Le 27 octobre 2026, noyb a annoncé le dépôt de cinq plaintes devant les autorités de protection des données de France, d’Italie, des Pays-Bas et d’Autriche contre Scale AI. L’entreprise exploite Outlier, une plateforme où des travailleurs indépendants, plus de 900 000 selon noyb, annotent et évaluent des contenus pour entraîner des modèles d’IA. Parmi les griefs figure la vérification d’identité biométrique imposée aux travailleurs par un prestataire spécialisé. Le sujet dépasse le cas d’Outlier : de nombreux organismes confient aujourd’hui le contrôle d’identité à un service tiers qui demande une pièce d’identité et un selfie.
Les griefs des plaignants
Les plaintes ont été préparées avec l’association française Intérêt à Agir, dans le cadre de son programme AI World consacré aux travailleurs de la donnée, et avec les partenaires DIPLab et Reversing.Works. Elles portent sur trois points.
D’abord, des traceurs de TikTok, LinkedIn, Facebook, Sprig et Datadog seraient chargés pendant que les travailleurs utilisent la plateforme. Ils transmettraient toutes les quelques secondes l’adresse IP, des identifiants uniques et la page consultée. Selon les plaignants, aucun consentement valable n’est recueilli.
Ensuite, les travailleurs doivent se soumettre, et parfois à plusieurs reprises, à une vérification menée par la société Persona : enregistrement vidéo du visage et envoi d’une pièce d’identité. Scale AI justifie ce contrôle par la lutte contre la fraude et la vérification des compétences. noyb le juge disproportionné, d’autant que le prestataire recueillerait aussi des données sur l’appareil, la géolocalisation, l’adresse et des informations de crédit à la consommation.
Enfin, les demandes d’accès des plaignants seraient restées sans réponse. Pour des travailleurs dont l’activité dépend des évaluations de la plateforme, connaître les données conservées à leur sujet conditionne la possibilité de contester une décision, comme une suspension de compte ou un refus de mission.
Le communiqué initial faisait état d’une fuite d’environ 70 000 pièces d’identité chez ce prestataire en octobre 2025. noyb a retiré cette affirmation le 29 octobre 2026 en la qualifiant d’erronée. Elle ne peut donc pas être retenue. Les autorités saisies devront instruire les plaintes, et les entreprises visées pourront faire valoir leurs arguments.
Ce que dit le RGPD de la vérification d’identité biométrique
Un contrôle qui compare le visage d’une personne à la photo de sa pièce d’identité traite des données biométriques aux fins d’identifier une personne de manière unique. L’article 9 du RGPD en interdit le traitement, sauf exception limitativement prévue, comme le consentement explicite. Dans une relation de travail ou de quasi-subordination, la liberté de ce consentement se discute dès lors que l’accès à l’activité en dépend. Lorsque le consentement sert de base, la personne doit pouvoir choisir une solution sans biométrie, faute de quoi son accord n’est pas libre.
Le principe de minimisation de l’article 5 impose ensuite de ne collecter que ce qui est nécessaire. Vérifier qu’une personne est bien celle qu’elle prétend être ne suppose pas, en principe, de connaître sa géolocalisation ou ses données de crédit. Répéter l’opération sans raison documentée aggrave encore le volume de données conservées. Enfin, la combinaison de données biométriques et de personnes en situation de dépendance, comme les travailleurs de plateforme, rend en pratique l’AIPD obligatoire au regard des critères retenus par le CEPD et la CNIL.
Le prestataire de vérification pose sa propre question. Agit-il comme sous-traitant, strictement pour le compte de son client, ou réutilise-t-il les données pour ses propres finalités, par exemple l’amélioration de ses algorithmes de détection de fraude ? Dans le second cas, il devient responsable de traitement pour cette part, et le client doit l’avoir identifié et en avoir informé les personnes.
Ce que l’organisme doit vérifier
Je retrouve ce type d’outil dans des projets très variés : recrutement à distance, ouverture de comptes, accès à une plateforme de services, contrôle d’âge. Avant de signer avec un fournisseur, plusieurs contrôles s’imposent.
- Justifier la nécessité de la biométrie et examiner une solution sans biométrie (vérification documentaire, contrôle en présentiel, envoi de justificatif).
- Identifier l’exception de l’article 9 retenue et, en cas de consentement, proposer une alternative réelle.
- Réaliser l’AIPD avant la mise en service et la mettre à jour à chaque changement de prestataire ou de paramétrage.
- Lister précisément les données collectées par le prestataire, au-delà de la photo et du document, et exiger la suppression de ce qui n’est pas nécessaire.
- Encadrer le contrat selon l’article 28 : interdiction de réutilisation, durée de conservation des images et des pièces, sous-traitants ultérieurs, localisation, notification des violations.
- Vérifier qu’aucun traceur tiers ne se charge sur les pages de vérification ou d’espace personnel sans consentement.
- Prévoir la réponse aux demandes d’accès, y compris pour les données détenues par le prestataire.
DPO FRANCE, réseau national de DPO indépendants, accompagne les organismes dans l’analyse des dispositifs d’identification à distance et la négociation des contrats avec leurs prestataires. DPO SUITE permet de conduire l’AIPD, de suivre les sous-traitants et leurs engagements, et de conserver les preuves de conformité.
