Idag är det noyb lämnat in en stämningsansökan mot Hamburgs dataskyddsmyndighet (DPA). Myndigheten anser att den sökmotor för ansiktsigenkänning som PimEyes använder sig av är olaglig, men vägrar att vidta effektiva åtgärder eftersom företaget verkar vara baserat i Dubai. PimEyes extraherar systematiskt biometriska data från bilder på internet och använder dem för att bygga upp en databas. Användare kan ladda upp foton av personer på denna webbplats för att hitta ytterligare bilder av samma person via ansiktsigenkänning. Käranden hade ursprungligen lämnat in ett klagomål mot PimEyes till Hamburgs dataskyddsmyndighet i juli 2020.
Bakgrund om PimEyes. PimEyes scannar kontinuerligt av internet för att samla ansikten i en databas. Företaget har redan redan samlat in miljarder bildersom används för dess sökmotor för ansiktsigenkänning. På webbplatsen kan vem som helst identifiera andra människor genom att ladda upp ett foto av dem. Därefter visas ytterligare bilder på samma person, inklusive länkar till källorna. Mot en avgift kan man få tillgång till ytterligare detaljer, som t.ex. sannolikheten för att det är samma person. Tekniken bakom detta bygger på ansiktsigenkänning - och därmed på analys av biometriska data. I detta avseende fungerar PimEyes på ett liknande sätt som det amerikanska företaget Clearview AI, som redan har böter på flera miljoner kronor på grund av sina GDPR-överträdelser.
Max Schrems, ordförande för noyb: "Den okontrollerade spridningen av ansiktsigenkänningsverktyg som PimEyes är katastrofal för integriteten: förföljelse och massövervakning av miljontals människor kan utföras på några sekunder. PimEyes har samlat in miljarder biometriska data från oskyldiga människor utan deras vetskap och gör dessa data tillgängliga för alla. Denna massövervakning av privatpersoner är helt klart olaglig - och så ser även myndigheten i Hamburg på saken."
År av väntan på ett "informationsbrev". En berörd person hade därför redan i juli 2020 lämnat in ett klagomål mot PimEyes. Den dataskyddsmyndighet i Hamburg som ansvarar för detta ärende tog mer än fem år på sig att fatta ett beslut. Trots att myndigheten antar att PimEyes agerade olagligt och borde ha svarat på den klagandes begäran om åtkomst och radering, har den inte vidtagit några åtgärder: Dataskyddsmyndigheten hävdar att den, förutom att skicka ett "informationsbrev" till företaget, inte behöver vidta några konkreta åtgärder för att förhindra ett fortsatt lagbrott. Resonemanget: PimEyes är baserat i Dubai och svarar inte på förfrågningar.
Under de fem år som förfarandet pågick påstod PimEyes att företaget hade sitt säte i Polen, Seychellerna och Belize - men myndigheterna i Hamburg kontrollerade uppenbarligen aldrig om de ändrade platserna på webbplatsen verkligen var korrekta. Nu används de dock som ett rättfärdigande för att inte vidta några åtgärder.
Jonas Breyer, den klagandes advokat: "Det är oroande att myndigheten inte ens försöker vidta effektiva åtgärder för att genomdriva GDPR - och att PimEyes därmed obehindrat kan fortsätta med sina uppenbart olagliga metoder. Tillsynsmyndigheten i Hamburg signalerar än en gång att den, även inför allvarliga GDPR-överträdelser, sitter på händerna och inbjuder till beräknade lagöverträdelser."
Rättsliga åtgärder mot myndigheten. Käranden anser att dataskyddsmyndigheten i Hamburg bör vidta effektiva åtgärder mot PimEyes, vilket också är möjligt när det gäller personuppgiftsansvariga från tredje land. Det kan handla om att frysa tillgångar i Europa, kräva att PimEyes tjänsteleverantörer raderar uppgifter eller vidta åtgärder direkt mot den georgiske verkställande direktören. Om stämningen skulle vara framgångsrik skulle myndigheten behöva ompröva det ursprungliga klagomålet och sannolikt behöva vidta åtgärder som ger effektiv lindring.
Felix Mikolasch, dataskyddsjurist på noyb: "Istället för att förlita sig på kontaktuppgifterna på PimEyes webbplats för att sluta arbeta med ärendet, bör tillsynsmyndigheten i Hamburg vidta effektiva åtgärder mot företaget. Den kan inte bara avsluta sitt arbete för att den spekulerar i att åtgärderna kan vara fruktlösa. Denna möjlighet kan aldrig helt uteslutas. Andra myndigheter har också ålagt det jämförbara amerikanska företaget Clearview AI böter."
Käranden företräds av Jonas Breyer från Breyer Legal. noyb företrädde käranden i förfarandet vid dataskyddsmyndigheten i Hamburg och stöder käromålet. Detta fall stöds också av Chaos datorklubb.
