Wie op sociale media actief is, heeft recent waarschijnlijk de video’s van de Canadese app Wombo voorbij zien komen. Maar voldoet Wombo wel aan de privacy regels van de Algemene Verordening Gegevensbescherming (‘AVG’)?
Via de Wombo app worden selfies door middel van kunstmatige intelligentie bewerkt tot video’s waarin het net lijkt of de persoon op de selfie een lied zingt. Zo zijn video’s van een zingende Donald Trump, Joe Biden en het Britste koningshuis inmiddels viral gegaan. De makers van Wombo hebben met hun video’s de lachers op hun hand, maar voldoet Wombo wel aan de privacy regels van de Algemene Verordening Gegevensbescherming (‘AVG’)?
De Wombo app is gratis beschikbaar voor iOS en Android. Om de app te kunnen gebruiken dient de gebruiker een selfie up te loaden en een keuze te maken uit een aantal geselecteerde nummers. De selfie wordt vervolgens door middel van deep fake technologie bewerkt tot een video waarop het net lijkt of degene die op de selfie staat een liedje zingt.
Inmiddels is veelgehoord dat als een app gratis aan de gebruiker wordt aangeboden, de app vaak op een andere manier geld verdient aan de gebruiker. Bijvoorbeeld door hergebruik van de (persoons)gegevens van de gebruiker. Dit was bijvoorbeeld het geval met de gratis app Faceapp. Faceapp was in 2019 populair, maar toen bleek dat de foto’s van gebruikers ook werden gebruikt om de kunstmatige intelligentie te trainen en voor andere doeleinden gebruikt kon worden, nam de populariteit van Faceapp in een rap tempo af.
Wombo en Faceapp hebben enige overlap met elkaar aangezien beide apps gratis zijn en op basis van deep fake technologie werken. De vraag rijst echter of Wombo op dezelfde wijze met de privacy van haar gebruikers omgaat als Faceapp.
We hebben de algemene voorwaarden en privacy policy van de Wombo app onder de loep genomen.
In de algemene voorwaarden van Wombo wordt vermeld dat de persoonsgegevens niet worden gebruikt om de kunstmatige intelligentie van de Wombo app te trainen, zoals wel het geval was bij de Faceapp, maar wel om de gezichtskenmerken van de gebruiker te gebruiken voor het maken van de video.
Wombo verwerkt alleen gezichtskenmerken en gegevens over de wijze waarop de gebruiker de Wombo app gebruikt, aldus haar privacy policy. Een expliciete opsomming van alle categorieën persoonsgegevens ontbreekt zodat het niet duidelijk is welke persoonsgegevens door de Wombo app worden verwerkt.
In de privacy policy van Wombo wordt verder bepaald dat de app geaggregeerde persoonsgegevens van de gebruiker opslaat zo lang als dat noodzakelijk is. Het begrip noodzakelijk wordt niet toegelicht, zodat het onduidelijk blijft voor welke doeleinden de anonieme en geaggregeerde persoonsgegevens wordt gebruikt. Daarnaast wordt niet duidelijk waarom onbeperkte opslag noodzakelijk is en waarom niet kan worden volstaan met een kortere bewaartermijn.
Uit de privacy policy volgt ook niet op welke locatie de persoonsgegevens worden opgeslagen. Aangezien Wombo een Canadese onderneming is, achten wij de kans aanwezig dat de persoonsgegevens in Canada worden opgeslagen, maar het is niet ondenkbaar dat deze persoonsgegevens elders, bijvoorbeeld in China of India, worden opgeslagen.
In de privacy policy wordt ook niet vermeld of Wombo een functionaris gegevensbescherming heeft aangesteld. Bovendien blijven de technische en organisatorische beveiligingsmaatregelen van de Wombo app onderbelicht, waardoor de gebruiker geen informatie heeft of zijn persoonsgegevens wel adequaat worden beschermd. Tot slot maakt de privacy policy geen melding van de rechten van de gebruiker van de Wombo app.
Uit ons onderzoek blijkt dat de privacy policy van de Wombo app niet uitblinkt in duidelijkheid en op grond van de AVG verre van volledig is. De Wombo app is niet in lijn met de verplichtingen van de AVG en de gebruiker dient bij gebruik van de Wombo app rekening te houden met privacy risico’s. Daarmee riskeert Wombo dat klachten bij de privacy toezichthouder worden ingediend en handhaving door de toezichthouder dreigt. Desondanks menen wij dat de makers van de Wombo app meer aandacht hebben geschonken aan de bescherming van de privacy van hun gebruikers, dan de makers van de Faceapp. Daar is echter ook niet zoveel voor nodig.
