l’Autorité italienne de protection des données a infligé une amende de 20 millions d’euros à la société américaine de reconnaissance faciale Clearview AI

Italian DPA fines Clearview AI for illegally monitoring and processing biometric data of Italian citizens

On 9 March 2022, the Italian Data Protection Authority fined the US-based facial recognition company Clearview AI EUR 20 million after finding that the company monitored and processed biometric data of individuals on Italian territory without a legal basis. The fine is the highest expected according to the General Data Protection Regulation, and it was motivated by a complaint sent by the Hermes Centre in May 2021 in a joint action with EDRi members Privacy International, noyb, and Homo Digitalis—in addition to complaints sent by some individuals and to a series of investigations launched in the wake of the 2020 revelations of Clearview AI business practices.

By Hermes Center & Reclaim Your Face · March 23, 2022

Le 9 mars 2022, l’Autorité italienne de protection des données a infligé une amende de 20 millions d’euros à la société américaine de reconnaissance faciale Clearview AI, après avoir constaté que l’entreprise surveillait et traitait les données biométriques de particuliers sur le territoire italien sans fondement juridique.
L’amende est la plus élevée attendue selon le Règlement général sur la protection des données, et elle a été motivée par une plainte envoyée par le Centre Hermès en mai 2021 dans une action conjointe avec les membres d’EDRi Privacy International, noyb, et Homo Digitalis, en plus des plaintes envoyées par certaines personnes et à une série d’enquêtes lancées à la suite des révélations de 2020 sur les pratiques commerciales de Clearview AI.
En plus de l’amende, la DPA italienne a ordonné à l’entreprise de supprimer les données personnelles et biométriques relatives aux personnes physiques en provenance d’Italie, de cesser tout traitement ultérieur des données appartenant à des personnes italiennes et de désigner un représentant dans l’UE. Les images ont été analysées par l’algorithme de reconnaissance faciale créé par Clearview AI pour construire une gigantesque base de données biométriques et l’accès à la même base de données a été vendu aux organismes d’application de la loi. La société extrait également toutes les métadonnées associées de l’image : titre de l’image ou de la page Web, géolocalisation, date de naissance, lien source, nationalité, sexe.
Selon la DPA italienne, les données biométriques et personnelles ont été traitées illégalement sans base juridique appropriée, la société n’a pas informé adéquatement les personnes de la manière dont leurs images ont été collectées et analysées, et traité les données des personnes à des fins autres que celles pour lesquelles elles ont été mises à disposition en ligne. En fait, une ligne d’argument de Clearview AI était de s’assimiler à Google Search pour les visages. Toutefois, l’APD a déclaré qu’en vendant l’accès à une base de données et à un algorithme de correspondance de visage exclusif destinés à certaines catégories de clients, « Clearview a des caractéristiques particulières qui la différencient d’un moteur de recherche commun qui ne traite ni n’enrichit les images sur le Web […] crée une base de données d’instantanés d’images qui sont stockés tels quels au moment de la collecte et qui ne sont pas mis à jour. »

En outre, l’APD souligne que « l’intérêt légitime de l’entreprise à l’égard de la libre initiative économique ne peut être subordonné aux droits et libertés des personnes concernées ».

À l’heure actuelle, Clearview a 30 jours pour communiquer à l’APD italienne les mesures qu’elle adopte et jusqu’à 60 jours pour payer l’amende ou interjeter appel devant un tribunal.

Cette décision est un autre pas dans la bonne direction pour interdire toutes sortes de pratiques de surveillance biométrique qui, comme le souligne la campagne Reclaim Your Face menée par EDRi, ont un impact énorme sur les droits humains fondamentaux.