Amerikaans bedrijf krijgt forse boete voor database met miljarden gezichtsfoto's
Het Amerikaanse gezichtsherkenningsbedrijf Clearview krijgt een boete van 30,5 miljoen euro van de Autoriteit Persoonsgegevens (AP). Het bedrijf heeft volgens de toezichthouder illegaal een gezichtendatabase met Nederlanders aangelegd. Het is de op een na hoogste boete die de toezichthouder ooit heeft opgelegd.
Clearview is een Amerikaans bedrijf dat meer dan 50 miljard foto's van het internet heeft verzameld voor een gezichtendatabase. De foto's zijn beschikbaar voor onder meer politiediensten. Zij kunnen de gezichtendatabase gebruiken om de identiteit van een persoon te achterhalen.
"Staat een foto van jou op internet – en voor wie geldt dat niet? – dan kun je in de database van Clearview terechtkomen en worden gevolgd", zegt AP-voorzitter Aleid Wolfsen in een bericht van de toezichthouder. "Dit is geen doemscenario uit een griezelige film. En ook niet iets wat alleen in China zou kunnen."
Als je ooit een foto van jezelf of iemand anders op bijvoorbeeld Facebook of Instagram hebt gezet, is de kans groot dat die beelden in de Clearview-database staan. Hier lees je meer over wat Clearview precies doet.
"Het feit dat die foto's op internet staan, wil niet zeggen dat anderen die zomaar mogen gebruiken", zegt Wolfsen tegen RTL Nieuws. "Als ik mijn auto open op straat zet, mogen anderen daar niet zomaar in wegrijden. Dat geldt ook voor persoonsgegevens."
Clearview zegt dat het bedrijf het oordeel van de AP naast zich neerlegt. "Clearview heeft geen vestiging in Nederland of de EU, heeft geen klanten in Nederland of de EU en onderneemt geen activiteiten waardoor het op een andere manier onder de AVG zou vallen", zegt het hoofd juridische zaken in een reactie tegen RTL Nieuws. "Deze beslissing is onwettig, onrechtmatig en niet te handhaven."
'Controle over mijn gezicht kwijt'
Clearview kwam onder de aandacht van de AP na een tip van privacyorganisatie Bits of Freedom. Een medewerker vroeg bij Clearview op welke foto's het bedrijf van haar had. Daar kwam onder meer een foto op de LinkedIn-pagina van iemand anders terug.
"Mensen zeggen altijd: je moet zélf voorzichtig zijn wat je van jezelf online zet", zei die medewerker, Lotte Houwing, vorig jaar tegen RTL Nieuws. "Dat is dus niet de oplossing. Juist die foto op de LinkedIn-pagina van een bekende, maakte bij mij het meeste los. Ik was de controle over mijn gezicht kwijt."
Nederlandse politie gebruikte het systeem
De Nederlandse politie heeft Clearview in het verleden uitgeprobeerd, maar besloot later dat het gebruik ervan niet voldeed aan de regels die daarvoor gelden. De AP komt daar vandaag nog met een waarschuwing bovenop: "Clearview overtreedt de wet en gebruikmaken van de diensten van Clearview is daarmee illegaal", zegt Wolfsen.
De Nederlandse politie heeft zelf twee gezichtendatabases om mensen te identificeren: één met verdachten en veroordeelden, en een met alle mensen die van buiten de Europese Unie naar Nederland komen.
Clearview is volgens de toezichthouder ook onvoldoende transparant. Mensen die in de database staan, hebben het recht om hun gegevens in te zien, schrijft de AP. "Dat betekent dat Clearview mensen moet laten zien welke gegevens het bedrijf over hen heeft, als zij daarnaar vragen. Maar Clearview werkt niet mee aan inzageverzoeken."
"Het bedrijf had de database nooit mogen aanleggen." Door dat wel te doen én mensen die erom vragen geen duidelijkheid te geven, heeft Clearview de privacywet volgens de toezichthouder 'ernstig overtreden'. Als Clearview daar niet mee stopt, moet het bedrijf bovenop de boete van 30,5 miljoen nog eens ruim 5 miljoen betalen.
Niet de eerste boete
Het is niet de eerste privacyboete die Clearview van een Europese toezichthouder heeft gekregen. Het Amerikaanse bedrijf werd eerder al op de vingers getikt door Italië, Griekenland en Frankrijk. Het totaalbedrag van die boetes is ruim 65 miljoen euro. Daar komt nu dus ruim 30 miljoen euro bovenop.
Clearview heeft de boete vooralsnog niet betaald. Het bedrijf heeft niet gereageerd toen de Autoriteit Persoonsgegevens contact zocht en ook niet meegewerkt aan het onderzoek, laat een AP-woordvoerder weten. "Het bedrijf kan geen bezwaar meer maken tegen de boete omdat die termijn is verstreken. De boete is onherroepelijk."
Hoan Ton-That, de oprichter en directeur van Clearview, zei vorig jaar al tegen RTL Nieuws dat zijn bedrijf volgens hem niet onder de Europese privacywet AVG valt.
Vanwege deze houding onderzoekt de Autoriteit Persoonsgegevens of het mogelijk is om Ton-That persoonlijk aansprakelijk te stellen. "De leiding van het bedrijf weet dat ze de wet overtreden", zegt Wolfsen. "Als we een boete op iemands naam kunnen zetten, kan diegene niet meer in Europa reizen zonder dat we aan hun geld komen. Dan kunnen we ze in de kraag vatten."
Ook wil de toezichthouder dat Europa en de Verenigde Staten verdragen sluiten over dit soort situaties. Dat moet het mogelijk maken dat Amerikaanse autoriteiten achter bedrijven aan kunnen gaan om ervoor te zorgen dat Europese boetes betaald worden.
