- Le commissaire à la protection des données de Hambourg exige des informations de Clearview AI ; en cas de réponse incomplète, une astreinte pouvant aller jusqu’à 170’000 euros est encourue.
- Modèle économique : collecte massive de plus de trois milliards de photos accessibles au public et analyse biométrique, ce qui rend les exigences du RGPD problématiques.
- Les autorités de contrôle européennes ne voient actuellement aucune base juridique pour l’utilisation à des fins répressives ; la coopération internationale entre les autorités de protection des données intensifie les contrôles.
En février 2020, une plainte a été déposée contre Clearview AI auprès du commissaire à la protection des données de Hambourg. L’entreprise exploite une application de reconnaissance faciale. Selon l’autorité, Clearview AI n’avait pas suffisamment répondu aux questions posées sur son modèle commercial. Avec une demande formelle Avis de recherche de renseignements le contrôleur de la protection des données veut maintenant forcer la coopération de l’entreprise. Si l’entreprise ne répond pas de manière complète et pertinente aux questions posées dans la notification avant la mi-septembre, elle risque une amende pouvant aller jusqu’à 170 000 euros.
Modèle d’entreprise de Clearview AI
Le site Application de reconnaissance faciale de Clearview AI se base sur une archive de photos disponibles publiquement sur Internet. Clearview AI a apparemment copié plus de trois milliards de photos, par exemple de réseaux sociaux comme Facebook, Instagram et Twitter. Parmi elles, on trouverait sur Photos de personnes de l’Union européenne de l’ordinateur. La start-up a ensuite analysé ces photos en fonction des données biométriques. Le logiciel doit aider les autorités de sécurité à identifier des personnes inconnues à partir de photos. Lorsqu’un client de Clearview télécharge une photo d’une personne dans l’application, Clearview AI la compare avec les photos de sa base de données.
Les exigences du RGPD devraient poser des défis au modèle d’entreprise
Clearview AI n’avait pas répondu aux questions posées jusqu’à présent par le commissaire à la protection des données de Hambourg, principalement parce que, selon elle, le règlement général européen sur la protection des données (RGPD) ne s’applique pas du tout. Le commissaire à la protection des données de Hambourg n’est pas du même avis. Clearview AI a également des clients dont les employés se trouvent dans l’UE et dont le comportement en tant qu’utilisateurs de l’application est en tout cas observé par l’installation de cookies. Conformément à l’article 3, paragraphe 2, point b), du RGPD, le champ d’application du RGPD est ouvert et Clearview AI est tenue de fournir des informations.
L’arrière-plan de la décision ne semble toutefois pas être le suivi des utilisateurs. Le préposé hambourgeois à la protection des données se montre plutôt préoccupé par la collecte “massive et anarchique” d’images. qui rend “les personnes identifiables par analyse biométrique” et met en danger la “sphère privée à l’échelle mondiale”. En fait, le modèle commercial de Clearview AI devrait être confronté à de grands défis si les exigences du RGPD doivent être respectées lors de l’analyse biométrique des photos. La collecte et l’utilisation ultérieure de données biométriques ne sont autorisées par le RGPD que dans des conditions strictes (article 9, paragraphe 2 du RGPD). Conformément à l’article 9, paragraphe 2, point a), du RGPD, il faudrait probablement obtenir le consentement explicite des personnes concernées de l’UE pour le traitement des données. Avec des milliards de photos, ce serait une entreprise exigeante.
Pas d’utilisation légitime de l’application par les autorités répressives de l’UE
Les autorités de poursuite pénale de l’UE ne devraient pas encore avoir recours à l’application. Selon le Comité européen de la protection des données il manque une base juridique pour l’utilisation de la reconnaissance faciale biométrique par les services répressifs européens. Dans le même temps, la Commission européenne pour la protection des données a annoncé son intention d’élaborer des directives régissant l’utilisation de la reconnaissance faciale automatisée par les services répressifs européens.
Les autorités de surveillance s’unissent
Clearview AI a également suscité l’intérêt des autorités de protection des données en dehors de l’UE. Les autorités britanniques et australiennes de protection des données ont lancé en juillet 2020 un enquête conjointe contre Clearview AI. Toutes deux souhaitent également coopérer avec d’autres autorités de protection des données. L’affaire Clearview AI montre clairement que les autorités de protection des données regardent de plus en plus au-delà des frontières nationales et ne se contentent pas de reprendre les sujets d’examen d’autres autorités, mais coopèrent de plus en plus. Il sera intéressant de voir si Clearview AI sera impressionnée par la menace d’une amende et par l’union des autorités.