La Information Commisioner’s Office (ICO) del Reino Unido ha publicado una propuesta de sanción contra la empresa estadounidense Clearview AI que asciende a 17 millones de libras debido a sus “graves violaciones” a la ley de protección de datos.
Clearview AI es una empresa estadounidense de reconocimiento facial que ha recopilado una base de datos con imágenes públicas que terceras personas publican en sus redes sociales. En total, Clearview AI cuenta actualmente con una base de datos de más de 10 billones de imágenes.
No es la primera vez que Clearview es investigada por su incumplimiento a las normas de protección de datos: ya en el pasado tanto las autoridades de control en materia de protección de datos de Hamburgo y Suiza sancionaron a la compañía, aunque estas resoluciones tienen una amplitud menor respecto de la del organismo del Reino Unido.
La ICO ha llevado a cabo su investigación respecto de las actividades de tratamiento de datos personales por parte de Clearview AI en colaboración con su autoridad homóloga en Australia, la Office of the Australian Information Commisioner (OAIC).
Según ha publicado la ICO, Clearview AI estaría vulnerando la normativa de protección de datos por los siguientes motivos:
-Se llevan a cabo tratamientos de datos personales que no resultan razonables o esperables por parte de los sujetos afectados.
-No cuenta con garantías o protocolos de borrado de los datos personales en un tiempo razonable.
-Llevan a cabo el tratamiento de los datos sin contar con una base de legitimación adecuada.
-No se cumplen las obligaciones específicas respecto de las categorías especiales de datos personales (en este caso, datos biométricos).
-No se pone a disposición de los interesados la información mínima requerida.
-Por responder a las solicitudes de ejercicio de derechos con el requerimiento de más información adicional, incluso de fotografías, lo que contribuiría al desistimiento de estas solicitudes.
Además de la propuesta de sanción, la autoridad inglesa ha impuesto a Clearview AI el cese de sus actividades de tratamiento de datos personales en el Reino Unido, así como el borrado de todos los datos que tenga en sus bases de datos y que conciernan a ciudadanos de este país.