22. Dezember 2022
Clearview AI
Vor einigen Jahren geriet das US-amerikanische Tech-Unternehmen Clearview AI in die Schlagzeilen. Es filtert ungefragt Gesichter aus dem Internet, wertet diese biometrisch aus, katalogisiert sie und stellt die Daten der Polizei und anderen Strafverfolgungsbehörden zur Verfügung.
PimEyes
Die Computersoftware PimEyes ist hingegen für Private bzw. zahlende Nutzer gedacht. Gemäss PimEyes sollen Menschen herausfinden können, wer ihre Fotos im Netz verbreitet. PimEyes verspricht, dass Personen ein Foto von sich hochladen können, damit diese Fotos nicht mehr in späteren Suchresultaten gefunden würden. Dieser Schutz mit Namen "PROtect“ kostet etwas unter 100 Franken im Monat.
Welche Funktionen haben diese Suchmaschinen?
Es braucht nur einen Screenshot oder ein Foto einer Person, um diese im Netz zu suchen. Die Suchmaschine erfasst die biometrischen Merkmale des Gesichts (z.B. die Abstände von Augen, Nase und Mund). PimEyes findet als Ergebnis ähnliche oder gar identische Gesichter inkl. Link zum Fundort im Internet. Es gibt verschiedene „Nutzungsabos“. Mit dem mehrere hundert Franken teuren Monats-Abo „Advanced“ kann unlimitiert nach Gesichtern gesucht werden und es sind 500 „Alerts“ (Benachrichtigungen) möglich. Der Suchmodus bei diesem Plan nennt sich „deep search“ (tiefgreifende Suche). PimEyes betont, dass die Software „nicht für die Überwachung anderer Personen gedacht“ sei. Die oben erwähnten unendlichen Suchmöglichkeiten und die 500 Benachrichtigungen sowie die Privatsphäre zu hohen Kosten „PROtect“) lassen wohl auf etwas anderes schliessen.
Gefahren
Ob auf Demonstrationen, im SpitalWartezimmer, in den öffentlichen Verkehrsmitteln oder auf der DatingApp: Die Zeit der Anonymität ist vorbei. Personen können mithilfe der Software und Fotos derselbigen identifiziert werden, wenn sich entsprechendes Material online befindet. Dies hat nicht «nur» Konsequenzen für die Privatsphäre. Auch der Ruf, die Sicherheit oder sogar das Leben der Betroffenen können auf dem Spiel stehen.
Sind die Dienste legal?
Sowohl PimEyes als auch Clearview AI greifen massiv in die informationelle Selbstbestimmung der Menschen ein. Die Dienste verstossen unter anderem auch gegen Artikel 9 der Datenschutzgrundverordnung (DSGVO) der EU. Demnach ist die Verarbeitung von biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person ohne deren ausdrückliche Einwilligung untersagt.
In der Schweiz (Bund und Kantone) wurden die Datenschutzgesetzgebungen noch nicht überall angepasst bzw. sind noch nicht in Kraft. Aber auch der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) liess am 11.02.2020 verlauten (https://www.edoeb.admin.ch/edoeb/de/home/datenschutz/grundlagen/ndsg.html): „Auch wenn Gesichtsdaten nicht per se als besonders schützenswert i.S. von Art. 3 Bst. c des Bundesgesetzes über den Datenschutz (DSG) einzustufen sind, stellt die Massenbeschaffung von Gesichtsdaten aus internet-zugänglichen Quellen eine Persönlichkeitsverletzung i.S.v. Art. 12 Abs. 2 Bst. a DSG dar, wenn die damit einhergehende Bearbeitung gegen die Grundsätze der Art. 4, 5 Abs. 1 und 7 Abs. 1 DSG verstösst. Wer ungefragt Gesichtsdaten in Massen beschafft und zu Zwecken bearbeitet, die bei der Beschaffung weder deklariert, noch aus den Umständen ersichtlich oder gesetzlich vorgesehen sind, verstösst gegen die Grundsätze der Transparenz, Verhältnismässigkeit und der Zweckbindung.“
Verfahren beim EDÖB und bei EU-Datenschutzbehörden
Aktuell sind sowohl beim EDÖB als auch bei verschiedenen Datenschutzbehörden der EU Massnahmen getroffen worden (z.B. Auskunfts- und Löschgesuche). Auch Verfahren gegen einen oder beide Dienste sind in verschiedenen Ländern hängig oder bereits abgeschlossen. So hat die französische Datenschutzbehörde CNIL im Oktober 2022 Clearview AI mit der in der DSGVO vorgesehenen Höchststrafe (!) von 20 Millionen Euro gebüsst (https://www.cnil.fr/en/facial-recognition-20-million-euros-penalty-against-clearview-ai). Die Gesichtsbilder dürfen zudem nicht mehr illegal verwendet werden und müssen gelöscht werden.
Kein Einsatz dieser Gesichtserkennung
Der EDÖB rät ab «Abgleiche mit Gesichtsbildern ohne Einwilligung der Betroffenen vorzunehmen“ und ist deswegen unter anderem an die Strafverfolgungsbehörden des Bundes gelangt.
Im März 2020 wurde bestätigt, dass die Direktionen des Bundesamts für Polizei, das Bundesamt für Zoll und Grenzsicherheit sowie der Nachrichtendienst des Bundes „in ihrer Tätigkeit Software wie Clearview weder einsetzen noch einzusetzen beabsichtigen“.
Unsere Empfehlung für SZ/OW/NW
Wir vertreten in unserem Tätigkeitsgebiet die Sichtweise des EDÖB und der europäischen Datenschutzbehörden und empfehlen darum jeglichen öffentlichen Organen (z.B. Kantonspolieien, Migrationsämtern, Personalämtern) auf den Einsatz von solchen oben beschriebenen oftwares zu verzichten. Zudem dürfen öffentliche Organe grundsätzlich nur mit (freiwilliger und einzelfallbezogener) Einwilligung der betroffenen Personen Fotos auf Homepages oder in anderen Publikationen veröffentlichen. Das „Recht am eigenen Bild“ muss eingehalten werden. Personen dürfen keine Nachteile (oder weniger Vorteile) erfahren, wenn sie mit einer Veröffentlichung nicht einverstanden sind. Öffentliche Organe sind zudem weiterhin angehalten, das Bildmaterial mit technischen und organisatorischen Massnahmen gegen unbefugte Bearbeitung (also auch solcher) zu schützen.
Sonja Bukart