Applicabilité territoriale du RGPD à la reconnaissance faciale fondée sur le suivi comportemental

Le RGPD s’applique à un responsable de traitement établi hors de l’Union lorsque le traitement porte sur des personnes situées dans l’Union et est lié au suivi de leur comportement, conformément à l’article 3, paragraphe 2, b), du RGPD. La collecte d’images en ligne, leur association à des URL et métadonnées, puis la constitution de profils comportementaux par reconnaissance faciale caractérisent un tel suivi. En l’absence d’établissement principal ou unique dans l’Union, le guichet unique de l’article 56 ne s’applique pas ; chaque autorité nationale peut exercer sa compétence sur son territoire, conformément à l’article 55.

La formation restreinte retient plusieurs manquements. Le traitement ne repose sur aucune base juridique au sens de l’article 6 du RGPD : le consentement n’a pas été recueilli et l’intérêt légitime ne prévaut pas sur l’atteinte disproportionnée à la vie privée. La société a également méconnu les articles 12 et 15 en répondant tardivement et partiellement aux demandes d’accès, ainsi que l’article 17 en ne donnant pas suite aux demandes d’effacement alors que le traitement était illicite. L’absence de coopération avec la CNIL constitue enfin une violation de l’article 31.

Compte tenu du volume du traitement, de la nature biométrique des données, de la gravité des violations et du défaut de coopération, une amende administrative de 20 millions d’euros a été prononcée sur le fondement de l’article 83 du RGPD et de l’article 20 de la loi du 6 janvier 1978. Une injonction de mise en conformité, assortie d’une astreinte de 100 000 euros par jour, a également été ordonnée.

⬇️Télécharger la décision version officielle

Une société américaine avait aspiré plusieurs milliards d’images et de vidéos afin de générer des gabarits biométriques pour son logiciel de reconnaissance faciale. La CNIL a retenu l’absence de base juridique, des manquements aux droits d’accès et d’effacement, ainsi qu’un défaut de coopération. Elle a prononcé une amende, une injonction de suppression et de mise en conformité sous astreinte, ainsi que la publicité de la décision.

Une société établie aux États-Unis a développé un logiciel de reconnaissance faciale à partir d’images publiquement accessibles sur Internet. Elle a aspiré plusieurs milliards de photographies et de vidéos, y compris issues de réseaux sociaux, puis a généré des gabarits biométriques permettant de rechercher des images similaires à partir d’une photographie.

Le service commercialisé compilait les images, leurs URL et certaines métadonnées afin de constituer un profil comportemental des personnes concernées. Des réclamations ont été adressées à la CNIL concernant l’exercice des droits d’accès et d’effacement.

Après un contrôle, une mise en demeure et plusieurs relances restées sans réponse satisfaisante, la CNIL a retenu l’absence de base juridique, des manquements aux droits d’accès et d’effacement, ainsi qu’un défaut de coopération. La formation restreinte a prononcé une amende, une injonction de suppression et de mise en conformité sous astreinte, ainsi que la publicité de la décision.

• Traitement de données concernant des personnes situées dans l’Union européenne
• Création de profils comportementaux à partir d’images, URL et métadonnées
• Suivi sur Internet au sens de l’article 3, paragraphe 2, b), du RGPD
• Absence de consentement ou d’autre base juridique prévue par l’article 6
• Atteinte disproportionnée à la vie privée au regard de l’intérêt commercial
• Défaut de réponse effective aux droits d’accès et d’effacement
• Absence de coopération avec l’autorité de contrôle

• Politique de confidentialité décrivant la collecte d’images et de données dérivées
• Informations issues de la coopération entre autorités européennes
• Réclamations relatives aux droits d’accès et d’effacement
• Questionnaire de contrôle et réponses très partielles de la société
• Absence de réponse à la mise en demeure et aux relances de la CNIL

La société doit cesser la collecte et le traitement concernés sans base juridique, répondre effectivement aux demandes de droits et supprimer les données visées. Les personnes concernées peuvent obtenir l’accès aux informations requises et l’effacement des données issues d’un traitement illicite.

• Exclusion de l’intérêt légitime comme fondement du traitement
• Suppression des données des personnes concernées après traitement des demandes d’accès
• Mise en conformité dans le délai fixé par l’injonction
• Risque d’astreinte de 100 000 euros par jour de retard
• Renforcement de la traçabilité des réponses adressées à la CNIL
• Publicité de la sanction pendant la période prévue

À faire

• Identifier précisément chaque finalité et catégorie de données traitées
• Documenter la base juridique applicable avant toute collecte
• Répondre complètement et rapidement aux demandes d’accès
• Traiter sans délai les demandes d’effacement fondées
• Conserver les preuves des réponses et coopérations avec la CNIL

À éviter

• Réutiliser des images publiques sans analyse juridique préalable
• Présumer qu’une publication en ligne vaut consentement au profilage
• Limiter arbitrairement la période ou la fréquence d’accès
• Exiger des justificatifs d’identité déjà inutiles ou disproportionnés
• Ignorer une mise en demeure ou les relances de la CNIL

L’applicabilité territoriale du RGPD aux traitements liés au suivi comportemental

Le traitement relève de l’article 3, paragraphe 2, b), du RGPD lorsqu’il concerne des personnes situées dans l’Union et est lié au suivi de leur comportement. La collecte d’images, leur association à des URL et métadonnées, puis la création de profils par reconnaissance faciale caractérisent un suivi sur Internet, même si la finalité affichée n’est pas exclusivement comportementale.

La base juridique des traitements de reconnaissance faciale

L’article 6 du RGPD exige une base juridique. Le consentement n’a pas été recueilli et les fondements des articles 6.1, b) à e), sont inapplicables. L’intérêt légitime de l’article 6.1, f), est écarté : les personnes ne pouvaient raisonnablement s’attendre à la réutilisation de leurs images pour créer et commercialiser des profils de reconnaissance faciale, l’atteinte à leur vie privée étant disproportionnée.

Les obligations relatives aux droits d’accès et d’effacement

Les articles 12, 15 et 17 du RGPD imposent de faciliter l’accès, de fournir l’ensemble des informations requises et d’effacer les données traitées illicitement. Une réponse partielle, tardive et subordonnée à des exigences d’identification excessives méconnaît ces obligations. Lorsque le traitement ne repose sur aucune base juridique valide, l’effacement demandé est de droit.

Article 3, paragraphe 2, b), du règlement (UE) 2016/679, Article 4.1.4 du règlement (UE) 2016/679, Article 4.1.14 du règlement (UE) 2016/679, Article 6 du règlement (UE) 2016/679, Article 9 du règlement (UE) 2016/679, Article 12 du règlement (UE) 2016/679, Article 15 du règlement (UE) 2016/679, Article 17 du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 31 du règlement (UE) 2016/679, Article 55.1 du règlement (UE) 2016/679, Article 56.1 du règlement (UE) 2016/679, Article 61 du règlement (UE) 2016/679, Article 83 du règlement (UE) 2016/679