La estadounidense Clearview, multada por robar fotos de caras de franceses para reconocimiento facial

La Comisión Nacional francesa de Informática y Libertades (CNIL) multó el jueves 20 de octubre a la empresa estadounidense Clearview AI con 20 millones de euros por recopilar ilegalmente fotografías de internautas franceses para alimentar su software de reconocimiento facial.

En la actualidad, se supone que este software es de uso exclusivo de las fuerzas del orden y ha sido prohibido en la Unión Europea. Pero ya ha sido utilizado en el pasado por varios países europeos, así como por varias empresas privadas.

Se trata de una decisión de severidad poco común donde la Comisión subraya "que las infracciones cometidas" por Clearview AI "son especialmente graves, sobre todo en lo que respecta a la vulneración de los principios fundamentales previstos en el Reglamento europeo sobre protección de datros (RGPD), el número de personas afectadas y el carácter especialmente intrusivo del tratamiento en cuestión".

En total, "varios millones de personas en Francia [...] son susceptibles de verse afectadas" por las actividades de Clearview AI, que ha puesto en marcha un "tratamiento en la más absoluta ilegalidad, ya que no cuenta con ninguna base jurídica para ello: ni interés legítimo del responsable del tratamiento, ni consentimiento de los interesados", señala la deliberación de la CNIL, en la que queda patente su enfado con la empresa.

Como muestra de ello, la Comisión ha decidido hacer pública la sanción y el texto integral de su decisión, una comunicación que no es automática pero que constituye, en sí misma, una sanción. La multa de 20 millones de euros representa la máxima sanción que puede imponer la CNIL. También impuso una multa de 100.000 euros por cada día de retraso, el máximo previsto por el RGPD.

La severidad del CNIL se justifica por el funcionamiento especialmente temible del software de Clearview AI, así como por la considerable cantidad de datos personales que la empresa ya ha acumulado.

De hecho, la empresa ha desarrollado un algoritmo que succiona automáticamente todas las fotografías disponibles en Internet: las "de las redes sociales (por ejemplo, Twitter o Facebook), de las web profesionales que contienen fotografías de sus empleados, de los blogs y de todos las web en las que son accesibles públicamente fotografías de personas", detalla la CNIL

La comisión especifica que "también se extraen imágenes de los vídeos disponibles on line, por ejemplo en Youtube. Esta colección se refiere tanto a imágenes de adultos como de menores, ya que no se aplica ningún filtro al respecto". En total, se han recopilado "más de veinte mil millones de imágenes de todo el mundo".

Clearview AI se ha justificado repetidamente diciendo que estas imágenes son en todo caso públicas y accesibles a todos. La CNIL echa por tierra este argumento: "El carácter ‘públicamente accesible’ de un dato no influye en su clasificación como dato personal", afirma. “Y no existe una autorización general para reutilizar y volver a tratar los datos personales disponibles públicamente, en particular sin el consentimiento de las personas afectadas.”

Para cada una de estas fotografías, el algoritmo de Clearview calcula un "patrón biométrico, generando así una huella digital única, específica del rostro tal y como aparece en la fotografía (basada en los puntos de la cara)", se explica en la deliberación del CNIL. “Los miles de millones de imágenes se almacenan entonces en una base de datos de forma que se puedan buscar (mediante la huella digital)".

Un motor de búsqueda para las imágenes recogidas

Para comercializar esta base de datos, Clearview ha desarrollado una plataforma, accesible por suscripción a través de una aplicación, que funciona como un motor de búsqueda. Los clientes sólo tienen que hacer una foto de la persona que quieren identificar, por ejemplo con su smartphone, y cargarla en la aplicación, que busca las huellas digitales correspondientes.

El resultado muestra todas las imágenes correspondientes recogidas en Internet, pero también los enlaces a los sitios y la información relacionada. "Este resultado de búsqueda recopila así todas las imágenes recogidas por la empresa sobre una persona, así como el contexto en el que estas imágenes están on line, como, por ejemplo, una cuenta de red social o un artículo de prensa", explica la CNIL.

La comisión también señala la falta de cooperación de Clearview AI, que respeta solo muy parcialmente el derecho de acceso de las personas a sus datos, previsto en el RGPD.

Citando el caso de una de las denunciantes, la abogada Zoé Vilain, la CNIL subraya que fueron necesarios múltiples correos electrónicos y recordatorios para obtener finalmente, después de cuatro meses, sólo una respuesta incompleta. La empresa americana también se niega a aplicar el derecho de borrado de estos datos, que garantiza el RGPD.

Clearview AI también se negó a colaborar con los investigadores del CNIL. La Comisión había recibido varias denuncias y realizado investigaciones que dieron lugar a un requerimiento emitido el 26 de noviembre de 2021, al que la empresa no respondió. La CNIL también solicitó la transmisión de determinados documentos y les envió, en julio de 2022, "un informe en el que se detallaban los incumplimientos de las disposiciones del RGPD que consideraba se habían producido en este caso". Pero en todos los puntos planteados, Clearview AI sólo dio respuestas fragmentarias o "no presentó ninguna observación en su defensa".

Además de estas múltiples violaciones de las leyes francesas y europeas de protección de datos, Clearview es una empresa especialmente atrevida. Fundada en 2017, ha conseguido durante años mantener sus actividades en secreto.

Un invento de la extrema derecha americana

Sus actividades fueron revelados en enero de 2020 por una investigación del New York Times, y luego por otros medios estadounidenses. Como informó Mediapart en su momento, Clearview AI fue en su origen un proyecto puesto en marcha hacia 2015 por un grupo de miembros de la alt-right americana, esa extrema derecha supremacista, machista y golpista cercana a Donald Trump.

Su idea era desarrollar una aplicación para identificar más rápidamente a los inmigrantes con el fin de deportarlos. Charles C. Johnson, uno de los miembros de este grupo y una de las figuras de la alt-right, afirmó en Facebook que estaba "trabajando en algoritmos para identificar a los inmigrantes ilegales para las brigadas de deportación". Poco después nació Smartcheckr, la primera versión del software de reconocimiento facial, que posteriormente pasó a llamarse Clearview AI.

Pero el verdadero diseñador, que se convirtió en la figura pública de la empresa, era un hacker de 34 años nacido en Australia, entonces miembro del movimiento "neo-reaccionario", Hoan Ton-That.

Entrevistado en 2020 por el Huffington Post, el joven reconoció su pasado racista. “No siempre fue un camino recto y no siempre me sirvió", se justificó Hoan Ton-That. “Hubo un periodo en el que exploré una serie de ideas, no por creer en ninguna de ellas, sino por el deseo de buscarme a mí mismo y encontrar un lugar en el mundo. A los que leyeron mis comentarios en el artículo del Huffington Post, les pido mis sinceras disculpas".

La elección de Donald Trump como presidente de Estados Unidos en 2015 marcó un punto de inflexión para lo que sería Clearview AI. Durante la campaña, Hoan Ton-That apoyó al candidato republicano y estableció vínculos con varios miembros del partido. Le abrieron las puertas del Manhattan Institute, un famoso think tank conservador, donde conoció a Richard Schwartz, ex asesor de Rudolph Giuliani, alcalde republicano de Nueva York de 1994 a 2001.

Richard Schwartz se convirtió en socio oficial de Hoan Ton-That y fue acreditado como co-fundador de Clearview AI, a la que contribuyó con su agenda de contactos. La empresa comenzó entonces a recibir el apoyo de varios empresarios conservadores, como Peter Thiel, cofundador de PayPal y de la empresa de vigilancia Palantir, que invirtió 200.000 dólares.

Clientes públicos y privados en al menos 27 países

Clearview AI iba a tener entonces una política de captación muy eficaz que consistía en ofrecer pruebas gratuitas, normalmente durante 30 días, de su aplicación a los miembros de instituciones o empresas.

En febrero de 2020, la web Buzzfeed obtuvo una lista de clientes de Clearview AI, que mostraba que la empresa había logrado implantarse en un gran número de departamentos de policía, pero también en ciertas empresas. En total, la lista de clientes incluía los nombres de "2.200 departamentos de policía, organismos gubernamentales y empresas privadas de 27 países".

Ni el artículo de Buzzfeed ni el informe del CNIL dicen si alguno de estos clientes estaba en Francia. Pero en octubre de 2021, la policía belga admitió haber utilizado la aplicación como parte de unas "pruebas". También fue utilizado por la policía sueca, que fue multada con 250.000 euros por la CNIL del país.

La revelación de las actividades de Clearview AI provocó una oleada de protestas en todo el mundo y la presentación de numerosos recursos. El pasado mes de mayo, la empresa ya fue multada con 7,5 millones de libras (8,63 millones de euros) por el organismo de control de la protección de datos del Reino Unido. En febrero de 2021, la CNIL sueca multó a la empresa con solo 250.000 euros. La aplicación también ha sido declarada ilegal en otros países como Canadá.

Al mismo tiempo, Clearview AI ha desarrollado una estrategia de comunicación destinada a hacer olvidar su pasado escandaloso. Se ha comprometido a vender sus servicios sólo a los departamentos de policía y se comunica activamente cuando se ha resuelto un delito con su software.

En enero de 2021, Hoan Ton-That se jactó en la prensa de haber visto "un aumento del 26% en las búsquedas" por parte de los departamentos de policía de Estados Unidos en los días posteriores al ataque al Capitolio por los partidarios de Donald Trump.

Más recientemente, Clearview AI ha puesto su aplicación a disposición de los abogados para ayudarles a demostrar la inocencia de sus clientes.

Entrevistada por Mediapart, Zoé Vilain dijo estar "muy contenta" con la decisión de la CNIL. "Demuestra que el trabajo está dando sus frutos", dijo la abogada, socia del bufete 1862 y presidenta de la asociación de defensa de las libertades digitales Janus International.

"Es la multa más severa que la CNIL podía imponer y en su decisión se detallan bien todas las diferentes infracciones del RGPD", explica Zoé Vilain. “Además, aclara muchas cosas y abre otras posibilidades", subraya. “En un contexto en el que, en nuestro país, algunas personas están presionando cada vez más por el uso del reconocimiento facial, especialmente durante los Juegos Olímpicos, esta es una aclaración muy importante."

La pesadilla del reconocimiento facial ya es una realidad con Clearview AI

Ver más

 

Traducción de Miguel López