Base juridique et publicité d’une mise en demeure CNIL visant un logiciel de reconnaissance faciale

La société a également méconnu les obligations de respecter et de faciliter l’exercice des droits d’accès et d’effacement prévues aux articles 12, 15 et 17 du RGPD. Sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, une mise en demeure lui a été adressée afin de faire cesser ces manquements dans un délai de deux mois.

Le bureau de la CNIL a estimé justifiée la publicité de cette mise en demeure en raison du caractère massif, biométrique et particulièrement intrusif du traitement, ainsi que de la nécessité d’informer les personnes concernées. Cette publicité ne constitue pas une sanction : une conformité complète dans le délai imparti entraîne la clôture de la mise en demeure, elle-même rendue publique.

⬇️Télécharger la décision version officielle

Le logiciel reposait sur l’aspiration de photographies et de vidéos contenant des visages, accessibles publiquement sur de nombreux sites et réseaux sociaux. La société constituait ainsi une base de données comprenant plus de dix milliards d’images et des gabarits biométriques destinés à identifier les personnes.

La CNIL a retenu l’absence de base juridique au traitement ainsi que la méconnaissance des droits d’accès et d’effacement. Une mise en demeure a été prise, puis sa publicité a été décidée en raison du caractère massif et intrusif du traitement et de la nécessité d’informer les personnes concernées.

• Absence de base juridique prévue par l’article 6 du RGPD.
• Traitement portant sur un volume massif d’images accessibles publiquement.
• Constitution de gabarits biométriques permettant l’identification unique.
• Caractère particulièrement intrusif des données collectées.
• Méconnaissance des droits d’accès et d’effacement.
• Nécessité d’informer les personnes concernées.

• Réclamations relatives aux droits d’accès et d’effacement.
• Questionnaire de contrôle adressé par la CNIL.
• Constat d’aspiration de photographies et vidéos publiquement accessibles.
• Base de données comprenant plus de dix milliards d’images.
• Constitution de gabarits biométriques destinés à l’identification.

• Cesser les traitements sans base juridique valable.
• Respecter et faciliter les droits d’accès et d’effacement.
• Répondre aux exigences de la mise en demeure sous deux mois.
• Anticiper la publication de la mise en demeure et de sa clôture.
• Informer les personnes concernées de l’existence du dispositif.

À faire

• Identifier chaque traitement de données biométriques.
• Documenter la base juridique applicable.
• Mettre en place les procédures d’accès et d’effacement.
• Respecter le délai de deux mois imparti.
• Préparer l’information des personnes concernées.

À éviter

• Aspirer des images sans base juridique.
• Invoquer un intérêt légitime non établi.
• Collecter des données biométriques sans consentement valable.
• Ignorer les demandes d’accès ou d’effacement.
• Présenter la mise en demeure comme une sanction.

L’absence de base juridique du traitement biométrique

Le traitement de photographies et de vidéos accessibles publiquement a été considéré comme illicite au regard de l’article 6 du RGPD. La société ne pouvait se prévaloir ni de l’intérêt légitime du responsable de traitement ni du consentement des personnes concernées. La constitution de gabarits biométriques destinés à identifier les individus renforçait la gravité du manquement.

Les obligations relatives aux droits d’accès et d’effacement

La CNIL a relevé une méconnaissance des articles 12, 15 et 17 du RGPD. La société ne respectait pas et ne facilitait pas suffisamment l’exercice, par les personnes concernées, de leurs droits d’accès et d’effacement. Ces manquements ont été intégrés à la mise en demeure prononcée sur le fondement de l’article 20 de la loi du 6 janvier 1978.

La publicité d’une mise en demeure de la CNIL

Le bureau peut rendre publique une mise en demeure lorsque les caractéristiques du traitement et la gravité des manquements le justifient. La publicité a été retenue en raison du volume massif d’images, du caractère intrusif et biométrique du dispositif et de la nécessité d’informer les personnes concernées. La mise en demeure conserve un caractère non sanctionnateur.