Usmejte sa, budete v databáze. Británia čoraz viac koketuje s rozpoznávaním tvárí
Od platieb rozpoznávaním tváre cez policajné sledovanie až po bezpečnosť v supermarketoch – Británia zavádza biometrické technológie, ktoré vyvolávajú dlhodobé obavy o ochranu súkromia.
Muž používa rozpoznávanie tváre na platbu. Foto: Weiquan Lin/Getty Images
Revolut koncom septembra testoval svoj nový platobný systém Pay with Smile, ktorý zákazníkom umožňuje zaplatiť pohľadom do kamery platobného terminálu. Britská dopravná polícia (BTP) od februára skúšobne využíva rozpoznávanie tváre v reálnom čase na londýnskych železničných staniciach. V auguste testovanie rozšírila aj na vybrané stanice metra. Kamery tam snímajú okoloidúcich a porovnávajú ich tváre s policajnými zoznamami sledovaných osôb. Britská bezpečnostná spoločnosť Facewatch zasa sníma zákazníkov supermarketov, aby identifikovala ľudí vedených ako „záujmové osoby“ v súvislosti s podozreniami zo spáchania deliktov.
Či už ide o platby, cestovanie alebo predchádzanie krádežiam, rozpoznávanie tváre sa v Británii stáva najnovším digitálnym hitom. Technológia však prináša riziká od nesprávnej identifikácie osôb až po úniky údajov a krádeže identity.
Podľa často citovaného odhadu Britskej asociácie bezpečnostného priemyslu z roku 2021 bolo v Spojenom kráľovstve 21 miliónov sledovacích kamier vrátane súkromne prevádzkovaných systémov. Len londýnske metro má vo svojich staniciach a vlakoch približne 22 500 kamier.
Prísľub bezpečnosti a pohodlia má vysokú cenu. Ak sa snímky tvárí prepojené s menami a osobnými údajmi dostanú do nesprávnych rúk, ohrozená je trvalá súčasť identity človeka. Používateľské mená, heslá a PIN kódy sa dajú zmeniť a dokonca aj doklady totožnosti možno nahradiť novými. Vaša tvár so svojimi jedinečnými biometrickými charakteristikami však zostáva rovnaká.
Počas testovania systému od Revolutu mohli zákazníci, ktorí sa zaregistrovali cez aplikáciu, zaplatiť v kaviarňach Kiss the Hippo v londýnskych štvrtiach Bloomsbury, Soho a Chelsea jednoducho pohľadom do kamery. Aby ich spoločnosť motivovala zapojiť sa, ponúkala im kávu za jednu libru a trojnásobok vernostných bodov. Obchodníci za tieto transakcie neplatili žiadne poplatky za spracovanie. Teoreticky bol teda systém pre zákazníkov jednoduchý a pre predajcov bezplatný.
Revolut pritom získaval aj citlivé údaje o tvárach zákazníkov.
Postup je jednoduchý. Kamera pri pokladni zhotoví fotografiu a prevedie charakteristické črty tváre na číselnú reprezentáciu známu ako facial embedding. Tento kód sa porovná s údajmi o tvári, ktoré Revolut získal pri otvorení účtu zákazníka. Ak sa zhodujú, platba sa schváli.
Spoločnosť zdôrazňuje, že obchodníci osobné údaje neuchovávajú. Za údaje o tvári zodpovedá Revolut Bank UK. Podľa oznámenia Revolutu o ochrane osobných údajov sa kópia fotografie zhotovenej pri pokladni nahrá do interných cloudových systémov banky, kde sa môže použiť na predchádzanie podvodom a riešenie prípadných sporov týkajúcich sa platieb.
Revolut uvádza, že číselnú reprezentáciu tváre vymaže okamžite po porovnaní. Samotná fotografia však podlieha všeobecným pravidlám banky o uchovávaní údajov spolu s údajmi o transakciách a zariadení, diagnostickými údajmi a údajmi súvisiacimi s podvodmi. Osobné údaje britských zákazníkov sa spravidla uchovávajú až sedem rokov po ukončení ich vzťahu s bankou, prípadne aj dlhšie, ak to vyžaduje zákon.
Zákazníci, ktorí odvolajú svoj súhlas s používaním Pay with Smile, môžu požiadať o okamžité vymazanie svojej biometrickej šablóny. Osobitné oznámenie o ochrane osobných údajov tejto služby však nesľubuje okamžité vymazanie už uložených fotografií zhotovených pri transakciách.
Z fotografie vo vysokom rozlíšení možno opätovne získať biometrické charakteristiky. Či by bol takýto postup zákonný, je samostatná otázka, technicky je však naďalej možný. Banka sa odvoláva na svoje „oprávnené záujmy“ pri používaní snímok na predchádzanie podvodom, riešenie sporov týkajúcich sa platieb, zaistenie bezpečnosti, výskum a analýzu. Napriek tomu tým vzniká priestor na možné zneužitie.
Za pozornosť stojí, že kampaň Pay with Smile sa začala necelé dva týždne po zverejnení incidentu týkajúceho sa ochrany údajov v Revolute. Neoprávnená tretia strana odoslala žiadosti o informácie z autentickej e-mailovej domény štátnej inštitúcie. Revolut považoval žiadosti za pravé a poskytol informácie o obmedzenom počte zákazníkov.
Tieto informácie mohli zahŕňať mená, adresy, dátumy narodenia, údaje o účtoch a transakciách, kópie pasov a vodičských preukazov či selfie používané na overenie totožnosti. Údaje dotknutých zákazníkov sa tak dostali do nepovolaných rúk. S novým platobným systémom by sa súčasťou podobného súboru údajov mohli stať aj biometrické snímky tvárí.
Kým Revolut mení tvár na platobný prostriedok, BTP využíva rozpoznávanie tváre na identifikáciu hľadaných osôb. Na londýnskych železničných staniciach a v metre kamery snímajú okoloidúcich a automaticky porovnávajú ich tváre so zoznamom sledovaných osôb. Ak systém identifikuje možnú zhodu, policajt rozhodne, či danú osobu osloví.
K 24. septembru evidoval oficiálny register 27 nasadení systému a odhadom 926 912 skenov tvárí. Tento počet však nemusel zodpovedať rovnakému počtu rôznych osôb.
Podľa informácií získaných na základe žiadosti o sprístupnenie informácií a analyzovaných organizáciou Liberty Investigates stálo prvých šesť mesiacov skúšobnej prevádzky 320 786 libier. Pri prvých 18 nasadeniach viedlo približne 537 700 skenov tvárí k jedinému upozorneniu. Išlo o falošnú zhodu. Nikoho nezatkli.
Pri neskorších nasadeniach systém zaznamenal malý počet skutočných zhôd. Napriek tomu oficiálny register k 24. septembru stále neevidoval žiadne zatknutia, ku ktorým by viedla táto nová forma plošného skenovania tvárí.
Zoznamy sledovaných osôb sa medzitým naďalej rozširovali. Pri prvom nasadení zahŕňal zoznam 381 ľudí. V polovici septembra obsahoval len na stanici Victoria 862 mien. Polícia tak touto formou sledovania dosiahla pozoruhodne málo, hoci naskenovala státisíce tvárí bez akéhokoľvek konkrétneho podozrenia z protiprávneho konania.
BTP uvádza, že snímky a biometrické údaje ľudí, pri ktorých systém nevydá upozornenie, sa okamžite vymažú. Snímky spojené so zhodou sa majú vymazať do 24 hodín, zatiaľ čo bežný videozáznam z kamier na rozpoznávanie tváre sa uchováva 31 dní.
Cestujúcim, ktorí sa chcú vyhnúť oblasti s aktívnym sledovaním, v praxi zostáva jediná možnosť: zvoliť si inú trasu.
Údaje o tvárach zbierajú aj maloobchodníci. Technologická spoločnosť Facewatch prevádzkuje systémy pre supermarkety a ďalšie podniky. Kamery snímajú zákazníkov pri vstupe do zapojených predajní a vytvárajú biometrické merania, ktoré sa následne porovnávajú s databázou ľudí vedených ako „záujmové osoby“ v súvislosti s podozreniami zo spáchania deliktov. Facewatch sa označuje za prevádzkovateľa osobných údajov.
Podľa spoločnosti sa biometrické merania ľudí, pri ktorých sa nezistí zhoda s databázou, okamžite vymažú. Snímky tvárí zachytené kamerami sa však uchovávajú sedem dní. Informácie o osobách na zozname sledovaných možno spravidla uchovávať 12 mesiacov od posledného zaznamenaného incidentu, v prípadoch zahŕňajúcich zbrane až dva roky.
Incident v Sainsbury’s, jednom z najväčších britských supermarketových reťazcov, ukázal, že aj technicky správna zhoda môže mať dôsledky pre nevinných zákazníkov.
V auguste požiadali britského zákazníka Matta Arnolda, aby opustil londýnsku predajňu po tom, ako systém Facewatch vydal upozornenie. Podľa Sainsbury’s systém správne identifikoval osobu, ktorú hľadal, personál však namiesto nej oslovil Arnolda. Spoločnosť sa ospravedlnila a používanie systému v predajni dočasne pozastavila.
Už predtým si po upozornení systému v inej predajni pomýlili zákazníka Warrena Rajaha s hľadanou osobou.
Tvár si nezmeníte
Podľa britských právnych predpisov o ochrane údajov patria biometrické informácie používané na jednoznačnú identifikáciu človeka do osobitne citlivej kategórie osobných údajov. Fotografia sama osebe nie je automaticky biometrickým údajom. Keď sa však zo snímky získajú identifikačné charakteristiky na rozpoznanie konkrétneho človeka, vznikajú biometrické údaje.
Information Commissioner’s Office (ICO), britský úrad na ochranu osobných údajov, vysvetľuje, že snímky tvárí aj šablóny z nich odvodené môžu byť súčasťou procesu biometrického rozpoznávania.
Biometrické systémy navyše pracujú s pravdepodobnosťou. Ani dve fotografie toho istého človeka nikdy nie sú úplne totožné. ICO upozorňuje na falošné zhody aj nesprávne odmietnutia, pričom chybovosť závisí od faktorov, ako sú nastavené prahové hodnoty na určenie zhody a kvalita snímok.
Používanie tváre na overenie totožnosti sa predovšetkým zásadne líši od používania PIN-u, hesla či čísla platobnej karty. Prihlasovacie údaje, ktoré sa dostali do nepovolaných rúk, možno zablokovať a nahradiť novými. Črty tváre nie.
Aj z existujúcich fotografií možno v budúcnosti opätovne získať biometrické charakteristiky. Uchovávanie pôvodných snímok preto vytvára celkom iné riziká než uchovávanie bežných platobných záznamov. Ani po úniku údajov nemožno biometrické informácie jednoducho nahradiť novými prihlasovacími údajmi.
V celej Británii vznikajú tieto súbory údajov o tvárach v rôznych prostrediach. Banky používajú tváre na schvaľovanie platieb. Maloobchodníci nimi identifikujú ľudí podozrivých z krádeží v obchodoch. Polícia porovnáva tváre cestujúcich so zoznamami sledovaných osôb. Tvár čoraz častejšie preberá funkcie, ktoré kedysi plnili vernostné karty, úradné doklady totožnosti či heslá.
Existuje aj ďalšie nebezpečenstvo, ktoré sa naďalej výrazne podceňuje. Čína je varovným príkladom toho, čo sa môže stať, keď štát spojí rozsiahle databázy tvárí s autoritárskymi metódami politickej kontroly. Systémy spoločenského dohľadu a trestania môžu obmedzovať možnosti ľudí cestovať, nakupovať či zúčastňovať sa na každodennom živote, pričom rozpoznávanie tváre uľahčuje ich identifikáciu a sledovanie.
Keď sa tvár človeka stane trvalým prostriedkom identifikácie naprieč verejnými aj súkromnými systémami, infraštruktúra na všadeprítomné štátne sledovanie a kontrolu je už vybudovaná.
