Données personnelles des travailleurs de la donnée : cinq plaintes déposées contre l’entreprise américaine Scale.ai

Trois séries de griefs sont reprochées à la plateforme dans ces plaintes : l’existence injustifiée de traceurs, la vérification biométrique, et une demande d’accès restée sans réponse.

1 – Des traceurs de l’activité des travailleurs 

Les cinq travailleurs à l’origine des plaintes déposées par noyb ont enregistré le trafic de leur navigateur pendant qu’ils utilisaient Outlier. On y voit des traceurs de nombreuses entreprises tierces : Facebook, TikTok, Snapchat, Twitter, Google, Fullstory, Sprig, PostHog, Amplitude, etc. Un traceur est un petit programme, souvent invisible, qui envoie à une entreprise des informations sur ce que vous faites sur une page. Quelques exemples cités dans les plaintes :

• Fullstory enregistre les mouvements de souris, les clics et les frappes au clavier, de quoi « rejouer » la session comme une vidéo. Il envoie des données toutes les quelques secondes.

• Sprig a collecté le nom, l’e-mail, le téléphone et des informations de paiement.

• Les traceurs des réseaux sociaux servent généralement à la publicité ciblée.

Extrait du rapport Surveillance at scale diffusé le 15 octobre par DIPlab et Reversing.works : 

Outlier collecte aussi automatiquement l’adresse IP, un identifiant unique de l’appareil et le site visité juste avant d’arriver sur la plateforme. Selon sa politique de confidentialité, c’est notamment pour améliorer ses services et ceux de ses clients, ce qui inclut l’entraînement d’IA.

Or, selon l’article 5(1)(c) du RGPD, relatif au principe de minimisation des données, une entreprise ne doit collecter que les données strictement nécessaires à son objectif. En l’espèce, rien ne justifie a priori de savoir d’où vient le travailleur, ni de partager son nom ou ses mouvements de souris avec des réseaux sociaux pour gérer une plateforme de travail. Outlier invoque son « intérêt légitime » comme base légale. Mais selon la jurisprudence européenne, cette base ne tient que si la minimisation est respectée. Des alternatives plus légères étaient envisageables en l’espèce : ne collecter que le type de navigateur ou d’appareil, n’enregistrer qu’en cas de bug, masquer les données sensibles dans les enregistrements de session, etc.

Un cas comparable avait déjà conduit l’autorité italienne de protection des données personnelles à condamner lourdement la plateforme de mobilité Glovo, qui avait été considérée comme soumettent ses travailleurs à une surveillance injustifiée.

De la même façon, la directive ePrivacy prévoit en son article 5(3) que l’installation de traceurs sur l’appareil de quelqu’un exige son consentement, sauf s’ils sont techniquement indispensables. Or, Outlier s’appuie sur son intérêt légitime, sans rechercher le consentement exprès des travailleurs.

2 – Des vérifications d’identité biométrique (Persona)

Pour s’inscrire sur Outlier, les travailleurs doivent passer par Persona, un prestataire externe. Il leur est alors demandé de fournir une photo de leur pièce d’identité puis de faire une vidéo de leur visage, sous toutes les facettes. Cette opération doit être réalisée à plusieurs reprises, à intervalles irréguliers. Outlier reconnaît générer des « mesures relatives au visage », des données biométriques que le RGPD classe parmi les données sensibles.

Selon plusieurs sources, citées dans la plainte, le prestataire Persona aurait pourtant des pratiques dont qui aurait dû alerter Scale.ai : 

• elle croise les données avec d’autres sources (réseaux sociaux, agences de crédit, opérateurs mobiles…) ;

• elle fait appel à une quinzaine de sous-traitants, dont OpenAI, Anthropic et Groqcloud, avec un hébergement aux États-Unis ;

• elle a connu des incidents de sécurité : environ 70 000 pièces d’identité volées en octobre 2025, puis son code source exposé en février 2026 ;

• jusqu’en avril 2026, sa politique de confidentialité prévoyait l’utilisation des pièces d’identité pour entraîner son service.

Or, là encore, le principe de minimisation visé à l’article 5(1)(c) du RGPD semble bien avoir été enfreint par Outlier, responsable du traitement des données personnelles des travailleurs. 

D’abord, la biométrie n’est pas nécessaire en soi. L’objectif affiché par la plateforme est de lutter contre la fraude, c’est-à-dire de vérifier que c’est bien la bonne personne qui travaille. Des moyens moins intrusifs existent pourtant, comme la double authentification ou une clé physique. 

Ensuite, même si un tel contrôle s’avérait nécessaire, la méthode employée semble bien excessive. Comparer un visage à sa pièce d’identité s’appelle la vérification « un à un ». Persona semble plutôt comparer le visage à des bases de données entières (« un à plusieurs »), ce qui va bien au-delà. La directive européenne de 2024 sur le travail de plateforme recommande justement la méthode « un à un ».

A cela s’ajoute que l’article 25(1) du RGPD relatif à la « protection des données dès la conception et par défaut » impose à l’entreprise d’organiser son système de façon à respecter les principes du RGPD, notamment en limitant d’emblée les données collectées.

Enfin, l’article 28(1) relatif au choix du sous-traitant impose aux entreprises de ne confier des données qu’à des prestataires offrant des garanties suffisantes. En l’espèce, choisir Persona et la laisser collecter autant de données est de nature à enfreindre une telle exigence. 

3 – Des demandes d’accès restées sans réponse

A plusieurs reprises, les travailleurs à l’origine des cinq plaintes ont demandé à Outlier une copie de leurs données. Ils n’ont jamais reçu de réponse.

Pourtant, l’article 15 du RGPD donne bien à chaque personne le droit d’accéder à ses données à caractère personnel. L’article 12(3) prévoit même un délai de réponse de 1 moins, prolongeable dans certains cas. Ici, il n’y a eu aucune réponse en plus de dix mois.