Olay
ABD merkezli Clearview AI, sosyal medya platformlarından ve herkese açık diğer internet sitelerinden topladığı üç milyardan fazla görüntüden oluşan bir veri tabanı üzerinde yüz tanıma aracı geliştirdi. Kullanıcı bir yüz fotoğrafı yüklüyor, araç da internetten toplanmış başka görüntülerde aynı kişiyi bulup bu görüntülerin yer aldığı sayfalara bağlantı veriyordu. Şirket, Ekim 2019 ile Mart 2020 arasında bazı Avustralya polis teşkilatlarına aracı deneme amaçlı kullandırdı; polis Avustralya'daki kişilerin görüntüleriyle arama yaptı. Avustralya Bilgi Komiserliği, Birleşik Krallık Bilgi Komiserliği (Information Commissioner's Office, ICO) ile ortak bir inceleme yürüttü. Bilgi Komiseri Angelene Falk, 14 Ekim 2021'de kararını verdi; karar 3 Kasım 2021'de açıklandı.
Commissioner initiated investigation into Clearview AI, Inc. (Privacy) kararında hukuki soru neydi?
Clearview, işlediği bilgilerin kişisel bilgi olmadığını ve ABD şirketi olarak 1988 tarihli Gizlilik Kanunu'nun (Privacy Act 1988) kapsamı dışında kaldığını savundu. Ayrıca inceleme başladıktan kısa süre sonra Avustralya kolluk birimlerine hizmet vermeyi bıraktığını belirtti. Komiser'in cevaplaması gereken sorular şunlardı: Avustralya'da ofisi bulunmayan ve görüntüleri internetten toplayan yabancı bir şirket Kanun'a tabi miydi? Yüz görüntüleri ve bunlardan üretilen biyometrik şablonlar kişisel ve hassas bilgi sayılır mıydı? Bu bilgilerin rıza alınmadan ve ilgili kişiler bilgilendirilmeden toplanması Avustralya Gizlilik İlkeleri (Australian Privacy Principles, APP) ile bağdaşır mıydı?
Avustralya Bilgi Komiserliği (Office of the Australian Information Commissioner, OAIC) ne karar verdi?
Komiser, Clearview'un Gizlilik Kanunu'nu ihlal ettiğine karar verdi. Tespit edilen ihlaller şunlardı: hassas bilginin rıza alınmadan toplanması (APP 3.3), kişisel bilginin hakkaniyete aykırı yollarla toplanması, ilgili kişilerin toplama hakkında bilgilendirilmesi için makul adımların atılmaması, aktarılan bilgilerin doğruluğunu sağlamak için makul adımların atılmaması ve APP'lere uyumu sağlayacak uygulama, usul ve sistemlerin kurulmaması (APP 1.2). Komiser bu tür hassas bilginin gizlice toplanmasını "makul olmayan ölçüde müdahaleci ve hakkaniyete aykırı" buldu ve biyometrik kimlik bilgisinin yeniden düzenlenemeyeceğini ya da iptal edilemeyeceğini vurguladı. Clearview'a Avustralya'daki kişilerden yüz görüntüsü ve biyometrik şablon toplamayı durdurması ve elindekileri imha etmesi emredildi.
Commissioner initiated investigation into Clearview AI, Inc. (Privacy) kararı neden önemli?
Kararın asıl sınavı Avustralya ile bağlantı meselesiydi. İdari Temyiz Tribunali (Administrative Appeals Tribunal, AAT) Mayıs 2023'te, Clearview'un web tarayıcılarının Avustralya'da bulunan sunuculardan görüntü talep etmesini Avustralya'da ticari faaliyet yürütmek için yeterli saydı; Avustralyalılara ait olsa bile yurt dışındaki sunuculardan yapılan toplamayı ise bu bakımdan hesaba katmadı. Bu ölçüt, Avustralya'da ofisi ya da geliri bulunmayan ama Avustralya'da barındırılan içeriği toplayan yabancı yapay zekâ geliştiricilerini de Kanun kapsamına sokabiliyor. Komiser o dönemde doğrudan para cezası veremiyordu ve bu dosyada mahkemeden ceza talep etmedi.
İlgili aşamalar
Clearview 3 Kasım 2021'de AAT'ye başvurdu. AAT, 8 Mayıs 2023 tarihli Clearview AI Inc and Australian Information Commissioner [2023] AATA 1069 kararında APP 1.2 ve APP 3.3 ihlallerini doğruladı, incelediği diğer ilkeler (APP 3.5 ve 5.1) bakımından ihlal görmedi ve giderim için ayrı bir duruşma öngördü. Clearview Ağustos 2023'te giderim kararı verilmeden başvurusundan çekildi. Gizlilik Komiseri Carly Kind 21 Ağustos 2024'te şirket hakkında başka işlem yapmama kararı aldı ve 2021 kararının yürürlükte olduğunu bildirdi. Birleşik Krallık'taki paralel dosya ayrı bir kayıtta ele alınmıştır.