KOM (2012) 0011 - svar på spm. 11 om firmaet Clearview AI’s billedhåndtering i forhold til overholdelse af Databeskyttelsesforordningen, fra justitsministeren

Udenrigsministeriet
Asiatisk Plads 2
DK-1448 København K
Telefon +45 33 92 00 00
Telefax +45 32 54 05 33
E-mail: um@um.dk
http://www.um.dk
Girokonto 3 00 18 06
Medlemmerne af Folketingets Europaudvalg
Bilag Sagsnummer Kontor
1 2020-1125 EKN 10. marts 2020
SVAR PÅ UDVALGSSPØRGSMÅL
Til underretning for Folketingets Europaudvalg vedlægges Justitsministe-
riets besvarelse af spørgsmål 11 ad KOM (2012) 0011 af 11. februar 2020
vedrørende Clearview.
Jeppe Kofod
Europaudvalget 2012
KOM (2012) 0011 endeligt svar på spørgsmål 11
Offentligt


Slotsholmsgade 10
1216 København K.
T +45 7226 8400
F +45 3393 3510
www.justitsministeriet.dk
jm@jm.dk
Hermed sendes besvarelse af spørgsmål nr. 11 til KOM (2012) 0011 (For-
slag til forordning om beskyttelse af fysiske personer i forbindelse med be-
handling af personoplysninger og om fri udveksling af sådanne oplysninger
(generel forordning om databeskyttelse) (EØS-relevant tekst) {SEC(2012)
72 final} {SEC(2012) 73 final}, som Folketingets Europaudvalg har stillet
til justitsministeren den 11. februar 2020. Spørgsmålet er stillet efter ønske
fra Rasmus Nordqvist (ALT).
Nick Hækkerup
/
Maiken Bøgelund Bek
Folketinget
Europaudvalget
Christiansborg
1240 København K
DK Danmark
Dato: 10. marts 2020
Kontor: Databeskyttelseskontoret
Sagsbeh: Emilie Liv Loiborg
Sagsnr.: 2020-0032/06-0107
Dok.: 1395603
Europaudvalget 2012
KOM (2012) 0011 endeligt svar på spørgsmål 11
Offentligt
2
Spørgsmål nr. 11 til KOM (2012) 0011 (Forslag til forordning om be-
skyttelse af fysiske personer i forbindelse med behandling af personop-
lysninger og om fri udveksling af sådanne oplysninger (generel forord-
ning om databeskyttelse) (EØS-relevant tekst) {SEC(2012) 72 final}
{SEC(2012) 73 final}
”Er det ministerens opfattelse, at firmaet Clearview AI’s billed-
håndtering som omtalt i artikel hos CNN er lovlig praksis ift.
overholdelse af Databeskyttelsesforordningen og supplerende
nationale regler?”
Svar:
1. Justitsministeriet har til brug for besvarelsen indhentet bidrag fra Datatil-
synet.
Det fremgår bl.a. af Datatilsynets udtalelser, at hvis Clearview AI’s indsam-
ling af personoplysninger er omfattet af databeskyttelsesforordningen, så er
det tilsynets umiddelbare opfattelse, at det må anses for tvivlsomt, om virk-
somhedens behandling af personoplysninger kan foretages med hjemmel i
databeskyttelsesforordningen.
Datatilsynets nærmere begrundelse og argumentation herfor fremgår neden-
for, hvor tilsynet også orienterer om Det Europæiske Databeskyttelsesråds
behandling af sagen.
2. Datatilsynet har til brug for besvarelsen oplyst følgende:
”Det fremgår af artiklen ”This man says he’s stockpiling billions
of our photos”, der er offentliggjort på CNN’s hjemmeside den
10. februar 20201
, at den amerikanske virksomhed Clearview AI
har downloadet milliarder af billeder fra store sociale medieplat-
forme og forskellige typer hjemmesider på internettet, og at
virksomheden opbevarer billederne, efter at brugerne sletter
dem fra platformene eller gør deres konti private. Clearview
sælger efter det oplyste adgang til Clearviews database til bl.a.
retshåndhævende myndigheder, så myndighederne kan matche
ukendte ansigter med andre billeder. Clearviews administre-
rende direktør udtaler, at teknologien redder børn og opklarer
kriminalitet, og at en række banker bruger Clearviews software
til svindelundersøgelser.
1
https://www.cnn.com/2020/02/10/tech/clearview-ai-ceo-hoan-ton-that/index.html
3
Databeskyttelsesforordningen2
finder ifølge artikel 2, stk. 1, an-
vendelse på behandling af personoplysninger, der helt eller del-
vis foretages ved hjælp af automatisk databehandling, og på an-
den ikkeautomatisk behandling af personoplysninger, der er el-
ler vil blive indeholdt i et register.
Det følger af databeskyttelsesforordningens artikel 3, stk. 1, at
forordningen finder anvendelse på behandling af personoplys-
ninger, som foretages som led i aktiviteter, der udføres for en
dataansvarlig eller en databehandler, som er etableret i Unionen,
uanset om behandlingen finder sted i Unionen eller ej.
Ifølge databeskyttelsesforordningens artikel 3, stk. 2, finder for-
ordningen endvidere anvendelse på behandling af personoplys-
ninger om registrerede, der er i Unionen, og som foretages af en
dataansvarlig eller databehandler, der ikke er etableret i Unio-
nen, hvis behandlingsaktiviteterne vedrører udbud af varer eller
tjenester til sådanne registrerede i Unionen, uanset om betaling
fra den registrerede er påkrævet (litra a), eller overvågning af
sådanne registreredes adfærd, for så vidt deres adfærd finder
sted i Unionen (litra b).
Det må på baggrund af det oplyste umiddelbart lægges til grund,
at Clearview ikke er etableret i EU, og at virksomhedens be-
handlingsaktiviteter ikke vedrører udbud af varer eller tjenester
til registrerede i EU. Datatilsynet kan endvidere ikke på bag-
grund af artiklen nærmere fastslå, om Clearviews behandlings-
aktiviteter vedrører overvågning af registrerede, der er i EU.
I det omfang Clearviews behandling, herunder indsamling, op-
bevaring og videregivelse, af personoplysninger måtte ligge in-
den for databeskyttelsesforordningens anvendelsesområde, skal
behandlingen af oplysninger ske i overensstemmelse med data-
beskyttelsesforordningen.
Som Datatilsynet forstår Clearviews teknologi, kan man køre et
billede af en person gennem virksomhedens database, som ved
brug af ansigtsgenkendelse finder billeder af personen fra nuvæ-
rende og tidligere offentligt tilgængelige sociale platforme og
hjemmesider.
Begrebet biometriske data defineres ifølge databeskyttelsesfor-
ordningens artikel 4, nr. 14, som personoplysninger, der som
følge af specifik teknisk behandling vedrørende en fysisk per-
sons fysiske, fysiologiske eller adfærdsmæssige karakteristika
muliggør eller bekræfter en entydig identifikation af vedkom-
mende, f.eks. ansigtsbillede eller fingeraftryksoplysninger.
2
Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse
af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling
af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
4
Efter databeskyttelsesforordningens artikel 9, stk. 1, gælder der
et forbud mod behandling af særlige kategorier af oplysninger,
herunder behandling af biometriske data med det formål enty-
digt at identificere en fysisk person. Sådanne oplysninger må
dog behandles, hvis en af undtagelserne i artikel 9, stk. 2, litra
a-j, finder anvendelse. Det gælder bl.a., hvis:
a) Den registrerede har givet udtrykkeligt samtykke til behandling
af sådanne personoplysninger til et eller flere specifikke formål,
medmindre det i EU-retten eller medlemsstaternes nationale ret
er fastsat, at det i stk. 1 omhandlede forbud ikke kan hæves ved
den registreredes samtykke.
e) Behandling vedrører personoplysninger, som tydeligvis er of-
fentliggjort af den registrerede.
g) Behandling er nødvendig af hensyn til væsentlige samfundsin-
teresser på grundlag af EU-retten eller medlemsstaternes natio-
nale ret og står i rimeligt forhold til det mål, der forfølges, re-
spekterer det væsentligste indhold af retten til databeskyttelse
og sikrer passende og specifikke foranstaltninger til beskyttelse
af den registreredes grundlæggende rettigheder og interesser.
Der skal endvidere tillige være et lovligt grundlag for behand-
lingen i databeskyttelsesforordningens artikel 6.
Efter databeskyttelsesforordningens artikel 6, stk. 1, vil behand-
ling af personoplysninger bl.a. kunne ske hvis:
a) Den registrerede har givet samtykke til behandling af sine per-
sonoplysninger til et eller flere specifikke formål.
e) Behandling er nødvendig af hensyn til udførelse af en opgave i
samfundets interesse eller som henhører under offentlig myn-
dighedsudøvelse, som den dataansvarlige har fået pålagt.
f) Behandling er nødvendig for, at den dataansvarlige eller en tred-
jemand kan forfølge en legitim interesse, medmindre den regi-
streredes interesser eller grundlæggende rettigheder og friheds-
rettigheder, der kræver beskyttelse af personoplysninger, går
forud herfor, navnlig hvis den registrerede er et barn.
Det bemærkes, at databeskyttelsesforordningens artikel 6, stk.
1, litra f, ikke kan anvendes i forhold til behandling, som offent-
lige myndigheder foretager som et led i udførelsen af deres op-
gaver.
Det bemærkes i den forbindelse, at det på baggrund af de fore-
liggende oplysninger om Clearview AI i medierne og på virk-
somhedens hjemmeside efter Datatilsynets umiddelbare opfat-
telse må anses for tvivlsomt, om virksomhedens behandling af
personoplysninger kan foretages med hjemmel i databeskyttel-
sesforordningen. Datatilsynet lægger herved bl.a. vægt på, at der
ikke nødvendigvis er tale om oplysninger offentliggjort af den
registrerede selv, at de registrerede ikke i øvrigt ses at have givet
5
samtykke til behandlingen, og at der ikke foreligger oplysnin-
ger, der giver grundlag for at antage, at behandlingen er nødven-
dig for, at Clearview AI eller andre kan forfølge en legitim inte-
resse, der går forud for de registreredes interesser og rettigheder.
Datatilsynet kan i øvrigt oplyse, at tilsynet er bekendt med, at
medlemmer af Europa-Parlamentet i et brev til Det Europæiske
Databeskyttelsesråd bl.a. har spurgt ind til, hvorvidt Clearview
AI’s aktiviteter er i overensstemmelse med databeskyttelsesreg-
lerne.
En arbejdsgruppe under Det Europæiske Databeskyttelsesråd,
som Datatilsynet deltager i, vurderer for tiden de rejste spørgs-
mål.
EU-Kommissionen ses at have modtaget lignende spørgsmål fra
et Europa-Parlamentsmedlem.”