Het in Litouwen gevestigde Whitebridge AI verkoopt "reputatierapporten" over iedereen met een online aanwezigheid. Deze rapporten verzamelen grote hoeveelheden geschraapte persoonlijke informatie over nietsvermoedende mensen, die vervolgens wordt verkocht aan iedereen die ervoor wil betalen. Sommige gegevens zijn niet feitelijk, maar door AI gegenereerd en omvatten voorgestelde gespreksonderwerpen, een lijst met vermeende persoonlijkheidskenmerken en een achtergrondcontrole om te zien of je volwassen, politieke of religieuze inhoud hebt gedeeld. Ondanks het wettelijke recht op vrije toegang tot je eigen gegevens, verkoopt Whitebridge.ai alleen "rapporten" aan de betrokkenen. Het lijkt erop dat het bedrijfsmodel grotendeels is gebaseerd op bange gebruikers die hun eigen gegevens willen bekijken die eerder onrechtmatig zijn verzameld. noyb heeft nu een klacht ingediend bij de Litouwse DPA.
AI-gestuurde online "reputatierapporten". Op haar website adverteert Whitebridge AI met haar diensten als een AI-tool die "alles over jou online kan vinden"en suggereert dat je "jezelf, je partner of je prospects kunt zoeken". Rapporten over mensen omvatten gegevens van sociale media, vermeldingen in nieuwsberichten, foto's, "verborgen profielen" en "negatieve pers". De tool voert ook een soort "achtergrondcontrole" uit om te bepalen of er online inhoud over mensen beschikbaar is die betrekking heeft op volwassenen, misdaad, vergiftiging, politiek of religie. De resultaten zijn grotendeels van lage kwaliteit en lijken nogal willekeurig gegenereerde AI-teksten te zijn, gebaseerd op illegaal geschraapte online gegevens. Whitebridge stelt zelfs voor om iemands online aanwezigheid te monitoren. Last but not least bevat het rapport ook zogenaamde "interactierichtlijnen" met do's en don'ts voor mogelijke gesprekken, een lijst met persoonlijkheidskenmerken, voorkeuren en een aantal foto's afkomstig van sociale media en andere online bronnen.
Zelf gericht op getroffen mensen? De online reclame van Whitebridge lijkt verrassend genoeg vooral gericht op de getroffenen zelf, met slogans als "dit is best eng"en "controleer je eigen gegevens". Het idee van Whitebridge AI lijkt te zijn om ronduit enge persoonlijke gegevens over mensen te genereren, waardoor ze angstig worden - en vervolgens geld te vragen voor toegang tot deze gegevens. Artikel 15 GDPR geeft individuen echter het recht om een gratis kopie van hun gegevens te krijgen.
Lisa Steinfeld, advocaat gegevensbescherming bij noyb: "Whitebridge AI heeft gewoon een zeer duister bedrijfsmodel dat erop gericht is mensen bang te maken om te betalen voor hun eigen, onrechtmatig verzamelde gegevens. Volgens de EU-wetgeving hebben mensen het recht om gratis toegang te krijgen tot hun eigen gegevens."
"Vrijheid om zaken te doen" als argument om de GDPR te schenden? In haar privacyverklaring beweert Whitebridge simpelweg dat haar verwerking van persoonsgegevens legaal is en in lijn met haar "vrijheid om een bedrijf te voeren". Daarmee negeert Whitebridge dat elk bedrijf moet worden uitgeoefend met respect voor de wet, inclusief de GDPR. Maar dat is nog niet alles: Whitebridge AI heeft niet eens een wettelijke basis om al deze persoonlijke gegevens überhaupt te verwerken. In plaats daarvan beweert het bedrijf alleen gegevens te verwerken uit "openbaar beschikbare bronnen". In werkelijkheid zijn de meeste van deze gegevens afkomstig van sociale netwerkpagina's die niet worden geïndexeerd of gevonden in zoekmachines. Dit is al duidelijk gemaakt door de jurisprudentie van het HvJEU, die in C-252/21 bevestigde dat het invoeren van informatie op een sociale netwerktoepassing niet betekent dat het "duidelijk openbaar" is, wat de drempel is onder artikel 9 GDPR.
Lisa Steinfeld, advocaat gegevensbescherming bij noyb: "Een loutere verwijzing naar de vermeende 'vrijheid van ondernemerschap' van een bedrijf staat het natuurlijk niet toe om de wet te negeren. Ondertussen verzamelt Whitebridge elk stukje persoonlijke informatie dat het kan vinden op sociale netwerken en neemt het niet eens de moeite om te overwegen of het wel een geldige rechtsgrondslag heeft voor de verwerking."
Vermeende "seksuele naaktheid" of "gevaarlijke politieke inhoud". Om erachter te komen of dit ook voor hen gold, zochten de klagers hun namen op op de website van Whitebridge. Ze realiseerden zich al snel dat iedereen een reportage met hun gegevens kon kopen zonder dat ze daar ooit van op de hoogte waren gesteld. Beide klagers dienden daarom een verzoek in op grond van artikel 15 GDPR, maar ontvingen geen informatie. Kort daarna, noyb de rapporten over de klagers gekocht. Ze bevatten valse waarschuwingen voor "seksuele naaktheid" en "gevaarlijke politieke inhoud"die worden beschouwd als speciaal beschermde gevoelige gegevens onder artikel 9 GDPR. Kort daarna vroegen de klagers daarom om rectificatie volgens artikel 16 GDPR. In plaats van hieraan te voldoen, beweerde Whitebridge AI dat de klagers een "gekwalificeerde elektronische handtekening" nodig hebben om hun rechten onder de EU-wetgeving uit te oefenen, omdat "moderne AI-technologieën het steeds eenvoudiger maken om zeer overtuigende vervalste documenten te genereren". Volgens de EU-wetgeving hoeft niemand zo'n elektronische handtekening te hebben.
Aitana Pallas, ook van noyb: "De hoeveelheid persoonlijke gegevens die Whitebridge AI verwerkt is ronduit griezelig, zoals Whitebridge zelf aangeeft in advertenties voor de dienst. Dit wordt nog erger gemaakt door het feit dat Whitebridge AI betrokkenen volledig negeert wanneer zij hun rechten proberen uit te oefenen."
Klacht ingediend in Litouwen. noyb heeft daarom een klacht ingediend bij de gegevensbeschermingsautoriteit van Litouwen. Al met al heeft Whitebridge AI verschillende GDPR-bepalingen geschonden, waaronder artikel 5, 9, 12 en 16 GDPR. We verzoeken Whitebridge AI te voldoen aan de verzoeken om toegang van de klagers en de onjuiste gegevens in de rapporten over hen te rectificeren. We verzoeken het bedrijf ook te voldoen aan zijn informatieverplichtingen, alle illegale verwerkingen te stoppen en de klagers op de hoogte te stellen van het resultaat van een rectificatieproces. Last but not least stellen we voor dat de autoriteit een boete oplegt om soortgelijke overtredingen in de toekomst te voorkomen.
