Clearview AI krijgt van AP 30,5 miljoen euro boete vanwege illegale fotodatabase

Het gezichtsherkenningsbedrijf Clearview AI heeft een boete van 30,5 miljoen euro gekregen van de Nederlandse Autoriteit Persoonsgegevens. Het bedrijf overtrad de AVG op meerdere punten, zegt de AP. Clearview krijgt verder ook vier voorwaardelijke boetes.

De Autoriteit Persoonsgegevens begon in januari 2023 een onderzoek nadat twee Nederlanders een klacht indienden over het bedrijf. Zij zouden een inzageverzoek hebben gedaan om te weten te komen wat Clearview van hen wist, maar daar kwam geen antwoord op. Ook voegde de AP een tip van iemand aan het onderzoek toe die stelde dat meerdere van diens foto's in Clearviews database stonden.

Clearview AI is een omstreden bedrijf dat miljarden foto's van allerlei gebruikers van internet scrapet. Volgens de AP gaat het om meer dan dertig miljard foto's, afkomstig van sociale media, websites, nieuwsartikelen en Amerikaanse openbare bronnen met veroordeelden. Daarmee bouwt het een database op waarop gezichtsherkenningstechnologie kan worden toegepast, waar het vervolgens toegang toe verkoopt aan politie- en opsporingsdiensten, met name buiten de Europese Unie. Het bedrijf kreeg in Europa al eerdere AVG-boetes en moest in Frankrijk foto's van verdachten uit de database halen, op last van een nieuwe boete.

De Autoriteit Persoonsgegevens is streng over de praktijken van het bedrijf, die niet lijken te zijn verbeterd. Dat begint er al bij dat het bedrijf biometrische analyses doet en daarmee bijzondere persoonsgegevens verzamelt. Onder de AVG zijn dat gegevens die extra goed beschermd moeten worden en waarvoor strenge voorwaarden gelden voor wanneer een bedrijf die mag verzamelen. Clearview verzamelt niet alleen gezichtsfoto's, maar laat daar ook een algoritme op los en dat maakt dat de persoonsgegevens in dit geval bijzonder zijn.

AVG niet van toepassing

Clearview zelf zegt dat het zich niet hoeft te houden aan de AVG en dat het daarom geen vertegenwoordiger hoefde te hebben in de Europese Economische Ruimte. Burgers die moeite hadden met het bedrijf, moesten dat volgens Clearview aangeven bij hun nationale privacytoezichthouder. Maar het bedrijf heeft verder ook geen vragen van de Nederlandse toezichthouder beantwoord, omdat het dat niet nodig vond. De AP zegt echter dat de AVG wel degelijk van toepassing is, omdat Clearview ook gegevens van Nederlanders verwerkt. Dat weet de AP vanwege de klacht van de Nederlander. "Op basis van de probe image die de betrokkene heeft aangeleverd, zijn drie afbeeldingen gevonden die afkomstig zijn van verschillende websites met een .nl-domeinextensie", schrijft de toezichthouder in het boetebesluit.

Een belangrijke uitkomst van het onderzoek is dat het wederom uitkomst geeft op de vraag wat bedrijven met publiek beschikbare gegevens moeten doen. Clearview beroept zich erop dat het alleen foto's verzamelt die al openbaar op internet staan, maar daar gaat de AP niet in mee. Dat is niet voor het eerst; de AP concludeerde eerder dit jaar al dat bedrijven het internet vrijwel nooit mogen scrapen, laat staan dat het de verzamelde data vervolgens verder inzet. Dat is overigens geen compleet nieuwe conclusie. Die kwam in Nederland in 2021 ook al toen bleek dat de NCTV openbare data van burgers verzamelde, terwijl juristen al concludeerden dat dat niet mocht.

Niet transparant en geen inzage

Clearview overtrad volgens de AP op meerdere manieren de AVG. Niet alleen had het bedrijf geen vertegenwoordiger in Europa, het had ook geen goede grondslag om die gegevens te verwerken. Daarmee had het bedrijf ook onvoldoende 'transparantieverplichting', waaronder gebruikers recht op inzage moeten krijgen. En daar volgt weer uit dat Clearview niet goed inging op twee inzageverzoeken. Op die manier overtrad Clear de AVG op zes punten, namelijk artikel 5, 9, 12, 15 en 27 van de privacywet.

De AP zegt dat een boete 'niet alleen gepast, maar ook geboden' is. Voor het slecht faciliteren van het inzagerecht en het niet ingaan op het inzagerecht van de twee klagers krijgt het bedrijf slechts één boete, omdat die met elkaar verbonden zijn. Daarnaast krijgt het bedrijf voor de drie andere feiten ook aparte boetes.

Bij het bepalen van de hoogte van de boete merkt de AP op dat het bedrijf de onrechtmatige verwerking als verdienmodel had gemaakt. "Clearview verwerkt niet incidenteel, maar stelselmatig en op grote schaal verschillende soorten persoonsgegevens voor gezichtsherkenningsdoeleinden", zegt de AP. Ook het feit dat de verwerking al in januari 2019 begon 'en nog steeds voortduurt' vindt de AP erg. "Dit betreft een aanzienlijke periode. Dat Clearview de overtredingen nog niet heeft beëindigd, acht de AP ernstig."

Maximumboete

Vanwege die ernst en de duur van de overtreding trekt de AP een opvallende conclusie: het gaat uit van de hoogst mogelijke boete die onder de AVG kan worden gegeven. De AVG maakt het mogelijk een boete van maximaal vier procent van de jaaromzet of twintig miljoen euro op te leggen en voor het eerst kiest de AP voor dat laatste. De AP kon niet gaan voor het percentage van de omzet, omdat Clearview niet meewerkte aan het onderzoek en daarom onbekend is wat de omzet van het bedrijf is.

De twintig miljoen euro boete legt de AP op voor het onterecht verwerken van de gegevens. Maar daarnaast ziet de AP het gebrek aan inzagerecht en het feit dat de twee klagers geen inzage kregen als aparte overtreding. Daarvoor krijgt Clearview ook nog eens 10,5 miljoen euro boete. Daarmee loopt het totale boetebedrag op tot 30,5 miljoen euro.

Daarnaast krijgt Clearview nog meerdere voorwaardelijke boetes, zogenoemde lasten onder dwangsom. Dat komt omdat het bedrijf nog steeds doorgaat met het verzamelen van gegevens en nog steeds geen inzagerecht biedt. "Clearview dient deze overtredingen alsnog zo spoedig mogelijk te beëindigen", schrijft de toezichthouder. Voor iedere maand dat het dat niet doet, krijgt het nieuwe boetes. Die variëren in hoogtes en termijnen, maar lopen op tot samen maximaal 5,1 miljoen euro.

Reacties (125)

[wildhagen]

Clearview zelf zegt dat het zich niet hoeft te houden aan de AVG en dat het daarom geen vertegenwoordiger hoefde te hebben in de Europese Economische Ruimte.

Ik wordt inmiddels wel een beetje moe van bedrijven die denken dat wet- en regelgeving, zoals in dit geval de AVG maar ook in meer algemene zin, voor hen niet van toepassing zijn, en dat ze daarboven staan.

Ze zijn blijkens de klachten en de aangetroffen domain names ook hier in NL (en dus de EU) actief, en hebben zich net als ieder ander dus gewoon aan de (AVG-)regels te houden.

Vanwege die ernst en de duur van de overtreding trekt de AP een opvallende conclusie: het gaat uit van de hoogst mogelijke boete die onder de AVG kan worden gegeven. De AVG maakt het mogelijk een boete van maximaal vier procent van de jaaromzet of twintig miljoen euro op te leggen en voor het eerst kiest de AP voor dat laatste.

Een hele goede zaak, en zeker in het geval van ClearView in mijn optiek ook niet meer dan terecht. Dit bedrijf is zó omstreden, daar lijkt wat extra focus me wel op zijn plek.

Hopelijk grijpt de AP in de toekomst vaker naar de hoogst mogelijke boetes. Zeker bij dubieuze bedrijven, maar ook in zijn algemeenheid mogen AVG-schendingen imho aanzienlijk harder aangepakt worden.

Misschien dat bedrijven zich dan wat beter gaan gedragen, daar heeft iedereen belang bij.

[n4m3l355]

Dat bedrijven denken niet aan de lokale wetgeving te hoeven houden of het nou Clearview of Twitter komt inderdaad als maar vaker voor. Echter wat is het gevolg? Men krijgt een boete, die ze al dan niet betalen, en vervolgens gaan ze door met hetgeen wat ze al deden.

Waarom worden diegene die verantwoordelijk zijn niet vervolgd? Er worden duidelijke illegale keuzes gemaakt door dit soort bedrijven, waarom probeert men hun niet strafrechtelijk te vervolgen? Wanneer de CEO of de Chief Legal Officer een voet binnen de EU zet, zet ze fijn vast?

[Bananaman123124]

‘Zo’n bedrijf mag niet straffeloos doorgaan met het schenden van de rechten van Europeanen. Zeker niet op deze ernstige en massale wijze. We gaan nu onderzoeken of we de leiding van het bedrijf persoonlijk aansprakelijk kunnen stellen en kunnen beboeten voor het geven van leiding aan die overtredingen. Die aansprakelijkheid is er ook al als bestuurders weten dat de AVG wordt overtreden, bevoegd zijn om dat te stoppen maar dat nalaten en zo die overtredingen bewust accepteren.’

Aldus de AP

[Amito]

Dat is de volgende stap van de AP. Bestuurders persoonlijk beboeten, zodat als ze de EU binnen komen eerst de boete moeten betalen voordat ze verder kunnen. Strafrechtelijk vervolgen is nu nog niet mogelijk, daar zijn ze wel voor aan het lobbyen zodat ze ook via het politie apparaat om uitleveringen kunnen vragen.

[Zorg]

En dan geven ze de betreffende bestuurder een bonus ten hoogte vd boete.... enkel gevangenisstraf werkt echt

[Baserk]

Uiteindelijk zal alleen plaatsing op een Interpol lijst helpen, tegen dit soort lui.
Wellicht heeft Clearview ook al de foto's van de eigen bestuurders bij Interpol beschikbaar gemaakt?

[Beer070]

De NIS2 is hier helaas niet van toepassing. Daarin kunnen in het voorstel van de EU bestuurders uit hun functie worden gezet en gedurende een periode niet worden geaccepteerd als bestuurder. Ik weet niet in hoeverre gevangenis straf voor bestuurders dan ook nog mogelijk is.

[TWyk]

Clearview heeft geen vestigingen Europa maar hun klanten wel
En die klanten kunnen dus nu ook boetes krijgen als ze de spullen van Clearview gebruiken.
Dat is slecht voor de business van Clearview

[Mickelimic]

Tja, Amerikaanse bedrijven doen in Amerika wat ze willen. Onze Europese wetten zijn voor hen niet van toepassing. Zelfs als zij de persoonsgegevens van Europeanen analyseren, kunnen wij nog altijd niets doen. Die boetes gaan ze gewoon niet betalen. Beeld je in dat er een land is waar abortus verboden is en dat iemand die ooit een abortus heeft gehad dat land bezoekt en vervolgens wordt gearresteerd voor kindermoord? Zou jij dat een goede zaak vinden?

[StrongArmLance]

Hoe bedoel je niet van toepassing? Wanneer je gegevens van EU-ingezetene in de EU verwerkt (onafhankelijk van vestigingsplaats bedrijf), zit je in de werkingssfeer van de AVG.

[Reactie gewijzigd door StrongArmLance op 3 september 2024 12:52]

[Mickelimic]

De Europese wetgeving is natuurlijk vrij om hun toepassingsgebied heel ruim te nemen. Maar als Clearview AI geen Europese inrichting heeft, geen Europese bankrekeningen heeft en dergelijke, kan je Clearview AI enkel iets maken voor een Amerikaanse rechtbank. Zolang zij de Amerikaanse wet volgen, kan Europa niets doen.

[StrongArmLance]

Hoezo kan Europa niets doen?
Ten eerste is de AVG bedoeld enkele fundamentele rechten van EU-burgers te beschermen, waarom zouden zij dan geen passende sancties kunnen nemen tegen bedrijven in andere landen die inbreken op deze rechten? Dit kan Europa juist doen, dus ik begrijp je reactie niet echt.
Ten tweede zijn ze wel degelijk actief in Europa, daar ze ook diensten leveren aan Europese bedrijven, dus opnieuw; ik begrijp je reactie niet echt.
Tot slot klopt je laatste zin ook niet, daar zijn namelijk internationale verdragen voor.

ETA: De AI-act, die vorige maand in werking is getreden en over enkele maanden ook echt aan kracht wint, zal een ander resultaat hebben; meer ex ante dan private verplichtingen. Het zal in zekere zin meer gaan om productveiligheid, waardoor dergelijke producten/diensten makkelijker verboden kunnen worden. Dergelijke facial recognition technologie staat overigens op de Forbidden AI lijst.

[Reactie gewijzigd door StrongArmLance op 3 september 2024 15:04]

[The Realone]

Beetje kromme vergelijking, want als jij als Nederland een abortus laat doen, pleeg je zowel geen misdrijf in de VS als tegen een Amerikaan/het land, dus er zal dan geen enkele grondslag zijn om je in de VS te vervolgen.
En dat is precies het verschil met deze zaak.

[Mickelimic]

Daarom zeg ik ook <een> land, als voorbeeld. In Noord-Korea is het verboden om de spot te drijven met Kim Jong-un. Daarom is het nog niet verboden in andere landen in deze wereld. Als je vervolgens Noord-Korea bezoekt, kan je alsnog gearresteerd worden voor uitspraken die je buiten Noord-Korea gedaan hebt. Dit is een typisch trekje van autoritaire regimes.

[The Realone]

Ik volg je logica hiet niet. Je abortus-voorbeeld klopt niet, want je kunt daarvoor niet vervolgd worden, simpelweg omdat je geen misdrijf hebt gepleegt in of tegen "dat land". Op dezelfde manier dat ik geen boete kan krijgen van België voor het te hard rijden in Nederland.
Dit artikel gaat daar helemaal niet over, want door data van Europeanen te gebruiken, overtreed je wel degelijk Europese wetgeving. Had Clearview enkel personen uit de VS gebruikt, dan was dit nooit aan de orde geweest.

[Pokemoneuro]

Uh jazeker wel. Als jij als Amerikaans bedrijf niet "opereert" in Europa, maar wel de persoonsgegevens van Europeanen verwerkt, dan ben jij zeker wel gebonden aan de Europese wetten rondom privacy.

[litebyte]

Daarom three strikes out bij veroordeling, dan hadden we nu in ieder geval al geen facebook/meta meer gehad.

Het probleem is dat overheden ook heel veel gebruik maken van deze diensten voor allerlei (opsporings)taken. Er is een afhankelijkheid ontstaan. Daarnaast is er binnen de lobbycratie EU middels officieel lobbyen een manier om invloed te kopen, Meta besteedt hier in de EU jaarlijks 6 miljoen Euro aan. Hiermee staat Meta in de top 5 van organisaties die het meeste lobbygeld in de EU betalen.

Organisaties als Clearview en Meta zijn eng, maar eigenlijk is het nog veel enger dat ze mogen blijven opereren na (fop)boete na (fop)boete na (fop)boete

[Wim Cossement]

Met die van Telegram was het voor de Fransen precies geen probleem om hem direct op te pakken en vast te zetten...

[DrBlond]

Ik ben er ook niet blij mee. En ik verwacht ook niet dat de AP hier iets tegen kan doen.
Maar hebben we dit uiteindelijk niet zelf in de hand gewerkt, door zelf onze gegevens op social media te plaatsen. Voor elke (simple) website / service heeft men tegenwoordig een account nodig om er gebruik van te maken. En vervolgens worden die gegevens weer gescraped door of verkocht aan derden. Bijvoorbeeld bij nu.nl moet je een account aanmaken om sommige nieuwsartikelen te lezen. En waarvoor?

Zijn er eigenlijk (officiele) europese instanties die gebruik maken van de diensten van Clearview?

[ari3]

Maar hebben we dit uiteindelijk niet zelf in de hand gewerkt, door zelf onze gegevens op social media te plaatsen.

Zeker niet, ik plaats zelf niets op social media, het zijn anderen die beeldopnamen van mij en adresboeken waar mijn contactgegevens in voorkomen delen met social media platformen. Ik heb daar nooit toestemming voor gegeven.

[kodak]

Dat het te verwachten was en begrijpelijk is weinig anders dan achter de muziek aanlopen. Zo werd het bedrijf al in 2020 in de VS aangeklaagd, waar de regels rond privacy nauwelijks bestaan, om in ieder geval heel strikt te worden in wie hun diensten over andermans gegevens gebruikt. En vorig jaar kreeg het bedrijf in het VK problemen om het onrechtmatig verwerken van enorm veel persoonlijke gegevens. De AP is weer eens zo traag dat men het jaren en jaren laat gebeuren dat het bedrijf (en anderen) veel en veel te lang weg komen met massale schending.

Daarbij is hopen dat ondernemers van dit soort bedrijven zich gaan gedragen een onrealistisch uitgangspunt. Dat was het jaren geleden al, waarom de wet strenger is gemaakt en er strenger toezicht is verplicht. In plaats van hopen is het eerder dus al jaren nodig dat de toezichthouders zich assertiever en strenger inzetten om te voorkomen dat rechten geschonden worden en blijven worden. Niet het jaren en jaren vertragen van controle en aanpak.

[JeroenED]

Ze zijn blijkens de klachten en de aangetroffen domain names ook hier in NL (en dus de EU) actief, en hebben zich net als ieder ander dus gewoon aan de (AVG-)regels te houden.

Ik weet niet of je dat zo mag stellen. In dit geval zeg je namelijk dat youtu.be een belgische site is en dat het britse indische ocieaanterritorium (.io) vol IT-bedrijven zit. Lijkt mij wat kort door de bocht.

Het feit dat ze het hele internet afscrapen is voor mij wel genoeg om te zeggen dat ze in NL of EU actief zijn want het is dan toch redelijk voor hand liggend dat je op een server terecht komt die in Amsterdam of Berlijn staat.

[GertMenkel]

Hoewel het een leuk idee is, zie ik eigenlijk niet helemaal waarom deze bedrijven zich aan onze wetten moeten houden. Dit is een Amerikaans bedrijf dat zaken doet met niet-Europese bedrijven. Ze hebben hier geen kantoor, geen medewerkers, helemaal niks.

Ze mogen geen zaken doen in de EU, en de bedrijven waar ze wel zaken mee doen overtreden automatisch de privacywet. Ik erger me meer aan al de Europese bedrijven die ongestoord illegaal data uit kunnen wisselen dan aan de Amerikaanse bedrijven die Europa niet bedienen.

Als volgende week Rusland een boete uitschrijft tegen DPG Media omdat men hier de Russiche inval een oorlog mag noemen, wuiven we dat natuurlijk ook weg als complete onzin. Ik zie niet waarom Clearview niet hetzelfde zou doen met een boete van het AP.

[Reactie gewijzigd door GertMenkel op 3 september 2024 11:10]

[wildhagen]

Hoewel het een leuk idee is, zie ik eigenlijk niet helemaal waarom deze bedrijven zich aan onze wetten moeten houden. Dit is een Amerikaans bedrijf dat zaken doet met niet-Europese bedrijven. Ze hebben hier geen kantoor, geen medewerkers, helemaal niks.

Maar ze zijn hier wel actief:

De AP zegt echter dat de AVG wel degelijk van toepassing is, omdat Clearview ook gegevens van Nederlanders verwerkt. Dat weet de AP vanwege de klacht van de Nederlander. "Op basis van de probe image die de betrokkene heeft aangeleverd, zijn drie afbeeldingen gevonden die afkomstig zijn van verschillende websites met een .nl-domeinextensie", schrijft de toezichthouder in het boetebesluit.

Ze verwerken data van Nederlanders, en dus is de AVG (of GDPR in de EU als geheel) wel degelijk van toepassing. Dus moeten ze zich eraan houden.

[GertMenkel]

Als ze een afbeelding van een Nederland downloaden van het internet, zijn ze hier niet per definitie actief. Tweakers.net is ook bereikbaar in Rusland (voor zover ik weet), maar ze zijn niet in Rusland actief.

Dit zou opgaan als het Europese internet een los netwerk zou zijn, maar ik vind het onzin dat wetgeving van toepassing is als je een domein met een bepaald TLD bezoekt.

[Reactie gewijzigd door GertMenkel op 3 september 2024 11:14]

[wildhagen]

Lees nou de quote eens even:

De AP zegt echter dat de AVG wel degelijk van toepassing is, omdat Clearview ook gegevens van Nederlanders verwerkt.

De AVG geldt voor het verwerken van gegevens van Nederlanders. Zodra je gegevens van Nederlanders verwerkt, is de AVG van toepassing.

Clearview verwerkt die gegevens:

Dat weet de AP vanwege de klacht van de Nederlander. "Op basis van de probe image die de betrokkene heeft aangeleverd, zijn drie afbeeldingen gevonden die afkomstig zijn van verschillende websites met een .nl-domeinextensie", schrijft de toezichthouder in het boetebesluit.

En dus is de AVG van toepassing, en dient ClearView zich daaraan te houden.

Ze hadden er ook voor kunnen kiezen om die data van Nederlanders niet te verwerken, dan was de AVG niet van toepassing geweest. Maar omdat ze ervoor gekozen hebben om ook Nederlandse data te gebruiken, hebben ze ook de plicht om de AVG na te leven.

[Tjark]

Je kan het niet leuk vinden, maar @GertMenkel heeft wel gelijk.

Zodra je gegevens van Nederlanders verwerkt, is de AVG van toepassing.

Je kan toch als land/EU een bedrijf dat niet opereert in EU iets niet verbieden? Stel dat Burkina Faso de site coc.nl verbiedt vanwege hun onlangs aangenomen wet? Gaan we toch niks mee doen?

Ik ben het niet eens wat Clearview gedaan heeft/doet, maar dat is wat anders.

[Reactie gewijzigd door Tjark op 3 september 2024 11:29]

[hellum]

De coc verwerkt geen gegevens van mensen in dat land, dat is nu juist het wezenlijke verschil

[Mickelimic]

Maar dat is voor internationaal recht compleet irrelevant.

[hellum]

De AP gaat over de persoonsgegevens van Nederlandse burgers, Clearview gebruikt data van Nederlandse burgers, dus de AP heeft het recht boetes uit te delen. Ik snap niet wat daar zo moeilijk aan is?

[CamelKnight]

Nee, dat heeft hij niet. En dat heb jij ook niet.
Het gaat hier niet om het verbieden van een website. Het gaat om het verwerken van persoonsgegevens. Gegevens waar JIJ mee te identificeren bent, aan te herkennen bent, te achterhalen bent waar je woont, wat je doet, je geloof, je overtuigingen, je geaardheid en nog meer van dat soort dingen. Privé zaken waar bedrijven niks mee te maken hebben als je daar geen expliciete toestemming voor gegeven hebt.

Wat Clearview doet boeit niet. Wat ze doen met de persoonsgegevens van Nederlanders boeit wél. De AP verbiedt Clearview niet om hun werkzaamheden uit te voeren, ZOLANG zij geen foto's (en dus persoonsgegevens) van Nederlanders verwerken.

[GertMenkel]

Wat ze doen met de persoonsgegevens van Nederlanders boeit wél

Volgens de Nederlandse wet (die afgeleid is van de Europese). Een grondgebied waar ze geen enkele relatie mee hebben die erkend wordt door het land waarin ze opereren. Wij kunnen schreeuwen wat we willen, maar we kunnen de Amerikanen geen wetten opleggen.

Europa heeft besloten dat persoonsgegevens een ding zijn en dat het verwerken regels vereist. Amerika heeft daar geen wetgeving voor (wel voor inwoners van California maar dat zijn we niet). Amerikaanse bedrijven mogen van Amerika gewoon Europese gegevens downloaden, verwerken, verhandelen, enzovoorts. Het bedrijf kan in Amerika doen wat ze willen, zolang ze zich aan de Amerikaanse wet houden.

Het COC overtreedt ook keihard de Russische anti-propagandawetten, en daar kan Rusland prima een boete voor uitschrijven, maar dat betekent toch helemaal niks? Heel vervelend voor als de COC een Russische tak opzet maar dat is niet realistisch.

Ja, de boete is helemaal wettelijk oké in Nederland en in de EU, en zodra Clearview in de EEG een dochteronderneming opzet zal die ook zeker verhaald worden, maar aangezien er al lang boetes openstaan die ze niet betalen, is dit hele gedoe gewoon bezigheidstherapie voor ambtenaren.

[Tjark]

Laat maar, ze snappen niet wat het verschil is tussen wat feitelijke bevoegdheid is, en wat moreel wenselijk is.
Ja, ik ben het ook niet eens met Clearview, maar vanuit hun bevoegdheid waar ze zitten, doen ze niks mis. Ik ben het er niet mee eens, maar idd, wat @GertMenkel aangeeft: als COC een Russische boete krijgt, dan schuiven we die toch ook aan de kant?

[Mickelimic]

Wat jij zegt is 100% correct. Raar dat ze jou een -1 geven. Dat is wat ik tegenwoordig doe op Tweakers. De meningen met -1 openklikken, want dat zijn de interessante comments.

[Pinkys Brain]

Vertel het aan Huawei.

Moet gewoon een sanctie beleid zijn, elke transactie van binnen de EU met Clearview per definitie strafbaar (inclusief Swift, laat ze maar schreeuwen, voor de VS doen ze het ook).

[GertMenkel]

Ik heb de quote gelezen. Het AP kan dat zeggen, en de Nederlandse wet ook, maar dat scheelt een Amerikaans bedrijf toch niks? Ik houd me niet bezig met wat de Amerikaanse wet zegt, ondanks dat Tweakers op een Amerikaanse TLD zit.

[wow7]

Hier op de AVG die uiteen legt wat wel en wat niet.

[TheVivaldi]

Dus deze boete is volgens jou onterecht opgelegd? Ga je dit namens hen aanvechten bij de rechtbank?

[GertMenkel]

Waarom zou ik het namens hen aanvechten? Ik zeg toch niet dat ik het met Clearview eens ben? Ik vind het alleen bizar dat de Nederlandse waakhond zich bezighoudt met boetes voor een bedrijf waar ze geen jurisdictie over hebben. Alsof een Nederlandse politieagent in Amerika een boete uit gaat schrijven omdat er een Nederlandse bestuurder achter het wiel zit.

Wat mij betreft mogen die engerds van Clearview morgen de gevangenis in, maar tot we een internationaal verdrag met Amerika hebben (dat DPA's enige legitimiteit biedt om boetes te geven aan de Amerikanen), is dit gewoon verspilde moeite

De huidige basis voor de Amerikaanse adequacy decision geldt alleen voor bedrijven die ervoor kiezen zich aan de Europese wet te houden (zodat ze ook zaken mogen doen in Europa).

[MSalters]

De Nederlandse waakhond heeft jurisdictie, want de AVG implementatie-wet heeft ze die jurisdictie gegeven. Zo simpel is het.

Je lijkt ten onrechte te denken dat jurisdictie enkelvoudig is: Als Amerikaans dan niet Nederlands. Dat is een misvatting. Elk soeverein land bepaald zelf of ze jurisdictie hebben, en dat kan dus overlappen (en de EU heeft de sovereiniteit gedeeltelijk samengevoegd).

Een boete innen kan lastig zijn. Je moet dan de lokale rechter overtuigen dat er óók een lokale wet is overtreden. In Californië zou dat kunnen slagen; in New York wordt het vermoedelijk lastiger. Maar dat gaat puur over het innen. De Amerikaanse rechter zal de uitspraak van een Nederlandse rechter wel erkennen, dat is vrij gebruikelijk. "Onze onderdaan, onze jurisdictie" kennen de Amerikanen ook (en nogmaals, jurisdictie is niet exclusief).

[Anoniem: 454358]

Ja en dat doen ze dus niet. Trekken zich niets van de boete aan en er veranderd dus niks.

[Zwarte_os]

Wat een rare vergelijking. Verschillende Europese en Nederlandse rechten worden hier geschonden en met Amerika hebben we zulke verhoudingen dat we andersom ook niet massaal intellectuele rechten schenden, zoals bv China wel doet. Anders kan je net zo goed geen zaken meer met elkaar doen.

[GertMenkel]

Overeenkomsten als Privacy Shield zouden dit soort dingen moeten voorkomen, en om onder andere deze reden is er geen adequacy decision voor Amerika die stand houdt in de rechtszaal. De Amerikanen leggen onze privacywetten naast zich neer.

Voor intellectuele rechten hebben we internationale verdragen getekend. Problemen daarmee gaan via partijen als WIPO en de WTO. Dat soort overkoepelende verdragen hebben we niet omtrent privacy.

We hebben het Data Privacy Framework met de Amerikanen. Daarin mogen Amerikaanse bedrijven zichzelf aanmerken als compatible met Europese privacywetten, en in dat geval is er enige bescherming van de privacy van Europeanen als zo'n bedrijf Europese data verwerkt, en mogen Europese bedrijven data uitwisselen met die bedrijven. Dit vergroot de markt voor die Amerikaanse partijen, dus grote bedrijven die hier geld willen verdienen doen er goed aan om mee te doen, maar dat is compleet optioneel.

Kiest een bedrijf er niet voor zichzelf te certificeren, dan beteken de Europese wetten helemaal niets.

[Anoniem: 454358]

En dan? Die boete gaan ze natuurlijk niet betalen.
Als ik een bedrijf weet ik waar open, dan eu data ga verwerken, moet ik me houden aan de avh, maar dat ga ik lekker niet doen. O je een iete, lol. En ga gewoon door. Max wat de eu kan doen is het domein op zwart zetten? Maar in dit geval heeft dat nul nut.

[Philip Ross]

In theorie kunnen ze het bedrijf als criminele organisatie aanwijzen en vervolgens het bestuur en medewerkers op een lijst zetten en daarmee hun reizen en mogelijkheden enorm beperken.
Maar binnen de EU (en in NL nog meer) laten we bedrijven maar met alles wegkomen.

[Anoniem: 454358]

En dan zegt de vs, hoho, dit bedrijf levert diensten aan onze veiligheidsdiensten, dat gaan jullie mooi niet doen, want anders ...

[Philip Ross]

Tsja, en dan zeggen wij veel succes met chips maken zonder lithografie machine. Zo'n vaart zal dat niet lopen.

[Anoniem: 454358]

We zull n zien, ik denk van wel.

[amigob2]

En dat kunnen we niet meer omdat een groot cruciaal onderdeel uit de US komt
En de rest van de wereld ook geen Chip machines meer kan kopen

[Philip Ross]

En dat is precies de reden dat de VS ons ook niet zomaar kan uitsluiten. Zeker niet als de EU gezamenlijk optrekt

[MSalters]

Dan komt er een Amerikaanse diplomaat bij Von der Leyen, en die zegt dan doodleuk: "Sorry, onafhankelijke rechtspraak. Hebben jullie niet ook zoiets?".

Nee, de VS gaat geen diplomatiek kapitaal verspillen aan kansloze verzoeken.

[ivvi]

Je moet niet vergeten dat het ook gewoon heel goed kan dat Clearview dat helemaal niet vindt maar dat ze gewoon manieren zoeken om dat niet te doen en publieke zeggen dat te vinden.

[xzaz]

Ik wordt

[SeenD]

Op NOS las ik vanochtend dat Clearview de boetes in andere Europese landen niet betaald. Ik ben benieuwd hoe je ze kan forceren?
Arrestatiebevel voor management? Ik denk dat ze graag wel in Europa willen kunnen reizen.

[Reactie gewijzigd door SeenD op 3 september 2024 10:46]

[TijsZonderH]

Je kunt een deurwaarder sturen, ik weet niet precies hoe dat gaat in een ander land maar kan me voorstellen dat daar verdragen voor zijn. Ze hebben onlangs laten weten dat ze één boete niet hebben geïnd omdat ze niet wisten waar het bedrijf zat, maar van Clear view is dat wel bekend. nieuws: AP kan AVG-boete van 525.000 euro niet innen vanwege onbekende bedrij...

[Mickelimic]

Er zijn veel verdragen, maar niet voor dit soort zaken. Als je Clearview AI iets wilt maken, moet je ze voor een Amerikaanse rechtbank dagen. En voor hen telt de AVG niet.

[MSalters]

Je hoeft geen letterlijk identieke wet te hebben om in een Amerikaanse rechtbank een beslaglegging te vorderen. Dat is net zoiets als uitlevering; de rechter kijkt dan of het feit ook lokaal strafbaar is. In Illinois heeft ClearView ook al een boete gekregen, dus het is zeker niet zo dat ze daar helemaal onschendbaar zijn. Het varieert daar per staat, want ze hebben geen Federale tegenhanger van de AVG.

[locke960]

Een dergelijk verdrag is er niet. Werkt de EU wel aan volgens Aleid Wolfsen (voorzitter AP), maar voor een verdrag heb je natuurlijk 2 partijen nodig.
BNR interview met Aleid Wolfsen van vanochtend.

[wildhagen]

Wellicht een incassobureau inschakelen? Er zijn ook incassobureau's die zich specialiseren in incassos innen in het buitenland. Zie bijvoorbeeld https://www.invorderingsbedrijf.nl/beslaglegging-buitenland/

Invorderingsbedrijf heeft een indrukwekkende staat van dienst op het gebied van beslag leggen in het buitenland opgebouwd. Waar andere incassobureaus stoppen bij de grens, beschikken wij over een wereldwijd incasso- en beslagleggingsnetwerk. Heeft u te maken met een internationale wanbetaler? Dan neemt Invorderingsbedrijf het gehele gerechtelijk en beslagleggingstraject voor u uit handen.

Hoe dit juridisch zit, of daar bijvoorbeeld verdragen voor zijn en of die geldig zijn in de VS (waar ClearView zit) is me verder niet bekend.

[Anoniem: 454358]

Incasso bureau zal je toch ook niet wakker van liggen? Als je een incasso betwist kunnen ze al niks, en moeten ze naar de rechter. En dan is het maar de vraag of zoiets stand houdt. Een buitenlandse partij die vind dat jij een boete moet betalen.

[MSalters]

Dat werkt opmerkelijk goed. Rechters wereldwijd zijn redelijk collegiaal. ClearView zal dan moeten bewijzen waarom een Nederlands vonnis niet uitgevoerd moet worden. De zaak zelf wordt dan niet opnieuw behandeld. De Amerikaanse rechter zal vrijwel zeker zijn Nederlandse collega als onpartijdig zien, en de wet als democratisch. Is er een Amerikaanse grondrecht in strijd met dat vonnis? Ook al niet.

[Mickelimic]

Als een buitenlandse deurwaarder in Amerika jouw inboedel komt aanslagen, kan je je wapen pakken en hun neerschieten. Voor de Amerikaanse wet is dat diefstal. Enkel een in de Verenigde Staten erkende deurwaarder kan zoiets doen. En die mag enkel handelen naar het vonnis van een Amerikaanse rechtbank.

[WouterL]

Erg lastig, het gaat voor wat betreft Nederland namelijk om een bestuurlijke boete. Geen strafrecht dus. En dus geen arrestatiebevel.

[YellowCube]

ik zie bij dit berichten best vaak de opmerking die neerkomt op: "Zinloos, want ze betalen toch niet"
Klopt, maar dan zijn de alternatieven:
- niks doen
- Foei zeggen en hopen dat ze dan wel wat doen. Wat nog m.i. nog minder zinvol is want als een boete al niet helpt, dan dat ook niet
- het niet betalen van de boete gebruiken om verdere druk te zetten.

In dat laatste geval: hoe?
Geen idee, maar ik weet wel dat een veelgemaakte opmerking (die vaak volgt op bovenstaande) die neerkomt op: "ze moeten gewoon..."

Als het "gewoon" een kwestie is van iets meer dan een boete, dan was dat wel gedaan. Zo makkelijk is het kennelijk niet.
Of wel, en dan hoor ik dat graag.

[Reactie gewijzigd door YellowCube op 3 september 2024 11:04]

[Arnoud Engelfriet]

Ik zie de uitspraak vooral als een signaal aan de klanten van Clearview. Nu dat bedrijf zo'n megaboete heeft gekregen én een bevel tot wissen van de dataset (althans de Nederlanders daaruit), kun jij niet meer met droge ogen volhouden dat dit gewoon een in Europa legale dienst is. En zulke afwegingen wegen juist zwaar bij de overheid, wat de voornaamste klant van Clearview is (nieuws: Minister herhaalt dat Nederlandse politie geen gebruik maakt van Clea...)

[thunder8]

Arnoud, Zou dit bedrijf ook niet een massale copyrightclaim riskeren door de foto's zonder toestemming van de makers te scrapen? Als ik een website bouw en ik "scrape" een foto van het internet en gebruik deze, riskeer ik ook een claim met hoge bedragen per illegaal gebruikte foto. Als Clearview massaal zomaar foto's van het net trekt zonder daar toestemming voor te hebben, cq daarvoor te betalen, zouden zij hiervoor ook massaal boetes voor rechtenschending moeten krijgen toch?

[Arnoud Engelfriet]

In principe ja, alleen zijn er geen claimorganisaties van deze categorie rechthebbenden. Het gaat hier niet (à la Brein) om grootschalig kopiëren van een kleine groep professionele producenten, of uitgebreid overnemen van professionele fotografen die zich bij een organisatie (Copytrack en vele anderen) kunnen melden. Het zijn particulieren die hun profielfoto plaatsen.

Facebook en collega's hebben al cease-and-desist brieven gestuurd (https://www.cnet.com/news...l-recognition-collection/) maar zo te lezen nooit doorgepakt. Hun status om te procederen is beperkter, foto's biljven immers van de gebruikers en dan mag Facebook niet procederen over inbreuk op de rechten.

[Geekomatic]

Deze actie lijkt me een opmaat naar het bestaansrecht van dit bedrijf
op jurische basis aan de kaak te stellen, via de Amerikaanse wet.
En vanuit Europees perspectief mag dit ook niet.

[supe]

Ik heb een hele makkelijke oplossing:
Direct het volledige bedrijf en alle data in quarantaine zodat het netjes opgedoekt kan worden en de data niet doorverkocht maar vernietigt wordt.

Misschien dat er dan eens niet zo gespeeld wordt met mijn prive! (nee ik hoef niet te tanken schat)

[nokie]

Ik neem aan dat ik het fout heb, maar ik zie omzetcijfers van $8,5M per jaar en “maar” $130M waard is als geheel bedrijf. Wat mij betreft kan zo’n bedrijf niet hard genoeg gestraft worden, maar hoe komen ze dan aan een boete die een veelvoud is van de jaaromzet (m.a.w. waar zit ik fout, iemand die me kan helpen)?

[wildhagen]

Ze komen op die boete nav de mogelijkheden die ze hebben:

Vanwege die ernst en de duur van de overtreding trekt de AP een opvallende conclusie: het gaat uit van de hoogst mogelijke boete die onder de AVG kan worden gegeven. De AVG maakt het mogelijk een boete van maximaal vier procent van de jaaromzet of twintig miljoen euro op te leggen en voor het eerst kiest de AP voor dat laatste. De AP kon niet gaan voor het percentage van de omzet, omdat Clearview niet meewerkte aan het onderzoek en daarom onbekend is wat de omzet van het bedrijf is.

Daarom dat die dus hoger is dan de omzet (als jouw getallen kloppen). Had ClearView wel inzage gegeven in die getallen had de boete dus wellicht lager uitgepakt (namelijk die 4 procent van de omzet dus).

[nokie]

Ah, goed punt, dat stukje uit het artikel had ik verkeerd gelezen/begrepen.

Maar als mijn cijfers kloppen, zie ik niet hoe ze de boete ooit gaan betalen, die is nu bijna 400% van de jaaromzet. (Voor alle duidelijkheid: ik zal er geen traan om laten, wel integendeel).

[Neerio]

Goeie zaak dat dit soort criminele verdienmodellen eindelijk eens serieus tegengas krijgen in Nederland. Wat mij betreft wordt het ook tijd om te kijken naar een wetswijziging die het mogelijk maakt om hogere boetes te geven gebaseerd op een schatting van de jaaromzet als bedrijven niet meewerken.

[Hielko]

Tegengas? Clearview trekt zich niks aan van deze boete en gaat hem ook niet betalen, en vervolgens is de AP een tandenloze tijger...

[Littlemarc]

De boete is moeilijk inbaar zonder lokale statutaire directies maar maakt het wel moeilijk voor ClearView in de toekomst zaken te willen doen in de regio.

[PdeBie]

maar maakt het wel moeilijk voor ClearView in de toekomst zaken te willen doen in de regio.

Doen ze toch al niet. Ze verhandelen de data vooral aan landen buiten de EU.

[Littlemarc]

Wat hebben ze dan aan fotos van EU burgers?

[PdeBie]

Nou, wat dacht je van gezichtsherkenning in bijvoorbeeld China?

Je steekt als toerist per ongeluk de straat 1x verkeerd over en je wordt door het systeem gelijk getagged en nog vele malen erger: herkent!

Gelijk een regel in hun systemen: @Littlemarc steekt illegaal de straat over.

[Polderviking]

Je moet ook gewoon niet naar China gaan als je je daar zorgen om maakt want het systeem wat daar actief is, en de implicaties er van, veranderen niet op basis van de aanwezigheid van jou feesboek foto in één of andere abjecte database.

[Reactie gewijzigd door Polderviking op 3 september 2024 18:31]

[Elorad]

Dat is niet relevant voor deze zaak.

[moeilijkenaam]

aldus de NOS:

De AP wil daarom ook onderzoeken of de leiding van het bedrijf persoonlijk aansprakelijk gesteld kan worden voor de overtredingen.

Dat geeft iets meer gewicht hieraan, want zou betekenen dat de leiding de EU niet meer binnen kan gaan zonder problemen.

[Anoniem: 454358]

Benieuwd naar de uitkomst van dat onderzoek. Zal ook wel op niets uitdraaien, de vs levert hun burgers niet uit. En anders zet je het bedrijf op naam van wat kat vangers

[MSalters]

Onjuist, en te laat.

[Polderviking]

Dit gaat ook niet over uitleveren.
Maar mensen reizen wel eens enzo. Zeker mensen met geld.
Een heel westers continent niet in kunnen lijkt me toch wel een "dingetje" hoor.

[geert1]

Het kan inderdaad zijn dat Clearview deze uitspraak negeert, maar dat kan gebeuren bij allerlei boetes uit andere regio's dan waar een bedrijf is gevestigd. Volgens die logica zou het nooit zin hebben om een Amerikaans bedrijf een EU-boete te geven, en zo eenzijdig is het niet.

Deze veroordeling komt in elk geval breed onder de aandacht nu; dat is al iets dat Clearview vast niet leuk vindt. Het wordt zo steeds meer bekend dat foto's scrapen van internet niet in lijn is met wetten op persoonsgegevens, in de EU en in sommige andere territoria. Clearview kan het lastiger krijgen als andere privacy-instanties volgen met eigen onderzoeken. En Clearview zal niet snel meer omzet gaan draaien in de EU, of uitbreiden naar de EU. Die hekken sluiten ze voor zichzelf door een (regionaal) illegaal bedrijfsmodel te draaien.

Dus deze uitspraak zal niet gelijk een enorm effect hebben, maar toch is het enig tegengas. Ook andere bedrijven die hetzelfde doen kunnen nu gaan nadenken over hun toekomst in de EU.

[Arn0uDz]

Ben wel benieuwd als het bedrijf besluit om gewoon niet te betalen wat de AP dan kan doen. Hoeveel macht heeft een instantie uit Nederland op een Amerikaans bedrijf.

[Arnoud Engelfriet]

Ze kunnen bij de Amerikaanse rechter vragen het boetebesluit te erkennen, als die dat toelaat dan kan een deurwaarder in Californië het bedrag gaan incasseren. Er zal toch wel iemand die moeite willen doen op no cure no pay tegen 30%?

[Anoniem: 454358]

Is alleen de vraag of dat gebeuren. Wel interessant, maar ik denk het niet om locale bedrijven te beschermen.

[TheVivaldi]

In Californië zijn ze niet vies van het opleggen van boetes aan en starten van rechtszaken tegen lokale bedrijven, dus ik ben daar nog niet zo zeker van.

[Anoniem: 454358]

Alleen een boete van een foreign nation is anders dan een locale boete

[Arnoud Engelfriet]

Dat is waarom die Amerikaanse rechter er tussen zit. Die lokale rechter bepaalt dan dat die buitenlandse partij die boete mocht opleggen. Het zal wellicht helpen dat er in Californië de nodige heisa is over Clearview (https://abc7news.com/clea...nsumer-watchdog/14231840/). Maar ik zie nu dat Clearview in NY gevestigd is met haar hoofdkwartier, dus de AP zou de rechter daar moeten vragen. Ook daar is Clearview controversieel: https://www.nyclu.org/pre...learview-ai-use-ny-police

Ik denk niet dat men zo simpelkes te werk gaat als "is rare non-yank, eis afgewezen".

[Beer070]

Is het niet zo dat dit in de handelsverdragen is afgestemd? Het is niet mijn specialisme maar volgens mij zijn er in de handelsverdragen tussen europa en USA/NAFTA allerlei zaken over rechtmatigheid en de procesgang afgesproken, inclusief arbitrage methodiek...
Is voor mij inmiddels al weer lang geleden dat ik hierover moest leren.

[MSalters]

Een essentieel deel van de Clearview verdediging is nu juist dat ze geen handel voeren met de EU. Dus dan kun je niet later alsnog een handelsverdrag proberen aan te voeren.

[TheVivaldi]

Californië is de afgelopen jaren minder Amerikaans georiënteerd en meer Europees/globaal georiënteerd aan het raken.

[Anoniem: 454358]

Dat betekend niet dat ze onze boetes zomaar gaan overnemen. Het kan zelfs nog en federaal dingetje zijn als buitenlandse overheden lokale bedrijven gaan beboeten. Maar daarvoor heb ik niet genoeg kennis van de regelgeving van de vs

[Arn0uDz]

Bedankt voor je info!

[WouterL]

Leuk, maar symboolpolitiek. Clearview heeft lak aan boetes van EU toezichthouders:
https://privacy-web.nl/ni...talen-privacyboetes-niet/
Die zal op het stapeltje onbetaalde boetes terecht komen, net als de boete voor Locatemyfamily (wiens vestigingsadres nog steeds een mysterie is…)

[Reactie gewijzigd door WouterL op 3 september 2024 10:47]

[87brybry]

Ik ben blij dat we hier instanties hebben die zich hard inzetten voor onze privacy, maar de vraag is in hoeverre het het succesvol is. Nu is het een Amerikaanse partij die zich zegt te richten op beveiligingsdoeleinden en waar op een hoger (politiek) niveau nog druk op te zetten is, maar er zijn nog zat landen waar miljardenboetes en politieke druk niets uithalen. Die landen kunnen ook gewoon scrapen op de sociale media die we hier gebruiken.
Pimeyes is ook een dienst die ongevraagd een database aanlegt en die voor iedereen te gebruiken is. Voor een duidelijke bronvermelding moet je betalen, maar met het stukje url dat zichtbaar is kon ik in mijn geval achterhalen waar de jarenoude foto's van mij stonden. Opt-out is mogelijk, maar dan moet je dus een nóg duidelijkere foto uploaden naar een onbekende dienst.

Ik verwacht dat deze technologie nog verder zal gaan om mensen ook op andere lichamelijke kenmerken te kunnen identificeren. Iets waar vooral een deel van de porno- en erotica-industrie denk ik niet op zit te wachten.

[Reactie gewijzigd door 87brybry op 3 september 2024 11:07]

[Beta]

Volgens Linkedin werken er 27 mensen en toevallig of niet kan ik bij geen enkele de foto zien.

[SeenD]

Op de website zie je wel een hoop mensen. clearview.ai/leadership Ik heb alleen wel 't idee dat al die foto's er uit zien alsof ze door AI zijn gegenereerd.

[JeffZorz]

Waarom mag een bedrijf een publieke foto niet verwerken voor data als ik dat wel mag?

[4tro]

Jij mag het, onder dezelfde strenge voorwaarden als dat Clearview het mag, dingen als voorzien in het recht op inzage, recht op verwijdering, toestemming van de persoon. En die zijn dan nog weer een stuk strenger voor biometrische gegevens.

Het feit dat jij een te kleine vis bent om aan te pakken betekend niet dat je de wet aan je laars mag lappen

[JeffZorz]

Als ik de afbeelding alleen analyseer en niet opsla op mijn servers, overtreed ik dan nog steeds regels?

[hellum]

Waarschijnlijk wel. Je blijft met het portretrecht en het recht om vergeten te worden zitten. Een persoon moet dus toestemming geven en jij moet je gegevens wissen als die persoon het wil. Dat geldt ook voor afgeleide gegevens.

[JeffZorz]

Nouja, een beschrijving van jouw gezicht bestaat in de database. En deze beschrijving is maar een interpretatie. En deze interpretatie is in principe een origineel en authentiek stukje code, geschreven door het programma. Dus er bevindt zich geen data van de persoon in kwestie in de database.

[hellum]

Als die beschrijving kan terug te leiden is naar een persoon, dan is het nog steeds een persoonsgegeven

[MSalters]

Omdat de AVG een expliciet onderscheid maakt tussen persoonlijke verwerking voor eigen gebruik en ander gebruik.

Waarom mag je op de snelweg harder rijden dan binnen de bebouwde kom? Uiteindelijk is het antwoord weer hetzelde: omdat de wet andere regels heeft voor andere situaties.