L’entreprise spécialisée dans la reconnaissance faciale Clearview AI a fait l’objet, mardi 3 septembre, d’une amende de 30,5 millions d’euros par l’autorité néerlandaise de protection des données (AP). Il lui est reproché d’avoir créé un répertoire illégal de milliards de photos.
Cette société vend, en effet, aux forces de l’ordre et aux services de sécurité un outil de reconnaissance faciale permettant d’identifier une personne à partir d’une photographie, un outil notamment utilisé par des polices aux Etats-Unis. Or les capacités de détection de Clearview AI reposent sur une quantité considérable de données aspirées en ligne par l’entreprise pour venir nourrir ses algorithmes. « Clearview dispose à cet effet d’une base de données contenant plus de 30 milliards de photos de personnes (…) sans que ces gens le sachent et sans leur permission », selon un communiqué du régulateur de la protection des données néerlandais. Des photos de citoyens néerlandais se trouvent dans cette base de données, ajoute le document.
En plus de l’amende de 30,5 millions d’euros infligée à Clearview AI, l’AP a également ordonné la fin de ces violations et menacé la société de payer une astreinte d’un montant maximum de 5,1 millions d’euros. « La reconnaissance faciale est une technologie très radicale, qu’on ne peut pas simplement rendre accessible à tout le monde », a déclaré le président de l’AP, Aleid Wolfsen, cité dans le communiqué.
Sanctionnée en France
Clearview affirme ne fournir d’outils qu’aux services de renseignement et d’enquête en dehors de l’Union européenne. « C’est déjà assez grave, répond Aleid Wolfsen. Nous devons tracer une ligne très claire lorsqu’il s’agit d’une utilisation incorrecte de ce type de technologie. »
La reconnaissance faciale peut contribuer à la sécurité et des enquêtes sur les criminels par les autorités officielles, reconnaît-il. Mais elle ne devrait « certainement pas » être gérée « par une société commerciale ». « Clearview viole la loi, et l’utilisation des services de Clearview est donc illégale, a-t-il également averti. Les organisations néerlandaises qui utilisent Clearview peuvent donc s’attendre à de lourdes amendes. »
En France, la société avait été sanctionnée, en 2022, d’une amende de 20 millions d’euros, par la Commission nationale de l’informatique et des libertés (CNIL), qui l’avait exhortée à supprimer sans délai les données personnelles des Français se trouvant dans sa base. En l’absence de mise en conformité et de réponse satisfaisante aux demandes du gendarme de la vie privée, une nouvelle sanction de 5,2 millions d’euros – une liquidation de l’astreinte reliée à la première décision – a également été décidée en 2023.
Des amendes ont aussi été prononcées contre la firme américaine au Royaume-Uni et en Italie. « L’entreprise ne semble pas changer de comportement [selon l’AP, qui] « cherche des moyens de garantir que Clearview mett[ra] fin aux violations. Y compris en enquêtant pour savoir si les dirigeants de l’entreprise peuvent être tenus personnellement responsables des violations. »