Kolejne decyzje w sprawie Clearview AI – naruszenia RODO w zakresie danych biometrycznych

Firma Clearview AI przetwarza dane osobowe w postaci wizerunków w ramach technologii rozpoznawania twarzy. Prawdopodobnie przechowuje ona ok. 30 mld wizerunków pobieranych m.in. z portali społecznościowych czy serwisów streamingowych za pomocą technologii web scrapingu. Wizerunki te są przetwarzane za pomocą sztucznej inteligencji, na podstawie danych biometrycznych wyodrębnionych z obrazów. W ten sposób tworzone są profile, które mogą być powiązane np. z tagami czy danami geolokalizacyjnymi. Dane te są przekazywane w ramach świadczonych usług m.in. organom ścigania. Tego typu przetwarzanie danych za pomocą AI wzbudza duże kontrowersje.

Sprawa trafiła do austriackiego organ nadzorczy (DSB) stwierdził, że takie przetwarzanie danych jest niezgodne z RODO. Przede wszystkim zarzucił brak podstaw do przetwarzania danych biometrycznych jako danych wrażliwych. Natomiast w zakresie danych osobowych zwykłych można było rozważyć jedynie powołanie się na art. 6 ust. 1 lit. f RODO. Niemniej jednak nie było to możliwe z uwagi na nadmierną ingerencję w prawa podmiotów danych. Doszło więc do naruszenia reguły legalizmu.

Firmie zarzucono też zbyt długie, a właściwie trwałe przechowywanie danych osobowych – bez jakiegokolwiek okresu retencji. Do tego stwierdzono naruszenie zasad minimalizacji, przejrzystości, a także reguły ograniczenia celu przetwarzania. W efekcie DSB nakazał usunięcie danych osobowych skarżącego. Poza tym zobligował administratora do wyznaczenia przedstawiciela w Unii Europejskiej.

To jednak nie jedyna decyzja, jaką ostatnio wydano w sprawie Clearview AI. Przypomnijmy, że 17 października 2022 r. firma ta została ukarana przez francuski organ nadzorczy (CNIL) m.in. za brak podstaw do przetwarzania danych biometrycznych. CNIL wymierzył administratorowi karę w wysokości 20 mln euro, ale też zakazał dalszego przetwarzania wskazanych danych i zobligował do ich usunięcia. Więcej o tej sprawie w artykule: 20 mln euro kary dla spółki Clearview AI.

Nakaz CNIL nie został jednak wykonany w wyznaczonym 2-miesięcznym terminie. W konsekwencji firmie Clearview AI wymierzono karę w wysokości 5,2 mln euro.