Службата на британския комисар по информацията (ICO) заяви на полицейските сили, използващи технология за разпознаване на лица, да следват по-стриктно нейните препоръки за защита на данните, тъй като технологията се превръща в рутинна част от полицейската работа в страната. Намесата на регулатора сигнализира за нарастваща загриженост, че темпото на внедряване на разпознаването на лица изпреварва предпазните мерки, предназначени да защитят личните данни, които то събира.

Технологията за разпознаване на лица, често прилагана като разпознаване на лица на живо (LFR) на публични събития, в центровете на градовете или чрез ретроспективни търсения в снимки от арести, работи чрез сканиране на лица в реално време или от кадри и сравняването им с полицейски списъци за наблюдение. Тъй като обработва биометрични данни, една от най-чувствителните категории според британското законодателство за защита на данните, всяка грешка в начина, по който тези данни се събират, съхраняват или споделят, носи изключително голям риск за неприкосновеността на личния живот. Призивът на ICO за по-строго управление отразява проста реалност: мощните инструменти за наблюдение изискват еднакво мощни структури за отчетност зад тях.

Какво иска ICO от полицията

Като независим регулатор на защитата на данните в Обединеното кралство, ICO има правомощия да проверява как публичните органи, включително полицейските сили, обработват лична информация съгласно британския GDPR и Закона за защита на данните. Най-новите ѝ насоки към полицията са фокусирани върху управлението на данните: ясна документация за това защо се използва разпознаване на лица, колко дълго се съхраняват биометричните данни, кой има достъп до списъците за наблюдение и как решенията, взети с помощта на технологията, могат да бъдат преглеждани или оспорвани.

Това не е искане за пълно изоставяне на разпознаването на лица. По-скоро ICO призовава силите да изградят вътрешни контроли, които правят използването на технологията прозрачно и защитимо, както пред обществеността, така и пред регулаторите. Силното управление означава по-малко възможности за неправилно боравене с данни, съхраняването им по-дълго от необходимото или използването им извън първоначалната им цел.

Защо управлението на данните е по-важно от самата технология

Лесно е да се съсредоточим върху точността или справедливостта на алгоритмите за разпознаване на лица, но акцентът на ICO върху управлението сочи към различна уязвимост: какво се случва с данните, след като бъдат събрани. Биометричните идентификатори не могат да бъдат променени така, както паролата. Ако данните от разпознаването на лица се съхраняват несигурно, споделят се без надлежно разрешение или се пазят за неопределено време, последиците от пробив или злоупотреба са далеч по-сериозни от изтекъл имейл адрес.

Тази загриженост не е хипотетична за британската полиция. Чувствителните данни на правоприлагащите органи вече са се оказали привлекателна мишена за атаки. Изтичането на 1,9 GB от Националната правна база данни на полицията от ExfilSquad показа, че дори системи, предназначени за вътрешна правна справка, могат да се превърнат в мишена и отговорност, когато управлението е недостатъчно. Базите данни за разпознаване на лица, които централизират изключително чувствителни биометрични записи, обвързани с реални самоличности, биха представлявали още по-ценна мишена, ако подобни пропуски в практиките за сигурност бъдат допуснати да продължат.

Рисковете от централизирането на чувствителни лични данни в мащаб също са се проявявали далеч извън полицейската дейност. Хакването на UK Biobank, засегнало 500 000 доброволци, демонстрира как големи хранилища на лични данни, дори изградени за легитимни изследователски цели, могат да бъдат изложени на риск и продадени, ако защитите изостават от мащаба на събирането. Полицейските системи за разпознаване на лица са изправени пред сравнима трудност: колкото повече лица се добавят към списъците за наблюдение и базите данни, толкова по-големи са потенциалните последици от всеки провал в управлението.

Историята на правоприлагането също подчертава защо ICO се намесва рано, а не след факта. Глобата от близо 1 милион паунда на регулатора срещу South Staffordshire Water след пробив, изложил стотици хиляди клиентски записи, е напомняне, че ICO действа, когато организациите не изпълняват задълженията си за защита на данните, и че провалите в управлението на данните от разпознаването на лица биха могли да имат подобни последици за полицейските сили.

Какво означава това за вас

Ако живеете, работите или посещавате събития в райони, където полицията разполага разпознаване на лица, тази технология може вече да обработва вашите биометрични данни без вашето пряко знание, тъй като разпознаването на лица на живо обикновено сканира всички в обхвата на камерата, а не само хората в списъка за наблюдение. Натискът на ICO за по-добро управление в крайна сметка е насочен към гарантиране, че сканирането е пропорционално, ограничено във времето и отчетно, а не отворена възможност за неограничено наблюдение.

За повечето хора практическото заключение е, че надзорът на разпознаването на лица все още настига внедряването. Тази разлика означава, че си струва да се обръща внимание на това как и къде се използват тези системи във вашия район и да се подкрепят призивите за прозрачност относно сроковете за съхранение, критериите за списъците за наблюдение и независимите одити.

Основни изводи

  • Разпознаването на лица обработва биометрични данни, една от най-чувствителните категории лични данни съгласно британското законодателство, което прави провалите в управлението по-рискови от обичайното неправилно боравене с данни.
  • Препоръките на ICO са фокусирани върху документация, срокове за съхранение и отчетност, а не върху пълна забрана на технологията.
  • Централизираните бази данни, било то биометрични, правни или медицински, многократно са се оказвали привлекателни мишени, когато сигурността и управлението изостават от събирането на данни.
  • Членовете на обществеността могат да търсят прозрачност от местните полицейски сили относно разполагането на разпознаване на лица и практиките за съхранение и да повдигат опасения директно пред ICO, ако предпазните мерки изглеждат недостатъчни.

Тъй като разпознаването на лица се превръща във все по-постоянна част от британската полицейска дейност, силата на управлението на данните, а не само техническата точност, ще определи дали технологията ще спечели трайно обществено доверие.