de profil ou des vidéos personnelles, par exemple). Par le biais de ce « scrapping », la firme a déjà réussi à aspirer plusieurs milliards de fichiers. Autant de contenus utilisés pour entraîner les algorithmes du groupe… qui les utilisent in fine à des fins tout autant commerciales que discutables.

La Cnil tape du poing sur la table, mais ses options restent limitées

Car contrairement à ce que Clearview AI met en avant pour sa défense, ses solutions de reconnaissance faciale ne sont pas uniquement destinées aux forces de l’ordre et aux personnels de sécurité. Comme le rapportaient l’année dernière nos collègues de Numerama, l’entreprise avait par le passé mis (discrètement) ses outils à disposition de certains milliardaires et fonds d’investissement. Selon le New York Times certaines grandes enseignes (dont Macy’s et Kohl’s outre-Atlantique), avaient également eu l’occasion d’en bénéficier.

Depuis un peu plus d’un an, Clearview AI s’est confronté à plusieurs actions en justice, notamment aux États-Unis et face à Twitter, plateforme sur laquelle le groupe a largement pioché pour alimenter ses algorithmes. Numerama rappelle aussi que les agissements de l’entreprise ont également interpellé le Congrès américain. Il aura toutefois fallu presque deux ans après l’émergence des premières plaintes pour que la Cnil décide d’agir.

L’action de la commission française s’inscrit dans le cadre d’une double infraction au RGPD. Non seulement Clearview AI utilise des données personnelles de manière illicite (aucune autorisation n’est demandée aux utilisateurs dont les contenus sont aspirés), mais l’entreprise ne donne pas suite aux demandes individuelles de suppression de ces contenus. Il s’agit pourtant d’une des règles centrales de la législation européenne quant à l’utilisation de données personnelles par des tiers.

La Cnil reste limitée dans son action : Clearview AI est en effet domicilié en dehors de l’Union européenne, la commission menace quand même de sévir en tapant directement le groupe américain au portefeuille s’il ne donne pas suite. Reste à savoir quel serait alors le montant de l’amende, mais une sanction sévère est pressentie.