Clearview AI en de AVG: over schendingen van bedrijven uit derde landen

Het gebruik van internet is niet meer weg te denken uit ons dagelijks leven. Zo delen we vakantiefoto’s, plannen we de route en houden we contact met vrienden en familie. Veel voordelen. Helaas hebben we ook steeds vaker te maken met de schaduwkanten van het internet. Zo legde de Autoriteit Persoonsgegevens (AP) recentelijk nog een boete van 30,5 miljoen euro op aan het Amerikaanse bedrijf Clearview AI wegens schending van de Algemene verordening gegevensbescherming (AVG).

Dit bedrijf biedt gezichtsherkenningstechnologie aan. Hiervoor heeft het een database opgebouwd. Deze database bestaat uit meer dan 30 miljard afbeeldingen van mensen over de hele wereld.  De afbeeldingen zijn afkomstig van social media en andere openbare bronnen, zoals blogs, nieuwssites en persoonlijke websites. In dit artikel bespreek ik de werkwijze van Clearview AI en ga ik in op de boete van de AP.

Scraping

Het Amerikaanse bedrijf bouwt zijn database op door gebruik te maken van zogenaamde scraping software. Zo verzamelt het afbeeldingen van online (openbare) bronnen. Volgens de AP worden deze afbeeldingen zonder (expliciete) toestemming opgeslagen in de database. Dat is onwenselijk, want hierdoor weten de meeste mensen niet dat hun afbeelding op deze manier wordt gebruikt. Niet voor niets heeft de AP in mei geoordeeld dat scraping door particuliere bedrijven en particulieren in bijna alle gevallen verboden is. Zie hierover ook dit artikel van mijn collega Jop Fellinger.

Clearview AI heeft met deze scraping software haar database opgebouwd. Volgens de AP is elk gezicht in de database is gekoppeld aan een unieke biometrische code, vergelijkbaar met een vingerafdruk. De toegang tot deze database verkoopt het bedrijf aan gebruikers van de software. Bijvoorbeeld politie- en opsporingsdiensten. Zij kunnen die afbeelding uploaden met als doel dat er een match wordt gevonden. Deze afbeelding wordt dan gekoppeld aan de bijhorende unieke biometrische code, waardoor de identiteit van de persoon kan worden achterhaald.

Schending van de AVG

De boete die de AP aan Clearview AI heeft opgelegd is vooral gebaseerd op schending van de AVG. De AVG is in Europa de belangrijkste regeling op het gebied van de bescherming van persoonsgegevens. Persoonsgegevens zijn alle informatie die betrekking hebben op een geïdentificeerd of identificeerbaar natuurlijk persoon. Voorbeelden zijn namen en adressen.

De voornoemde unieke biometrische code is een zogenaamd bijzonder persoonsgegeven. Dit type gegeven is zo privacygevoelig dat de verwerking ervan grote gevolgen kan hebben voor iemands persoonlijke levenssfeer. Volgens de AVG moeten deze gegevens extra goed beschermd worden. Het verzamelen en gebruiken van dergelijke gegevens is in principe verboden, tenzij er specifieke uitzonderingen van toepassing zijn. Clearview AI voldoet volgens de AP niet aan deze uitzonderingen en stelt dat het bedrijf deze gegevens illegaal verzamelt en verwerkt.

Bovendien voldoet Clearview AI volgens de AP niet aan de transparantie-eisen van de AVG. De AP stelt dat het bedrijf te weinig informatie verstrekt aan individuen over het gebruik van hun afbeeldingen en bijzondere persoonsgegevens. Volgens de AVG hebben individuen het recht om te weten welke gegevens er over hen zijn verzameld. De AP stelt dat Clearview AI deze inzageverzoeken negeert. Een andere factor die een rol heeft gespeeld bij de hoogte van de boete is dat het bedrijf volgens de AP de onrechtmatige gegevensverwerking als verdienmodel gebruikt. Ook dat de verwerking al sinds 2019 plaatsvindt en nog steeds voortduurt is door haar meegewogen.

Gaat Clearview AI de boete betalen?

Clearview heeft niet alleen een boete van de AP gekregen. Het bedrijf is al eerder beboet door de privacytoezichthouders in Italië, Griekenland en Frankrijk. Bekend is dat het bedrijf in ieder geval de boetes in Griekenland en Frankrijk niet heeft betaald.

Clearview stelt in een verklaring tegenover RTL-nieuws dat het niet onder het toepassingsbereik van de AVG valt. Ze is gevestigd in de US en omdat de AVG Europese regelgeving is, zou zij er geen boodschap aan hebben. Ook zou Clearview geen bedrijfsactiviteit, klant of vestiging in Nederland hebben. Volgens de AP is de bewering over het gebrek aan toepassingsbereik onjuist: het bedrijf verwerkt gegevens van Nederlanders en valt daarmee onder het toepassingsbereik van de AVG. Het bedrijf is volgens de AP niet tegen de boete in bezwaar gegaan. Dat lijkt aan te sluiten bij haar opvatting dat ze niets van doen heeft met de AVG.

Het is op dit moment dus waarschijnlijk dat Clearview AI de boete niet zal betalen. Ook zijn er nu geen aanwijzingen dat zij zich aan de AVG zal conformeren. Als Clearview niet in actie komt naar aanleiding van de boete van de AP, is het de vraag hoe de AP haar doel wel kan bereiken. Een beroep op de AVG lijkt een papieren tijger.

De AP onderzoekt dan ook andere mogelijkheden om op te treden tegen Clearview. Bijvoorbeeld door het bestuur van het bedrijf persoonlijk aansprakelijk te stellen. Eerder hebben we het fenomeen bestuurdersaansprakelijkheid al uitgebreid besproken. Of het volgen van die route het door de AP gewenste effect kan hebben, zal nog moeten blijken. We houden eventuele ontwikkelingen in de gaten.

Overigens waarschuwt de AP Nederlandse bedrijven voor het gebruik van Clearview AI. Als de AP opmerkt dat Nederlandse bedrijven de software gebruiken, kunnen ze volgens de toezichthouder een aanzienlijke boete verwachten.

Vragen?

Niet alleen Clearview AI heeft te maken met de AVG en de AP. Verwerkt uw bedrijf persoonsgegevens? Ook u moet zich dan houden aan de regels uit de AVG. Wij hebben uitgebreide ervaring in het ondersteunen van bedrijven bij het voldoen aan de AVG. Heeft u een vraag over bestuurdersaansprakelijkheid, bestuursrecht, auteursrecht of privacyrecht? Contact dan een van onze advocaten via de mail, telefonisch of vul het contactformulier in voor een vrijblijvend eerste gesprek. Wij denken graag met u mee.