REU, Alm.del - 2019-20 - Endeligt svar på spørgsmål 981: Spm. om kommentar til artiklen "Har de også dit? Firma har indsamlet milliarder af private fotos og sælger nu ansigtsgenkendelse til hvem som helst, Politiken den 24. februar 2020, til justitsministeren

Retsudvalget 2019-20
REU Alm.del
Offentligt

Folketinget

Europaudvalget

Christiansborg

1240 København K

DK Danmark

Dato:

Kontor:

Sagsbeh:

Sagsnr.:

Dok.:

10. marts 2020

Databeskyttelseskontoret

Emilie Liv Loiborg

2020-0032/06-0107

1395603

Hermed sendes besvarelse af spørgsmål nr. 11 til KOM (2012) 0011 (For-

slag til forordning om beskyttelse af fysiske personer i forbindelse med be-

handling af personoplysninger og om fri udveksling af sådanne oplysninger

(generel forordning om databeskyttelse) (EØS-relevant tekst) {SEC(2012)

72 final} {SEC(2012) 73 final}, som Folketingets Europaudvalg har stillet

til justitsministeren den 11. februar 2020. Spørgsmålet er stillet efter ønske

fra Rasmus Nordqvist (ALT).

Nick Hækkerup

Maiken Bøgelund Bek

Slotsholmsgade 10

1216 København K.

T +45 7226 8400

F +45 3393 3510

www.justitsministeriet.dk

[email protected]

REU, Alm.del - 2019-20 - Endeligt svar på spørgsmål 981: Spm. om kommentar til artiklen "Har de også dit? Firma har indsamlet milliarder af private fotos og sælger nu ansigtsgenkendelse til hvem som helst, Politiken den 24. februar 2020, til justitsministeren

Spørgsmål nr. 11 til KOM (2012) 0011 (Forslag til forordning om be-

skyttelse af fysiske personer i forbindelse med behandling af personop-

lysninger og om fri udveksling af sådanne oplysninger (generel forord-

ning om databeskyttelse) (EØS-relevant tekst) {SEC(2012) 72 final}

{SEC(2012) 73 final}

”Er det ministerens opfattelse, at firmaet Clearview AI’s billed-

håndtering som omtalt i artikel hos CNN er lovlig praksis ift.

overholdelse af Databeskyttelsesforordningen og supplerende

nationale regler?”

Svar:

Justitsministeriet har til brug for besvarelsen indhentet bidrag fra Datatil-

synet.

Det fremgår bl.a. af Datatilsynets udtalelser, at hvis Clearview AI’s indsam-

ling af personoplysninger er omfattet af databeskyttelsesforordningen, så er

det tilsynets umiddelbare opfattelse, at det må anses for tvivlsomt, om virk-

somhedens behandling af personoplysninger kan foretages med hjemmel i

databeskyttelsesforordningen.

Datatilsynets nærmere begrundelse og argumentation herfor fremgår neden-

for, hvor tilsynet også orienterer om Det Europæiske Databeskyttelsesråds

behandling af sagen.

Datatilsynet har til brug for besvarelsen oplyst følgende:

”Det fremgår af artiklen ”This man says he’s stockpiling billions

of our photos”, der er offentliggjort på CNN’s hjemmeside den

10. februar 2020

, at den amerikanske virksomhed Clearview AI

har downloadet milliarder af billeder fra store sociale mediep-

latforme og forskellige typer hjemmesider på internettet, og at

virksomheden opbevarer billederne, efter at brugerne sletter

dem fra platformene eller gør deres konti private. Clearview

sælger efter det oplyste adgang til Clearviews database til bl.a.

retshåndhævende myndigheder, så myndighederne kan matche

ukendte ansigter med andre billeder. Clearviews administre-

rende direktør udtaler, at teknologien redder børn og opklarer

kriminalitet, og at en række banker bruger Clearviews software

til svindelundersøgelser.

https://www.cnn.com/2020/02/10/tech/clearview-ai-ceo-hoan-ton-that/index.html

Databeskyttelsesforordningen

finder ifølge artikel 2, stk. 1, an-

vendelse på behandling af personoplysninger, der helt eller del-

vis foretages ved hjælp af automatisk databehandling, og på an-

den ikkeautomatisk behandling af personoplysninger, der er el-

ler vil blive indeholdt i et register.

Det følger af databeskyttelsesforordningens artikel 3, stk. 1, at

forordningen finder anvendelse på behandling af personoplys-

ninger, som foretages som led i aktiviteter, der udføres for en

dataansvarlig eller en databehandler, som er etableret i Unionen,

uanset om behandlingen finder sted i Unionen eller ej.

Ifølge databeskyttelsesforordningens artikel 3, stk. 2, finder for-

ordningen endvidere anvendelse på behandling af personoplys-

ninger om registrerede, der er i Unionen, og som foretages af en

dataansvarlig eller databehandler, der ikke er etableret i Unio-

nen, hvis behandlingsaktiviteterne vedrører udbud af varer eller

tjenester til sådanne registrerede i Unionen, uanset om betaling

fra den registrerede er påkrævet (litra a), eller overvågning af

sådanne registreredes adfærd, for så vidt deres adfærd finder

sted i Unionen (litra b).

Det må på baggrund af det oplyste umiddelbart lægges til grund,

at Clearview ikke er etableret i EU, og at virksomhedens be-

handlingsaktiviteter ikke vedrører udbud af varer eller tjenester

til registrerede i EU. Datatilsynet kan endvidere ikke på bag-

grund af artiklen nærmere fastslå, om Clearviews behandlings-

aktiviteter vedrører overvågning af registrerede, der er i EU.

I det omfang Clearviews behandling, herunder indsamling, op-

bevaring og videregivelse, af personoplysninger måtte ligge in-

den for databeskyttelsesforordningens anvendelsesområde, skal

behandlingen af oplysninger ske i overensstemmelse med data-

beskyttelsesforordningen.

Som Datatilsynet forstår Clearviews teknologi, kan man køre et

billede af en person gennem virksomhedens database, som ved

brug af ansigtsgenkendelse finder billeder af personen fra nuvæ-

rende og tidligere offentligt tilgængelige sociale platforme og

hjemmesider.

Begrebet biometriske data defineres ifølge databeskyttelsesfor-

ordningens artikel 4, nr. 14, som personoplysninger, der som

følge af specifik teknisk behandling vedrørende en fysisk per-

sons fysiske, fysiologiske eller adfærdsmæssige karakteristika

muliggør eller bekræfter en entydig identifikation af vedkom-

mende, f.eks. ansigtsbillede eller fingeraftryksoplysninger.

Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse

af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling

af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

Efter databeskyttelsesforordningens artikel 9, stk. 1, gælder der

et forbud mod behandling af særlige kategorier af oplysninger,

herunder behandling af biometriske data med det formål enty-

digt at identificere en fysisk person. Sådanne oplysninger må

dog behandles, hvis en af undtagelserne i artikel 9, stk. 2, litra

a-j, finder anvendelse. Det gælder bl.a., hvis:

a) Den registrerede har givet udtrykkeligt samtykke til behandling

af sådanne personoplysninger til et eller flere specifikke formål,

medmindre det i EU-retten eller medlemsstaternes nationale ret

er fastsat, at det i stk. 1 omhandlede forbud ikke kan hæves ved

den registreredes samtykke.

e) Behandling vedrører personoplysninger, som tydeligvis er of-

fentliggjort af den registrerede.

g) Behandling er nødvendig af hensyn til væsentlige samfundsin-

teresser på grundlag af EU-retten eller medlemsstaternes natio-

nale ret og står i rimeligt forhold til det mål, der forfølges,

respekterer det væsentligste indhold af retten til databeskyttelse

og sikrer passende og specifikke foranstaltninger til beskyttelse

af den registreredes grundlæggende rettigheder og interesser.

Der skal endvidere tillige være et lovligt grundlag for behand-

lingen i databeskyttelsesforordningens artikel 6.

Efter databeskyttelsesforordningens artikel 6, stk. 1, vil behand-

ling af personoplysninger bl.a. kunne ske hvis:

a) Den registrerede har givet samtykke til behandling af sine per-

sonoplysninger til et eller flere specifikke formål.

e) Behandling er nødvendig af hensyn til udførelse af en opgave i

samfundets interesse eller som henhører under offentlig myn-

dighedsudøvelse, som den dataansvarlige har fået pålagt.

f) Behandling er nødvendig for, at den dataansvarlige eller en tred-

jemand kan forfølge en legitim interesse, medmindre den regi-

streredes interesser eller grundlæggende rettigheder og friheds-

rettigheder, der kræver beskyttelse af personoplysninger, går

forud herfor, navnlig hvis den registrerede er et barn.

Det bemærkes, at databeskyttelsesforordningens artikel 6, stk.

1, litra f, ikke kan anvendes i forhold til behandling, som offent-

lige myndigheder foretager som et led i udførelsen af deres op-

gaver.

Det bemærkes i den forbindelse, at det på baggrund af de fore-

liggende oplysninger om Clearview AI i medierne og på virk-

somhedens hjemmeside efter Datatilsynets umiddelbare opfat-

telse må anses for tvivlsomt, om virksomhedens behandling af

personoplysninger kan foretages med hjemmel i databeskyttel-

sesforordningen. Datatilsynet lægger herved bl.a. vægt på, at der

ikke nødvendigvis er tale om oplysninger offentliggjort af den

registrerede selv, at de registrerede ikke i øvrigt ses at have givet

samtykke til behandlingen, og at der ikke foreligger oplysnin-

ger, der giver grundlag for at antage, at behandlingen er nødven-

dig for, at Clearview AI eller andre kan forfølge en legitim in-

teresse, der går forud for de registreredes interesser og rettighe-

der.

Datatilsynet kan i øvrigt oplyse, at tilsynet er bekendt med, at

medlemmer af Europa-Parlamentet i et brev til Det Europæiske

Databeskyttelsesråd bl.a. har spurgt ind til, hvorvidt Clearview

AI’s aktiviteter er i overensstemmelse med databeskyttelsesreg-

lerne.

En arbejdsgruppe under Det Europæiske Databeskyttelsesråd,

som Datatilsynet deltager i, vurderer for tiden de rejste spørgs-

mål.

EU-Kommissionen ses at have modtaget lignende spørgsmål fra

et Europa-Parlamentsmedlem.”