Tänään, noyb on nostanut kanteen Hampurin tietosuojaviranomaista (DPA) vastaan. Vaikka viranomainen pitää kasvojentunnistushakukoneen PimEyesin käytäntöjä laittomina, se kieltäytyy ryhtymästä tehokkaisiin toimenpiteisiin, koska yritys näyttää sijaitsevan Dubaissa. PimEyes poimii järjestelmällisesti biometrisiä tietoja internetistä löytyvistä kuvista ja käyttää niitä tietokannan rakentamiseen. Käyttäjät voivat ladata sivustolle valokuvia ihmisistä ja löytää kasvojentunnistuksen avulla lisää kuvia samasta henkilöstä. Kantaja oli alun perin jättänyt PimEyesia koskevan valituksen Hampurin tietosuojaviranomaiselle heinäkuussa 2020.
Tietoa PimEyes-palvelusta. PimEyes skannaa jatkuvasti internetiä kerätäkseen kasvoja tietokantaansa. Yritys on jo kerännyt miljardeja kuvia, joita se käyttää kasvojentunnistushakukoneessaan. Yrityksen verkkosivustolla kuka tahansa voi tunnistaa muita ihmisiä lataamalla heistä valokuvan. Sen jälkeen sinulle näytetään lisää kuvia samasta henkilöstä, mukaan lukien linkit lähteisiin. Maksua vastaan voit saada lisätietoja, kuten todennäköisyyden sille, että kyseessä on sama henkilö. Tämän taustalla oleva tekniikka perustuu kasvojentunnistukseen – ja siten biometristen tietojen analysointiin. Tältä osin PimEyes toimii samalla tavalla kuin yhdysvaltalainen yritys Clearview AI, jolle on jo saanut miljoonien sakkoja GDPR-rikkomustensa vuoksi.
Max Schrems, noyb: ”PimEyesin kaltaisten kasvojentunnistustyökalujen hillitön leviäminen on katastrofaalista yksityisyydensuojan kannalta: miljoonien ihmisten ahdistelu ja joukkovalvonta voidaan toteuttaa muutamassa sekunnissa. PimEyes on kerännyt miljardeja biometrisiä tietoja viattomilta ihmisiltä heidän tietämättään ja asettanut nämä tiedot kaikkien saataville. Tämä yksityishenkilöiden joukkovalvonta on selvästi lainvastaista – ja myös Hampurin viranomaiset ovat samaa mieltä.”
Vuosien odotus ”tiedotuskirjeen” saamiseksi. Yksi asianomainen oli siksi jo jättänyt valituksen PimEyesia vastaan heinäkuussa 2020. Tästä tapauksesta vastaava Hampurin tietosuojaviranomainen käytti yli viisi vuotta päätöksen tekemiseen. Vaikka viranomainen olettaa, että PimEyes on toiminut lainvastaisesti ja sen olisi pitänyt vastata valituksen tekijän tietojen saantia ja poistamista koskevaan pyyntöön, se ei ole ryhtynyt mihinkään toimenpiteisiin: tietosuojaviranomainen väittää, ettei sen tarvitse ryhtyä mihinkään konkreettisiin toimenpiteisiin lainvastaisen toiminnan jatkumisen estämiseksi, lukuun ottamatta ”tiedotuskirjeen” lähettämistä yritykselle. Perustelu: PimEyes sijaitsee Dubaissa eikä vastaa tiedusteluihin.
Viiden vuoden käsittelyn aikana PimEyes on väittänyt toimipaikkansa sijaitsevan Puolassa, Seychelleillä ja Belizessä – mutta Hampurin viranomaiset eivät ilmeisesti ole koskaan tarkistaneet, olivatko verkkosivustolla ilmoitetut vaihtuvat sijainnit todellisuudessa paikkansapitäviä. Nyt niitä kuitenkin käytetään perusteluna sille, ettei toimenpiteisiin ryhdytä.
Jonas Breyer, kantajan asianajaja: ”On huolestuttavaa, että viranomainen ei edes yritä ryhtyä tehokkaisiin toimenpiteisiin GDPR:n täytäntöönpanemiseksi – ja että PimEyes voi siten jatkaa selvästi laittomia käytäntöjään esteettä. Hampurin valvontaviranomainen osoittaa jälleen kerran, että se pysyy toimettomana jopa vakavien GDPR-rikkomusten edessä ja kannustaa laskelmoituihin lainrikkomuksiin.”
Oikeustoimet valvontaviranomaista vastaan. Kantajakatsoo, että Hampurin tietosuojaviranomaisen tulisi ryhtyä tehokkaisiin toimenpiteisiin PimEyesia vastaan, mikä on mahdollista myös kolmansista maista peräisin olevien rekisterinpitäjien tapauksessa. Tähän voisi kuulua varojen jäädyttäminen Euroopassa, PimEyesin palveluntarjoajien velvoittaminen tietojen poistamiseen tai suoraan Georgian toimitusjohtajaa koskevien toimenpiteiden määräämiseen. Mikäli oikeusjuttu menestyy, viranomaisen olisi tarkasteltava alkuperäistä valitusta uudelleen ja todennäköisesti ryhdyttävä toimenpiteisiin, jotka tarjoavat tehokasta apua.
Felix Mikolasch, tietosuojalakimies noyb: ”Sen sijaan, että Hampurin valvontaviranomainen luottaisi PimEyesin verkkosivuilla oleviin yhteystietoihin ja lopettaisi asian käsittelyn, sen tulisi ryhtyä tehokkaisiin toimenpiteisiin yritystä vastaan. Se ei voi yksinkertaisesti lopettaa työtään pelkän spekulaation perusteella, että toimenpiteet saattaisivat olla tuloksettomia. Tätä mahdollisuutta ei voida koskaan täysin sulkea pois. Myös muut viranomaiset ovat määränneet sakkoja vastaavalle yhdysvaltalaiselle Clearview AI -yritykselle.”
Päivitys (8. heinäkuuta 2026): PimEyesin nykyinenylläpitäjä on ottanut yhteyttä noyb:hen -järjestöön ja toimittanut tietoja. Yrityksen mukaan se osti PimEyes-tuotteen edellisiltä omistajilta vasta vuonna 2022. Lisäksi yritys ilmoittaa suorittavansa valokuvien samankaltaisuusvertailuja kasvojentunnistushakukoneensa tarpeisiin. noyb ei ole pystynyt itsenäisesti vahvistamaan näitä tietoja.
Kantajaa edustaa Jonas Breyer Breyer Legal-lakiasiaintoimistosta. noyb edusti kantajaa Hampurin tietosuojaviranomaisen menettelyssä ja tukee vaatimusta. Tapausta tukee myös Chaos Computer Club.
