Le 20 octobre, l’agence française de protection des données, la Commission Nationale de l’Informatique et des Libertés (CNIL), porté Amende de 20 millions d’euros contre des sociétés de reconnaissance faciale pour violation du règlement général sur la protection des données (RGPD) de l’UE. En 2020, la CNIL a ouvert une enquête après avoir reçu des plaintes de particuliers concernant le logiciel de reconnaissance faciale de l’entreprise. La CNIL a indiqué dans son communiqué qu’elle travaillait en étroite collaboration avec ses homologues européens pour partager les résultats de l’enquête, chaque autorité étant autorisée à agir sur son propre territoire car l’entreprise n’a pas d’implantation européenne. L’enquête a identifié plusieurs violations du RGPD, notamment que l’entreprise était soupçonnée de traiter illégalement des données biométriques personnelles sans base légale (une violation de l’article 6 du RGPD), et de ne pas tenir compte des droits individuels de « manière efficace et satisfaisante ». « – notamment en ce qui concerne les demandes d’accès à leurs données (violations des articles 12, 15 et 17 du RGPD). UN notification officielle émis à l’entreprise l’an dernier l’obligeant à cesser de collecter et d’utiliser des données appartenant à des personnes sur le territoire français sans aucune base légale. L’entreprise a également été sommée de « faciliter l’exercice des droits individuels et de se conformer aux demandes de suppression ». La CNIL a fait valoir qu’après que l’entreprise n’avait pas répondu à une notification formelle, elle avait renvoyé l’affaire devant une commission restreinte de sanctions.

La commission restreinte a infligé une sanction pécuniaire maximale (20 millions d’euros) au titre de l’article 83 du RGPD, et a ordonné à la société « de cesser de collecter et de traiter les données des personnes physiques résidant en France sans base légale et de supprimer les données de ces personnes qui avaient déjà été encaissés, dans un délai de deux mois. . » Le non-respect de ce délai entraînera une amende de 100 000 € par jour de retard. Le comité restreint a également déclaré que la société avait violé ses obligations de coopération avec la CNIL.