Vandaag, heeft noyb een rechtszaak aangespannen tegen de gegevensbeschermingsautoriteit (DPA) van Hamburg. Hoewel de autoriteit de praktijken van de gezichtsherkenningszoekmachine PimEyes als onwettig beschouwt, weigert zij effectieve maatregelen te nemen omdat het bedrijf gevestigd lijkt te zijn in Dubai. PimEyes haalt systematisch biometrische gegevens uit afbeeldingen op het internet en gebruikt deze om een database op te bouwen. Gebruikers kunnen foto’s van personen naar deze website uploaden om via gezichtsherkenning meer afbeeldingen van dezelfde persoon te vinden. De eiser had in juli 2020 al een klacht tegen PimEyes ingediend bij de DPA in Hamburg.
Achtergrondinformatie over PimEyes. PimEyes scant voortdurend het internet om gezichten te verzamelen in een database. Het bedrijf heeft al miljarden afbeeldingen verzameld, die worden gebruikt voor zijn zoekmachine op basis van gezichtsherkenning. Op de website kan iedereen andere mensen identificeren door een foto van hen te uploaden. Vervolgens krijg je meer afbeeldingen van dezelfde persoon te zien, inclusief links naar de bronnen. Tegen betaling krijg je toegang tot meer details, zoals de waarschijnlijkheid dat het om dezelfde persoon gaat. De technologie hierachter is gebaseerd op gezichtsherkenning – en dus op de analyse van biometrische gegevens. In dit opzicht werkt PimEyes op dezelfde manier als het Amerikaanse bedrijf Clearview AI, dat al boetes van miljoenen heeft opgelopen heeft opgelopen vanwege schendingen van de AVG.
Max Schrems, voorzitter van noyb: „De ongecontroleerde verspreiding van gezichtsherkenningstools zoals PimEyes is rampzalig voor de privacy: stalking en massale surveillance van miljoenen mensen kunnen binnen enkele seconden worden uitgevoerd. PimEyes heeft zonder hun medeweten miljarden stukjes biometrische gegevens van onschuldige mensen verzameld en stelt deze gegevens voor iedereen beschikbaar. Deze massale surveillance van particulieren is duidelijk onwettig – en de Hamburgse toezichthouder ziet dat ook zo.”
Jarenlang wachten op een „informatiebrief“. Een betrokken persoon had daarom al in juli 2020 een klacht tegen PimEyes ingediend. De Hamburgse gegevensbeschermingsautoriteit die verantwoordelijk is voor deze zaak, deed er meer dan vijf jaar over om tot een besluit te komen. Hoewel de autoriteit ervan uitgaat dat PimEyes onrechtmatig heeft gehandeld en had moeten reageren op het verzoek van de klager om inzage en verwijdering, heeft zij geen actie ondernomen: de gegevensbeschermingsautoriteit stelt dat zij, afgezien van het versturen van een ‘informatiebrief’ aan het bedrijf, geen concrete maatregelen hoeft te nemen om verdere wetsovertredingen te voorkomen. De reden hiervoor: PimEyes is gevestigd in Dubai en reageert niet op verzoeken om informatie.
Gedurende de vijf jaar dat de procedure heeft geduurd, beweerde PimEyes gevestigd te zijn in Polen, de Seychellen en Belize – maar de Hamburgse autoriteiten hebben blijkbaar nooit gecontroleerd of de wisselende locaties op de website daadwerkelijk klopten. Nu worden deze echter gebruikt als rechtvaardiging om geen actie te ondernemen.
Jonas Breyer, de advocaat van de eiser: „Het is zorgwekkend dat de toezichthouder niet eens probeert effectieve maatregelen te nemen om de AVG te handhaven – en dat PimEyes daardoor ongehinderd zijn duidelijk onwettige praktijken kan voortzetten. De toezichthoudende autoriteit in Hamburg geeft hiermee opnieuw aan dat zij, zelfs bij ernstige schendingen van de AVG, werkeloos toekijkt en daarmee opzettelijke wetsovertredingen in de hand werkt.”
Rechtszaak tegen de toezichthouder. Deeiser is van mening dat de Hamburgse gegevensbeschermingsautoriteit doeltreffende maatregelen tegen PimEyes moet nemen, wat ook mogelijk is in het geval van verwerkingsverantwoordelijken uit derde landen. Dit zou kunnen inhouden dat tegoeden in Europa worden bevroren, dat de dienstverleners van PimEyes worden verplicht gegevens te verwijderen, of dat er rechtstreeks maatregelen worden opgelegd aan de Georgische directeur. Mocht de rechtszaak succesvol zijn, dan zou de autoriteit de oorspronkelijke klacht opnieuw moeten beoordelen en waarschijnlijk maatregelen moeten nemen die daadwerkelijke vergoeding bieden.
Felix Mikolasch, advocaat op het gebied van gegevensbescherming bij noyb: „In plaats van zich te baseren op de contactgegevens op de website van PimEyes om de behandeling van de zaak te staken, zou de toezichthoudende autoriteit in Hamburg doeltreffende maatregelen tegen het bedrijf moeten nemen. Zij kan haar werkzaamheden niet zomaar beëindigen omdat zij vermoedt dat de maatregelen wellicht vruchteloos zouden zijn. Deze mogelijkheid kan nooit volledig worden uitgesloten. Ook andere autoriteiten hebben boetes opgelegd aan het vergelijkbare Amerikaanse bedrijf Clearview AI.”
Update (8 juli 2026): De huidige exploitant van PimEyes heeft contact opgenomen met noyb en heeft informatie verstrekt. Volgens het bedrijf heeft het het PimEyes-product pas in 2022 van de vorige eigenaren overgenomen. Verder verklaart het bedrijf dat het fotografische gelijkenisvergelijkingen uitvoert voor zijn zoekmachine voor gezichtsherkenning. noyb heeft deze informatie niet onafhankelijk kunnen verifiëren.
De eiser wordt vertegenwoordigd door Jonas Breyer van Breyer Legal. noyb vertegenwoordigde de eiser in de procedure bij de Hamburgse gegevensbeschermingsautoriteit en steunt de vordering. Deze zaak wordt ook gesteund door de Chaos Computer Club.
