Hoy, noyb ha presentado una demanda contra la autoridad de protección de datos de Hamburgo (DPA). Aunque la autoridad considera que las prácticas del motor de búsqueda de reconocimiento facial PimEyes son ilegales, se niega a tomar medidas efectivas porque la empresa parece tener su sede en Dubái. PimEyes extrae sistemáticamente datos biométricos de imágenes de Internet y los utiliza para crear una base de datos. Los usuarios pueden subir fotos de personas a esta página web para encontrar más imágenes de la misma persona mediante el reconocimiento facial. El demandante había presentado inicialmente una denuncia contra PimEyes ante la DPA de Hamburgo en julio de 2020.
Información general sobre PimEyes. PimEyes rastrea continuamente Internet para recopilar rostros en una base de datos. La empresa ya ha recopilado miles de millones de imágenes, que se utilizan para su motor de búsqueda de reconocimiento facial. En su página web, cualquiera puede identificar a otras personas subiendo una foto de ellas. A continuación, se muestran más imágenes de la misma persona, incluidos enlaces a las fuentes. A cambio de una cuota, se puede acceder a más detalles, como la probabilidad de que se trate de la misma persona. La tecnología que hay detrás se basa en el reconocimiento facial y, por lo tanto, en el análisis de datos biométricos. En este sentido, PimEyes funciona de manera similar a la empresa estadounidense Clearview AI, que ya ha recibido multas que ascienden a millones por sus infracciones del RGPD.
Max Schrems, presidente de noyb, afirma: «La proliferación descontrolada de herramientas de reconocimiento facial como PimEyes es desastrosa para la privacidad: en cuestión de segundos se puede llevar a cabo el acoso y la vigilancia masiva de millones de personas. PimEyes ha acumulado miles de millones de datos biométricos de personas inocentes sin su conocimiento y pone estos datos a disposición de todo el mundo. Esta vigilancia masiva de particulares es claramente ilegal, y la autoridad de Hamburgo también lo ve así».
Años de espera por una «carta informativa». Por ello, una persona afectada ya había presentado una denuncia contra PimEyes en julio de 2020. La autoridad de protección de datos de Hamburgo responsable de este caso tardó más de cinco años en tomar una decisión. Sin embargo, aunque la autoridad parte de la base de que PimEyes actuó de forma ilegal y debería haber respondido a la solicitud de acceso y supresión del denunciante, no ha tomado ninguna medida: la autoridad de protección de datos afirma que, aparte de enviar una «carta informativa» a la empresa, no es necesario que adopte medidas concretas para impedir que se siga infringiendo la ley. El motivo: PimEyes tiene su sede en Dubái y no responde a las consultas.
A lo largo de los cinco años que ha durado el procedimiento, PimEyes afirma haber tenido su sede en Polonia, las Seychelles y Belice; sin embargo, al parecer, las autoridades de Hamburgo nunca verificaron si los cambios de ubicación que figuraban en la página web eran, de hecho, ciertos. Ahora, sin embargo, se están utilizando como justificación para no tomar ninguna medida.
Jonas Breyer, abogado del demandante: «Es preocupante que la autoridad ni siquiera intente tomar medidas efectivas para hacer cumplir el RGPD —y que, por lo tanto, PimEyes pueda continuar sin obstáculos con sus prácticas claramente ilegales. La autoridad de control de Hamburgo está demostrando una vez más que, incluso ante graves infracciones del RGPD, se queda de brazos cruzados y está propiciando incumplimientos deliberados de la ley».
Acción judicial contra la autoridad. Eldemandante considera que la Autoridad de Protección de Datos de Hamburgo debería adoptar medidas efectivas contra PimEyes, lo cual también es posible en el caso de los responsables del tratamiento de datos de terceros países. Esto podría implicar la congelación de fondos en Europa, exigir a los proveedores de servicios de PimEyes que eliminen los datos o imponer medidas directamente contra el director general georgiano. Si la demanda prosperara, la autoridad tendría que reconsiderar la denuncia original y, probablemente, tendría que adoptar medidas que proporcionaran una reparación efectiva.
Felix Mikolasch, abogado especializado en protección de datos de noyb, afirma: «En lugar de basarse en los datos de contacto que figuran en la página web de PimEyes para dejar de trabajar en el caso, la autoridad de control de Hamburgo debería tomar medidas efectivas contra la empresa. No puede simplemente poner fin a su labor por especular con que las medidas podrían resultar infructuosas. Esta posibilidad nunca puede descartarse por completo. Otras autoridades también han impuesto multas a la empresa estadounidense Clearview AI, que opera de forma similar».
Actualización (8 de julio de 2026): El actual operador de PimEyes se ha puesto en contacto con noyb y le ha facilitado información. Según la empresa, solo adquirió el producto PimEyes a los anteriores propietarios en 2022. Además, la empresa afirma que lleva a cabo comparaciones de similitud fotográfica para su motor de búsqueda de reconocimiento facial. noyb no ha podido verificar esta información de forma independiente.
El demandante está representado por Jonas Breyer, de Breyer Legal. noyb representó al demandante en el procedimiento ante la Autoridad de Protección de Datos de Hamburgo y respalda la demanda. Este caso también cuenta con el apoyo del Chaos Computer Club.
