Birleşik Krallık Bilgi Komiserliği Ofisi (ICO), yüz tanıma teknolojisini kullanan polis güçlerine, teknoloji ülke genelinde polisliğin rutin bir parçası haline gelirken, veri koruma tavsiyelerine daha yakından uymalarını söyledi. Denetleyici kurumun müdahalesi, yüz tanıma kullanımının yayılma hızının, topladığı kişisel verileri korumaya yönelik güvenceleri geride bıraktığı yönündeki endişelerin arttığına işaret ediyor.

Genellikle halka açık etkinliklerde, şehir merkezlerinde canlı yüz tanıma (LFR) olarak veya gözaltı görüntüleri üzerinden geriye dönük aramalar yoluyla kullanılan yüz tanıma teknolojisi, yüzleri gerçek zamanlı olarak veya görüntülerden tarayıp bunları polis izleme listeleriyle karşılaştırarak çalışır. Birleşik Krallık veri koruma yasası kapsamında en hassas kategorilerden biri olan biyometrik verileri işlediği için, bu verilerin toplanma, saklanma veya paylaşılma biçimindeki herhangi bir hata, orantısız bir gizlilik riski taşır. ICO'nun daha güçlü yönetişim çağrısı basit bir gerçeği yansıtıyor: Güçlü gözetim araçları, arkalarında eşit derecede güçlü hesap verebilirlik yapıları gerektirir.

ICO Polisten Ne İstiyor?

Birleşik Krallık'ın bağımsız veri koruma düzenleyicisi olarak ICO, Birleşik Krallık GDPR'si ve Veri Koruma Yasası kapsamında polis güçleri de dahil olmak üzere kamu kurumlarının kişisel bilgileri nasıl ele aldığını inceleme yetkisine sahiptir. Polise yönelik en son rehberliği veri yönetişimine odaklanıyor: yüz tanımanın neden kullanıldığının açık bir şekilde belgelenmesi, biyometrik verilerin ne kadar süre saklanacağı, izleme listelerine kimlerin erişebileceği ve teknoloji kullanılarak alınan kararların nasıl gözden geçirilebileceği veya itiraz edilebileceği.

Bu, yüz tanımanın tamamen terk edilmesi talebi değil. ICO, güçlerden teknolojinin kullanımını hem kamuya hem de düzenleyicilere karşı şeffaf ve savunulabilir kılan iç kontroller oluşturmalarını istiyor. Güçlü yönetişim, verilerin kötüye kullanılması, gerekenden daha uzun süre saklanması veya orijinal amacının dışında kullanılması için daha az fırsat anlamına gelir.

Veri Yönetişimi Neden Teknolojinin Kendisinden Daha Önemli?

Yüz tanıma algoritmalarının doğruluğuna veya adilliğine odaklanmak kolaydır, ancak ICO'nun yönetişime yaptığı vurgu farklı bir kırılganlığa işaret ediyor: Veriler toplandıktan sonra ona ne oluyor? Biyometrik tanımlayıcılar, bir parolanın değiştirilebildiği gibi değiştirilemez. Yüz tanıma verileri güvenli olmayan bir şekilde saklanırsa, yetkisiz paylaşılırsa veya süresiz tutulursa, bir ihlalin veya kötüye kullanımın sonuçları, sızdırılmış bir e-posta adresinden çok daha ciddidir.

Bu endişe Birleşik Krallık polisi için varsayımsal değil. Hassas kolluk kuvvetleri verilerinin saldırganlar için zaten çekici olduğu kanıtlandı. ExfilSquad'ın Polis Ulusal Hukuk Veritabanı'ndan 1,9GB sızdırması, yönetişim yetersiz kaldığında dahili hukuki referans için tasarlanmış sistemlerin bile bir hedef ve yükümlülük haline gelebileceğini gösterdi. Gerçek kimliklere bağlı son derece hassas biyometrik kayıtları merkezileştiren yüz tanıma veritabanları, benzer güvenlik açıkları devam ederse çok daha değerli bir hedef olacaktır.

Hassas kişisel verilerin büyük ölçekte merkezileştirilmesinin riskleri, polisliğin çok ötesinde de kendini göstermiştir. 500.000 gönüllüyü etkileyen UK Biobank hack'i, meşru araştırma amaçları için oluşturulmuş olsa bile, korumalar toplama ölçeğinin gerisinde kalırsa büyük kişisel veri havuzlarının nasıl ifşa edilip satılabileceğini gösterdi. Polis yüz tanıma sistemleri de benzer bir zorlukla karşı karşıya: İzleme listelerine ve veritabanlarına ne kadar çok yüz eklenirse, yönetişimdeki herhangi bir başarısızlıktan kaynaklanan potansiyel hasar o kadar büyük olur.

Yaptırım geçmişi de ICO'nun neden olay olduktan sonra değil de erken devreye girdiğinin altını çiziyor. Düzenleyicinin, yüz binlerce müşteri kaydını ifşa eden bir ihlalin ardından South Staffordshire Water'a yaklaşık 1 milyon sterlin para cezası kesmesi, ICO'nun kuruluşlar veri koruma yükümlülüklerini yerine getirmediğinde harekete geçtiğini ve yüz tanıma veri yönetişimi başarısızlıklarının polis güçleri için benzer sonuçlar doğurabileceğini hatırlatıyor.

Bu Sizin İçin Ne İfade Ediyor?

Polisin yüz tanıma kullandığı bölgelerde yaşıyor, çalışıyor veya etkinliklere katılıyorsanız, bu teknoloji zaten sizin bilginiz olmadan biyometrik verilerinizi işliyor olabilir; çünkü canlı yüz tanıma genellikle yalnızca izleme listesindeki kişileri değil, kamera menzilindeki herkesi tarar. ICO'nun daha iyi yönetişim için baskısı nihayetinde bu taramanın sınırsız bir gözetleme yeteneği değil, orantılı, süre sınırlı ve hesap verebilir olmasını sağlamakla ilgilidir.

Çoğu insan için pratik sonuç, yüz tanıma denetiminin hâlâ kullanıma yetişmeye çalıştığıdır. Bu açık, bu sistemlerin bulunduğunuz bölgede nasıl ve nerede kullanıldığına dikkat etmenin ve saklama süreleri, izleme listesi kriterleri ve bağımsız denetimler etrafında şeffaflık çağrılarını desteklemenin önemli olduğu anlamına gelir.

Önemli Çıkarımlar

  • Yüz tanıma, Birleşik Krallık yasalarına göre en hassas kişisel veri kategorilerinden biri olan biyometrik verileri işler ve bu da yönetişim başarısızlıklarını tipik veri kötüye kullanımından daha yüksek riskli hale getirir.
  • ICO'nun tavsiyeleri, teknolojiyi tamamen yasaklamaya değil, belgeleme, saklama sınırları ve hesap verebilirliğe odaklanır.
  • Merkezi veritabanları, ister biyometrik, ister hukuki veya tıbbi olsun, güvenlik ve yönetişim veri toplamanın gerisinde kaldığında tekrar tekrar çekici hedefler olduğunu kanıtlamıştır.
  • Vatandaşlar, yerel polis güçlerinden yüz tanıma kullanımları ve saklama uygulamaları hakkında şeffaflık talep edebilir ve güvenceler yetersiz görünüyorsa doğrudan ICO'ya endişelerini iletebilir.

Yüz tanıma, Birleşik Krallık polisliğinin daha kalıcı bir parçası haline gelirken, teknolojinin kalıcı kamu güveni kazanıp kazanmayacağını yalnızca teknik doğruluğu değil, veri yönetişiminin gücü belirleyecektir.