Guardian: Britisk plan for ansiktsgjenkjenning i utlendingskontrollen

The Guardian har rapportert at regjeringsdokumenter viser at Storbritannia utvikler et program for å bruke ansiktsgjenkjenning til generell utlendingskontroll. Rapporten beskriver det som den største utlendingsinnstrammingen noensinne som involverer teknologien. Britisk ansiktsgjenkjenning i utlendingskontrollen er ikke en ny idé, men dokumentene peker mot en bredere og mer rutinemessig rolle enn de målrettede brukene som så langt er beskrevet.

Dette innlegget ser på hva som er rapportert, hvordan biometriske data kan ende opp med å bli brukt til formål utover det de først ble samlet inn for, og hva britisk personvernlovgivning gir og ikke gir. Det bygger på Guardians oppsummering av dokumentene. Fullstendige detaljer om programmet er ikke bekreftet utover den rapporteringen.

Hva dokumentene avslører om utlendingsprogrammet

Ifølge The Guardians oppsummering viser dokumentene at regjeringen utvikler et program som vil bruke ansiktsgjenkjenning til generell utlendingskontroll. «Generell» er nøkkelordet. Tidligere dekning fokuserte på spesifikke operasjoner. Denne rapporteringen tyder på at teknologien bygges inn i det daglige håndhevingsarbeidet.

Utdrag fra rapporteringen som dukket opp i søkeresultater, sier at teknologien vil bli brukt til å identifisere personer som «forsøker å gjeninnreise til Storbritannia ulovlig» og til å målrette personer som er gjenstand for utsendelsestiltak. Vi har ikke sett de underliggende dokumentene, så de praktiske detaljene er uklare: hvor kameraer skal plasseres, hvilke overvåkningslister som skal brukes, hvor lenge bilder skal oppbevares, og hvem som skal gjennomgå treff.

For bakgrunn om de tidligere planene, se vår dekning av Storbritannias plan for ansiktsgjenkjenning i utlendingskontrollen 2026 og utvidelsen av ansiktsgjenkjenning i utlendingssaker til sivile saker.

Hvordan biometriske data gjenbrukes utover sitt opprinnelige formål

Et ansiktsbilde er ikke som et passord. Du kan ikke endre det, og det kan samles inn på avstand uten at du er involvert. Det gjør spørsmålet om gjenbruk sentralt.

Bilder og biometriske maler kan komme fra mange steder. Pass- og visumsøknader, grensekontroller, politiets varetektsregistre og direktestrømmer fra kameraer er alle potensielle kilder. En overvåkningsliste kan settes sammen fra flere av dem. Bekymringen som digitale rettighetsgrupper reiser, er «funksjonsglidning»: data samlet inn for én snever grunn blir en ressurs for et bredere sett av oppgaver når infrastrukturen først eksisterer.

Tre spørsmål bidrar til å vise om gjenbruk skjer:

• Kilde: Hvor kom bildene på overvåkningslisten fra, og ble folk fortalt at de kan bli brukt på denne måten?
• Omfang: Dekker overvåkningslisten bare personer som ettersøkes av spesifikke grunner, eller en bred befolkning?
• Oppbevaring: Hva skjer med ansiktene til personer som skannes uten å gi treff?

Det siste punktet er viktig fordi sanntids ansiktsgjenkjenning fungerer ved å skanne alle som passerer et kamera, ikke bare personene som ettersøkes. Disse skanningene er personopplysninger selv når det ikke gjøres noe treff.

Hva britisk personvernlovgivning dekker og ikke dekker

Britisk GDPR og Data Protection Act 2018 gjelder for biometriske data som brukes til å identifisere en person. Biometriske data som brukes til dette formålet, behandles som en særlig kategori av personopplysninger, som har strengere vilkår. Kjerneprinsipper omfatter formålsbegrensning (data samlet inn for ett formål bør ikke brukes på en uforenlig måte), dataminimering og ansvarlighet. Organisasjoner som utfører høyrisikobehandling, forventes vanligvis å fullføre en vurdering av personvernkonsekvenser først.

Det er grenser for hva dette betyr i praksis. Håndheving av loven behandles under en egen del av Data Protection Act, med egne regler. Unntak kan gjelde for forhold som innvandringskontroll, og offentlige organer kan påberope seg et rettslig grunnlag knyttet til sine offisielle funksjoner. Med andre ord setter loven et rammeverk, men forbyr ikke bruk av ansiktsgjenkjenning. Hvorvidt en spesifikk utplassering er lovlig, avhenger av dens nødvendighet, forholdsmessighet og sikkerhetstiltak, og av detaljene i retningslinjene bak den.

Information Commissioner's Office har allerede presset politistyrker på dette. Vår rapport om ICO som oppfordrer britisk politi til å rette opp styringen av ansiktsgjenkjenningsdata viser at regulatoren forventer strengere kontroller etter hvert som teknologien blir rutinemessig. En bredere gjennomgang av hullene i det rettslige vernet finnes i vårt innlegg om et CDT-notat om personvernlover for ansiktsgjenkjenning.

Hva dette betyr for deg

Hvis du bor i, arbeider i eller reiser til Storbritannia, kan du ikke velge bort å gå forbi et kamera. Rapporteringen gjelder utlendingskontroll, men den samme infrastrukturen og det samme rettslige rammeverket deles med annen bruk av teknologien. Beslutninger som tas her, kan forme hvordan ansiktsgjenkjenning brukes bredere.

En VPN beskytter deg ikke mot dette. Den skjuler internettrafikken din, ikke ansiktet ditt på et offentlig sted. Vær skeptisk til påstander om at et personverntiltak kan beseire kamerabasert identifisering.

Det du derimot har, er juridiske rettigheter knyttet til dine personopplysninger, og muligheten til å holde institusjoner ansvarlige ved å stille spørsmål.

Hva personvernbevisste lesere kan gjøre

• Kjenn rettighetene dine. Etter britisk personvernlovgivning kan du vanligvis sende en innsynsforespørsel for å spørre hvilke personopplysninger en organisasjon har om deg. Unntak kan begrense hva du får i innvandringssammenhenger.
• Les retningslinjene. Myndigheter som tar i bruk sanntids ansiktsgjenkjenning, forventes å publisere policydokumenter. Sjekk hva de sier om overvåkningslister, oppbevaring og tilsyn.
• Følg regulatoren. ICOs veiledning og uttalelser om biometriske data og politiets datastyring viser hvilke standarder utplasseringer forventes å oppfylle.
• Støtt uavhengig gransking. Digitale rettighetsorganisasjoner følger biometrisk overvåkning og utfordrer den gjennom høringer og rettslige skritt. Å følge arbeidet deres er en av de mest direkte måtene å holde seg informert på.
• Begrens din egen biometriske deling. Der du har et valg, tenk deg om før du registrerer ansiktet ditt i apper og tjenester som lagrer det.

Konklusjon

The Guardians rapportering tyder på at britisk ansiktsgjenkjenning i utlendingskontrollen beveger seg fra målrettet bruk mot et fast program. Det rettslige rammeverket er reelt, men fleksibelt, og detaljene rundt overvåkningslister, oppbevaring og tilsyn vil avgjøre hvor mye beskyttelse folk faktisk har. For å gå dypere, les vår tidligere dekning av Storbritannias plan for ansiktsgjenkjenning i utlendingskontrollen og ICOs veiledning om datastyring, og fortsett å følge digitale rettighetsgrupper mens de sporer hvordan biometrisk overvåkning utvikler seg.