L'ICO Invita la Polizia del Regno Unito a Migliorare la Governance dei Dati del Riconoscimento Facciale

L'Information Commissioner's Office (ICO) del Regno Unito ha detto alle forze di polizia che utilizzano la tecnologia di riconoscimento facciale di seguire più da vicino le sue raccomandazioni sulla protezione dei dati, poiché la tecnologia diventa una parte routinaria del lavoro di polizia nel paese. L'intervento dell'ente di controllo segnala una crescente preoccupazione che il ritmo di diffusione del riconoscimento facciale stia superando le salvaguardie pensate per proteggere i dati personali che raccoglie.

La tecnologia di riconoscimento facciale, spesso implementata come riconoscimento facciale live (LFR) in eventi pubblici, nei centri città, o attraverso ricerche retrospettive sulle immagini di custodia, funziona scansionando i volti in tempo reale o da filmati e confrontandoli con le liste di controllo della polizia. Poiché elabora dati biometrici, una delle categorie più sensibili ai sensi della legge sulla protezione dei dati del Regno Unito, qualsiasi errore nel modo in cui questi dati vengono raccolti, conservati o condivisi comporta un rischio per la privacy sproporzionato. La richiesta dell'ICO di una governance più solida riflette una semplice realtà: strumenti di sorveglianza potenti richiedono strutture di responsabilità altrettanto potenti dietro di sé.

Cosa Chiede l'ICO alla Polizia

In qualità di regolatore indipendente per la protezione dei dati del Regno Unito, l'ICO ha l'autorità di esaminare come gli enti pubblici, incluse le forze di polizia, gestiscono le informazioni personali ai sensi del GDPR del Regno Unito e del Data Protection Act. La sua ultima guida alla polizia si concentra sulla governance dei dati: documentazione chiara del motivo per cui viene utilizzato il riconoscimento facciale, per quanto tempo vengono conservati i dati biometrici, chi ha accesso alle liste di controllo e come le decisioni prese utilizzando la tecnologia possono essere riviste o contestate.

Non è una richiesta di abbandonare del tutto il riconoscimento facciale. Piuttosto, l'ICO chiede alle forze di polizia di costruire il tipo di controlli interni che rendano trasparente e difendibile l'uso della tecnologia, sia verso il pubblico che verso i regolatori. Una governance solida significa meno opportunità che i dati vengano gestiti male, conservati più a lungo del necessario o utilizzati oltre il loro scopo originale.

Perché la Governance dei Dati Conta Più della Tecnologia Stessa

È facile concentrarsi sull'accuratezza o sull'equità degli algoritmi di riconoscimento facciale, ma l'enfasi dell'ICO sulla governance punta a una vulnerabilità diversa: cosa succede ai dati una volta raccolti. Gli identificatori biometrici non possono essere modificati come una password. Se i dati del riconoscimento facciale vengono conservati in modo non sicuro, condivisi senza la dovuta autorizzazione o tenuti indefinitamente, le conseguenze di una violazione o di un uso improprio sono molto più gravi di un indirizzo email divulgato.

Questa preoccupazione non è ipotetica per la polizia del Regno Unito. I dati sensibili delle forze dell'ordine hanno già dimostrato di essere attraenti per gli aggressori. La fuga di 1,9 GB di dati da parte di ExfilSquad dal Police National Legal Database ha mostrato che anche i sistemi destinati alla consultazione legale interna possono diventare un bersaglio e una responsabilità quando la governance è carente. I database di riconoscimento facciale, che centralizzano dati biometrici altamente sensibili legati a identità reali, rappresenterebbero un bersaglio ancora più prezioso se si permettessero lacune simili nelle pratiche di sicurezza.

I rischi della centralizzazione di dati personali sensibili su larga scala si sono manifestati anche ben oltre il lavoro di polizia. L'attacco informatico alla UK Biobank che ha colpito 500.000 volontari ha dimostrato come grandi archivi di dati personali, anche se creati per scopi di ricerca legittimi, possano finire esposti e venduti se le protezioni restano indietro rispetto alla scala della raccolta. I sistemi di riconoscimento facciale della polizia affrontano una sfida comparabile: più volti vengono aggiunti alle liste di controllo e ai database, maggiore è il potenziale danno derivante da qualsiasi fallimento nella governance.

Anche la storia delle sanzioni sottolinea perché l'ICO interviene in anticipo piuttosto che dopo i fatti. La multa di quasi 1 milione di sterline comminata a South Staffordshire Water dopo una violazione che ha esposto centinaia di migliaia di record di clienti è un promemoria del fatto che l'ICO agisce quando le organizzazioni non rispettano i propri obblighi di protezione dei dati, e che i fallimenti nella governance dei dati del riconoscimento facciale potrebbero avere conseguenze simili per le forze di polizia.

Cosa Significa Questo Per Te

Se vivi, lavori o partecipi a eventi in aree dove la polizia implementa il riconoscimento facciale, questa tecnologia potrebbe già elaborare i tuoi dati biometrici senza che tu lo sappia direttamente, poiché il riconoscimento facciale live in genere scansiona tutti coloro che si trovano nel raggio della telecamera, non solo le persone nelle liste di controllo. La spinta dell'ICO verso una migliore governance riguarda in definitiva la garanzia che questa scansione sia proporzionata, limitata nel tempo e responsabile, piuttosto che una capacità di sorveglianza senza limiti.

Per la maggior parte delle persone, il messaggio pratico è che la supervisione del riconoscimento facciale sta ancora cercando di stare al passo con la sua implementazione. Questo divario significa che vale la pena prestare attenzione a come e dove questi sistemi vengono utilizzati nella tua zona, e sostenere le richieste di trasparenza sui periodi di conservazione, sui criteri delle liste di controllo e sulle verifiche indipendenti.

Punti Chiave

• Il riconoscimento facciale elabora dati biometrici, una delle categorie di dati personali più sensibili ai sensi della legge del Regno Unito, rendendo i fallimenti di governance più gravi rispetto alla normale gestione errata dei dati.
• Le raccomandazioni dell'ICO si concentrano su documentazione, limiti di conservazione e responsabilità, non sul bando totale della tecnologia.
• I database centralizzati, siano essi biometrici, legali o medici, hanno ripetutamente dimostrato di essere bersagli attraenti quando sicurezza e governance restano indietro rispetto alla raccolta dei dati.
• I cittadini possono cercare trasparenza dalle forze di polizia locali riguardo alle implementazioni del riconoscimento facciale e alle pratiche di conservazione, e sollevare preoccupazioni direttamente con l'ICO se le salvaguardie sembrano carenti.

Mentre il riconoscimento facciale diventa una presenza sempre più permanente nel lavoro di polizia del Regno Unito, la solidità della sua governance dei dati, non solo la sua accuratezza tecnica, determinerà se la tecnologia guadagnerà una fiducia pubblica duratura.