Baza zdjęć biometrycznych Clearview AI uznana za nielegalną w UE, ale nakazano tylko częściowe usunięcie
Clearview AI to amerykańska firma, która zgarnia zdjęcia ze stron internetowych, aby stworzyć stałą bazę profili biometrycznych z możliwością wyszukiwania. Władze USA korzystają z bazy danych rozpoznawania twarzy, aby znaleźć dalsze informacje na temat nieznanych osób na zdjęciach i filmach. W następstwie wniosków prawnych złożonych przez noyb, Urząd Ochrony Danych Osobowych w Hamburgu uznał wczoraj, że takie profile biometryczne Europejczyków nielegalne i nakazał Clearview AI usunięcie profilu biometrycznego skarżącego.
"Prawo do twojej twarzy". Mieszkaniec Hamburga i członek Chaos Computer ClubMatthias Marx, odkrył, że Clearview AI, firma zajmująca się śledzeniem twarzy z siedzibą w USA, bez jego wiedzy dodała jego profil biometryczny do swojej bazy danych z możliwością wyszukiwania. System Clearview AI może być używany do śledzenia i odnajdywania osób na nagraniach CCTV, zdjęciach i tym podobnych - prowadząc do orwellowskiego systemu nadzoru. Dostęp do bazy danych został sprzedany prywatnym firmom, a teraz jest sprzedawany amerykańskim organom ścigania. Twierdzi się, że baza danych ma ponad 3 miliardy obrazów, częściowo zebranych ze źródeł takich jak strony internetowe i media społecznościowe, a generalnie bez wiedzy osób, których to dotyczy.
Pan Marx złożył skargę do Urzędu Ochrony Danych w Hamburgu (DPA), prosząc o usunięcie swoich zdjęć i matematycznych wartości hash reprezentujących profil biometryczny. Po trwającym ponad 11 miesięcy dochodzeniu, w którym brał udział noyb, DPA w Hamburgu potwierdził dziś prawo każdego mieszkańca UE do tego, aby nie trafić do bazy danych Clearview AI. Organ ten nakazał jednak Clearview AI jedynie usunięcie matematycznych wartości hash reprezentujących profil biometryczny oraz potwierdzenie usunięcia danych. Nie wydano żadnego nakazu w odniesieniu do zdjęć pana Marksa. Clearview AI ma możliwość skomentowania nakazu, który musi zostać wykonany do 12 lutego 2021 roku
"Wyobraź sobie świat, w którym za każdym razem, gdy jesteś złapany na kamerze wideo, systemy nie tylko mają twoje zdjęcie, ale mogą cię bezpośrednio zidentyfikować. To jest przerażające." - Alan Dahi, prawnik ds. prywatności w noyb.eu
Clearview AI musi przestrzegać GDPR GDPR ma zastosowanie do każdego, kto przetwarza dane osobowe na rynku europejskim. Nawet jeśli Clearview AI ma siedzibę wyłącznie w USA, GDPR ma zastosowanie do ich działań wpływających na mieszkańców Europy - na przykład podczas zbierania zdjęć Europejczyków. Podczas gdy Clearview AI zaprzeczało, że prawo UE ma do niego zastosowanie, DPA w Hamburgu stwierdził, że jest właściwy i wydał decyzję
"Jeśli działania amerykańskiej firmy mają wpływ na Europejczyków, firma musi grać według europejskich zasad. To tak, jakby amerykański turysta jechał niemiecką Autobahn - musi przestrzegać lokalnych zasad." - Alan Dahi, prawnik ds. prywatności w noyb.eu
Hamburski DPA nie wydał ogólnoeuropejskiego nakazu. Niestety, hamburski organ ochrony danych wydał wąski nakaz chroniący tylko indywidualnego skarżącego, zamiast nakazu zakazującego gromadzenia zdjęć każdego mieszkańca Europy, o co zabiegał noyb. Każdy europejski organ ochrony danych ma prawo do wydawania ogólnych nakazów, które wykraczają poza indywidualną skargę. W przypadku braku takiego ogólnego nakazu, każdy Europejczyk musiałby złożyć własną skargę przeciwko Clearview AI, aby nie znaleźć się w wynikach wyszukiwania ich bazy danych biometrycznych. Jest to nie tylko nieefektywne, ale również stanowi niepotrzebne obciążenie dla Europejczyków, którzy muszą aktywnie podejmować kroki w celu usunięcia swojego profilu z bazy danych biometrycznych Clearview AI, mimo że gromadzenie takich danych jest już od samego początku nielegalne. Co więcej, DPA z Hamburga nie nakazał usunięcia zdjęć pana Marxa i ograniczył decyzję do matematycznych wartości hash reprezentujących profil biometryczny pana Marxa.
"Ta machina inwigilacji jest przerażająca. Prawie rok po mojej pierwszej skardze Clearview AI nie musi nawet usuwać zdjęć, które mnie przedstawiają. A co gorsza, każda osoba musi złożyć swoją własną skargę. To pokazuje, że nasze dane nie są jeszcze dostatecznie chronione i że istnieje potrzeba podjęcia działań przeciwko nadzorowi biometrycznemu." - Matthias Marx, skarżący
Co możesz zrobić? Zachęcamy wszystkich do zwrócenia się do Clearview AI o kopię swoich danych, do usunięcia wszelkich danych, jakie Clearview AI posiada na ich temat oraz do wyrażenia sprzeciwu wobec umieszczenia ich w bazie danych Clearview AI Formularze do tego celu dostępne są na stronie internetowej Clearview AI. Jeśli znajdują się Państwo w bazie danych Clearview AI, powinni Państwo również złożyć skargę na Clearview AI w lokalnym urzędzie ochrony danych.
Dalsze kroki. Clearview AI będzie miało czas do 12 lutego, aż nakaz stanie się skuteczny. Clearview AI i skarżący mają prawo do odwołania. noyb jest przeglądanie takiej opcji, aby zapewnić, że wszystkie prawa osoby, której dane dotyczą, są przestrzegane, a jego zdjęcia są jednakowo usuwane, a nie tylko matematyczne wartości hash.
