Το Γραφείο Επιτρόπου Πληροφοριών του Ηνωμένου Βασιλείου (ICO) έχει δηλώσει στις αστυνομικές δυνάμεις που χρησιμοποιούν τεχνολογία αναγνώρισης προσώπου να ακολουθούν πιο στενά τις συστάσεις του για προστασία δεδομένων, καθώς η τεχνολογία γίνεται συνήθης πρακτική της αστυνόμευσης σε όλη τη χώρα. Η παρέμβαση της ρυθμιστικής αρχής σηματοδοτεί αυξανόμενη ανησυχία ότι ο ρυθμός εφαρμογής της αναγνώρισης προσώπου ξεπερνά τα μέτρα προστασίας που έχουν σχεδιαστεί για την προστασία των προσωπικών δεδομένων που συλλέγει.

Η τεχνολογία αναγνώρισης προσώπου, που συχνά αναπτύσσεται ως ζωντανή αναγνώριση προσώπου (LFR) σε δημόσιες εκδηλώσεις, σε κέντρα πόλεων ή μέσω αναδρομικών αναζητήσεων σε εικόνες κράτησης, λειτουργεί σαρώνοντας πρόσωπα σε πραγματικό χρόνο ή από βίντεο και συγκρίνοντάς τα με λίστες παρακολούθησης της αστυνομίας. Καθώς επεξεργάζεται βιομετρικά δεδομένα, μία από τις πιο ευαίσθητες κατηγορίες βάσει της νομοθεσίας προστασίας δεδομένων του Ηνωμένου Βασιλείου, οποιοδήποτε λάθος στον τρόπο συλλογής, αποθήκευσης ή κοινοποίησης αυτών των δεδομένων φέρει δυσανάλογο κίνδυνο για την ιδιωτικότητα. Η έκκληση του ICO για ισχυρότερη διακυβέρνηση αντανακλά μια απλή πραγματικότητα: τα ισχυρά εργαλεία επιτήρησης απαιτούν εξίσου ισχυρές δομές λογοδοσίας πίσω τους.

Τι Ζητά το ICO από την Αστυνομία

Ως ανεξάρτητη ρυθμιστική αρχή προστασίας δεδομένων του Ηνωμένου Βασιλείου, το ICO έχει εξουσία να εξετάζει πώς οι δημόσιοι φορείς, συμπεριλαμβανομένων των αστυνομικών δυνάμεων, διαχειρίζονται προσωπικές πληροφορίες βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων του Ηνωμένου Βασιλείου (UK GDPR) και του Νόμου περί Προστασίας Δεδομένων. Η πιο πρόσφατη καθοδήγησή του προς την αστυνομία επικεντρώνεται στη διακυβέρνηση δεδομένων: σαφής τεκμηρίωση του γιατί χρησιμοποιείται η αναγνώριση προσώπου, πόσο καιρό διατηρούνται τα βιομετρικά δεδομένα, ποιος έχει πρόσβαση στις λίστες παρακολούθησης και πώς μπορούν να εξεταστούν ή να αμφισβητηθούν οι αποφάσεις που λαμβάνονται με τη χρήση της τεχνολογίας.

Αυτό δεν είναι αίτημα για πλήρη εγκατάλειψη της αναγνώρισης προσώπου. Αντιθέτως, το ICO ζητά από τις δυνάμεις να οικοδομήσουν το είδος των εσωτερικών ελέγχων που καθιστούν τη χρήση της τεχνολογίας διαφανή και υπερασπίσιμη, τόσο προς το κοινό όσο και προς τους ρυθμιστές. Η ισχυρή διακυβέρνηση σημαίνει λιγότερες ευκαιρίες για κακή διαχείριση δεδομένων, διατήρησή τους περισσότερο από το απαραίτητο ή χρήση τους πέρα από τον αρχικό τους σκοπό.

Γιατί η Διακυβέρνηση Δεδομένων Έχει Μεγαλύτερη Σημασία από την Ίδια την Τεχνολογία

Είναι εύκολο να επικεντρωθεί κανείς στην ακρίβεια ή τη δικαιοσύνη των αλγορίθμων αναγνώρισης προσώπου, αλλά η έμφαση του ICO στη διακυβέρνηση επισημαίνει μια διαφορετική ευπάθεια: τι συμβαίνει στα δεδομένα μόλις συλλεχθούν. Τα βιομετρικά αναγνωριστικά δεν μπορούν να αλλαχθούν όπως ένας κωδικός πρόσβασης. Εάν τα δεδομένα αναγνώρισης προσώπου αποθηκεύονται με μη ασφαλή τρόπο, κοινοποιούνται χωρίς κατάλληλη εξουσιοδότηση ή διατηρούνται επ' αόριστον, οι συνέπειες μιας παραβίασης ή κακής χρήσης είναι πολύ πιο σοβαρές από μια διαρροή διεύθυνσης email.

Αυτή η ανησυχία δεν είναι υποθετική για την αστυνόμευση του Ηνωμένου Βασιλείου. Ευαίσθητα δεδομένα επιβολής του νόμου έχουν ήδη αποδειχθεί ελκυστικός στόχος για επιτιθέμενους. Η διαρροή 1,9GB από την ExfilSquad από την Εθνική Νομική Βάση Δεδομένων της Αστυνομίας έδειξε ότι ακόμη και συστήματα που προορίζονται για εσωτερική νομική αναφορά μπορούν να γίνουν στόχος και ευθύνη όταν η διακυβέρνηση υπολείπεται. Οι βάσεις δεδομένων αναγνώρισης προσώπου, οι οποίες συγκεντρώνουν εξαιρετικά ευαίσθητα βιομετρικά αρχεία συνδεδεμένα με πραγματικές ταυτότητες, θα αποτελούσαν ακόμη πιο πολύτιμο στόχο εάν επιτρεπόταν να συνεχιστούν παρόμοια κενά στις πρακτικές ασφαλείας.

Οι κίνδυνοι συγκέντρωσης ευαίσθητων προσωπικών δεδομένων σε μεγάλη κλίμακα έχουν επίσης εκδηλωθεί πολύ πέρα από την αστυνόμευση. Η παραβίαση του UK Biobank που επηρέασε 500.000 εθελοντές έδειξε πώς μεγάλα αποθετήρια προσωπικών δεδομένων, ακόμη και όταν δημιουργούνται για νόμιμους ερευνητικούς σκοπούς, μπορούν να καταλήξουν εκτεθειμένα και προς πώληση εάν οι προστασίες υστερούν σε σχέση με την κλίμακα συλλογής. Τα συστήματα αναγνώρισης προσώπου της αστυνομίας αντιμετωπίζουν παρόμοια πρόκληση: όσο περισσότερα πρόσωπα προστίθενται σε λίστες παρακολούθησης και βάσεις δεδομένων, τόσο μεγαλύτερες είναι οι πιθανές επιπτώσεις από οποιαδήποτε αποτυχία στη διακυβέρνηση.

Η ιστορία επιβολής κυρώσεων υπογραμμίζει επίσης γιατί το ICO παρεμβαίνει νωρίς και όχι εκ των υστέρων. Το πρόστιμο σχεδόν 1 εκατομμυρίου λιρών κατά της South Staffordshire Water μετά από παραβίαση που εξέθεσε εκατοντάδες χιλιάδες αρχεία πελατών είναι μια υπενθύμιση ότι το ICO όντως δρα όταν οι οργανισμοί αποτυγχάνουν να εκπληρώσουν τις υποχρεώσεις τους για προστασία δεδομένων, και ότι οι αποτυχίες στη διακυβέρνηση δεδομένων αναγνώρισης προσώπου θα μπορούσαν να έχουν παρόμοιες συνέπειες για τις αστυνομικές δυνάμεις.

Τι Σημαίνει Αυτό για Εσάς

Εάν ζείτε, εργάζεστε ή παρακολουθείτε εκδηλώσεις σε περιοχές όπου η αστυνομία αναπτύσσει αναγνώριση προσώπου, αυτή η τεχνολογία μπορεί ήδη να επεξεργάζεται τα βιομετρικά σας δεδομένα χωρίς την άμεση γνώση σας, καθώς η ζωντανή αναγνώριση προσώπου συνήθως σαρώνει όλους όσους βρίσκονται εντός εμβέλειας της κάμερας, όχι μόνο άτομα σε λίστα παρακολούθησης. Η ώθηση του ICO για καλύτερη διακυβέρνηση αφορά τελικά τη διασφάλιση ότι η σάρωση είναι αναλογική, περιορισμένη χρονικά και υπόλογη, και όχι μια ανοιχτού τύπου δυνατότητα επιτήρησης.

Για τους περισσότερους ανθρώπους, το πρακτικό συμπέρασμα είναι ότι η εποπτεία της αναγνώρισης προσώπου εξακολουθεί να υστερεί σε σχέση με την εφαρμογή της. Αυτό το κενό σημαίνει ότι αξίζει να προσέχετε πώς και πού χρησιμοποιούνται αυτά τα συστήματα στην περιοχή σας, και να υποστηρίζετε αιτήματα για διαφάνεια σχετικά με τις περιόδους διατήρησης, τα κριτήρια λιστών παρακολούθησης και τους ανεξάρτητους ελέγχους.

Βασικά Συμπεράσματα

  • Η αναγνώριση προσώπου επεξεργάζεται βιομετρικά δεδομένα, μία από τις πιο ευαίσθητες κατηγορίες προσωπικών δεδομένων βάσει της νομοθεσίας του Ηνωμένου Βασιλείου, καθιστώντας τις αποτυχίες διακυβέρνησης πιο υψηλού κινδύνου από την τυπική κακή διαχείριση δεδομένων.
  • Οι συστάσεις του ICO επικεντρώνονται στην τεκμηρίωση, τα όρια διατήρησης και τη λογοδοσία, όχι στην πλήρη απαγόρευση της τεχνολογίας.
  • Οι συγκεντρωτικές βάσεις δεδομένων, είτε βιομετρικές, νομικές ή ιατρικές, έχουν επανειλημμένα αποδειχθεί ελκυστικοί στόχοι όταν η ασφάλεια και η διακυβέρνηση υστερούν σε σχέση με τη συλλογή δεδομένων.
  • Τα μέλη του κοινού μπορούν να αναζητήσουν διαφάνεια από τις τοπικές αστυνομικές δυνάμεις σχετικά με τις αναπτύξεις αναγνώρισης προσώπου και τις πρακτικές διατήρησης, και να εκφράσουν ανησυχίες απευθείας στο ICO εάν τα μέτρα προστασίας φαίνονται ανεπαρκή.

Καθώς η αναγνώριση προσώπου γίνεται πιο μόνιμο χαρακτηριστικό της αστυνόμευσης στο Ηνωμένο Βασίλειο, η ισχύς της διακυβέρνησης των δεδομένων της, όχι μόνο η τεχνική της ακρίβεια, θα καθορίσει εάν η τεχνολογία κερδίσει τη μακροπρόθεσμη εμπιστοσύνη του κοινού.