Scale AI visée par cinq plaintes de noyb : traceurs tiers et biométrie imposés aux travailleurs de sa plateforme Outlier
Le 27 octobre 2026, l'association noyb a déposé cinq plaintes au titre du RGPD contre Scale AI, la société américaine qui exploite la plateforme d'annotation de données Outlier, en France, en Italie, aux Pays-Bas et en Autriche. Elle lui reproche des traceurs tiers actifs pendant le travail, une vérification biométrique imposée et des demandes d'accès restées sans réponse. Pour un DPO, le dossier pose une question très concrète : jusqu'où un donneur d'ordre peut-il surveiller des travailleurs, même présentés comme indépendants, et répond-il des outils de ses prestataires ?
Ce que noyb reproche à Scale AI
Selon le communiqué de noyb, publié avec Intérêt à Agir, DIPLab et Reversing.Works, Outlier fait travailler plus de 900 000 personnes « indépendantes » qui entraînent des systèmes d'IA pour des clients comme Meta, OpenAI, Google ou le gouvernement américain. Trois griefs sont avancés, qui restent à ce stade des allégations : aucune autorité n'a statué.
- Des traceurs tiers pendant le travail. D'après l'analyse technique de noyb, des traceurs de TikTok, LinkedIn, Facebook, de l'outil d'enquêtes Sprig et de Datadog transmettent « toutes les quelques secondes » des adresses IP, des coordonnées, des identifiants uniques et la page visitée. La plainte française relève que la plateforme fonde ces traceurs sur son intérêt légitime.
- Une vérification biométrique imposée. Les travailleurs doivent, à plusieurs reprises, se filmer le visage et téléverser leur pièce d'identité auprès du prestataire Persona. noyb rappelle qu'environ 70 000 photos de pièces d'identité stockées chez Persona ont été divulguées par des pirates en octobre 2025.
- Un droit d'accès ignoré. Dans la plainte française, le plaignant indique avoir écrit à Outlier le 2 février 2026, sans réponse depuis, puis à Persona le 12 mai 2026, sans autre retour qu'un accusé de réception.
Ce que la plainte française demande à la CNIL
La plainte déposée en France est adressée à la CNIL, compétente selon noyb au titre de l'article 77 du RGPD, Scale AI n'ayant pas d'établissement principal dans l'Union. Elle vise les articles 5(1)(c), 12(3), 15, 25(1) et 28(1) du RGPD, ainsi que l'article 82 de la loi Informatique et Libertés, qui exige un consentement pour lire ou déposer des traceurs sur un terminal.
Sur la biométrie, l'argument est double. D'abord, le traitement ne serait pas nécessaire : la plainte cite une décision du Garante italien du 13 novembre 2024 (n° 10074601), qui avait jugé non indispensable la vérification biométrique imposée à des travailleurs de plateforme, et propose des moyens moins intrusifs comme la double authentification ou une clé physique. Ensuite, même nécessaire, le traitement serait mal conçu : Persona procéderait à une comparaison « one-to-many » avec d'autres bases, là où le considérant 41 de la directive (UE) 2024/2831 sur le travail via une plateforme privilégie la vérification « one-to-one » entre un visage et un document. C'est au responsable de traitement, rappelle la plainte, de choisir un sous-traitant qui respecte la minimisation.
noyb demande une enquête, étendue à la prise de décision automatisée, et suggère une amende sur le fondement des articles 58(2)(i) et 83(5)(a) et (b).
Ce que ça change pour les organisations
Le cas est extrême, mais chacun des griefs se retrouve dans des outils RH ou métiers ordinaires. La CNIL a d'ailleurs déjà fixé trois conditions cumulatives au contrôle de l'activité des salariés.
- Inventorier les scripts tiers des outils internes. Un portail collaborateur ou une plateforme de prestataires qui embarque des pixels de réseaux sociaux transmet des données de travail à des tiers : ce flux doit figurer au registre, avec sa base légale.
- Tester la nécessité de chaque vérification d'identité biométrique. Documenter les alternatives écartées (double authentification, clé physique) et, si la biométrie reste, exiger une vérification « one-to-one » et une collecte limitée.
- Auditer les prestataires d'identité comme des sous-traitants à risque. Contrat article 28, données collectées, durée de conservation, historique d'incidents : la méthode d'audit des sous-traitants s'applique pleinement.
- Tenir le délai d'un mois sur les demandes d'accès, y compris quand le demandeur n'est pas salarié. Le circuit de traitement du droit d'accès doit couvrir les prestataires et les travailleurs indépendants.
Ce que Leto en pense
Le statut d'indépendant ne change rien à la qualité de personne concernée, et le choix d'un prestataire biométrique engage le responsable de traitement. Le dossier ne sera tranché que par les autorités saisies, mais il rappelle qu'une demande d'accès sans réponse suffit souvent à ouvrir une plainte qui, ensuite, porte sur tout le reste. Tenir un registre qui recense les sous-traitants et les flux vers des tiers est le premier rempart : Leto peut vous montrer comment le piloter au quotidien.
Sources
