Idag, har noyb har väckt talan mot dataskyddsmyndigheten i Hamburg (DPA). Myndigheten anser visserligen att sökmotorn PimEyes, som använder ansiktsigenkänning, bedriver olaglig verksamhet, men vägrar att vidta effektiva åtgärder eftersom företaget tycks ha sitt säte i Dubai. PimEyes extraherar systematiskt biometriska uppgifter från bilder på internet och använder dem för att bygga upp en databas. Användare kan ladda upp foton på personer till denna webbplats för att via ansiktsigenkänning hitta ytterligare bilder på samma person. Käranden hade ursprungligen lämnat in ett klagomål mot PimEyes till Hamburgs dataskyddsmyndighet i juli 2020.
Bakgrundsinformation om PimEyes. PimEyes skannar kontinuerligt internet för att samla in ansikten till en databas. Företaget har redan samlat in miljarder bilder, som används i dess sökmotor för ansiktsigenkänning. På företagets webbplats kan vem som helst identifiera andra personer genom att ladda upp ett foto av dem. Därefter visas ytterligare bilder av samma person, inklusive länkar till källorna. Mot en avgift kan du få tillgång till ytterligare information, till exempel sannolikheten för att det är samma person. Tekniken bakom detta bygger på ansiktsigenkänning – och därmed på analys av biometriska data. I detta avseende fungerar PimEyes på ett liknande sätt som det amerikanska företaget Clearview AI, som redan har fått böter på flera miljoner på grund av sina överträdelser av GDPR.
Max Schrems, ordförande för noyb: ”Den okontrollerade spridningen av verktyg för ansiktsigenkänning, såsom PimEyes, är katastrofal för integriteten: stalking och massövervakning av miljontals människor kan genomföras på några sekunder. PimEyes har samlat in miljarder biometriska data från oskyldiga människor utan deras vetskap och gör dessa data tillgängliga för alla. Denna massövervakning av privatpersoner är uppenbart olaglig – och myndigheten i Hamburg ser det också på detta sätt.”
År av väntan på ett ”informationsbrev”. En berörd person hade därför redan i juli 2020 lämnat in ett klagomål mot PimEyes. Dataskyddsmyndigheten i Hamburg, som ansvarar för ärendet, tog mer än fem år på sig att fatta ett beslut. Men även om myndigheten utgår från att PimEyes agerat olagligt och borde ha besvarat den klagandes begäran om tillgång till och radering av uppgifter, har den inte vidtagit några åtgärder: dataskyddsmyndigheten hävdar att den, förutom att skicka ett ”informationsbrev” till företaget, inte behöver vidta några konkreta åtgärder för att förhindra fortsatt lagbrott. Motiveringen: PimEyes har sitt säte i Dubai och svarar inte på förfrågningar.
Under de fem år som förfarandet pågått har PimEyes hävdat att företaget har haft sitt säte i Polen, på Seychellerna och i Belize – men myndigheterna i Hamburg verkar aldrig ha kontrollerat om de skiftande adresserna på webbplatsen faktiskt stämde. Nu används de dock som en motivering för att inte vidta några åtgärder.
Jonas Breyer, kärandens advokat: ”Det är oroande att myndigheten inte ens försöker vidta effektiva åtgärder för att genomdriva GDPR – och att PimEyes därmed kan fortsätta sina uppenbart olagliga metoder ostört. Tillsynsmyndigheten i Hamburg signalerar återigen att den, trots allvarliga överträdelser av GDPR, sitter med armarna i kors och uppmuntrar till avsiktliga lagbrott.”
Rättsliga åtgärder mot myndigheten. Kärandenanser att Hamburgs dataskyddsmyndighet bör vidta effektiva åtgärder mot PimEyes, vilket även är möjligt när det gäller personuppgiftsansvariga från tredjeländer. Detta skulle kunna innebära att frysa tillgångar i Europa, kräva att PimEyes tjänsteleverantörer raderar uppgifter eller att åtgärder vidtas direkt mot den georgiske verkställande direktören. Om stämningen skulle vinna framgång skulle myndigheten tvingas ompröva det ursprungliga klagomålet och sannolikt vidta åtgärder som ger effektiv avhjälpning.
Felix Mikolasch, dataskyddsjurist vid noyb: ”I stället för att förlita sig på kontaktuppgifterna på PimEyes webbplats och därmed avbryta arbetet med ärendet, bör tillsynsmyndigheten i Hamburg vidta effektiva åtgärder mot företaget. Den kan inte helt enkelt avsluta sitt arbete bara för att den spekulerar i att åtgärderna kanske är fruktlösa. Denna möjlighet kan aldrig helt uteslutas. Andra myndigheter har också ålagt böter mot det jämförbara amerikanska företaget Clearview AI.”
Uppdatering (8 juli 2026): Den nuvarande operatören av PimEyes har kontaktat noyb och lämnat information. Enligt företaget förvärvade man PimEyes-produkten från tidigare ägare först 2022. Vidare uppger företaget att man utför fotografiska likhetsjämförelser för sin sökmotor för ansiktsigenkänning. noyb har inte kunnat verifiera denna information på egen hand.
Käranden företräds av Jonas Breyer från Breyer Legal. noyb företrädde käranden i förfarandet inför Hamburgs dataskyddsmyndighet och stöder talan. Detta ärende stöds även av Chaos Computer Club.
