Clearview AI est une société américaine spécialisée dans la reconnaissance faciale et l’intelligence artificielle. Clearview AI vend ses solutions de reconnaissance faciale aux forces de l’ordre de nombreux pays. Des solutions qui ont besoin de gros volumes de données pour alimenter leurs modèles d'intelligence artificielle.

Clearview AI ne fait pas dans la dentelle et collecte pour cela toutes les photographies qu'elle peut sur les sites Web, réseaux sociaux inclus. Selon la CNIL, Clearview AI a ainsi collecté plus de 20 milliards de photos, sans demander de permission à qui que ce soit pour ce faire. La CNIL y voit une violation du RGPD, ainsi qu'elle l'écrit dans le billet annonçant sa sanction :

Les investigations menées par la CNIL ont permis de constater plusieurs manquements au RGPD :

• un traitement illicite de données personnelles (manquement à l’article 6 du RGPD) car la collecte et l’utilisation des données biométriques s’effectue sans base légale ;
• l’absence de prise en compte satisfaisante et effective des droits des personnes (articles 12, 15 et 17 du RGPD).

En 2021, la CNIL avait mis la société Clearview AI en demeure de cesser ces pratiques, et lui avait accordé un délai de deux mois pour respecter les injonctions formulées dans la mise en demeure. Mise en demeure restée sans réponse.

Le couperet est donc tombé : La présidente de la CNIL a, par conséquent, décidé de saisir la formation restreinte, en charge de prononcer des sanctions. Sur la base des éléments portés à sa connaissance, la formation restreinte a décidé de prononcer une sanction pécuniaire maximale en application de l’article 83 du RGPD, soit 20 millions d’euros.

Au regard des risques très importants pour les droits fondamentaux des personnes concernées qui résultent du traitement mis en œuvre par la société, la formation restreinte a décidé d’enjoindre à CLEARVIEW AI de ne pas procéder, sans base légale, à la collecte et au traitement de données des personnes se trouvant en France et de supprimer les données de ces personnes qu’elle a déjà collectées, dans un délai de deux mois. La formation restreinte a assorti cette injonction d’une astreinte de 100 000 euros par jour de retard au-delà de ces deux mois.