Technologia rozpoznawania twarzy w świetle Wytycznych EROD 05/2022 dotyczących korzystania z rozpoznawania twarzy

• 12.09.2022

• Autor: Bartosz Zgurski

• Analizy

Technologia rozpoznawania twarzy rozwija się dynamicznie, a potencjalne zastosowania rozbudzają wyobraźnię inwestorów, którzy chętnie dołączają aktywa z tego obszaru do swojego portfolio. Podmioty sektora prywatnego wprowadzają i udoskonalają w szerokim zakresie technologię rozpoznawania twarzy, służącą do uwierzytelnienia użytkowników urządzeń elektronicznych, dokonywania bezgotówkowych płatności, ale i tagowania zdjęć na portalach społecznościowych, rozpoznawania nastroju i dostosowania materiałów marketingowych.

Chińskie organy ścigania, nieskrępowane europejskim prawem ochrony danych osobowych, dzięki wprowadzonemu w dużych aglomeracjach monitoringowi korzystającemu z algorytmów rozpoznających twarze uzyskują tak spektakularne sukcesy, jak rozpoznanie poszukiwanego przestępcy w 60-tysięcznym tłumie zgromadzonym na koncercie. Pomimo potencjalnych korzyści, jakie jej wykorzystanie może przynieść zarówno w sektorze prywatnym, jak i publicznym, europejskie organy zajmujące się ochroną danych osobowych przejawiają tendencję do wydawania opinii i wytycznych limitujących scenariusze jej zastosowania (Wspólna opinia EROD i EIOD nr 5/2021 dotycząca unijnego projektu rozporządzenia ws. sztucznej inteligencji, omawiane w niniejszym artykule Wytyczne EROD). Zwraca się uwagę na szczególny charakter danych przetwarzanych przez systemy rozpoznawania twarzy (są one danymi biometrycznymi w rozumieniu art. 4 pkt 14 RODO), a tym samym konieczność stosowania adekwatnych środków ochrony i powstrzymania się od przetwarzania, jeśli nie jest ono konieczne.

Wytyczne Europejskiej Rady Ochrony Danych Osobowych 05/2022 dotyczące korzystania z rozpoznawania twarzy (dalej: Wytyczne) zostały 12. maja 2022 roku przyjęte do konsultacji społecznych. Organ porusza w nich problematykę korzystania z omawianej technologii w kontekście czynności podejmowanych przez organy ścigania. Należy w tym miejscu zaznaczyć, że Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (dalej: Dyrektywa Policyjna) wyznaczyła ramy przetwarzania danych biometrycznych dla organów ścigania państw członkowskich. W Wytycznych podkreślono konieczność uprzedniej konsultacji z organem nadzorczym do spraw danych osobowych  zamiaru włączenia technologii rozpoznawania twarzy w katalog czynności organu ścigania.

Europejska Rada Ochrony Danych Osobowych podtrzymuje w Wytycznych również wyrażone we Wspólnej opinii EROD i EIOD nr 5/2021 dotyczącej unijnego projektu rozporządzenia ws. Sztucznej inteligencji stanowisko swoje i Europejskiego Inspektora Ochrony Danych w sprawie wezwania do zakazania rodzajów przetwarzania takich jak:

• Zdalna identyfikacja biometryczna podmiotów w przestrzeni publicznej.
• Kategoryzacja przez systemy rozpoznawania twarzy w oparciu o dane biometryczne podmiotów w zbiory danych ze względu na grupę etniczną, płeć, a także poglądy polityczne bądź orientację seksualną lub inne podstawy do dyskryminacji oparte o sztuczną inteligencję.
• Użycie technologii rozpoznawania twarzy lub podobnej do identyfikacji emocji osoby fizycznej.
• Przetwarzanie danych osobowych w kontekście wymiaru sprawiedliwości, oparte o bazę danych, która byłaby uzupełniana poprzez zbieranie danych na dużą skalę o charakterze masowym, na przykład gromadzenia zdjęć twarzy dostępnych online.

Jako ryzyka związane z zastosowaniem technologii rozpoznawania twarzy wymieniono między innymi problemy z rzetelnością i adekwatnością. Agencja Praw Podstawowych Unii Europejskiej podniosła w swoim raporcie nt. stanu praw podstawowych z 2019 r., że szczególnie w przypadku miejsc publicznych odwiedzanych przez miliony osób nawet relatywnie mały odsetek błędnych oznaczeń oznacza dużą ilość podmiotów, których prawa mogą zostać naruszone. Nie bez znaczenia pozostaje fakt, że określone cechy wyglądu wpływają na niezawodność systemów tego typu. Europejska Rada Ochrony Danych powołując się na badania w tym zakresie podnosi, że istnieje dysproporcja pomiędzy ilością zwracanych przez systemy fałszywych wyników w zależności od koloru skóry i płci, co może implikować stygmatyzację i dyskryminację grup osób, prowadząc do bezpodstawnych przeszukań i aresztowań.

Nie są to jedyne obawy organu w odniesieniu do przetwarzania danych biometrycznych na potrzeby wymiaru sprawiedliwości. Oprócz argumentów o nieadekwatności proporcji skali przetwarzania danych do planowanych celów czy kwestionowanej niezbędności przetwarzania na gruncie RODO, pojawiają się również odwołania do najbardziej fundamentalnych praw jednostki wymienionych w Karcie Praw Podstawowych Unii Europejskiej, takich, jak godność człowieka, wolność przemieszczania się i wolność zgromadzeń.

Europejska Rada Ochrony Danych nie zaprzecza w Wytycznych użyteczności technologii dla organów ścigania, podkreśla jednak, że wymienione wyżej prawa winny mieć prymat nad potencjalnymi korzyściami. Oznacza to, że mimo konserwatywnego podejścia do implementacji nowych technologii w obszarze przetwarzania danych biometrycznych, nie jest ona całkowicie wykluczona. Na zasadzie case study kilku scenariuszy organ wskazuje, w jakich przypadkach stosowanie systemu identyfikacji twarzy byłoby w jego opinii dopuszczalne. Europejska Rada Ochrony Danych stoi na stanowisku, iż użycie technologii rozpoznawania twarzy w sytuacjach takich, jak porwanie dziecka lub automatyzacja kontroli granicznej byłoby dopuszczalne przy określonych założeniach. Nie wyczerpują one katalogu możliwych zastosowań, mają stanowić raczej praktyczny przewodnik dla wymiaru sprawiedliwości i organów nadzorczych.

Mając na uwadze postulaty sformułowane przez organy Unii Europejskiej, można dojść do wniosku, że sektor prywatny napotkać może duże trudności z implementacją systemów rozpoznawania twarzy w szerokim zakresie. Skoro organy ścigania, działające w interesie publicznym, nie powinny swobodnie korzystać z tego typu rozwiązań, wydaje się zasadną teza, iż potencjalne zyski z ich implementacji tym bardziej nie będą w opinii właściwego organu do spraw ochrony danych osobowych dostatecznym uzasadnieniem. Ostrożność w użyciu technologii opartej o biometrię powinno natomiast pozwolić na odpowiednie zbalansowanie interesu publicznego lub interesu administratora danych z prawami i wolnościami osób, których dane dotyczą. Etyczne i rozważne jej używanie ma szansę przynosić wymierne korzyści bez naruszenia zasad stojących u podstaw demokratycznego społeczeństwa.

Źródła:

fra.europa.eu/

edpb.europa.eu/our-work-tools/

edpb.europa.eu/system/

gov.legalis.pl/

www.alfatronik.com.pl/info/

businessinsider.com.pl/