Biometrická databáze fotografií společnosti Clearview AI je v EU považována za nezákonnou, ale je nařízeno pouze její částečné vymazání
Clearview AI je americká společnost, která shromažďuje fotografie z webových stránek a vytváří trvalou databázi biometrických profilů s možností vyhledávání. Americké úřady používají databázi pro rozpoznávání obličejů k vyhledávání dalších informací o jinak neznámých osobách na fotografiích a videích. Na základě právních podání společnosti noyb hamburský úřad pro ochranu osobních údajů včera předběžně považoval takové biometrické profily za Evropanů za nezákonný a požádal společnost Clearview AI, aby vymazala biometrický profil stěžovatele.
"Právo na vaši tvář". Obyvatelka Hamburku a členka Chaos Computer Clubu, Matthias Marx, zjistil, že společnost Clearview AI se sídlem v USA, která se zabývá sledováním obličeje, přidala bez jeho vědomí jeho biometrický profil do své databáze s možností vyhledávání. Systém Clearview AI lze použít ke sledování a vyhledávání osob v záznamech průmyslových kamer, na fotografiích a podobně - což vede k orwellovskému systému sledování. Přístup do databáze byl prodán soukromým společnostem a nyní je prodáván americkým orgánům činným v trestním řízení. Databáze údajně obsahuje více než 3 miliardy snímků, částečně shromážděných ze zdrojů, jako jsou webové stránky a sociální média, a zpravidla bez vědomí dotčených osob.
Pan Marx podal stížnost u hamburského úřadu pro ochranu osobních údajů (DPA) a požádal o vymazání svých snímků a matematických hash hodnot představujících biometrický profil. Po vyšetřování, které trvalo více než 11 měsíců a jehož podklady předložila společnost noyb, dnes hamburský úřad DPA předběžně potvrdil právo každého obyvatele EU neskončit v databázi společnosti Clearview AI. Úřad DPA však pouze požádal společnost Clearview AI o vymazání matematických hash hodnot představujících biometrický profil a o potvrzení vymazání v rámci konzultace před zamýšleným příkazem. V souvislosti se zachycenými fotografiemi pana Marxe nebyla vznesena žádná žádost. Společnost Clearview AI má možnost se k zamýšlenému příkazu vyjádřit do 12. února 2021.
"Představte si svět, kde pokaždé, když vás zachytí videokamera, systémy nemají jen vaši fotografii, ale mohou vás přímo identifikovat. To je děsivé." - Alan Dahi, právník zabývající se ochranou soukromí, noyb.eu
Clearview AI musí dodržovat nařízení GDPR. GDPR se vztahuje na každého, kdo zpracovává osobní údaje na evropském trhu. Přestože společnost Clearview AI sídlí výhradně v USA, GDPR se vztahuje na její aktivity, které se týkají evropských obyvatel - například při shromažďování fotografií Evropanů. Ačkoli společnost Clearview AI popřela, že se na ni vztahuje právo EU, hamburský úřad pro ochranu osobních údajů doložil, že je příslušný, a vydal rozhodnutí.
"Pokud se činnost americké společnosti dotýká Evropanů, musí společnost hrát podle evropských pravidel. Je to jako když americký turista jede po německém autobahnu - musí se řídit místními pravidly." - Alan Dahi, právník zabývající se ochranou soukromí v noyb.eu
Hamburský úřad DPA nevydal celoevropský příkaz. Hamburský úřad DPA bohužel vydal úzký požadavek chránící pouze jednotlivého stěžovatele, místo aby vydal příkaz zakazující shromažďování fotografií všech evropských obyvatel, o což noyb usiloval. Každý evropský orgán pro ochranu údajů má právo vydávat obecné příkazy, které přesahují rámec individuální stížnosti. Bez takového obecného příkazu by každý Evropan musel podat vlastní stížnost na společnost Clearview AI, aby nebyl zahrnut do výsledků vyhledávání v její biometrické databázi. To je nejen neefektivní, ale také to představuje zbytečnou zátěž pro Evropany, kteří musí aktivně podnikat kroky k tomu, aby byl jejich profil z biometrické databáze společnosti Clearview AI odstraněn, přestože shromažďování takových údajů je již od počátku nezákonné. Hamburský úřad pro ochranu údajů navíc nepožádal o odstranění fotografií pana Marxe a omezil zamýšlený příkaz na matematické hash hodnoty představující biometrický profil pana Marxe.
"Tento sledovací stroj je děsivý. Téměř rok po mé první stížnosti nemusí Clearview AI ani vymazat fotografie, na kterých jsem zobrazen. A co hůř, každý jednotlivec musí podat vlastní stížnost. To ukazuje, že naše údaje ještě nejsou dostatečně chráněny a že je třeba proti biometrickému sledování zakročit." - Matthias Marx, stěžovatel
Co můžete udělat vy? Doporučujeme všem, aby požádali společnost Clearview AI o kopii svých údajů, aby vymazali veškeré údaje, které o nich společnost Clearview AI má, a aby vznesli námitku proti zařazení do databáze společnosti Clearview AI. Formuláře k tomu jsou k dispozici na webových stránkách společnosti Clearview AI. Pokud jste v databázi společnosti Clearview AI, měli byste také podat stížnost na společnost Clearview AI u místního úřadu pro ochranu osobních údajů.
Další kroky. Společnost Clearview AI bude mít na odpověď čas do 12. února. Společnost Clearview AI i stěžovatel mají právo na odvolání a skutečné rozhodnutí. noyb takovou možnost přezkoumává, aby byla dodržena všechna práva subjektu údajů a jeho snímky byly stejně vymazány, nikoliv pouze matematické hodnoty hash.
