La police belge s'est servi illégalement de Clearview AI et n'a pas obtenu de résultats pertinents
La police belge s'est servi illégalement de Clearview AI et n'a pas obtenu de résultats pertinents
selon un rapport de l'Organe de contrôle fédéral
Un nouveau rapport d’enquête du COC (l’Organe de contrôle fédéral chargé de surveiller l’usage de l’information policière en Belgique) confirme que des représentants des forces de l’ordre belge avaient bien eu recours, de manière « expérimentale », au logiciel de reconnaissance faciale Clearview. L'affaire avait d'abord été démentie, mais fin de l'année dernière, une confirmation que la police fédérale avait bien mené ce genre de missions de recherche a été faite.
ClearView est controversée dans la mesure où elle collecte des milliards de photos et les associe à des identités, mais sans l'autorisation des personnes concernées. D'ailleurs, le COC indique dans son rapport que « des données à caractère personnel policières sont transmises à un destinataire se trouvant dans un pays tiers sans qu’il soit établi que ce dernier garantit un niveau de protection adéquat ou offre les garanties appropriées ».
Clearview AI est une entreprise travaillant dans le domaine de l'intelligence artificielle qui a mis au point Clearview, une application de reconnaissance faciale. Elle décrit son application comme un nouvel outil de recherche utilisé par les organismes judiciaires pour identifier les auteurs et les victimes de crime. « La technologie de Clearview a aidé les forces de l'ordre à traquer des centaines de criminels en général, notamment des pédophiles, des terroristes et des trafiquants sexuels », indique la description de l'application de reconnaissance faciale de Clearview AI. Son fonctionnement est simple.
Selon l'entreprise, il suffit de prendre une photo d'une personne, de la télécharger dans Clearview et vous verrez ensuite des photos publiques de cette personne, ainsi que des liens vers l'endroit où ces photos sont apparues. Le système s'appuierait sur une base de données de plus de 10 milliards d'images que Clearview prétend avoir récupérées sur Facebook, YouTube, Venmo et des millions d'autres sites Web. Mais les techniques de l'entreprise sont de plus en plus décriées. La méthode de collecte de données de Clearview AI a déjà fait l'objet de nombreuses controverses au cours de ces trois dernières années.
En octobre 2019, lors d'une réunion d'Europol à La Haye, deux enquêteurs de la police judiciaire fédérale se virent offrir la possibilité de tester ClearView AI, ce qu'ils ont fait sur place, mais entre-temps, il apparaît qu'ils ont également effectué quelque 78 recherches avec une licence d'essai courant jusqu'en février 2020.
En février 2020, Clearview AI a dû admettre que sa base de données clients avait été piratée, les données dérobées comprenaient des informations sur les clients avec lesquels l'entreprise a des contrats, mais aussi les utilisateurs qui ont accès à des « comptes d'essai ». Ce sont des comptes d'essai qui vous permettent d'effectuer des recherches gratuites pendant 30 jours. Selon un site d'information qui a pu mettre la main sur la liste à cette période, les utilisateurs qui se sont connectés à l'application comprennent également les forces de police ou les agences gouvernementales en Belgique et dans d'autres pays européens et internationaux, notamment l'Australie, le Brésil, le Canada, le Danemark, la Finlande, la France, l'Irlande, l'Inde, l'Italie, Pays-Bas, Norvège, Portugal, Espagne, Suède, Suisse et Royaume-Uni. Interpol aurait également utilisé une version d'essai de l'application, bien que le service de police international a signalé qu'il ne l'a pas convertie en abonnement payant.
Si en février 2020, le site d'information qui a pu obtenir la liste a mentionné la Belgique, sans préciser quel service ou organisation, aurait obtenu un compte d'essai, en août 2021, il a évoqué de nouveau le sujet, cette fois en précisant qu'il s'agissait de la police fédérale qui avait utilisé le logiciel « entre 101 et 500 fois ». Le site a signalé à l'époque aussi que cela s'est déroulé dans le cadre de la réunion d'Europol.
« Une ingérence très grave dans le respect de la vie privée », selon le contrôleur fédéral
Selon le COC, deux membres de la police judiciaire fédérale, attachés à la DJSOC (Direction centrale de la lutte contre la criminalité grave et organisée) avaient assisté à une présentation de Clearview durant une taskforce d’Europol en 2019, à l’initiative du « National Center of Missing and Exploited Children » – une organisation fondée par le Congrès américain, avec laquelle collabore le FBI :
« L’enquête interne a ainsi révélé que des membres de la DGJ/DJSOC, et plus précisément du service Child Abuse, prennent part deux fois par an à une taskforce opérationnelle d’Europol, la Victim Identification Taskforce. La taskforce s’est réunie physiquement en 2019 et sous forme virtuelle en 2020 (en présence du FBI américain). C’est dans ce cadre que des licences de test ont été mises par Europol à la disposition des participants (et donc également de deux membres de la
DJSOC). Selon le commissaire général, ces membres du personnel ont à plusieurs reprises testé/utilisé l’application sur des dossiers non belges durant la taskforce d’Europol et (à leur retour en Belgique) également sur des dossiers du NCMEC américain (le National Center for Missing and Exploited Children). Ils ont également effectué des tests avec des photos d’eux-mêmes et de collègues/connaissances. Selon le courrier du 22 septembre 2021, ces tests n’ont jamais débouché sur des « résultats opérationnels » (opérationnels au sens de « pertinents dans le cadre d’une information »). Selon Clearview, il aurait au total été procédé à 78 consultations et la dernière utilisation remonterait au 10 février 2020. Le commissaire général confirmait dans ce courrier que l’application ne serait pas utilisée par la police fédérale aussi longtemps que le cadre légal ne le permet pas et que, afin d’éviter tout incident similaire à l’avenir, il serait rappelé à tous les membres du personnel qu’une utilisation d’applications ou un traitement de données à caractère personnel à des fins professionnelles n’est possible que moyennant le respect rigoureux des conditions prévues par la loi ».
Le contrôleur fédéral note une « ingérence très grave dans le respect de la vie privée » et ordonne à la police de demander à la société américaine Clearview d’effacer les données qu’elle lui a fournies :
« Il ressort de l’enquête menée par l’Organe de contrôle que des membres de la police judiciaire fédérale ont expérimenté avec la technologie de reconnaissance faciale de l’entreprise américaine Clearview en utilisant des photos de victimes et d’auteurs provenant d’une enquête de pédopornographie.
« L’expérimentation avec la technologie de reconnaissance faciale, dans le cadre de laquelle il est recouru à des photos de victimes et de suspects, constitue un traitement de données à caractère personnel soumis à la LPD (Loi relative à la protection des données) et à la LFP (Loi relative à la fonction de police).
« L’application de la technologie de reconnaissance faciale constitue un traitement spécifique de données à caractère personnel biométriques du visage de la personne lors duquel des caractéristiques faciales uniques de la personne sont enregistrées. L’application de la technologie de reconnaissance faciale constitue à ce titre une ingérence très grave dans le respect de la vie privée et la protection des données à caractère personnel.
« Bien que la loi sur la fonction de police prévoie d’une manière générale le traitement de données biométriques, elle n’offre pas une base légale suffisante pour l’application de cette forme de technologie de reconnaissance faciale. Ce point est d’ailleurs également confirmé au surplus par le ministre de l’Intérieur et par la police fédérale elle-même.
« La hiérarchie de la police (judiciaire) fédérale était au courant de l’utilisation expérimentale de la technologie de reconnaissance faciale de Clearview, tandis que la DGJ n’a pas mis un terme – ou n’a mis que tardivement un terme – à l’utilisation de cette technologie.
« La police judiciaire fédérale a utilisé cette technologie de reconnaissance faciale pendant une courte période, mais sans s’être renseignée sur l’impact et les retombées du processus de traitement sur les données à caractère personnel policières.
« L’utilisation de l’application Clearview a donné lieu à un transfert d’informations et de données à caractère personnel policières (photos) à une instance non policière au sens de la LPD. De plus, il s’agit d’un transfert de données policières à un destinataire établi dans un pays tiers, sans que la police judiciaire fédérale n’ait examiné si ce destinataire offre et maintient un niveau de protection adéquat comme l’exige la LPD. Ce constat n’a pas été contesté par la police fédérale dans le cadre de son droit de réponse.
« Le transfert d’informations et de données à caractère personnel policières (photos provenant de dossiers du NCMEC) à une entreprise privée, et a fortiori à une entreprise établie en dehors de l’Union européenne, n’est pas prévu par la LFP et constitue par conséquent un traitement de données illicite et illégitime. Ce constat n’est pas non plus contesté par la police fédérale dans le cadre de son droit de réponse ».
Par ailleurs, le COC note que :
« Il serait une erreur de penser que seules des images d’auteurs et/ou de suspects sont conservées. Logiquement, il s’agit de photos qui font partie de dossiers de la police. De cette manière, des photos non seulement d’auteurs, mais aussi de victimes - ndlr de violences sexuelles à l’encontre de mineurs d’âge (pédopornographie) - (et même de témoins ou de passants occasionnels) se retrouvent aux mains d’une entreprise qui assure sa subsistance et qui génère et optimalise ses bénéfices au moyen d’informations et de données à caractère personnel très sensibles, dont celles de personnes particulièrement vulnérables. Or, l’utilisateur de l’application Clearview n’a aucun contrôle sur ce traitement.
Une société qui n'est pas autorisée à déployer son activité dans plusieurs pays
En France, la CNIL a ordonné le 21 décembre 2021 à Clearview de cesser toute activité de scraping sur le territoire français36 en raison de diverses infractions au RGPD. En novembre dernier, l'autorité britannique de protection des données a infligé une amende de 17 millions de livres sterling à l'entreprise après avoir constaté que ses pratiques, notamment la collecte de selfies de personnes sans leur consentement à partir de séquences de caméras de sécurité ou de photos, enfreignaient les lois nationales sur la protection des données.
L'agence italienne de protection des données a annoncé une amende de 20 millions d'euros pour violation du droit de l'UE. Elle a également ordonné à l'entreprise controversée de supprimer toutes les données sur les Italiens qu'elle détient et elle interdit tout traitement ultérieur de la biométrie faciale de ses citoyens.
« Les conclusions ont révélé que les données personnelles détenues par l'entreprise, y compris les données biométriques et de géolocalisation, sont traitées illégalement, sans base légale adéquate, ce qui ne peut certainement pas être l'intérêt légitime de l'entreprise américaine », a déclaré le Garante dans un communiqué.
Parmi les autres violations du règlement général sur la protection des données (RGPD) qu'il a identifiées, citons les obligations de transparence (du fait que Clearview n'a pas suffisamment informé les utilisateurs de ce qu'il faisait avec leurs selfies) ; la violation de la limitation des finalités et utilisation des données des utilisateurs à des fins autres que celles pour lesquelles elles ont été publiées en ligne ; ainsi que des violations des règles de conservation des données sans limites de stockage.
« L'activité de Clearview AI viole donc les libertés des personnes concernées, y compris la protection de la confidentialité et le droit de ne pas être discriminé », a également déclaré l'autorité.
La société a également été interdite en Suède et en Australie.
Source : rapport de l'Organe de contrôle de l'information policière
Et vous ?
Quel est votre avis sur le sujet ?
Voir aussi :
Répondre avec citation
Envoyé par Stéphane le calme
. Pont XXXXL, lampadaire et panneau avec dalle en béton, extra large 
Partager