CNIL - Délibération de la formation restreinte n° SAN-2023-005 du 17 avril 2023 concernant la société CLEARVIEW AI

Délibération de la formation restreinte n° SAN-2023-005 du 17 avril 2023 concernant la société CLEARVIEW AI

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mmes Anne DEBET et Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° SAN-2022-019 du 17 octobre 2022 adoptée par la formation restreinte à l’encontre de la société CLEARVIEW AI ;

Vu la délibération n° SAN-2023-001 du 9 février 2023 adoptée par la formation restreinte à l’encontre de la société CLEARVIEW AI ;

Après en avoir délibéré, a adopté la décision suivante :

1. La société CLEARVIEW AI (ci-après " la société ") est une entreprise établie aux États-Unis qui a pour activité le développement d’un logiciel de reconnaissance faciale, dont la base de données repose sur l’aspiration d’images publiquement accessibles sur Internet, qui permet d’identifier une personne à partir d’une photographie la représentant.

2. La Commission nationale de l’informatique et des libertés (ci-après " la CNIL ") a été saisie entre les mois de mai et de décembre 2020 de plusieurs réclamations relatives aux difficultés rencontrées par les plaignants pour exercer leurs droits d’accès et d’effacement auprès de la société.

3. L’organisme Privacy International a saisi la CNIL d’une plainte le 27 mai 2021.

4. Par décision du 17 octobre 2022, notifiée le 18 octobre 2022, la formation restreinte a adopté des mesures correctrices dans les termes suivants :

" - prononcer à l’encontre de la société CLEARVIEW AI une amende administrative d’un montant de 20 000 000 (vingt millions) euros ;

- prononcer à l’encontre de la société CLEARVIEW AI une injonction de ne pas procéder sans base légale à la collecte et au traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire français dans le cadre du fonctionnement du logiciel de reconnaissance faciale qu’elle commercialise, et supprimer l’ensemble des données à caractère personnel de ces personnes, notamment les données de la plaignante en cause ayant sollicité l’effacement (plainte n° 20012263), après avoir répondu aux demandes d’accès déjà formulées par les personnes le cas échéant ;

- assortir l’injonction d’une astreinte de cent mille euros (100 000 euros ) par jour de retard à l’issue d’un délai de deux mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ".

5. En application de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée "), la formation restreinte a, par une délibération du 9 février 2023, notifiée le 13 mars suivant, porté à la connaissance de la société que, compte tenu de l’absence de production de justificatifs de mise en conformité dans le délai imparti par l’injonction, elle envisageait de liquider l’astreinte pour un montant de cinq millions deux cent mille euros (5 200 000 euros) au titre de la période du 19 décembre 2022 au 9 février 2023, , et de rendre publique la délibération prononçant la liquidation de l’astreinte. Elle a indiqué à la société qu’elle disposait d’un délai de quinze jours à compter de la notification des motifs de la liquidation et de son montant pour transmettre ses observations écrites.

6. La société n’a formulé aucune observation écrite.

7. Aux termes de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 modifiée " Lorsque la formation restreinte décide d’assortir d’une astreinte sa décision d’injonction de mise en conformité […], elle peut le faire par la même décision. Le responsable de traitement […] transmet à la formation restreinte, au plus tard à la date fixée dans la décision de cette dernière, les éléments attestant qu’il s’est conformé à l’injonction prononcée à son encontre ".

8. L’article 44, paragraphe 3, du décret précité prévoit que " En cas d’inexécution totale ou partielle ou d’exécution tardive, la formation restreinte procède à la liquidation de l’astreinte qu’elle avait prononcée " et que " Le montant de l’astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le responsable de traitement ou le sous-traitant, de son comportement et des difficultés d’exécution qu’il a rencontrées, notamment s’il est établi que l’inexécution ou le retard dans l’exécution provient, en tout ou partie, d’une cause étrangère aux capacités de mise en conformité ".

9. Enfin, selon le paragraphe 4 de l’article précité, " la décision prononçant la liquidation de l’astreinte est précédée d’une procédure écrite au cours de laquelle la formation restreinte porte à la connaissance du responsable de traitement ou du sous-traitant les motifs de la liquidation envisagée et son montant. Le responsable du traitement ou le sous-traitant dispose d’un délai de quinze jours à compter de la date de notification des motifs de la liquidation et de son montant pour transmettre à la formation restreinte ses observations écrites ".

10. La formation restreinte constate que la société ne lui a transmis aucun élément permettant d’attester de sa mise en conformité à l’injonction prononcée à son encontre.

11. Par conséquent, la formation restreinte considère que la société n’a pas satisfait à l’injonction prononcée par la délibération n° 2022-019 du 17 octobre 2022.

12. Compte tenu de ce que la société s’est abstenue d’adresser le moindre élément de réponse, la formation restreinte considère que le comportement de la société justifie que l’astreinte soit liquidée à hauteur de cinq millions deux cent mille euros au titre de la période du 19 décembre 2022 au 9 février 2023.

13. Il convient de rendre publique la présente délibération, comme l’était la décision de sanction n° 2022-019 du 17 octobre 2022. Il apparaît en effet opportun que les nombreuses personnes concernées par le traitement visé dans la décision puissent être avisées des suites données au prononcé de l’injonction.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide de :

- procéder à la liquidation de l’astreinte prononcée à l’encontre de la société CLEARVIEW AI pour un montant de cinq millions deux cent mille euros (5 200 000 euros) au titre de la période du 19 décembre 2022 au 9 février 2023 ;

- rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022- 019 du 17 octobre 2022.

Le président

Alexandre LINDEN

Conformément à l’article R.421-7 du code de justice administrative, cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de quatre mois à compter de sa notification.