Штраф голландского регулятора Clearview AI — 30,5 млн евро

Что произошло

3 сентября 2024 года Управление по защите персональных данных Нидерландов (Autoriteit Persoonsgegevens) публично объявило о штрафе в 30,5 млн евро в отношении американской Clearview AI; само решение датировано 16 мая 2024 года. Clearview автоматически собирала (scraping) из интернета более 30 млрд фотографий лиц, включая лица граждан Нидерландов, и превращала их в уникальные биометрические коды.

Регулятор установил, что уникальные биометрические коды, привязанные к изображениям, являются биометрическими данными по смыслу GDPR. Сбор и использование таких данных запрещены, и Clearview не могла опереться ни на одно из исключений ст. 9 GDPR. Дополнительно выявлены нарушения обязанностей по информированию субъектов данных и отказ содействовать людям, запрашивавшим доступ к своим данным.

Помимо штрафа регулятор вынес предписание прекратить нарушения под угрозой дополнительного взыскания — до более чем 5 млн евро за неисполнение. Управление также прямо предупредило, что использование услуг Clearview голландскими организациями само по себе является незаконным.

Это одно из самых крупных «биометрических» взысканий в ЕС и часть общеевропейской серии санкций против Clearview (Италия, Франция, Греция, Великобритания). Проблема принудительного исполнения сохраняется: у компании нет активов и представительства в ЕС, поэтому регулятор рассматривал привлечение к ответственности лично руководителей.

Почему это важно

• Крупнейший на тот момент штраф Clearview в ЕС (30,5 млн евро)
• Подтверждает: биометрические векторы лица = биометрические данные под ст. 9 GDPR
• Ставит вопрос личной ответственности директоров при отсутствии активов компании в ЕС