Das Information Commissioner's Office (ICO) des Vereinigten Königreichs hat Polizeikräfte, die Gesichtserkennungstechnologie einsetzen, aufgefordert, seine Datenschutzempfehlungen genauer zu befolgen, da die Technologie zu einem routinemäßigen Bestandteil der Polizeiarbeit im ganzen Land wird. Das Eingreifen der Aufsichtsbehörde signalisiert wachsende Besorgnis, dass das Tempo der Einführung von Gesichtserkennung schneller voranschreitet als die Schutzmaßnahmen, die die dabei erfassten personenbezogenen Daten schützen sollen.

Gesichtserkennungstechnologie, die oft als lebende Gesichtserkennung (Live Facial Recognition, LFR) bei öffentlichen Veranstaltungen, in Innenstädten oder durch retrospektive Suchabfragen gegen Haftbilder eingesetzt wird, funktioniert, indem sie Gesichter in Echtzeit oder aus Videomaterial scannt und mit polizeilichen Beobachtungslisten abgleicht. Da sie biometrische Daten verarbeitet – eine der sensibelsten Kategorien nach britischem Datenschutzrecht – birgt jeder Fehltritt bei der Erhebung, Speicherung oder Weitergabe dieser Daten ein überproportionales Datenschutzrisiko. Die Forderung des ICO nach stärkerer Verwaltung spiegelt eine einfache Realität wider: Leistungsstarke Überwachungswerkzeuge erfordern ebenso leistungsstarke Rechenschaftsstrukturen dahinter.

Was das ICO von der Polizei verlangt

Als unabhängige Datenschutzaufsichtsbehörde des Vereinigten Königreichs hat das ICO die Befugnis, zu prüfen, wie öffentliche Stellen, einschließlich Polizeikräfte, personenbezogene Informationen gemäß der britischen DSGVO und dem Datenschutzgesetz (Data Protection Act) verarbeiten. Seine neueste Leitlinie an die Polizei konzentriert sich auf Datenverwaltung: klare Dokumentation, warum Gesichtserkennung eingesetzt wird, wie lange biometrische Daten aufbewahrt werden, wer Zugriff auf Beobachtungslisten hat und wie Entscheidungen, die mithilfe der Technologie getroffen werden, überprüft oder angefochten werden können.

Dies ist keine Forderung, Gesichtserkennung vollständig aufzugeben. Vielmehr fordert das ICO die Kräfte auf, interne Kontrollen aufzubauen, die die Nutzung der Technologie sowohl gegenüber der Öffentlichkeit als auch gegenüber den Regulierungsbehörden transparent und verteidigungsfähig machen. Eine starke Datenverwaltung bedeutet weniger Gelegenheiten für Missbrauch von Daten, längere Aufbewahrung als nötig oder Nutzung über den ursprünglichen Zweck hinaus.

Warum Datenverwaltung wichtiger ist als die Technologie selbst

Es ist leicht, sich auf die Genauigkeit oder Fairness von Gesichtserkennungsalgorithmen zu konzentrieren, aber die Betonung des ICO auf Verwaltung weist auf eine andere Schwachstelle hin: was mit den Daten passiert, sobald sie erfasst wurden. Biometrische Identifikatoren können nicht wie ein Passwort geändert werden. Wenn Gesichtserkennungsdaten unsicher gespeichert, ohne ordnungsgemäße Autorisierung geteilt oder unbegrenzt aufbewahrt werden, sind die Folgen eines Verstoßes oder Missbrauchs weitaus schwerwiegender als eine durchgesickerte E-Mail-Adresse.

Diese Sorge ist für die britische Polizeiarbeit nicht hypothetisch. Sensible Strafverfolgungsdaten haben sich bereits als attraktiv für Angreifer erwiesen. ExfilSquads Leak von 1,9 GB aus der Police National Legal Database zeigte, dass selbst Systeme, die für die interne rechtliche Referenz gedacht sind, zum Ziel und zur Haftung werden können, wenn die Verwaltung versagt. Gesichtserkennungsdatenbanken, die hochsensible biometrische Aufzeichnungen zentralisieren und mit echten Identitäten verknüpfen, wären ein noch wertvolleres Ziel, wenn ähnliche Lücken in der Sicherheitspraxis fortbestehen dürften.

Die Risiken der Zentralisierung sensibler personenbezogener Daten in großem Maßstab haben sich auch weit über die Polizeiarbeit hinaus gezeigt. Der Hack der UK Biobank, der 500.000 Freiwillige betraf, demonstrierte, wie große Repositorien personenbezogener Daten, selbst wenn sie für legitime Forschungszwecke aufgebaut wurden, am Ende offengelegt und verkauft werden können, wenn der Schutz hinter dem Umfang der Erhebung zurückbleibt. Polizeiliche Gesichtserkennungssysteme stehen vor einer vergleichbaren Herausforderung: Je mehr Gesichter zu Beobachtungslisten und Datenbanken hinzugefügt werden, desto größer ist der potenzielle Schaden durch jeden Verwaltungsfehler.

Auch die Durchsetzungsgeschichte unterstreicht, warum das ICO frühzeitig eingreift, anstatt erst nachträglich zu handeln. Die Fast-Millionen-Pfund-Geldbuße des Regulators gegen South Staffordshire Water nach einem Verstoß, der Hunderttausende Kundendatensätze offenlegte, erinnert daran, dass das ICO tätig wird, wenn Organisationen ihre Datenschutzverpflichtungen nicht erfüllen, und dass Fehler bei der Datenverwaltung von Gesichtserkennung ähnliche Konsequenzen für Polizeikräfte haben könnten.

Was das für Sie bedeutet

Wenn Sie in Gebieten leben, arbeiten oder Veranstaltungen besuchen, in denen die Polizei Gesichtserkennung einsetzt, verarbeitet diese Technologie möglicherweise bereits Ihre biometrischen Daten ohne Ihr direktes Wissen, da lebende Gesichtserkennung typischerweise alle Personen im Kamerabereich scannt, nicht nur Personen auf einer Beobachtungsliste. Der Vorstoß des ICO für bessere Verwaltung zielt letztlich darauf ab, sicherzustellen, dass das Scannen verhältnismäßig, zeitlich begrenzt und rechenschaftspflichtig ist, anstatt eine offene Überwachungsfähigkeit darzustellen.

Für die meisten Menschen ist die praktische Erkenntnis, dass die Aufsicht über Gesichtserkennung immer noch hinter der tatsächlichen Nutzung hinterherhinkt. Diese Lücke bedeutet, dass es sich lohnt, darauf zu achten, wie und wo diese Systeme in Ihrer Umgebung eingesetzt werden, und Forderungen nach Transparenz bezüglich Aufbewahrungsfristen, Kriterien für Beobachtungslisten und unabhängiger Prüfung zu unterstützen.

Wichtigste Erkenntnisse

  • Gesichtserkennung verarbeitet biometrische Daten, eine der sensibelsten Kategorien personenbezogener Daten nach britischem Recht, was Fehler bei der Verwaltung riskanter macht als übliche Datenmisshandlung.
  • Die Empfehlungen des ICO konzentrieren sich auf Dokumentation, Aufbewahrungsgrenzen und Rechenschaftspflicht, nicht auf ein Verbot der Technologie.
  • Zentralisierte Datenbanken – ob biometrisch, rechtlich oder medizinisch – haben sich wiederholt als attraktive Ziele erwiesen, wenn Sicherheit und Verwaltung hinter der Datenerhebung zurückbleiben.
  • Mitglieder der Öffentlichkeit können von lokalen Polizeikräften Transparenz über den Einsatz von Gesichtserkennung und Aufbewahrungspraktiken verlangen und Bedenken direkt beim ICO vorbringen, wenn Schutzmaßnahmen unzureichend erscheinen.

Da Gesichtserkennung zu einem dauerhafteren Bestandteil der britischen Polizeiarbeit wird, wird die Stärke ihrer Datenverwaltung – nicht nur ihre technische Genauigkeit – darüber entscheiden, ob die Technologie dauerhaftes öffentliches Vertrauen gewinnt.