Com nova sanção na Grécia, Clearview acumula aproximadamente 49 milhões de euros em penalidades por violações à privacidade e à proteção de dados
Em 13 de julho, a Autoridade de Proteção de Dados da Grécia multou a companhia Clearview AI Inc. (Clearview) em 20 milhões de euros. O valor é exatamente o mesmo da penalidade imposta pela Autoridade de Proteção de Dados da Itália, em fevereiro de 2022, contra a empresa. Os valores altíssimos são intimamente ligados às práticas sofisticadas de coleta de dados e reconhecimento facial da empresa.
A Clearview é especializada em uma prática conhecida como scraping, isto é, por meio de um programa de inteligência artificial, realiza a coleta de dados publicamente disponíveis na internet e os compara com dados contidos em banco de dados próprio. O sistema da Clearview atua especificamente na coleta de imagens com o rosto de pessoas, possuindo mais de 20 bilhões faces em seu banco de dados. Na prática, seu programa varre perfis em redes sociais, fotos em sites, e todo conteúdo disponível, permitindo a identificação e coleta de imagens que possuam o rosto de indivíduos.
Em linhas gerais, o serviço prestado pela empresa consistia na comparação, a partir de fotos dos seus clientes, das imagens recebidas com aquelas contidas em seu enorme banco de dados, possibilitando, então, a identificação biométrica de indivíduos. A polícia da Suécia, por exemplo, utilizava o programa submetendo fotos de procurados para que o sistema da Clearview identificasse imagens com o mesmo rosto, facilitando investigações.
Dentre outros pontos levantados, as autoridades de proteção de dados da Grécia e Itália alegaram que a atividade da Clearview não garante transparência, tampouco informa o titular sobre o tratamento. Uma pessoa que simplesmente posta sua foto, ou aparece em foto de terceiro, não tem ciência de que a empresa irá armazenar sua foto em um enorme banco de dados para obter a sua biometria. De acordo com as autoridades, essa falta de informação e transparência violam o Regulamento Europeu de Proteção de Dados (GDPR).
Ambas as autoridades da Grécia e Itália entenderam que o tratamento de dados sensíveis exige, cumulativamente, uma base legal para o tratamento dados pessoais não sensíveis, não bastando o encaixe do artigo 9(2)(e).
Além disso, a Autoridade de Proteção de Dados da Itália argumentou que o tratamento de dados tornados públicos pelo titular deve respeitar os interesses que os tornaram públicos, muito embora o artigo 9(2)(e) do GDPR não seja expresso nesse sentido.
A Clearview também foi multada pelo ICO em valor próximo a 9 milhões de euros. Somando as multas, somente na União Europeia, tem-se um montante de aproximadamente 49 milhões de euros em sanções aplicadas contra a empresa. Em outras três jurisdições – França, Canadá e Austrália – a Clearview recebeu ordens para deletar dados biométricos de seus nacionais, bem como parar de coletar dados biométricos de indivíduos nesses países.
Nos Estados Unidos, a Clearview foi processada no Estado de Illinois pela American Civil Liberties Union, uma associação pela defesa de liberdades civis. O processo resultou em um acordo no qual a Clearview se comprometeu, dentre outras restrições, a não oferecer seus serviços para empresas privadas nos Estados Unidos. Para além das violações descritas, as autoridades também se preocupam com temas críticos, tais como potenciais vieses raciais dos algoritmos, bem como falsos positivos que ocorram dentro da sua taxa de erro.
Para ler sobre a decisão no Reino Unido, clique aqui.
Para ler sobre o acordo da Clearview nos Estados Unidos, clique aqui.
Este conteúdo faz parte do Informativo de Proteção de Dados. Clique aqui para ler mais destaques.
