Ured povjerenika za informacije Ujedinjenog Kraljevstva (ICO) rekao je policijskim snagama koje koriste tehnologiju prepoznavanja lica da se strože pridržavaju njegovih preporuka o zaštiti podataka, budući da ta tehnologija postaje rutinski dio policijskog rada diljem zemlje. Intervencija regulatornog tijela ukazuje na sve veću zabrinutost da širenje prepoznavanja lica nadmašuje zaštitne mjere namijenjene zaštiti osobnih podataka koje ta tehnologija prikuplja.

Tehnologija prepoznavanja lica, često implementirana kao prepoznavanje lica uživo (LFR) na javnim događanjima, u središtima gradova ili kroz retrospektivne pretrage baza podataka o pritvorenim osobama, funkcionira skeniranjem lica u stvarnom vremenu ili iz videozapisa te njihovom usporedbom s policijskim popisima za nadzor. Budući da obrađuje biometrijske podatke, jednu od najosjetljivijih kategorija prema zakonu o zaštiti podataka Ujedinjenog Kraljevstva, svaka pogreška u načinu na koji se ti podaci prikupljaju, pohranjuju ili dijele nosi nesrazmjerno velik rizik za privatnost. Poziv ICO-a na snažnije upravljanje odražava jednostavnu stvarnost: moćni alati za nadzor zahtijevaju jednako snažne strukture odgovornosti iza sebe.

Što ICO traži od policije

Kao neovisni regulator za zaštitu podataka Ujedinjenog Kraljevstva, ICO ima ovlasti nadzirati kako javna tijela, uključujući policijske snage, postupaju s osobnim informacijama prema UK GDPR-u i Zakonu o zaštiti podataka. Njegove najnovije smjernice policiji usredotočene su na upravljanje podacima: jasnu dokumentaciju o tome zašto se prepoznavanje lica koristi, koliko dugo se biometrijski podaci čuvaju, tko ima pristup popisima za nadzor te kako se odluke donesene korištenjem te tehnologije mogu preispitati ili osporiti.

To nije zahtjev da se prepoznavanje lica u potpunosti napusti. ICO, naprotiv, traži od snaga da izgrade vrstu unutarnjih kontrola koje čine korištenje te tehnologije transparentnim i obranjivim, kako pred javnošću tako i pred regulatorima. Snažno upravljanje znači manje prilika za pogrešno rukovanje podacima, njihovo čuvanje dulje nego što je potrebno ili njihovo korištenje izvan prvotne svrhe.

Zašto je upravljanje podacima važnije od same tehnologije

Lako je usredotočiti se na točnost ili pravednost algoritama za prepoznavanje lica, ali ICO-ov naglasak na upravljanju ukazuje na drugu ranjivost: što se događa s podacima nakon što su prikupljeni. Biometrijski identifikatori ne mogu se promijeniti kao što se može promijeniti lozinka. Ako se podaci prepoznavanja lica pohranjuju nesigurno, dijele bez odgovarajuće ovlasti ili čuvaju na neodređeno vrijeme, posljedice povrede podataka ili zlouporabe daleko su ozbiljnije od procurjele adrese e-pošte.

Ta zabrinutost nije hipotetska za britansku policiju. Osjetljivi podaci za provedbu zakona već su se pokazali privlačnom metom za napadače. ExfilSquadovo otkrivanje 1,9 GB podataka iz Policijske nacionalne pravne baze pokazalo je da čak i sustavi namijenjeni unutarnjoj pravnoj referenci mogu postati meta i odgovornost kada upravljanje podacima zakazuje. Baze podataka za prepoznavanje lica, koje centraliziraju visoko osjetljive biometrijske zapise povezane sa stvarnim identitetima, predstavljale bi još vrijedniju metu ako bi se slični propusti u sigurnosnoj praksi nastavili.

Rizici centralizacije osjetljivih osobnih podataka u velikim razmjerima također su se očitovali i izvan policijskog rada. Hakiranje UK Biobank-a koje je pogodilo 500.000 volontera pokazalo je kako velike zbirke osobnih podataka, čak i kada su izgrađene za legitimne istraživačke svrhe, mogu završiti izložene i prodane ako zaštita zaostaje za opsegom prikupljanja. Policijski sustavi za prepoznavanje lica suočavaju se sa sličnim izazovom: što je više lica dodano na popise za nadzor i u baze podataka, veće su potencijalne posljedice svakog propusta u upravljanju.

Povijest provedbe sankcija također naglašava zašto ICO intervenira rano, a ne naknadno. Regulatorova kazna od gotovo milijun funti protiv South Staffordshire Watera nakon povrede podataka koja je izložila stotine tisuća korisničkih zapisa podsjetnik je da ICO doista djeluje kada organizacije ne ispune svoje obveze zaštite podataka te da propusti u upravljanju podacima prepoznavanja lica mogu imati slične posljedice za policijske snage.

Što to znači za vas

Ako živite, radite ili prisustvujete događanjima u područjima gdje policija koristi prepoznavanje lica, ta tehnologija možda već obrađuje vaše biometrijske podatke bez vašeg izravnog znanja, budući da prepoznavanje lica uživo obično skenira sve u dometu kamere, a ne samo osobe na popisu za nadzor. ICO-ov zalaganje za bolje upravljanje u konačnici se odnosi na osiguravanje da je skeniranje proporcionalno, vremenski ograničeno i odgovorno, a ne otvorena mogućnost nadzora bez kraja.

Za većinu ljudi praktična je poruka da nadzor nad prepoznavanjem lica još uvijek sustiže njegovu primjenu. Taj jaz znači da vrijedi obratiti pozornost na to kako i gdje se ti sustavi koriste u vašem području te podržati pozive na transparentnost u pogledu razdoblja čuvanja podataka, kriterija za popise za nadzor i neovisnih revizija.

Ključni zaključci

  • Prepoznavanje lica obrađuje biometrijske podatke, jednu od najosjetljivijih kategorija osobnih podataka prema zakonu Ujedinjenog Kraljevstva, što propuste u upravljanju čini rizičnijima od uobičajenog pogrešnog rukovanja podacima.
  • Preporuke ICO-a usredotočene su na dokumentaciju, ograničenja razdoblja čuvanja i odgovornost, a ne na potpunu zabranu te tehnologije.
  • Centralizirane baze podataka, bilo biometrijske, pravne ili medicinske, višekratno su se pokazale privlačnim metama kada sigurnost i upravljanje zaostaju za prikupljanjem podataka.
  • Građani mogu od lokalnih policijskih snaga tražiti transparentnost u pogledu primjene prepoznavanja lica i praksi čuvanja podataka te izravno iznijeti zabrinutosti ICO-u ako zaštitne mjere izgledaju nedostatne.

Kako prepoznavanje lica postaje sve trajniji dio britanskog policijskog rada, snaga njegova upravljanja podacima, a ne samo tehnička točnost, odredit će hoće li tehnologija zaslužiti trajno povjerenje javnosti.