De Belgische politie heeft onrechtmatig de gezichtsherkenningstechnologie van Clearview AI gebruikt. Daardoor zijn bijzondere persoonsgegevens en politionele informatie in handen beland van een niet-geautoriseerd, buitenlands bedrijf. Het Amerikaanse technologiebedrijf moet worden verzocht om gezichten van Belgische mannen en vrouwen uit haar database te verwijderen.
Dat schrijft het Controleorgaan in een rapport (PDF). Het Controleorgaan ziet erop toe dat de Belgische politiediensten zich aan de nationale en internationale privacyregels houden.
Federale politie gebruikt mogelijk gezichtsherkenningssoftware
Voor het begin van deze zaak moeten we terug naar februari 2020. Het Controleorgaan kreeg toen de opdracht om een onderzoek in te stellen naar het gebruik van de gezichtsherkenningstechnologie van Clearview AI door de lokale of federale politie. Drie maanden concludeerde de toezichthouder dat er geen aanwijzingen waren dat er binnen de politiediensten gebruik werd gemaakt van gezichtsherkenningssoftware. De waakhond ging er zodoende van uit dat de politie geen beroep deed op de technologie van Clearview.
Ruim een jaar later, in augustus 2021, schreef Buzzfeednews dat de Belgische federale politie tussen de 100 en 500 keer gebruik zou hebben gemaakt van de gezichtsherkenningstechnologie van Clearview AI. Deze getallen waren volgens het Amerikaanse medium gebaseerd op interne informatie van het Amerikaanse bedrijf.
In oktober vertelt de minister van Binnenlandse Zaken Annelies Verlinden dat de federale politie niet structureel gebruik maakt van de diensten van Clearview. Uit intern onderzoek van de federale politie blijkt wel dat twee rechercheurs korte tijd toegang hadden tot een proeflicentie. “Aangezien het Belgisch wettelijk kader de exploitatie van deze software niet toelaat, zal ze niet door de federale politie worden gebruik”, aldus de minister van Binnenlandse Zaken.
Sprake van onrechtmatige gegevensverwerking
Toch kreeg het Controleorgaan de opdracht om een onderzoek in te stellen naar het gebruik van gezichtsherkenningssoftware van Clearview AI door de Belgische politie. In het rapport concludeert de toezichthouder dat leden van de federale politie geëxperimenteerd hebben met de gezichtsherkenningstechnologie van het Amerikaanse bedrijf. Daarbij werden foto’s van slachtoffers en daders van kinderporno gebruikt.
Ook het experimenteren met gezichtsherkenningssoftware is niet toegestaan en dus onrechtmatig, zo stelt het Controleorgaan. “De toepassing van gezichtsherkenningstechnologie betreft een specifieke verwerking van biometrische persoonsgegevens van het gezicht van de persoon waarbij unieke gezichtskenmerken van de persoon worden vastgelegd. De toepassing van gezichtsherkenningstechnologie betreft een zeer ernstige inmenging op de eerbiediging van de persoonlijke levenssfeer en de bescherming van de persoonsgegevens.”
Verder formuleert de Wet op het Politieambt (WPA) de mogelijkheid om biometrische gegevens in het algemeen te verwerken. Maar dat is geen “afdoende wettelijke basis om deze vorm van gezichtsherkenningstechnologie toe te passen”, zo zegt het Controleorgaan. Door het experiment zijn er bijzondere persoonsgegevens en politionele informatie naar de VS doorgestuurd, zonder dat de federale rechter heeft onderzocht of er een ‘passend beschermingsniveau’ is. Deze doorgifte van informatie is niet geregeld in de WPA. Zodoende is er sprake van een onrechtmatige gegevensverwerking.
Aanbevelingen en maatregelen
In het rapport noemt het Controleorgaan verschillende aanbevelingen en maatregelen die de federale politie moet treffen. Allereerst moet de politie meer bewustzijn creëren personeelsleden en leidinggevenden als ze gebruikmaken van Open Source Intelligence (OSINT). Daarnaast moet de verwerking van politionele informatie en persoonsgegevens een helder juridische status krijgen.
Als het gebruik van gezichtsherkenningstechnologie wettelijk wordt vastgelegd, moet er speciale aandacht worden besteed aan diverse aspecten. Als voorbeeld noemt de toezichthouder de bewaartermijn van biometrische gegevens, het uitvoeren van periodieke controles en transparantie van het verwerkingsproces.
De uitwisseling van bijzondere en politionele (persoons)gegevens naar Clearview moet volgens het Controleorgaan als een datalek worden beschouwd. De toezichthouder geeft de federale politie daarom de opdracht om al het nodige te doen om de doorgestuurde gegevens te wissen. Om te beginnen moet de politie de foto’s uit hun eigen gegevensbank verwijderen. Daarnaast moet de politie aan Clearview vragen om alle biometrische gegevens van Belgische mannen en vrouwen te verwijderen uit hun database.
Tot slot waarschuwt het Controleorgaan dat het gebruik van gezichtsherkenningstechnologie van Clearview of soortgelijk bedrijf of applicatie verboden is. De politie heeft 30 dagen de tijd om tegen de beslissing in beroep te gaan.
Nationale toezichthouders treden op tegen Clearview
Eerder deze week trad de Italiaanse toezichthouder GPDP hard op tegen Clearview AI. De privacywaakhond stelde vast dat het bedrijf onrechtmatig biometrische gegevens en locatiegegevens van Italiaanse burgers had verzameld en verwerkt. Ook overtrad het Amerikaanse bedrijf de Europese privacywetgeving en was het niet open en eerlijk over haar dataverzamelingspraktijken.
Ook in andere Europese landen en daarbuiten treden toezichthouders hard op tegen Clearview. De Information Commissioner’s Office (ICO) deelde eind vorig jaar een boete van 17 miljoen pond uit aan Clearview AI wegens het overtreden van de Britse privacyregels. Rond dezelfde tijd vroeg de Commission Nationale de l’ Informatique et des Libertés (CNIL) om niet langer foto’s van Franse burgers te verzamelen en verwerken. De Franse toezichthouder gaf bovendien de opdracht om alle foto’s van Franse mannen en vrouwen binnen twee maanden te verwijderen. Ook toezichthouders uit Zweden, Duitsland, Canada en Australië hebben Clearview de opdracht gegeven om op te houden met het verzamelen van gezichtsprofielen en andere bijzondere persoonsgegevens.
