Die British Transport Police (BTP) hat rund 320.000 £ für einen sechsmonatigen Live-Test zur Gesichtserkennung ausgegeben. Laut einem Bericht von The Register produzierte das Pilotprojekt zur Gesichtserkennung der British Transport Police einen einzigen Alarm, und dieser Alarm erwies sich als Fehlalarm. Es wurden keine echten Treffer verzeichnet.

Die Zahlen sind klein, doch die Fragen, die sie aufwerfen, sind groß. Was erhalten die Öffentlichkeit und die Polizei im Gegenzug dafür, dass Gesichter in belebten öffentlichen Räumen gescannt werden, und auf welcher rechtlichen Grundlage beruht das?

Was das BTP-Pilotprojekt ergab

Die Schlagzeilen-Fakten, wie berichtet, sind einfach. Das Pilotprojekt lief sechs Monate, kostete rund 320.000 £ und erzeugte einen Alarm. Dieser Alarm war falsch. In praktischer Hinsicht identifizierte das System während des Tests keine einzige Person, die es hätte finden sollen.

Live-Gesichtserkennung (LFR) funktioniert, indem Gesichter, die von Kameras erfasst werden, mit einer Watchlist von Personen abgeglichen werden, die die Polizei lokalisieren möchte, etwa wegen Straftaten gesuchte oder als vermisst gemeldete Personen. Wenn die Software eine mögliche Übereinstimmung findet, löst sie einen Alarm aus, den ein Beamter überprüfen muss. Ein Fehlalarm bedeutet, dass das System jemanden markiert hat, der gar nicht auf der Liste stand.

Es lohnt sich, sorgfältig zu bedenken, was dieses Ergebnis zeigt und was nicht. Die Quellberichterstattung enthält keine detaillierte Aufschlüsselung darüber, wie viele Gesichter gescannt wurden, wo die Kameras platziert waren oder wie die Watchlists erstellt wurden, sodass wir keine Schlussfolgerungen über die Genauigkeit der Technologie im Allgemeinen ziehen können. Andere Polizeikräfte haben von ihren eigenen Tests abweichende Ergebnisse gemeldet, und diese Ergebnisse sind nicht direkt vergleichbar. Was die BTP-Zahlen jedoch zeigen, sind hohe Kosten gepaart mit keinem bestätigten operativen Nutzen über diesen Zeitraum.

Warum ein Fehlalarm bei biometrischer Überwachung wichtig ist

Ein falscher Alarm mag wie eine geringfügige Statistik klingen. Für die biometrische Überwachung ist er aus mehreren Gründen wichtig.

Die Kosten des Irrtums tragen Einzelpersonen. Ein Fehlalarm bedeutet, dass eine echte Person, die nichts falsch gemacht hat, den Beamten gemeldet wird. Je nachdem, wie ein Einsatz durchgeführt wird, kann das bedeuten, dass man vor anderen Reisenden angehalten, befragt oder aufgehalten wird.

Alle werden gescannt, nicht nur Verdächtige. Um auch nur einen Alarm zu erzeugen, muss ein System die Gesichter aller verarbeiten, die an der Kamera vorbeikommen. Das ist eine ganz andere Sache als eine gezielte Ermittlung. Der Eingriff in die Privatsphäre verteilt sich auf eine große Zahl von Menschen, während der Nutzen davon abhängt, eine sehr kleine Zahl zu finden.

Die Verhältnismäßigkeit wird schwerer zu begründen. Von öffentlichen Stellen, die intrusive Technologie einsetzen, wird erwartet, dass sie nachweisen, dass sie notwendig und verhältnismäßig ist. Ein sechsmonatiger Test ohne echte Treffer macht es schwerer, diesen Fall zu belegen, zumindest auf Grundlage der aus diesem Pilotprojekt verfügbaren Beweise.

Nichts davon beweist, dass Gesichtserkennung in einem Verkehrskontext niemals funktionieren kann. Es legt jedoch nahe, dass Kosten, Genauigkeit und Ergebnisse veröffentlicht und geprüft werden sollten, statt angenommen zu werden.

Was das britische Datenschutzrecht über Gesichtserkennung sagt

Gesichtsbilder, die zur Identifizierung einer Person verarbeitet werden, gelten als biometrische Daten, die das britische Recht als besondere Kategorie personenbezogener Daten behandelt. Das bringt strengere Anforderungen mit sich als bei gewöhnlichen personenbezogenen Informationen. Für die Strafverfolgung sind die Regeln hauptsächlich im Data Protection Act 2018 festgelegt, der neben der UK GDPR gilt. Unser Erklärartikel zum Data Protection Act 2018 und seinen sieben Prinzipien behandelt den Rahmen ausführlicher, einschließlich der Frage, wie Bußgelder verhängt werden.

In groben Zügen wird von Organisationen, die diese Art von Daten verarbeiten, erwartet, dass sie:

  • eine klare und rechtmäßige Grundlage für die Verarbeitung haben
  • die Erhebung auf das für einen definierten Zweck Notwendige beschränken
  • Daten sicher aufbewahren und nicht länger als nötig speichern
  • transparent darüber sind, was sie tun und warum

Die polizeiliche Nutzung von LFR unterliegt zudem der Aufsicht des Information Commissioner's Office, und Polizeikräfte veröffentlichen in der Regel Folgenabschätzungen und Einsatzhinweise. Ob das Gesetz für Live-Gesichtserkennung spezifisch genug ist, ist eine anhaltende Debatte im Vereinigten Königreich, und das ist ein Grund, warum Ergebnisse wie das BTP-Pilotprojekt Aufmerksamkeit erregen. Schwache Ergebnisse verschärfen die Argumentation darüber, ob der Kompromiss bei der Privatsphäre gerechtfertigt ist.

Was das für Sie bedeutet

Wenn Sie im Vereinigten Königreich mit der Bahn reisen, passieren Sie möglicherweise Kameras, die Teil eines solchen Tests sind. Sie können sich in der Regel nicht dagegen entscheiden, durch einen öffentlichen Bahnhof zu gehen, weshalb Transparenz wichtig ist.

Die praktischen Punkte sind diese:

  • Polizeieinsätze werden üblicherweise ausgeschildert. Achten Sie auf Hinweise an Bahnhöfen und auf offiziellen Seiten der Polizeikräfte.
  • Sie haben Rechte an personenbezogenen Daten, die über Sie gespeichert sind. Unser Leitfaden zu UK-GDPR-Rechten und wie Sie Ihre Daten einsehen, korrigieren oder löschen lassen können erklärt, wie Sie einen Antrag stellen.
  • Die Verarbeitung durch Strafverfolgungsbehörden hat eigene Regeln und einige Ausnahmen, sodass ein Antrag nicht immer das erwartete Ergebnis liefern muss. Sie können trotzdem fragen, und Sie können sich beim ICO beschweren, wenn Sie mit der Antwort unzufrieden sind.
  • Ein VPN schützt Sie nicht vor Kameras an einem öffentlichen Ort. Es schützt Ihren Internetverkehr, nicht Ihr Gesicht, ist also keine Lösung für dieses Problem.

Umsetzbare Erkenntnisse

  1. Bleiben Sie informiert. Achten Sie auf veröffentlichte Ergebnisse, Kostenzahlen und Folgenabschätzungen von der BTP und anderen Polizeikräften.
  2. Kennen Sie Ihre Rechte. Informieren Sie sich darüber, wie Sie einen Antrag auf Auskunft stellen und was Sie verlangen können.
  3. Stellen Sie Fragen. Reagieren Sie auf öffentliche Konsultationen und kontaktieren Sie Ihre Abgeordneten, wenn Sie Bedenken wegen biometrischer Überwachung haben.
  4. Eskalieren Sie bei Bedarf. Wenn Sie glauben, dass Ihre Daten falsch behandelt wurden, nimmt das ICO Beschwerden entgegen.

Das Pilotprojekt zur Gesichtserkennung der British Transport Police ist ein kleiner Datenpunkt, aber ein nützlicher: 320.000 £, sechs Monate, ein Alarm, und dieser Alarm war falsch. Um zu verstehen, wo Sie stehen, beginnen Sie mit unseren Leitfäden zu UK-GDPR-Rechten und zum Data Protection Act 2018, und nutzen Sie sie, um öffentliche Stellen zur Rechenschaft zu ziehen.