Britse waakhond geeft Clearview boete van 9 miljoen euro voor verzamelen foto's

De Britse privacytoezichthouder ICO geeft het bedrijf Clearview een boete van 7,5 miljoen pond, omgerekend momenteel ongeveer 8,9 miljoen euro, voor het verzamelen van foto's van Britten. Clearview moet de data verwijderen, zegt de ICO.

De ICO neemt Clearview vijf dingen kwalijk bij het verzamelen van openbaar beschikbare foto's om die in een database op te slaan en er gezichtsherkenning op toe te passen. Ten eerste heeft Clearview mensen niet laten weten dat ze in de database staan en gebruikt het de informatie daardoor niet transparant. Ook vindt de ICO dat Clearview geen wettelijke reden heeft om de data te verzamelen.

Daarnaast heeft Clearview geen proces om te voorkomen dat data oneindig bewaard wordt. Bovendien voldoet het bedrijf niet aan de hogere standaarden voor het opslaan van biometrische data. Tot slot vraagt het bedrijf mensen om aanvullende data als ze willen weten of ze in de database staan en dat zou mensen ervan weerhouden om te vragen of ze erin staan.

De boete is veel lager dan de boete die de ICO vorig jaar wilde opleggen voor dezelfde overtredingen. Het is onbekend waarom de boete lager uitvalt. Ook moet het bedrijf data van alle Britten verwijderen. Hoe de ICO daarop gaat toezien, is onduidelijk. Clearview verzamelt foto's van internet en maakt die doorzoekbaar met gezichtsherkenningssoftware. Onder meer politiediensten kunnen daar gebruik van maken. Het bedrijf ligt in meer landen onder vuur. Zo moet het in meer landen al data verwijderen, zoals in Australië en in Italië.

Reacties (40)

[Arnoud Engelfriet]

Wat mij betreft is het echte nieuws "dwingt Clearview foto's van Britse burgers te wissen". Een boete is niet zo'n ramp, dat hebben de investeerders ingecalculeerd. Maar het wissen van een enorme hap uit je dataset, dat is heel erg vervelend en werkt door in de lange termijn.

[locke960]

Maar doet Clearview dat ook? Ik zie iedere keer berichten over een land dat boetes oplegt en Clearview dwingt hun burgers uit de database te verwijderen, maar nooit een commentaar van Clearview, een beroep dat aangetekend wordt, of zelfs maar het erkennen van de uitspraak.

Ook op hun website wordt met geen woord gerept over, bijvoorbeeld, GDPR. Alleen Amerikaanse regels en wetten. Ik dacht ooit begrepen te hebben dat hun opvatting is dat ze een Amerikaans bedrijf in Amerika zijn, en daarom alleen gebonden aan de Amerikaans wet.

Misschien ben ik paranoïde, maar in dat geval zijn het allemaal pyrrusoverwinningen.
Helaas kan ik hier nergens iets over vinden.

[Floort]

Uit de zeer beperkte reacties van Clearview AI in de media maak ik op dat ze het standpunt innemen dat de AVG (en waarschijnlijk ook het Britse bijna-equivalent) niet van toepassing zijn. Zo heeft de Italiaanse toezichthouder naast een boete en een bevel om de Italiaanse data te wissen ook een bevel gegeven om een vertegenwoordiger in de Unie aan te wijzen. Zo'n vertegenwoordiger is er o.a. zodat de toezichthouder een entiteit heeft om zaken ook af te dwingen. Maar de deadline van dat bevel is al ruim verlopen. Normaal gesproken zou de toezichthouder dan het bevel verder proberen af te dwingen, maar daar kom je een beetje in een kip/ei probleem. De Europese toezichthouders zullen dus creatief moeten worden. Ik geloof dat er nog opties zijn, maar het zal een gevecht worden. Voor Clearview AI is voldoen aan de bevelen een existentiële dreiging. Ik zie geen praktische ruimte waarbinnen Clearview AI kan voldoen aan de bevelen en kan voortbestaan als bedrijf. De boetes zijn vrijwel onbelangrijk.

[batjes]

Als we Russische media kunnen blokkeren op Europees niveau, kunnen we ook prima zorgen dat bedrijven als Clearview geweerd worden van het Europese internet. Mooie test-case.

Schrikt het hopelijk meteen wat andere bedrijven af.

[Floort]

Sancties en handhaving van de AVG zijn wel twee verschillende onderwerpen. Maar ook technisch is er een enorm verschil tussen het blokkeren van 'nieuws'-websites via consumenten-ISPs en het blokkeren van een heel bedrijf zodat het bedrijf geen informatie meer kan verzamelen via het internet. Mijn vermoeden is dat Clearview AI de meeste informatie over mensen in de Unie ophaalt bij bedrijven in de V.S. via infrastructuur in de V.S. terwijl ze zelf in de V.S. zitten.

[DancingMonkey]

Hoe zo'n criminelen Clearview ook zijn. Dit is iets wat je totaal niet moet willen. Dat gaat vanzelf fout dat de overheden het voor andere doeleinden in gaat zetten en internet vrijheid inperkt.

Daarnaast moet je al het hele internet overhoop gooien door bijv iedereen z'n identiteit te controleren voor je het internet op kan. Alles aan je naam gebonden dus, zo'n bedrijf als Clearview gebruikt natuurlijk gewoon cloud providers voor het scrapen waar er 1001 van zijn.

[arbraxas]

Diezelfde overheden zijn ook klant bij ze.
Politiediensten lukken hun vingers af bij de mogelijkheden die die bied. En het past ook nog eens in het beleid wat je in toenemende mate ziet. Namelijk dat private bedrijven worden ingezet/ gedwongen om als uitvoerende macht te fungeren. Soms tegen de wil van de bedrijven of zoals hier waar het gewoon de standaard bedrijfsvoering is.

Maar ik zie dit bedrijf niet zomaar aangepakt worden, simpelweg vanwege de belangen van onze overheden zelf.

[SCiENTiST]

Waarom zou dat clearview raken? Ze kunnen de europese fotos gewoon van de amerikaanse servers van facebook halen toch?

[SCiENTiST]

Het negeren van een rechterlijk bevel is over het algemeen niet profitabel.

[Floort]

Voor zowel de boete als het wissen van de gegevens ben ik nog redelijk pessimistisch: Ik durft te twijfelen aan de stelling dat de ICO Clearview AI heeft gedwongen. de ICO heeft een bevel gegeven, maar ik denk dat het niet onwaarschijnlijk is dat Clearview AI het bevel botweg zal negeren. De Italiaanse SA heeft ook al vergelijkbare bevelen gegeven, inclusief het bevel om een vertegenwoordiger in de EU aan te wijzen. De termijn voor het aanwijzen van de vertegenwoordiger is al verlopen. Ik denk dat de kans groot is dat die houding voorlopig consistent zal blijven. Maar verder volkomen terecht om de focus te leggen op de rechtmatigheid van de verwerking zelf versus de boete.

[Arnoud Engelfriet]

Goed punt. Denk je dat het indirect wel een goed signaal zou zijn naar Europese overheden en instellingen zoals politiediensten? Dat die nu doorhebben dat het met Clearview geen AVG-compliant zakendoen is?

[Floort]

Ik verwacht dat Clearview AI geen gehoor zal geven aan de boete en bevelen van de Italiaanse SA en dat handhaving op de afnemers een serieuze optie zal zijn voor escalatie. Voor de andere toezichthouders is het gebrek aan een vertegenwoordiger ook een probleem omdat elke SA nu apart zal moeten handhaven zonder OSS. Als je wilt kan je nu dus een klacht bij de AP indienen die de AP zal moeten behandelen.

Edit: overigens is de stap naar handhaving op de Politie wel een lastige omdat de Politie niet perse persoonsgegevens uit een rechtmatige bron hoeft te verkrijgen. Maar ik zie een aantal opties voor handhaving die wel afgedwongen kunnen worden die lastig zullen zijn om te ontlopen.

Edit 2, een dag later lijkt Clearview het met mijn inschatting eens te zijn:

Clearview’s response: “We … stand by our position that the decision to impose any fine is incorrect as a matter of law. Clearview AI is not subject to the ICO's jurisdiction, and Clearview AI does no business in the U.K. at this time.

https://twitter.com/vmanancourt/status/1528771206106779648

[Reactie gewijzigd door Floort op 23 juli 2024 08:47]

[Gwaihir]

Inderdaad, afname van zo'n dienst zou toch t.z.t. illegaal verklaard moeten worden wanneer duidelijk is dat ze niet aan de wet willen voldoen? Ze geven aan dat de overheden hun klant zijn. Die moeten 't dan van zichzelf simpelweg niet meer mogen kopen, toch?

Dat helpt uiteraard maar voor een deel van de wereld, maar laten we wel wezen: geheime diensten vroegen nimmer toestemming voor dit soort zaken, en die van niet-bondgenoten al per definitie niet. Een kleinere afzetmarkt bieden lijkt mij het max mogelijke.

[dasiro]

de foto's is ruim onvoldoende, ze zouden alle onvrijwillig afgestane verzamelde data moeten wissen inclusief daarop gebaseerde profielen of beschrijvingen.

[Reactie gewijzigd door dasiro op 23 juli 2024 08:47]

[Gubbel]

Ik ben maanden bezig geweest mijn foto's bij ze verwijderd te krijgen. Nog een paar maanden later hadden ze opnieuw mijn foto's geïndexeerd. Vindt dit een goede zaak.

[!GN!T!ON]

Hoe check je dat? (zonder ze foto's te moeten sturen, waardoor ze die alsnog in handen hebben).

[vanpeers]

Ben ook benieuwd of ik of mijn Familie in de dataset terecht ben gekomen.

[vinx77]

Ga naar https://www.clearview.ai/privacy-and-requests en daar vind je het email-adres.

Data requests relating to personal data can be emailed to [e-mail]

Naar dat adres de handles van je social media geven, lang wachten tot ze het verwijderen, en dan ervan uit gaan dat ze het een maand later weer opnieuw indexeren.

[Floort]

Als je daar bewijs van hebt en een klacht wilt indienen bij de AP wil ik daar best bij helpen.

[Sk313t0r]

Clearview verzamelt foto's van internet en maakt die doorzoekbaar met gezichtsherkenningssoftware. Onder meer politiediensten kunnen daar gebruik van maken

Op hun site wordt alleen gesproken over 'Law enforcement'. Dan vraag ik me af wie al die andere gegadigden zijn? Je kunt ook een demo opvragen, hier kun je alleen aangeven voor welk agentschap je werkt. Niks wijs op andere opties.

[seth007]

In dit artikel hebben ze het toch echt over private bedrijven, al zijn ze er volgens het artikel mee gestopt ... : nieuws: Ontwikkelaar Clearview stopt contracten met private bedrijven

Wat een schrikbarend nieuws is dit.

[marcieking]

Inlichtingendiensten vallen volgens mij niet onder "law enforcement".

[AvanCade]

Kunnen we de verantwoordelijken van dit soort bedrijven niet gewoon strafrechtelijk vervolgbaar maken? Nu is een bedrijf de dupe maar ze kunnen het gewoon elke keer opnieuw doen zolang ze maar meer geld binnen brengen als de boete gaat kosten.

Mensen met een kwade insteek kunnen zo gemakkelijk achter een bedrijf schuilen.

[SCiENTiST]

Als ze geen vertegenwoordiger of kantoor in Europa hebben wordt dat lastig.

[Praetextatus]

Ik ben benieuwd of er tweakers zijn die al iets hebben gedaan met eventuele data die Clearview over hen heeft?
Wellicht wat tips of tricks zou mooi zijn!

[kraanwagen]

Doet de Nederlandse privacy-autoriteit ook iets tegen deze praktijken? Of vinden ze dit aanvaardbaar?

[arbraxas]

https://nltimes.nl/2021/0...oftware-despite-ministers

Volgens Grapperhaus destijds doen we er niets mee. Spoiler alert: weer die verrekte actieve herinneringen en dan vooral het gebrek eraan weer denk ik. Want de loods laten iets anders zien.

Gezien de datahonger van onze overheden niet echt een verrassing.

[Jan Onderwater]

*Laad fotos op naar internet* Look at me! Look at me!

Weeeeh, mijn fotos staan op internet!!!

[dabronsg]

Klok
Luiden
Klepel

Ik denk dat je het artikel nog eens door moet lezen.

[Jan Onderwater]

Mensen die fotos van zichzelf en anderen op openbaar internet zetten hebben net zo goed een verantwoording. Ja, het bedrijf hield zich niet aan de regels, maar dat ontslaat mensen niet van hun eigen verantwoording.
Net zo goed als al die mensen die hun DNA voor een pretonderzoek delen met bedrijven.

[Reactie gewijzigd door Jan Onderwater op 23 juli 2024 08:47]

[dabronsg]

Veel mensen zijn naïef. Als je gratis ergens een profiel kan aanmaken met een tijdlijn waar je kan aangeven wat je allemaal meemaakt in je leven en dat dan ook nog kan delen met je "vrienden"... Helemaal geweldig.

Deze bedrijven verdienen geld met jouw privacy. Ergens in de kleine lettertjes zal dit ook wel in verhullende taal zijn opgenomen.

Clearview is een stapje erger. Je hebt geen overeenkomst met dit bedrijf en toch scrapen ze al jouw foto's van het web en proberen ze foto's aan identiteiten te koppelen. Niet om geld te verdienen aan bulkinformatie maar om te weten te komen wie wie is op deze wereld en waarschijnlijk ook wel wie wie kent op deze wereld.

Het klopt dat naïef zijn op internet niet handig is. Maar dat maakt niet goed wat Clearview doet. Daarom zijn ze ook op meerdere plekken op onze wereldbol onderwerp van onderzoek.

Voor het verwerken van DNA informatie gelden nog veel strengere eisen dan voor foto's. Ook daar geldt dat veel mensen naïef zijn. Daar misbruik van maken is verwerpelijk.

[Jan Onderwater]

Daar heb je helemaal gelijk in, maar als je mensen niet wijst op hun naïviteit of meent ze keer op keer alleen maar in bescherming te moeten nemen leert men nooit eigen verantwoording.
Maar als je dus mensen verteld dat ze niet zo stom moeten zijn hun privé overal te delen, zijn ze bozer op jou dan op degene die aan de haal gaan met hun gegevens. Het is net als met oplichting. Vertel mensen dat ze belazerd worden met hun tropisch hardhout natuurfonds en jij bent een eikel.

[SCiENTiST]

Gaat niet op als iemand anders fotos upload waar jij toevallig ook op staat.

[laminaatplaat]

De verantwoordelijkheid voor crimineel gedrag bij het slachtoffer leggen, Chapeau!

[Jan Onderwater]

Laat jij je auto met de sleutel erin op straat staan?
Laat jij 24/7 de voordeur open staan?
Heb jij geen virusscanner en firewall op je ongepatchde pc?

[mr94]

Open vraag, hoe gaat dit?

Zoals ik lees is Clearview een Amerikaanse juridische entiteit en hebben ze geen Europese zetel, en vallen ze dus onder de Amerikaanse wet en regelgeving. Hoe kan een Europese waakhond dan een uitspraak doen over een bedrijf wat niet onder haar jurisdictie valt (want immers niet binnen de EU / EEG).

Moet zoiets dan overgedragen worden aan het gerechtssysteem van het land van zitting van het bedrijf voor de uitvoering van de sanctie en boete?

[mutley69]

Ach ja - en Clearview gaat toelaten dat verwijderen na te kijken? Nee - verplicht Clearview om zijn servers overal ter wereld gecertifiëerd te laten vernietigen (Navo norm) - de Poetler-norm kennen we ondertussen - dat is niet recyclage-vriendelijk genoeg.

[PomPomPom]

Waarom kunnen we als Europa zijnde eigenlijk niet echt handhaven?
Dus de CEO op een zwarte lijst zetten (net als de Amerikanen doen, met die persoon mag je dan geen zaken meer doen) en ClearView uitsuiten van SEPA.
Mag het niet, hebben we er nog geen 'juridisch kader voor' of willen we niet?
(serieuze vraag)