Недавнее эссе на Substack открывается сценой, знакомой большинству городских жителей: вы проходите мимо дюжины камер ещё до того, как доберётесь до работы, и ваше лицо может быть отсканировано, отмечено тегом и занесено в журнал без вспышки и без каких-либо уведомлений. В статье это подаётся как тихий обмен свободы на контроль. Для читателей сайта о приватности практический вопрос уже: что именно ограничивают законы о конфиденциальности в сфере распознавания лиц и какие инструменты действительно помогают?

Короткий ответ: законодательство представляет собой лоскутное одеяло, и VPN не является частью решения этой конкретной проблемы.

Как распознавание лиц отслеживает вас без согласия

Распознавание лиц работает путём преобразования изображения вашего лица в числовой шаблон, который затем сравнивается с другими шаблонами. Правовые комментаторы отмечают, что как изображение лица, так и числовой код, присвоенный лицу, могут считаться персональной информацией в соответствии с законодательством о конфиденциальности.

Что отличает эту технологию от многих других биометрических систем, по мнению ACLU, — это то, что её можно использовать для общего наблюдения в сочетании с публичными видеокамерами. Сканер отпечатков пальцев требует, чтобы вы приложили палец к стеклу. Сеть камер не требует от вас ничего. Вы не даёте согласия, и часто не можете определить, работает ли конкретная камера с программным обеспечением распознавания или просто записывает.

В этом и заключается основная проблема согласия. В общественных местах редко бывает момент, когда кто-то спрашивает, и редко встречается табличка, объясняющая, что происходит с данными afterwards.

Какие законы о конфиденциальности в сфере распознавания лиц ограничивают наблюдение

Единого глобального правила не существует. То, что есть, сильно зависит от того, где вы находитесь.

Соединённые Штаты. Аналитики давно отмечают, что федерального закона, регулирующего сбор биометрических данных, включая данные распознавания лиц, не существует. Вместо этого защита обеспечивается сочетанием законов штатов и местных правил. Законы о распознавании лиц, как правило, рассматриваются как подмножество законодательства о биометрической конфиденциальности. Иллинойс — наиболее известный пример: его подход гласит, что частное лицо не может получить биометрический идентификатор человека, не уведомив предварительно субъекта о том, что он собирается или хранится. Некоторые законы идут дальше и требуют явного согласия до сбора биометрических данных, включая данные, полученные посредством распознавания лиц. Ставки могут быть высоки. Одна функция социальной сети, которую обвинили в сканировании геометрии лица без согласия, привела к урегулированию на $650 миллионов.

В материале к этой статье также указывается на запреты в некоторых штатах и городах США. Они, как правило, касаются государственного использования, поэтому запрет в одном городе может не распространяться на частных розничных продавцов, арендодателей или работодателей. Проверьте конкретную сферу действия любого правила, которое применяется к вам.

Европейский союз. Закон ЕС об ИИ — это основная региональная структура, ограничивающая определённые виды использования распознавания лиц. Его правила многоуровневые и содержат условия и исключения, поэтому чтение краткого изложения в заголовке не равнозначно знанию того, что применяется к конкретной камере. Если вы живёте в ЕС, ознакомьтесь с руководством вашего национального органа по защите данных о том, как правила применяются на местном уровне.

Стоит иметь в виду две оговорки. Законы в этой области меняются быстро, а некоторые широко цитируемые комментарии устарели на несколько лет. Кроме того, закон, ограничивающий практику, не означает, что практика прекратилась. Правоприменение, исключения и то, на кого они распространяются, — всё это имеет значение.

Почему VPN не может скрыть ваше лицо

VPN шифрует трафик между вашим устройством и VPN-сервером, а также маскирует ваш IP-адрес от сайтов, которые вы посещаете. Это полезно для защиты вашего просмотра от локальных сетевых наблюдателей и для ограничения того, что сайты узнают о вашем местоположении.

Это ничего не делает с камерой, направленной на ваше лицо на улице, в магазине или у турникета. Эта камера не читает ваш интернет-трафик. Она улавливает свет. Между вашим лицом и объективом нет никакого зашифрованного туннеля.

Есть более узкая область пересечения, которую стоит понимать. Если сервис просит вас загрузить селфи или фотографию удостоверения личности для верификации, изображение передаётся по сети, и VPN может защитить его при передаче. Он не может контролировать, что компания делает с вашим лицом после его получения. Системы цифровой идентификации, которые полагаются на сертификаты и криптографические ключи, такие как инфраструктура открытых ключей (PKI), подтверждают вашу личность без необходимости сканирования вашего лица вообще, что является полезным различием при оценке того, действительно ли биометрическая проверка необходима.

Что это значит для вас

Законы о конфиденциальности в сфере распознавания лиц наиболее сильны там, где действовал законодательный орган и где регуляторы обеспечивают соблюдение правил. Если вы живёте в месте, где действует закон о биометрическом согласии, у вас может быть право быть уведомлённым о сборе данных вашего лица и, в некоторых случаях, право на судебный иск при их неправомерном использовании. Если вы живёте там, где такого закона нет, ваша защита может быть слабой.

Это также означает, что следует разделять два вида приватности: то, что вы делаете онлайн, и то, что записывается о вашем физическом присутствии. Разные инструменты и разные законы охватывают каждый из них.

Практические шаги и правовые инструменты, которые действительно защищают вас

  • Изучите правила там, где вы живёте. Найдите руководство вашего штата, города или национального органа по защите данных о биометрических данных. Отметьте, охватывают ли правила частные предприятия, государственные органы или и то, и другое.
  • Читайте уведомления и задавайте вопросы. Если предприятие или работодатель собирает данные о лицах, спросите, что хранится, как долго и кто их получает. В местах с требованиями о согласии они могут быть обязаны дать вам чёткий ответ.
  • Отказывайтесь от необязательных сканирований лица. Когда разблокировка по лицу, отметка на фото или верификация по селфи являются необязательными, подумайте, подходит ли вам альтернатива, например пароль.
  • Проверьте настройки приложений и платформ. Отключите функции сопоставления лиц или отметки на фото, которые вы не используете.
  • Используйте свои законные права. Там, где существуют права на доступ или удаление, вы можете запросить, какие данные о вас хранит компания.
  • Поддерживайте чёткие правила. Периоды публичных комментариев и заседания местных советов — это места, где определяется множество политик в отношении камер.

Итог

Камеры, сканирующие лица в общественных местах, — это правовой и гражданский вопрос, а не вопрос сетевой безопасности. Понимание законов о конфиденциальности в сфере распознавания лиц там, где вы живёте, — самый полезный первый шаг, потому что он показывает, какие права вы действительно можете реализовать. Продолжайте использовать VPN для того, что он делает хорошо, — защиты вашего сетевого трафика, — но не ожидайте, что он защитит ваше лицо. Найдите свои местные правила о биометрических данных на этой неделе и настройте необязательные параметры, которые вы контролируете, уже сегодня.