The Guardian har rapporterat att regeringsdokument visar att Storbritannien utvecklar ett program för att använda ansiktsigenkänning för allmän immigrationskontroll. Rapporten beskriver det som den största immigrationsinsatsen någonsin som involverar tekniken. Brittisk ansiktsigenkänning inom immigrationskontroll är ingen ny idé, men dokumenten pekar mot en bredare och mer rutinmässig roll än de riktade användningar som hittills beskrivits.

Det här inlägget tittar på vad som har rapporterats, hur biometriska uppgifter kan komma att användas för ändamål utöver det de ursprungligen samlades in för, och vad brittisk dataskyddslagstiftning erbjuder och inte erbjuder. Det bygger på Guardian's sammanfattning av dokumenten. Fullständiga detaljer om programmet har inte bekräftats utöver den rapporteringen.

Vad dokumenten avslöjar om immigrationsprogrammet

Enligt The Guardian's sammanfattning visar dokumenten att regeringen utvecklar ett program som skulle använda ansiktsigenkänning för allmän immigrationskontroll. "Allmän" är nyckelordet. Tidigare rapportering fokuserade på specifika operationer. Den här rapporteringen tyder på att tekniken byggs in i det dagliga kontrollarbetet.

Utdrag ur rapporteringen som framkom i sökresultat säger att tekniken skulle användas för att identifiera personer som "försöker återvända till Storbritannien olagligt" och för att rikta in sig på personer som omfattas av avlägsnandeåtgärder. Vi har inte sett de underliggande dokumenten, så de praktiska detaljerna är oklara: var kameror skulle placeras, vilka bevakningslistor som skulle användas, hur länge bilder skulle sparas och vem som skulle granska träffar.

För bakgrund om de tidigare planerna, se vår rapportering om Storbritanniens plan för ansiktsigenkänning inom immigrationskontroll 2026 och utvidgningen av immigrationsansiktsigenkänning till civilrättsliga ärenden.

Hur biometriska uppgifter återanvänds bortom sitt ursprungliga syfte

En ansiktsbild är inte som ett lösenord. Du kan inte ändra den, och den kan samlas in på avstånd utan din medverkan. Det gör frågan om återanvändning central.

Bilder och biometriska mallar kan komma från många håll. Pass- och visumansökningar, gränskontroller, polisens frihetsberövanderegister och livekameraströmmar är alla potentiella källor. En bevakningslista kan sammanställas från flera av dem. Den oro som digitala rättighetsgrupper lyfter är "funktionsglidning": uppgifter som samlats in av ett snävt skäl blir en resurs för en bredare uppsättning uppgifter när infrastrukturen väl finns på plats.

Tre frågor hjälper till att visa om återanvändning sker:

  • Källa: Var kom bilderna på bevakningslistan ifrån, och informerades människor om att de kunde användas på det här sättet?
  • Omfattning: Omfattar bevakningslistan endast personer som eftersöks av specifika skäl, eller en bred befolkning?
  • Lagring: Vad händer med ansiktena på personer som skannas men inte matchas?

Den sista punkten är viktig eftersom liveansiktsigenkänning fungerar genom att skanna alla som passerar en kamera, inte bara de personer som eftersöks. Dessa skanningar är personuppgifter även när ingen matchning görs.

Vad brittisk dataskyddslagstiftning täcker och inte täcker

UK GDPR och Data Protection Act 2018 gäller för biometriska uppgifter som används för att identifiera en person. Biometriska uppgifter som används för det ändamålet behandlas som en särskild kategori av personuppgifter, vilket medför strängare villkor. Centrala principer inkluderar ändamålsbegränsning (uppgifter som samlats in för ett ändamål bör inte användas på ett oförenligt sätt), dataminimering och ansvarsskyldighet. Organisationer som utför högriskbehandling förväntas i allmänhet först genomföra en konsekvensbedömning för dataskydd.

Det finns gränser för vad det innebär i praktiken. Brottsbekämpande behandling hanteras enligt en separat del av Data Protection Act, med egna regler. Undantag kan gälla för frågor som immigrationskontroll, och offentliga organ kan åberopa en rättslig grund knuten till deras officiella funktioner. Med andra ord sätter lagen en ram men förbjuder inte användning av ansiktsigenkänning. Huruvida en specifik driftsättning är laglig beror på dess nödvändighet, proportionalitet och skyddsåtgärder, samt på detaljerna i de policyer som ligger bakom den.

Information Commissioner's Office har redan pressat polismyndigheter i den här frågan. Vår rapport om ICO som uppmanar brittisk polis att åtgärda datastyrning för ansiktsigenkänning visar att tillsynsmyndigheten förväntar sig strängare kontroller i takt med att tekniken blir rutinmässig. En bredare genomgång av luckorna i det rättsliga skyddet finns i vår artikel om en CDT-brief om integritetslagar för ansiktsigenkänning.

Vad detta innebär för dig

Om du bor i, arbetar i eller reser till Storbritannien kan du inte välja bort att gå förbi en kamera. Rapporteringen gäller immigrationskontroll, men samma infrastruktur och rättsliga ram delas med andra användningar av tekniken. Beslut som fattas här kan forma hur ansiktsigenkänning används i bredare utsträckning.

En VPN skyddar dig inte mot detta. Den döljer din internettrafik, inte ditt ansikte i ett offentligt rum. Var skeptisk till påståenden om att ett integritetsverktyg kan besegra kamerabaserad identifiering.

Det du har är rättsliga rättigheter över dina personuppgifter och möjligheten att ställa institutioner till svars genom att ställa frågor.

Vad integritetsmedvetna läsare kan göra

  • Känn dina rättigheter. Enligt brittisk dataskyddslagstiftning kan du i allmänhet göra en registerutdragsförfrågan för att fråga vilka personuppgifter en organisation har om dig. Undantag kan begränsa vad du får i immigrationssammanhang.
  • Läs policyerna. Myndigheter som driftsätter liveansiktsigenkänning förväntas publicera policydokument. Kontrollera vad de säger om bevakningslistor, lagring och tillsyn.
  • Följ tillsynsmyndigheten. ICO:s vägledning och uttalanden om biometriska uppgifter och polisens datastyrning visar vilka standarder driftsättningar förväntas uppfylla.
  • Stöd oberoende granskning. Digitala rättighetsorganisationer följer biometrisk övervakning och utmanar den genom samråd och rättsliga åtgärder. Att följa deras arbete är ett av de mest direkta sätten att hålla sig informerad.
  • Begränsa ditt eget biometriska delande. Där du har ett val, tänk efter innan du registrerar ditt ansikte i appar och tjänster som lagrar det.

Slutsats

The Guardian's rapportering tyder på att brittisk ansiktsigenkänning inom immigrationskontroll rör sig från riktad användning mot ett stående program. Det rättsliga ramverket är verkligt men flexibelt, och de finare detaljerna kring bevakningslistor, lagring och tillsyn kommer att avgöra hur mycket skydd människor faktiskt har. För att gå djupare, läs vår tidigare rapportering om Storbritanniens plan för ansiktsigenkänning inom immigration och ICO:s vägledning om datastyrning, och fortsätt följa digitala rättighetsgrupper när de spårar hur biometrisk övervakning utvecklas.