Catégorie : RGPD

L’actualité technologique est marquée par l’émergence des lunettes IA à reconnaissance faciale, un dispositif dont une démonstration virale aux Pays-Bas a souligné l’impact imminent sur les droits fondamentaux. Cet événement a généré une alerte significative concernant la viabilité de la vie privée à l’ère du croisement de l’Intelligence Artificielle et des données accessibles au public.

La fusion de l’IA et des données publiques

Le mécanisme des lunettes IA à reconnaissance faciale repose sur l’agrégation de deux composantes :

• Capture biométrique : l’identification immédiate des individus dans l’espace physique via la reconnaissance faciale.
• Extraction de données publiques : la consultation des informations personnelles, professionnelles et sociales disponibles sur des plateformes en ligne (réseaux sociaux, LinkedIn).
• Ce couplage permet la transformation du visage d’un individu en un profil numérique instantanément consultable. La conséquence est la dissolution de l’anonymat et le passage de l’observation passive en public à une forme de surveillance active et individualisée, où l’utilisateur devient un agent de collecte de données.

Les impératifs réglementaires et les menaces éthiques

Le déploiement des lunettes IA à reconnaissance faciale confronte le cadre légal européen à des défis critiques :

• Non-respect du RGPD : l’enregistrement et le traitement des données biométriques sans un consentement explicite et informé sont considérés comme une violation potentielle du Règlement Général sur la Protection des Données (RGPD).
• Risques de détournement : ces technologies présentent un risque élevé de détournement à des fins malveillantes, notamment le pistage ciblé, le harcèlement, ou l’établissement de bases de données de surveillance illégales.
• Impact sur les libertés : l’institution d’une surveillance de masse potentielle menace les libertés civiles, en instaurant un climat de méfiance susceptible de restreindre la liberté d’expression et d’association.

Mettre en place des mesures de protection pour la vie privée

Face à l’omniprésence d’outils intrusifs comme les lunettes IA à reconnaissance faciale et des technologies similaires, deux lignes d’action sont essentielles :

• Sensibilisation : les organisations qui projettent de travailler sur des projets d’outils couplés à des appareils destinés au grand public doivent respecter les réglementations en vigueur relatives à la protection de la vie privée et au développement de l’IA, comme l’AI Act européen, afin de contrôler l’usage de la reconnaissance biométrique en temps réel.
• Hygiène numérique : une réduction proactive de la surface d’exposition des données personnelles sur Internet est nécessaire. La limitation des informations accessibles au public sur les réseaux sociaux et les plateformes professionnelles constitue une mesure préventive essentielle contre l’agrégation de données par l’IA.

La CNIL vient de publier ses recommandations suite à une consultation publique. Ces recommandations précisent les conditions pour recourir à l’intérêt légitime et éviter l’obtention du consentement explicite des personnes concernées.

La CNIL souhaite aider les acteurs à identifier les cas où ils pourront justifier le traitement des données des personnes concernées par le biais d’un système d’IA par la base légale de l’intérêt légitime. Le recours à l’intérêt légitime est soumis à trois conditions :

• L’intérêt poursuivi par l’organisme doit être « légitime » ;
• Le traitement envisagé doit être nécessaire pour la réalisation de l’intérêt légitime poursuivi ;
• Le traitement ne doit pas porter une atteinte disproportionnée aux droits et intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables. Une « mise en balance » des droits et intérêts en cause doit donc être réalisée au regard des conditions concrètes de sa mise en œuvre.

La CNIL rappelle que le responsable du traitement doit examiner la conformité de son traitement à ces trois conditions et doit, à titre de bonne pratique, la documenter.

Lorsqu’une AIPD (Analyse d’Impact sur la Protection des Données) est nécessaire, les garanties apportées pour limiter l’atteinte susceptible d’être portée aux droits des personnes doivent y être décrites par le responsable de traitement. La CNIL fait un focus sur la collecte des données accessibles en ligne par moissonnage (web scraping), qui doit être accompagnée de mesures visant à garantir les droits des personnes concernées. Les mesures obligatoires sont les suivantes :

• définir, en amont, des critères précis de collecte ;
• exclure de la collecte certaines catégories de données lorsqu’elles ne sont pas nécessaires ;
• lorsque c’est possible, filtrer les données non nécessaires (transactions bancaires, géolocalisation, etc.) ; à défaut, exclure certains types de sites (par exemple les réseaux sociaux utilisés majoritairement par des mineurs) qui contiennent structurellement ces catégories de données ;
• supprimer les données non pertinentes collectées malgré ces critères, immédiatement après leur collecte ou dès qu’elles sont identifiées comme telles ;
• exclure de la collecte les sites qui s’opposent clairement au moissonnage de leur contenu (protocoles robots.txt ou CAPTCHA).

La CNIL poursuit aussi les travaux au sein du Comité européen de la protection des données (CEPD) sur l’articulation entre le RGPD et le RIA, ainsi que sur le moissonnage de données dans le contexte de l’IA générative, et s’articule avec le travail de clarification du cadre légal mené au niveau européen.