Immagina di camminare per strada. Uno sconosciuto ti scatta una foto senza che tu te ne accorga. Basta caricarla su PimEyes per scoprire, in pochi secondi, chi sei: il tuo nome, il lavoro che fai, i tuoi profili social, persino dove vivi. Non serve nessun documento, nessuna autorizzazione, nessun contatto diretto con te. È esattamente questo che rende PimEyes uno degli strumenti di riconoscimento facciale più potenti e controversi oggi accessibili al pubblico: basta una foto qualsiasi per risalire all'identità completa di una persona, incrociando tutte le immagini in cui il suo volto compare online. Proprio per questo è da anni al centro di indagini e denunce sulla privacy in tutta Europa.
Il funzionamento, in fondo, è semplice da capire anche per chi non mastica tecnologia. PimEyes scansiona continuamente il web pubblico, dai social network ai siti di notizie, ed estrae i volti da ogni immagine che trova. Ogni volto viene trasformato in una sorta di codice numerico unico, una "impronta" biometrica che permette al sistema di riconoscere la stessa persona anche in foto diverse, scattate in momenti e contesti differenti. Tutto questo avviene senza che le persone fotografate lo sappiano o abbiano dato il loro consenso, il database si costruisce da solo, aspirando ogni immagine pubblica disponibile in rete.
Quello che colpisce, però, non è solo la tecnologia. È la storia societaria dell'azienda che la gestisce, fatta di cambi di sede quasi annuali, sempre verso paradisi fiscali diversi. Il servizio nasce nel 2017 in Polonia, creato da due sviluppatori locali. Nel 2020 il marchio viene ceduto a una società con sede alle Seychelles, un noto rifugio fiscale. Appena un anno dopo, nel dicembre 2021, la proprietà passa a un accademico georgiano, che rileva l'azienda attraverso una nuova società registrata a Dubai. Nello stesso periodo compare anche un secondo veicolo societario, questa volta in Belize. Oggi PimEyes si presenta come un'azienda con sede a Dubai, ma nel giro di cinque anni ha attraversato quattro giurisdizioni diverse.
Questo schema non è casuale. Ogni cambio di sede ha reso più difficile, per le autorità europee, individuare un interlocutore stabile a cui chiedere conto del trattamento dei dati biometrici raccolti. È esattamente quello che è successo con l'autorità di protezione dati di Amburgo, in Germania, competente sul caso perché lì era stato presentato un esposto già nel 2020. Dopo oltre cinque anni di istruttoria, l'autorità tedesca ha concluso che il comportamento di PimEyes è illegale secondo le norme europee sulla privacy. Ma si è fermata a inviare una semplice lettera informativa all'azienda, giustificando l'assenza di misure concrete con il fatto che PimEyes risulterebbe ormai basata a Dubai e non risponderebbe alle richieste.
Una decisione che ha spinto l'associazione austriaca per i diritti digitali guidata da Max Schrems a fare causa proprio all'autorità di Amburgo, non a PimEyes. Il punto sollevato è semplice ma pesante: un'autorità pubblica non può limitarsi a constatare che una legge viene violata e poi rinunciare ad agire solo perché l'azienda responsabile si è spostata all'estero.
Non è l'unico fronte legale aperto. Negli Stati Uniti, alcuni cittadini dell'Illinois hanno avviato una causa collettiva contro PimEyes invocando una legge locale molto severa in materia di dati biometrici, la BIPA, che impone il consenso esplicito prima di raccogliere ed elaborare impronte digitali o tratti del volto. I ricorrenti sostengono di essere comparsi nei risultati del motore di ricerca senza aver mai autorizzato nulla, e chiedono un risarcimento per ciascuna persona coinvolta. Nella causa vengono citati non solo PimEyes, ma anche i suoi fondatori polacchi e le diverse società create nel tempo per gestirne la proprietà, a conferma di quanto la struttura societaria dell'azienda sia ormai parte integrante delle controversie legali che la riguardano.
La vicenda racconta bene un problema più ampio, che riguarda non solo PimEyes ma qualsiasi servizio digitale capace di muoversi più velocemente delle norme pensate per controllarlo. Le regole europee sulla protezione dei dati, il GDPR in testa, sono tra le più severe al mondo sulla carta. Ma la loro efficacia dipende dalla capacità delle autorità nazionali di farle rispettare anche quando chi le viola gioca a nascondersi dietro sedi legali che cambiano ogni anno.
Non è un problema isolato. Un caso molto simile riguarda Clearview AI, l'azienda statunitense pioniera del riconoscimento facciale, ritenuta responsabile di aver raccolto miliardi di volti online senza consenso e finita nel mirino di diversi garanti privacy europei. Il Garante italiano ha provato per anni a notificarle una sanzione da 20 milioni di euro per violazioni del GDPR, senza mai riuscirci: l'azienda non ha una sede legale in Europa, e le vie diplomatiche e legali tentate finora si sono rivelate un vicolo cieco. Un rapporto dell'EDPB, l'organo che riunisce le autorità di protezione dati europee, ha confermato il problema alla radice, le sanzioni previste dal GDPR sono paragonabili, dal punto di vista giuridico, a multe penali o fiscali, categorie che nella maggior parte degli ordinamenti non sono eseguibili all'estero senza un trattato internazionale specifico. Gli Stati Uniti, in particolare, non riconoscono sentenze straniere che impongano multe o sanzioni.
Proprio l'uscita di Clearview AI dal mercato europeo ha lasciato campo libero a strumenti come PimEyes, pensati non solo per le forze dell'ordine ma per chiunque sia disposto a pagare qualche decina di euro. È il paradosso di questo settore, le sanzioni colpiscono, sulla carta, chi opera in modo più strutturato e visibile, mentre chi si nasconde dietro sedi societarie mutevoli e giurisdizioni compiacenti continua a operare indisturbato, spesso offrendo un servizio ancora più accessibile e meno regolamentato del precedente.