Samenvatting

Volgens eigen zeggen is Clearview AI alleen toegankelijk voor rechtshandhavings-instanties. Het biedt een database van gezichtsbeelden afkomstig van "openbare webbronnen, waaronder nieuwsmedia, mugshot websites, openbare sociale media en andere open bronnen". Gebruikers kunnen beelden uploaden om ze te vergelijken met de beschikbare beelden in de database van Clearview AI.

In de eerste plaats wenst het Controleorgaan te benadrukken dat de nationaliteit van de betrokkenen en de vraag of zij al dan niet deel uitmaken van een "Belgisch" onderzoek, niet relevant zijn. Zij heeft bevestigd dat deze verwerking van persoons-gegevens onder de verantwoordelijkheid van een Belgische politiedienst valt. Dus zelfs als de Clearview AI-gezichtsherkenning door de federale gerechtelijke politie werd toegepast op niet-Belgische burgers, is een rechtsgrond voor de toepassing van de gezichtsherkenningstechnologie vereist.

Ten tweede is het gebruik van gezichtsherkenningstechnologie niet (specifiek) geregeld in de Wet op het politieambt. Artikel 44/1, § 2, 1° beschrijft zeer algemeen de rechtsgrond voor de verwerking van "biometrische gegevens" met het oog op de eenduidige identificatie van onder meer verdachten van een strafbaar feit en vermiste personen. Zij bevat echter geen toereikende rechtsgrond voor de toepassing van de vorm van gezichtsherkenningstechnologie zoals die door Clearview AI wordt aangeboden.

Voorts verwijst het Controleorgaan naar zijn verslag over de zaak van de gezichts-herkenning op Brussels Airport en verduidelijkt het dat de zaak Clearview AI op bepaalde (essentiële) punten verschilt:

• Gezichtsherkenning werd niet toegepast op camerabeelden van openbare plaatsen. Er werd gebruik gemaakt van reeds beschikbare foto's of beeldmateriaal, waarop de gezichtsherkenning gericht werd toegepast;
• De federale politie vertrouwde voor de levering van gezichtsherkenningstechnologie op een derde partij, in dit geval Clearview AI, een particuliere en commerciële entiteit die in de Verenigde Staten is gevestigd. Persoonsgegevens van de politie werden doorgegeven aan een partij in een derde land zonder dat duidelijk was of de ontvanger een passend beschermingsniveau garandeerde of passende waarborgen bood;
• Belgische politiediensten hebben informatie en persoonsgegevens doorgegeven of, althans, beschikbaar gesteld aan een derde particuliere ontvanger, wat niet in de Wet op het politieambt is geregeld. Een dergelijke doorgifte was niet toegestaan (ongeacht of het om een Belgische of EU-instelling of -onderneming ging, laat staan om een onderneming uit de VS);
• Een gebruiker van de Clearview AI-applicatie heeft geen enkele controle over de verwerking van biometrische gegevens. De foto's en afbeeldingen worden geüpload via een URL, waardoor de foto's en afbeeldingen worden doorgestuurd naar het Amerikaanse bedrijf Clearview AI. De foto's en beelden, met inbegrip van de biometrische gegevens (het sjabloon dat de unieke persoonsgegevens bevat), worden buiten de politieomgeving (en buiten de EER) verzonden en verwerkt. De politiedienst die de foto's en beelden verstrekt, heeft derhalve geen enkele controle (meer) over de verwerking van de biometrische gegevens, noch over de verdere verwerking door de ontvanger.

Wat beide zaken wel gemeen hebben, is dat ze allebei in een zogenaamde "testomgeving" werden uitgevoerd. Er zijn echter geen afwijkingen van het wettelijke kader, zelfs niet als het om een testfase of een proefproject zou gaan, wat betekent dat zowel de Wet op het politieambt als de Belgische Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens nageleefd moeten worden.

Voorts benadrukte het Controleorgaan dat er rekening mee moet worden gehouden dat politiefoto's worden overgedragen aan een commercieel bedrijf en dat biometrische gegevens door dit bedrijf worden opgeslagen. De verwerking van deze foto's en beelden vormt het bedrijfsmodel van Clearview AI. Bovendien is het een misvatting te denken dat alleen foto's van daders of slachtoffers worden opgeslagen, aangezien het gaat om foto's die deel uitmaken van politiedossiers. Niet alleen foto's van mogelijke daders, maar ook van slachtoffers (en zelfs getuigen of omstanders) komen dus in handen van een bedrijf dat zijn bestaan en winst genereert en optimaliseert op basis van zeer gevoelige informatie.

Het Controleorgaan concludeerde met de aanbeveling dat politiepersoneel (en leidinggevenden) bewust moeten worden gemaakt van het gebruik van ‘open source intelligence’ in de context van het toepasselijke algemene rechtskader en gegevens-beschermingswetgeving in het bijzonder. Zij gelastte de politie er ook voor te zorgen dat Clearview AI de ingediende foto's uit zijn databank verwijdert, evenals de daarmee verband houdende biometrische verwerkingsactiviteiten. Het gaf ook een waarschuwing over toekomstig gebruik: " elk toekomstig (potentieel) gebruik van de Clearview gezichtsherkenningstechnologie of een gelijkaardige applicatie dan wel het gebruik van een gelijkaardige gegevensbank is onwettig.”