Aujourd'hui, noyb a intenté une action en justice contre l’autorité de protection des données (APD) de Hambourg. Bien que cette autorité considère que les pratiques du moteur de recherche de reconnaissance faciale PimEyes sont illégales, elle refuse de prendre des mesures efficaces car l’entreprise semble être basée à Dubaï. PimEyes extrait systématiquement des données biométriques à partir d’images trouvées sur Internet et les utilise pour constituer une base de données. Les utilisateurs peuvent télécharger des photos de personnes sur ce site web afin de trouver d’autres images de la même personne grâce à la reconnaissance faciale. Le plaignant avait initialement déposé une plainte contre PimEyes auprès de la DPA de Hambourg en juillet 2020.
Contexte concernant PimEyes. PimEyes analyse en permanence Internet afin de collecter des visages dans une base de données. L'entreprise a déjà collecté des milliards d’images, qui sont utilisées pour son moteur de recherche par reconnaissance faciale. Sur son site web, n’importe qui peut identifier d’autres personnes en téléchargeant une photo de celles-ci. Le site affiche alors d’autres images de la même personne, accompagnées de liens vers les sources. Moyennant paiement, vous pouvez accéder à des informations supplémentaires, telles que la probabilité qu’il s’agisse bien de la même personne. La technologie sous-jacente repose sur la reconnaissance faciale – et donc sur l’analyse de données biométriques. À cet égard, PimEyes fonctionne de manière similaire à la société américaine Clearview AI, qui a déjà écopé d’amendes se chiffrant en millions en raison de ses violations du RGPD.
Max Schrems, président de noyb, déclare : « La prolifération incontrôlée d’outils de reconnaissance faciale tels que PimEyes est désastreuse pour la vie privée : le harcèlement et la surveillance de masse de millions de personnes peuvent être mis en œuvre en quelques secondes. PimEyes a accumulé des milliards de données biométriques provenant de personnes innocentes à leur insu et met ces données à la disposition de tous. Cette surveillance de masse des particuliers est clairement illégale – et l’autorité de Hambourg partage cet avis. »
Des années d’attente pour une « lettre d’information ». Une personne concernée avait donc déjà déposé une plainte contre PimEyes en juillet 2020. L’autorité de protection des données de Hambourg chargée de cette affaire a mis plus de cinq ans à rendre une décision. Cependant, bien que l’autorité parte du principe que PimEyes a agi de manière illégale et aurait dû répondre à la demande d’accès et de suppression du plaignant, elle n’a pris aucune mesure : l’autorité de protection des données affirme qu’à part l’envoi d’une « lettre d’information » à l’entreprise, elle n’est pas tenue de prendre des mesures concrètes pour empêcher la poursuite de cette violation de la loi. Sa justification : PimEyes est basée à Dubaï et ne répond pas aux demandes de renseignements.
Au cours des cinq années qu’a duré la procédure, PimEyes a affirmé être implantée tour à tour en Pologne, aux Seychelles et au Belize – or, les autorités de Hambourg ne semblent jamais avoir vérifié si les changements d’adresse indiqués sur le site web étaient bien exacts. Aujourd’hui, cependant, ces informations sont utilisées pour justifier l’inaction.
Jonas Breyer, l’avocat du plaignant : « Il est inquiétant de constater que l’autorité ne tente même pas de prendre des mesures efficaces pour faire respecter le RGPD – et que PimEyes puisse ainsi poursuivre sans entrave ses pratiques manifestement illégales. L’autorité de contrôle de Hambourg montre une fois de plus que, même face à de graves violations du RGPD, elle reste les bras croisés et encourage des infractions délibérées à la loi. »
Action en justice contre l’autorité. Leplaignant estime que l’autorité de protection des données de Hambourg devrait prendre des mesures efficaces à l’encontre de PimEyes, ce qui est également possible dans le cas de responsables du traitement issus de pays tiers. Cela pourrait impliquer le gel de fonds en Europe, l’obligation pour les prestataires de services de PimEyes de supprimer les données, ou l’imposition de mesures directement à l’encontre du directeur général géorgien. Si l’action en justice aboutissait, l’autorité devrait réexaminer la plainte initiale et serait probablement amenée à prendre des mesures garantissant une réparation effective.
Felix Mikolasch, avocat spécialisé en protection des données chez noyb, déclare : « Au lieu de se contenter des coordonnées figurant sur le site web de PimEyes pour cesser de travailler sur cette affaire, l’autorité de contrôle de Hambourg devrait prendre des mesures efficaces à l’encontre de l’entreprise. Elle ne peut pas simplement mettre fin à son travail sous prétexte qu’elle suppose que les mesures pourraient s’avérer infructueuses. Cette possibilité ne peut jamais être totalement exclue. D’autres autorités ont également infligé des amendes à l’entreprise américaine comparable Clearview AI. »
Mise à jour (8 juillet 2026) : L’exploitant actuel de PimEyes a contacté noyb et lui a fourni des informations. Selon l’entreprise, elle n’a acquis le produit PimEyes auprès des anciens propriétaires qu’en 2022. De plus, l’entreprise affirme qu’elle effectue des comparaisons de similitude photographique pour son moteur de recherche de reconnaissance faciale. noyb n'a pas été en mesure de vérifier ces informations de manière indépendante.
Le plaignant est représenté par Jonas Breyer du cabinet Breyer Legal. noyb a représenté le plaignant dans la procédure devant l’autorité de protection des données de Hambourg et soutient la plainte. Cette affaire bénéficie également du soutien du Chaos Computer Club.
