Droit Vivant
Brief

↓ Version .md brute

Brief — Votre photo publique n'est pas un jeu de données : le CEPD écrit les règles du scraping pour l'IA, et Clearview AI l'a appris à 30,5 millions d'euros

Thème : données personnelles et IA — moissonnage (web scraping), intérêt légitime et anonymisation

Le 7 juillet 2026, le Comité européen de la protection des données (CEPD), présidé par Anu Talus, a adopté deux textes qui concernent directement quiconque automatise la collecte de données : les lignes directrices 03/2026 sur le moissonnage dans le contexte de l'IA générative et les lignes directrices 02/2026 sur l'anonymisation, toutes deux en version 1.0 et ouvertes à consultation publique jusqu'au 30 octobre 2026 ; la CNIL les a relayées le 9 juillet 2026. Le principe posé est simple et souvent mal compris : une donnée personnelle accessible publiquement n'est pas pour autant libre d'usage — le RGPD s'applique dès que le moissonnage emporte collecte, stockage, organisation ou extraction de données personnelles, avec une vigilance particulière sur la limitation des finalités (article 5 § 1 b) et la transparence (articles 13 et 14), le responsable pouvant toutefois être dispensé d'informer individuellement les personnes lorsque cela s'avère impossible ou exige des efforts disproportionnés. Le CEPD précise l'usage de l'intérêt légitime (article 6 § 1 f) dans ce contexte précis, en prolongement de son avis 28/2024 sur les modèles d'IA, et recommande, au titre du principe d'exactitude, de n'extraire que depuis des sources fiables, d'horodater et de valider les données avant tout entraînement. Sur les catégories particulières (article 9 § 1), il rappelle qu'il n'existe aucune exemption générale : leur traitement suppose une base légale au titre de l'article 6 *et* une exception au titre de l'article 9 § 2, le raisonnement de l'arrêt CJUE, gr. ch., 24 septembre 2019, GC e.a. c/ CNIL, C-136/17 pouvant être pertinent pour la collecte accessoire ou résiduelle, à condition d'agir dans le cadre de ses « responsabilités, pouvoirs et capacités » et de mettre en œuvre des mesures techniques et organisationnelles empêchant leur collecte et leur diffusion. Le coût de l'inverse est déjà documenté : en septembre 2024, l'autorité néerlandaise (Autoriteit Persoonsgegevens) a infligé à Clearview AI une amende de 30,5 millions d'euros, assortie d'astreintes de plus de 5 millions d'euros, pour une base constituée à partir du web de milliards de photos de visages, sans base légale (articles 5 § 1 et 6 § 1) et portant sur des données biométriques (article 9 § 1) — après des sanctions de 20 millions d'euros prononcées par les autorités italienne et grecque en 2022 et une astreinte imposée par l'autorité française en 2023.

En parallèle, les lignes directrices 02/2026 sur l'anonymisation, qui intègrent notamment l'arrêt CJUE, 4 septembre 2025, CEPD c/ CRU, C-413/23 P, fournissent un cadre pratique en trois tests — pas d'individualisation, pas de corrélation, pas d'inférence — et deux façons de l'appliquer : une « approche contextuelle », qui tient compte des capacités respectives des entités susceptibles de réidentifier, et une « approche simplifiée », plus conservatrice, qui les ignore. Pour un praticien de l'automatisation, l'effet net est un déplacement de la charge de la preuve : ce n'est plus le résultat du pipeline qui est examiné, mais sa traçabilité — provenance, horodatage, filtrage, exclusion des catégories particulières, et mise en balance écrite *avant* la collecte.

Sources