Управление уполномоченного по информации Великобритании (ICO) заявило полицейским подразделениям, использующим технологию распознавания лиц, о необходимости более строго следовать его рекомендациям по защите данных, поскольку технология становится рутинной частью полицейской работы по всей стране. Вмешательство регулятора свидетельствует о растущей обеспокоенности тем, что темпы внедрения распознавания лиц опережают меры защиты, призванные обеспечить безопасность собираемых персональных данных.

Технология распознавания лиц, часто применяемая в режиме живого распознавания лиц (LFR) на массовых мероприятиях, в центрах городов или для ретроспективного поиска по фотографиям задержанных, работает путем сканирования лиц в реальном времени или по видеозаписям и сверки их с полицейскими списками розыска. Поскольку она обрабатывает биометрические данные — одну из наиболее чувствительных категорий согласно законодательству Великобритании о защите данных — любая ошибка в том, как эти данные собираются, хранятся или передаются, несет повышенный риск для приватности. Призыв ICO к усилению управления отражает простую реальность: мощные инструменты слежки требуют столь же мощных механизмов подотчетности за ними.

Что ICO требует от полиции

Будучи независимым регулятором Великобритании по защите данных, ICO имеет полномочия проверять, как государственные органы, включая полицейские подразделения, обрабатывают персональные данные в соответствии с UK GDPR и Законом о защите данных. Его последние рекомендации полиции сосредоточены на управлении данными: четкая документация о том, зачем используется распознавание лиц, как долго хранятся биометрические данные, кто имеет доступ к спискам розыска и как решения, принятые с использованием технологии, могут быть пересмотрены или оспорены.

Это не требование полностью отказаться от распознавания лиц. Скорее, ICO просит подразделения создать такие внутренние механизмы контроля, которые сделают использование технологии прозрачным и защитимым — как перед общественностью, так и перед регуляторами. Надлежащее управление означает меньше возможностей для неправильной обработки данных, их хранения дольше необходимого или использования за пределами первоначальной цели.

Почему управление данными важнее самой технологии

Легко сосредоточиться на точности или справедливости алгоритмов распознавания лиц, но акцент ICO на управлении указывает на другую уязвимость: что происходит с данными после их сбора. Биометрические идентификаторы нельзя изменить так, как пароль. Если данные распознавания лиц хранятся небезопасно, передаются без надлежащего разрешения или хранятся бессрочно, последствия утечки или злоупотребления гораздо серьезнее, чем утечка адреса электронной почты.

Эта обеспокоенность не гипотетична для полиции Великобритании. Чувствительные данные правоохранительных органов уже доказали свою привлекательность для злоумышленников. Утечка 1,9 ГБ из Полицейской национальной правовой базы данных группой ExfilSquad показала, что даже системы, предназначенные для внутреннего юридического справочного использования, могут стать мишенью и обузой при недостаточном управлении. Базы данных распознавания лиц, которые централизуют высокочувствительные биометрические записи, связанные с реальными личностями, представляли бы собой еще более ценную цель, если бы аналогичные пробелы в практике безопасности сохранялись.

Риски централизации чувствительных персональных данных в больших масштабах также проявились далеко за пределами полиции. Взлом UK Biobank, затронувший 500 000 добровольцев продемонстрировал, как крупные хранилища персональных данных, даже созданные для законных исследовательских целей, могут оказаться скомпрометированными и выставленными на продажу, если меры защиты отстают от масштабов сбора. Полицейские системы распознавания лиц сталкиваются с аналогичной проблемой: чем больше лиц добавляется в списки розыска и базы данных, тем больше потенциальный ущерб от любого сбоя в управлении.

История правоприменения также подчеркивает, почему ICO вмешивается на раннем этапе, а не постфактум. Штраф регулятора в размере почти 1 миллиона фунтов стерлингов против South Staffordshire Water после утечки, раскрывшей данные сотен тысяч клиентов, напоминает о том, что ICO действительно принимает меры, когда организации не выполняют свои обязательства по защите данных, и что сбои в управлении данными распознавания лиц могут иметь аналогичные последствия для полицейских подразделений.

Что это значит для вас

Если вы живете, работаете или посещаете мероприятия в районах, где полиция использует распознавание лиц, эта технология может уже обрабатывать ваши биометрические данные без вашего прямого ведома, поскольку живое распознавание лиц обычно сканирует всех, кто попадает в зону действия камеры, а не только людей из списка розыска. Стремление ICO к улучшению управления в конечном счете направлено на то, чтобы сканирование было соразмерным, ограниченным по времени и подотчетным, а не бессрочной возможностью слежки.

Для большинства людей практический вывод заключается в том, что надзор за распознаванием лиц все еще догоняет его внедрение. Этот разрыв означает, что стоит обращать внимание на то, как и где эти системы используются в вашем районе, и поддерживать призывы к прозрачности в отношении сроков хранения данных, критериев списков розыска и независимых аудитов.

Основные выводы

  • Распознавание лиц обрабатывает биометрические данные — одну из наиболее чувствительных категорий персональных данных по законодательству Великобритании, что делает сбои в управлении более серьезными, чем типичная неправильная обработка данных.
  • Рекомендации ICO сосредоточены на документации, ограничениях сроков хранения и подотчетности, а не на полном запрете технологии.
  • Централизованные базы данных — будь то биометрические, юридические или медицинские — неоднократно доказывали свою привлекательность для злоумышленников, когда безопасность и управление отстают от сбора данных.
  • Граждане могут требовать от местных полицейских подразделений прозрачности в отношении развертывания систем распознавания лиц и практик хранения данных, а также обращаться с жалобами напрямую в ICO, если меры защиты кажутся недостаточными.

По мере того как распознавание лиц становится все более постоянным элементом полицейской работы в Великобритании, качество управления данными, а не только техническая точность, будет определять, заслужит ли технология долгосрочное доверие общественности.