Perfect365: Data hell beauty-app

Iedereen die selfie-apps gebruikt, verloor snel de controle over zijn biometrische gegevens. Uit een onderzoek naar populaire beauty-apps blijkt dat sommigen van hen inkomsten genereren met de gezichten van hun gebruikers.

Een smallere neus, grotere ogen, een andere oogkleur, een beetje make-up of lippenstift? Er zijn vele miljoenen keren gebruikte apps waarmee gebruikers hun lichaam en gezicht digitaal kunnen bewerken. Om dit te laten werken, analyseren deze apps biometrische kenmerken.

Uit een onderzoek van Mobilsicher.de blijkt nu dat iedereen die selfies uploadt naar een app die met gezichtsherkenning werkt, mag verwachten dat biometrische gegevens kunnen worden vastgelegd en verkocht. Consumentenadvocaten onderzochten zes populaire Android-applicaties. Alle apps gaven gegevens door aan maximaal 14 externe providers. Maar het bleef niet bij deze vrij wijdverbreide overdracht van gebruiksgegevens.

Namen en biometrische gegevens delen

De consumentenadvocaten onderzochten ook de verklaringen inzake gegevensbescherming en ontdekten grote verschillen. Terwijl een app met de naam “FaceApp” stelt dat het alleen foto’s tijdelijk en end-to-end versleuteld opslaat, stellen andere apps zoals “YouCam MakeUp” dat informatie zoals de huidconditie van de gebruiker ook kan worden gebruikt voor reclame.

Vooral bij de Perfect365-app is het duidelijk: in de verklaring inzake gegevensbescherming staat dat het bedrijf biometrische gegevens, volledige namen, locatiegegevens en vele andere gevoelige informatie mag doorgeven voor zakelijke doeleinden. Het bedrijf geeft ook toe in de verklaring, en het is nogal ongebruikelijk dat het dergelijke informatie in de afgelopen 12 maanden heeft gedeeld. 

Het bedrijfsmodel van Perfect365 is divers. Naast de gegevensoverdracht worden de makers volgens Mobilsicher ook betaald door cosmeticabedrijven voor het feit dat hun producten daar virtueel worden getest. Er zijn ook in-app aankopen.

Persaanvraag niet beantwoord

De staatscommissaris voor gegevensbescherming Sleeswijk-Holstein, Marit Hansen, vertelde mobilsicher.de: “Biometrische gegevens van EU-burgers mogen alleen onder speciale omstandigheden worden verwerkt en doorgegeven. Deze gegevens zijn bijzonder gevoelig. In het geval van apps voor het bewerken van ongepubliceerde foto’s vereist dit meestal dat de betrokkenen uitdrukkelijk hun geïnformeerde toestemming hebben gegeven voor de geplande verwerking.”

Het is twijfelachtig of de toestemming voor de gegevensbeschermingsverklaring echt geïnformeerde toestemming is. Volgens Mobilsicher verschijnt er na installatie van de app een uitgebreid toestemmingsmenu, maar daarin staat geen verwijzing naar biometrische gegevens.

We vroegen Perfect365-operators hoeveel biometrische gegevens ze in de afgelopen 12 maanden hebben gedeeld. We wilden weten aan wie ze de data hebben verkocht en of er overheidsinstanties bij betrokken waren. We vroegen hoe ze hun openbaarmakingspraktijken willen afstemmen op de Algemene Verordening Gegevensbescherming en hoe ze minderjarige gegevens beschermen. Perfect365 heeft zelfs dagen later nog niet gereageerd op het persverzoek.

Biometrie als bedrijf

De handel met biometrische gegevens voor particuliere bedrijven staat al lang onder kritiek. Bedrijven als Pimeyes of Clearview analyseren talloze gezichten op internet en bieden hun diensten aan aan overheidsinstanties voor biometrische surveillance . Gegevensbeschermingsautoriteiten zijn soms machteloos omdat bedrijven naar andere landen verhuizen of ontslag nemen .

Naast commerciële bedrijven die biometrische gegevens verzamelen en doorgeven, zijn er ook inspanningen van de overheid om dergelijke gegevens te gebruiken, bijvoorbeeld voor videobewaking met gezichtsherkenning. In de Europese Unie is gezichtsherkenning nog niet van tafel. In oktober 2021 was de meerderheid van het Europees Parlement echter verrassend tegen biometrische massasurveillance .

Op het niveau van het maatschappelijk middenveld strijdt het “Reclaim Your Face”-initiatief voor een verbod op biometrische massasurveillance. Het initiatief probeert een miljoen handtekeningen te verzamelen op zijn campagnewebsite om het quorum voor een “Europees burgerinitiatief” te bereiken.