Oggi, noyb ha intentato una causa contro l’autorità per la protezione dei dati (DPA) di Amburgo. Sebbene l’autorità ritenga illegali le pratiche del motore di ricerca basato sul riconoscimento facciale PimEyes, si rifiuta di intraprendere azioni efficaci poiché l’azienda sembra avere sede a Dubai. PimEyes estrae sistematicamente dati biometrici dalle immagini presenti su Internet e li utilizza per creare un database. Gli utenti possono caricare foto di persone su questo sito web per trovare altre immagini della stessa persona tramite il riconoscimento facciale. Il ricorrente aveva inizialmente presentato un reclamo contro PimEyes presso la DPA di Amburgo nel luglio 2020.
Informazioni su PimEyes. PimEyes esegue continuamente scansioni su Internet per raccogliere immagini di volti in un database. L’azienda ha già raccolto miliardi di immagini, che vengono utilizzate per il suo motore di ricerca basato sul riconoscimento facciale. Sul suo sito web, chiunque può identificare altre persone caricandone una foto. Vengono quindi mostrate ulteriori immagini della stessa persona, compresi i link alle fonti. A pagamento, è possibile accedere a ulteriori dettagli, come la probabilità che si tratti della stessa persona. La tecnologia alla base di questo servizio si fonda sul riconoscimento facciale – e quindi sull’analisi dei dati biometrici. Sotto questo aspetto, PimEyes opera in modo simile alla società statunitense Clearview AI, che ha già subito multe per milioni a causa delle sue violazioni del GDPR.
Max Schrems, presidente di noyb, ha dichiarato: «La diffusione incontrollata di strumenti di riconoscimento facciale come PimEyes è disastrosa per la privacy: lo stalking e la sorveglianza di massa di milioni di persone possono essere messi in atto in pochi secondi. PimEyes ha accumulato miliardi di dati biometrici di persone innocenti a loro insaputa e rende questi dati accessibili a chiunque. Questa sorveglianza di massa dei privati è chiaramente illegale – e anche l’autorità di Amburgo la vede in questo modo.”
Anni di attesa per una «lettera informativa». Una persona interessata aveva quindi già presentato un reclamo contro PimEyes nel luglio 2020. L’autorità per la protezione dei dati di Amburgo responsabile del caso ha impiegato più di cinque anni per giungere a una decisione. Tuttavia, pur ritenendo che PimEyes abbia agito in modo illegale e avrebbe dovuto rispondere alla richiesta di accesso e cancellazione presentata dal reclamante, l’autorità non ha intrapreso alcuna azione: l’autorità per la protezione dei dati sostiene che, oltre all’invio di una «lettera informativa» alla società, non sia necessario adottare misure concrete per impedire il protrarsi della violazione di legge. La motivazione: PimEyes ha sede a Dubai e non risponde alle richieste di informazioni.
Nel corso dei cinque anni di procedimento, PimEyes sostiene di aver avuto sede in Polonia, alle Seychelles e in Belize – eppure le autorità di Amburgo apparentemente non hanno mai verificato se le sedi indicate sul sito web, che cambiavano di volta in volta, fossero effettivamente corrette. Ora, tuttavia, tali informazioni vengono utilizzate come giustificazione per non intervenire.
Jonas Breyer, avvocato del ricorrente: «È preoccupante che l’autorità non stia nemmeno tentando di adottare misure efficaci per far rispettare il GDPR – e che PimEyes sia così in grado di proseguire senza ostacoli le sue pratiche chiaramente illegali. L’autorità di controllo di Amburgo sta segnalando ancora una volta che, anche di fronte a gravi violazioni del GDPR, rimane inerte e incoraggia violazioni calcolate della legge.”
Azione legale contro l’autorità. Ilricorrente ritiene che l’Autorità per la protezione dei dati di Amburgo debba intraprendere azioni efficaci contro PimEyes, cosa possibile anche nel caso di titolari del trattamento provenienti da paesi terzi. Ciò potrebbe comportare il congelamento dei fondi in Europa, l’obbligo per i fornitori di servizi di PimEyes di cancellare i dati o l’imposizione di misure direttamente nei confronti dell’amministratore delegato georgiano. Qualora l’azione legale avesse esito positivo, l’autorità dovrebbe riconsiderare il reclamo originario e probabilmente dovrebbe adottare misure che garantiscano un rimedio efficace.
Felix Mikolasch, avvocato specializzato in protezione dei dati presso noyb, afferma: «Anziché basarsi sui recapiti riportati sul sito web di PimEyes per interrompere il lavoro sul caso, l’autorità di controllo di Amburgo dovrebbe adottare misure efficaci contro l’azienda. Non può semplicemente interrompere il proprio lavoro solo perché ipotizza che le misure potrebbero rivelarsi inutili. Questa possibilità non può mai essere completamente esclusa. Anche altre autorità hanno inflitto sanzioni alla società statunitense Clearview AI, operante in un ambito analogo.»
Aggiornamento (8 luglio 2026): L’ attualegestore di PimEyes ha contattato noyb e ha fornito alcune informazioni. Secondo l’azienda, essa ha acquisito il prodotto PimEyes dai precedenti proprietari solo nel 2022. Inoltre, l’azienda afferma di effettuare confronti di somiglianza fotografica per il proprio motore di ricerca basato sul riconoscimento facciale. noyb non è stato in grado di verificare in modo indipendente queste informazioni.
Il ricorrente è rappresentato da Jonas Breyer dello studio Breyer Legal. noyb ha rappresentato il ricorrente nel procedimento dinanzi all’Autorità per la protezione dei dati di Amburgo e sostiene la richiesta. Questo caso è sostenuto anche dal Chaos Computer Club.
