I forbindelse med sit møde den 9. juni svarede Det Europæiske Databeskyttelsesråd på en henvendelse fra en række Europaparlamentsmedlemmer, der har udtrykt bekymring for, at et nyt ansigtskendelsesværktøj fra det amerikanske selskab Clearview Ai, skulle blive anvendt i Europa.
Clearview Ai har, siden opstarten i 2016, formået at leve et stille liv uden for de amerikanske myndighedernes kontrol. Virksomheden er etableret af en australsk-vietnamesisk iværksætter, og er medfinansieret af nogle af USA’s mest succesfulde investorer.
Clearview Ai fungerer på den måde, at brugeren tager et billede af en person, uploader det til Clearview’s servere, der omdanner billedet til et matematisk udtryk baseret på forskellige ansigtskendetræk, og derefter sammenligner billedet med mere end 3 milliarder billeder, som er hentet fra forskellige hjemmesider, herunder YouTube, Facebook og Venmo. Dette billedkartotek, der sammen med den biometriske software udgør rygraden i løsningen, er mange gange større end de billedkartoteker, som offentlige myndigheder normalt har adgang til i forbindelse med efterforskning af kriminalitet. Fx indeholder det største kendte billedkartotek, som FBI anvender, ”kun” godt 400 millioner billeder.
En artikel i New York Times fra januar 2020 afslørede, at mere end 600 politi- og anklagemyndigheder i USA allerede har anskaffet produktet. Avisen interviewede flere kunder, som samstemmende kunne berette om, hvor effektivt værktøjet er, og at Clearviews billedidentifikation i flere konkrete sager har været afgørende for at alvorlige sager om kriminalitet har ført til domfældelse.
Flere forskere har dog udtrykt bekymring for, at risikoen for fejlidentifikation er høj (gennem den såkaldte doppelgänger effekt), når billedkartoteket er så omfattende, og består af billeder af tilfældigt udvalgte individer fundet på internettet.
Dertil kommer, at de store sociale medier, som bl.a. Facebook, er begyndt at interessere sig for Clearview, fordi forretningsbetingelserne for de fleste SoMe virksomheder rent faktisk forbyder den omfattende indsamling/scraping af billedmateriale, som Clearview’s løsning bygger på.
Skrækscenariet, set fra et privacy synspunkt, er selvfølgelig, at løsningen bliver tilgængelige for private. Det kunne på længere sigt føre til, at det at søge efter en person baseret på et ansigtsbillede bliver lige så almindeligt som at google et navn. Værktøjet ville kunne bruges til at identificere fredelige demonstranter, eller en tilfældig fremmed i metroen. En eventuel fremtidig kombination af Clearview Ai og AR/VR briller ville i praksis gøre det umuligt at opholde sig anonymt i det offentlige rum.
Den er den slags bekymringer for perspektiverne ved brugen af Clearview Ai, der ligger til grund for MEP’ernes henvendelse til EDPB. I første omgang samler interessen sig dog primært om, hvorvidt europæiske retshåndhævende myndigheder, fx politi, anklagemyndigheder og domstole, lovligt kan anskaffe og anvende værktøjet.
I sit svar til MEP’erne siger EDPB, at de grundlæggende deler bekymringen over udviklingen inden for brugen af ansigtsgenkendelseteknologi.
EDPB minder om, at de retshåndhævende myndigheder i henhold til retshåndhævelsesdirektivet kun kan behandle biometriske data med henblik på entydigt at identificere en fysisk person indenfor de ret snævre rammer, der fremgår af direktivets artikel 8 og 10.
Uden at foregribe en eventuel kommende undersøgelse af produktet, er det EDPB’s umiddelbare opfattelse, at de retshåndhævende myndigheders brug af en tjeneste som Clearview AI i EU sandsynligvis ikke vil være i overensstemmelse med EU’s databeskyttelsesforordning. Det er på embedsmandssprog en ret klar advarsel til eventuelle interesserede rundt omkring i Europa om, at det nok ikke er så klogt at anskaffe og anvende produktet. Der foreligger ikke oplysninger om, hvorvidt politi- og anklagemyndigheder mv. i EU rent faktisk anvender Clearview Ai i dag.
Noget tyder med andre ord på, at de lovgivningsmæssige rammer for behandlingen af personoplysninger i forbindelse med retshåndhævelse i Europa er robuste nok til at imødegå de trusler mod borgernes privatliv, som et produkt som Clearview Ai indebærer, og at de europæiske datatilsynsmyndighederne – i modsætning til deres amerikanske kollegaer -i øvrigt virker til at være deres opgave voksen. Det skal vi være glade for!
Læs mere om, hvordan vi kan hjælpe dig videre på din GDPR-rejse på www.pdhub.dk.
