Après avoir condamné la société CLEARVIEW AI à une amende de 20 millions d’euros le 17 octobre 2022, la CNIL vient de prononcer le 17 avril 2023[1], en complément, la liquidation de l’astreinte qui avait également été prévue pour un montant de 5,2 millions d’euros.
Dans cette affaire, la société américaine CLEARVIEW AI a développé un outil de reconnaissance faciale qui, à partir d’un algorithme d’intelligence artificielle, permet d’identifier une personne à partir d’une photographie. A cette fin, la société CLEARVIEW AI dispose d’une base constituée de plusieurs milliards d’images de personnes, aspirées par l’algorithme sur de nombreux sites internet et réseaux sociaux (tels que Facebook, Twitter, Instagram…). Elle commercialise ensuite l’accès à sa base d’images sous la forme d’un moteur de recherche.
La CNIL a constaté que les personnes concernées ignorent que leur image est aspirée et utilisée à travers ce moteur de recherche.
Le 26 novembre 2021, la CNIL a, dans un premier temps, mis en demeure la société CLEARVIEW AI de cesser la collecte et l’usage des données de personnes se trouvant sur le territoire français en l’absence de base légale, de faciliter l’exercice des droits des personnes concernées et de faire droit aux demandes d’effacement formulées. Cette mise en demeure est restée sans réponse.
Dans une décision du 17 octobre 2022[2], la CNIL a alors prononcé une amende de 20 millions d’euros et enjoint à la société CLEARVIEW AI de ne pas procéder, sans base légale, à la collecte et au traitement de données des personnes se trouvant en France, et de supprimer les données de ces personnes après avoir répondu aux demandes d’accès qui lui ont été adressées.
La CNIL avait également prévu une astreinte à payer en cas de non-respect de cette décision, d’un montant de 100 000 euros par jour de retard à l’issue d’un délai de deux mois.
Malgré les lourdes sanctions prononcées, la société américaine CLEARVIEW AI n’a fourni aucun élément depuis octobre 2022 et n’a pas respecté les injonctions qui lui avaient été demandées par la CNIL pour se mettre en conformité avec la règlementation applicable.
En effet, la société CLEARVIEW AI justifierait son inaction par le fait qu’elle n’a ni client, ni société en France et qu’elle ne disposerait d’aucune activité soumise au RGPD. Pour autant, des photographies de ressortissants français sont traitées et figurent dans la base de données d’images de CLEARVIEW AI, en outre plusieurs plaintes de particuliers français sont remontées à la CNIL depuis 2020. Par ailleurs, plusieurs autorités de contrôles européennes ont également sanctionné la société CLEARVIEW AI (Italie, Angleterre, Grèce, etc.) pour des montants similaires.
Toutefois, les sanctions prononcées seront complexes à exécuter car la société CLEARVIEW AI est basée aux Etats-Unis et ne semble pas vouloir coopérer.
[1] Délibération de la formation restreinte de la CNIL du 17 avril 2023 : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000047527412?init=true&page=1&query=SAN-2023-005&searchField=ALL&tab_selection=all
[2] Délibération de la formation restreinte de la CNIL du 17 octobre 2022 : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000046444859?isSuggest=true
