Clarifier les implications du moissonnage sur la protection des données pour le développement de l'IA

Le moissonnage (web scraping en anglais) est un processus automatisé d'extraction de données à grande échelle qui fonctionne souvent sans que les individus en soient conscients et qui peut présenter des risques importants pour la protection de leurs données personnelles. Dans ses lignes directricessur le moissonnage dans le contexte de l’IA générative, le comité clarifie divers aspects de la conformité du moissonnage au RGPD, y compris la base juridique de ces activités et les conditions dans lesquelles des catégories particulières de données peuvent être traitées dans ce contexte.

Le RGPD s’applique au moissonnage lorsqu’il inclut des opérations de traitement de données à caractère personnel, telles que la collecte, le stockage, l’organisation et l’extraction.

Lorsqu’on s’appuie sur le moissonnage, il convient d’accorder une attention particulière au principe de limitation de la finalité et au principe de transparence. Toutefois, en fonction de la conception précise du traitement des données, le responsable du traitement pourrait ne pas avoir à informer personnellement les personnes si cela s'avère impossible ou nécessite des efforts excessifs.

Le CEPD recommande d’extraire les données uniquement à partir de sources fiables, d’enregistrer l’horodatage et de valider les données avant de les utiliser dans le cadre d’une formation à l’IA afin de garantir le respect du principe de précision. Les lignes directrices donnent également des conseils sur les mesures que le responsable du traitement devrait mettre en œuvre pour se conformer au principe de minimisation des données.

Sur la base de l’avis du comité européen de la protection des données sur les modèles d’IA, les lignes directrices fournissent des précisions et des exemples supplémentaires sur l’utilisation de la base juridique relative à l’intérêt légitime dans le contexte spécifique du moissonnage pour la formation à l’IA.

Enfin, le CEPDrappelle que le traitement de catégories particulières de données à caractère personnel est en principe interdit. Si le moissonnage implique de telles données, une base légale en vertu de l'article 6 du RGPD et une exception en vertu de l'article 9, paragraphe 2, du RGPD sont requises. Le CEPD suggère que l’arrêt de la Cour dans l’affaire GC &amp e.a. (C-136/17) peut être pertinent pour la collecte accessoire ou résiduelle de catégories particulières de données à caractère personnel, à condition que le responsable du traitement agisse dans le « cadre de ses responsabilités, pouvoirs et capacités » et mette en œuvre des mesures techniques et organisationnelles appropriées pour empêcher la collecte et la diffusion de ces données. Le CEPD souligne qu’il n’existe pas d’exemption générale aux exigences de l’article 9 du RGPD et que chaque affaire doit être appréciée individuellement pour déterminer si le raisonnement de la Cour s’applique.