A brit adatvédelmi biztos (ICO) véleményt tett közzé a valós idejű arcfelismerő rendszerek (live facial recognition; LFR) nyilvános helyeken történő alkalmazása kapcsán. A téma Magyarországon is aktuális, hiszen a Siófokon kiépítésre kerülő arcfelismerő rendszer a témát nálunk is élővé és közelivé tette.  

A valós idejű arcfelismerés az arcfelismerő technológiák családjának egy különösen érzékeny tagja, hiszen gyakran automatikus és széles kört érintő biometrikus adatok gyűjtését valósítja meg. Ennek megfelelően az alkalmazásához kapcsolódó adatvédelmi- és szélesebb körben, az alapjogi kockázatok is magasak lehetnek.   

1. Mi az a valós idejű arcfelismerés? 

A valós idejű arcfelismerés tipikusan olyan megoldásokat takar, amely a hagyományos térfigyelő kamerákhoz hasonlóan, egy adott terület megfigyelése során gyűjt adatokat (biometrikus adatok) az ott megjelenő, közlekedő személyekről. A kiemelkedő kockázatot egyrészt az jelentheti, hogy az adatgyűjtés széles kört érinthet (bárkit, aki a kamera látószögébe kerülhet), nagy mennyiségű adat kezelésével jár és akár észrevétlen is maradhat (vagy legalábbis nem feltétlenül világos az érintetteknek, hogy speciális, biometrikus adatok gyűjtésére is alkalmas rendszerrel figyelik meg őket).    

2. Milyen területeken alkalmaznak tipikusan valós idejű arcfelismerést?

Az ICO anyaga kifejezetten a nem bűnüldözési célú (law enforcement), azaz nem a bűnüldöző szervek általi felhasználási lehetőségekre fókuszál. (Természetesen a bűnüldözési célú felhasználás is kiemelt figyelmet érdemel, ennek megfelelően az LFR technológia bűnüldözési célú alkalmazásáról az ICO korábban, 2019. októberében tett közzé anyagot, amely elérhető itt.) Ugyanakkor a bűnüldöző szervek általi felhasználáson túl is számos felhasználási lehetőség kínálkozik, így például bűncselekmények megelőzése (vagyonvédelem), közlekedéssel, szabadidős tevékenységekkel összefüggő alkalmazás, beléptetés során történő felhasználás, kereskedelmi célok (marketing, célzott hirdetések). 

Az arcfelismerő technológia alkalmazásának tipikusan három nagy kategóriáját szokás megkülönböztetni: (i) azonosításra (identification): egy biometrikus sablon összevetése több vagy sok másik sablonnal, (ii) hitelesítésre, illetve megerősítésre (authentication/verification): egy az egyhez hasonlítás, vagy (iii) osztályba sorolásra (categorisation): valamilyen szempontok szerinti kategóriákba osztás (például életkor, nem). Ezek közül a vélemény elsősorban az azonosításra és a kategorizálásra koncentrál. 

A vélemény a nyilvános helyeken történő alkalmazással foglalkozik, ezt viszont tágan értelmezi, tulajdonviszonyoktól függetlenül, azaz a közterület mellett a nyilvánosság számára hozzáférhető magánterületen (pl. egy bevásárlóközpontban) történő alkalmazásra is vonatkozik.   

3. Egyes alkalmazási esetekkel kapcsolatos néhány tanulság

Megfigyelés (surveillance): A vizsgált 14 példa közül 11 esetben sor került valamilyen megfigyelésre. Ezekben az esetekben tipikusan azonosítás (identification) valósul meg. Általában megfigyelési listá(ka)t hoznak létre az adatkezelők és ha egyezést találnak a listán szereplő és a területen tartózkodó valamely személy között, akkor a rendszer jelzése alapján az adatkezelő intézkedhet. Egyes esetekben a rendszerek ezen információkat át is adhatják egymás között (azaz például egyik cég a másiknak jelezheti, hogy ki lehet "nemkívánatos" személy). A rendszerek kapcsán előfordul együttműködés rendőri szervekkel is, akár eltűnt személyek keresése, akár más, a hatóság által keresett személyek megtalálása érdekében. 

Marketing és hirdetési tevékenységek: Egy másik gyakran előforduló használati eset a marketing, hirdetési célú felhasználás. Ezzel összefüggésben elsősorban a kategorizálás, illetve alkalmanként az azonosítás valósul meg (esetleg a kettő együtt). Sor kerülhet például arra, hogy az érzékelő (kamera) előtt elhaladó személy biometrikus sablonját rögzítse a rendszer és ez alapján sorolja valamilyen kategóriába (például életkor, nem, faji hovatartozás vagy akár az öltözködési stílus, a viselt márkák alapján) és ehhez igazodóan jelenítsen meg személyre szabott hirdetést. Egyes esetekben az adatkezelők csak analitikai célokra alkalmazzák az így nyert adatokat. Előfordulhatnak olyan esetek is - amint arra az Európai Adatvédelmi Testület videós megfigyelésre vonatkozó iránymutatása is utal -, amikor a biometrikus sablon megőrzésre kerül és ez alapján más helyeken is azonosítható lehet az adott személy vagy a visszatérő látogatók beazonosíthatók.            

4. A valós idejű arcfelismerő technológia alkalmazásával kapcsolatos főbb adatvédelmi kérdések? 

A vélemény az alábbi, főbb adatvédelmi kérdésekre tér ki a valós idejű arcfelismerő rendszerek nyilvános helyeken történő alkalmazásával kapcsolatban: 

• az LFR rendszerek alkalmazásával kapcsolatos irányítási (governance) kérdések, beleértve, hogy miért és hogyan kerülnek alkalmazásra;
• a biometrikus adatok nagy sebességű és nagymértékű automatikus gyűjtése, egyértelmű indokoltság nélkül, így különösen a szükségesség és arányosság megfelelő vizsgálata hiányában; 
• az egyének választási lehetőségének és kontrolljának hiánya;
• átláthatóság és érintetti jogok;
• az LFR rendszerek hatékonysága és statisztikai pontossága;
• a potenciális elfogultság és diszkrimináció;
• a megfigyelési listák kezelése és eszkalációs eljárások; 
• gyermekek és sérülékeny csoportba tartozó felnőttek adatainak kezelése; és 
• az egyének és közösségeik gyakorolt szélesebb körű, előre nem látott hatások. 

A vélemény - a fenti adatvédelmi kérdések fényében is - vizsgálja, hogy az adatkezelőknek milyen teendőik vannak az adatvédelmi megfelelés érdekében, megjelölve azokat a kulcsfontosságú követelményeket, amelyeknek meg kell felelniük. A vélemény továbbá kitér azokra a szempontokra is, amelyeket az egyes tipikus felhasználási esetekben (megfigyelés, marketing) történő alkalmazáskor figyelembe kell venni. 

5. Kulcsfontosságú követelmények az adatvédelmi megfelelés érdekében

A vélemény az alábbi kulcsfontosságú követelményeket határozza meg az adatkezelők felé: 

• a megfelelő adatkezelési cél meghatározása az LFR nyilvános helyen történő alkalmazásával kapcsolatban,
• alkalmazandó jogalap meghatározása és az ehhez kapcsolódó feltételeknek való megfelelés, 
• a különleges adatok, illetve bűnügyi személyes adatok kezelésére vonatkozó feltételeknek való megfelelés (amennyiben alkalmazandó), 
• a valós idejű arcfelismerés alkalmazásának szükségesnek kell lennie és célzottnak, valamint hatékonynak a meghatározott cél eléréséhez,
• az adatkezelőnek meg kell vizsgálnia az alternatív megoldásokat és alá kell támasztania, hogy ezek , a kevésbé intruzív eszközök ésszerűen nem alkalmasak a cél eléréséhez, 
•  az LFR használatának arányosnak kell lennie és az adatkezelési célnak kellően fontosnak kell lennie a magánszférába történő ilyen beavatkozás indokoltásághoz, 
• a rendszernek technikai értelemben hatékonynak kell lennie és statisztikailag kellően pontosnak,
• az előítéletek és diszkrimináció kockázatát az adatkezelőnek kezelnie kell és az egyének tisztességes kezelését biztosítani szükséges,     
• átláthatóságot és világos tájékoztatást kell nyújtani, 
• adatvédelmi hatásvizsgálatot kell végezni,   
• az érintettek érdekeire, jogaira és szabadságaira gyakorolt hatást és kockázatokat az adatkezelőknek értékelniük kell, 
• az adatkezelőknek biztosítaniuk kell az adatvédelmi alapelveknek való megfelelést és elszámoltathatónak kell lenniük a személyes adatok kezelésével kapcsolatban.  

A megfigyeléssel járó felhasználási módok esetében az alábbi további követelmények merülnek fel: 

• a megfigyelési listák használata az adatvédelmi jogszabályoknak megfelelően történjen, és megfeleljen a jogszerűség, tisztességesség, szükségesség és arányosság követelményeinek, 
• a bűnüldöző szervekkel való együttműködés esetén biztosítani kell, hogy a szerepek és felelősségi körök világosak és egyértelműen rendezettek legyenek, továbbá megfelelő elszámoltathatósági intézkedések kerüljenek bevezetésre. Valamennyi részes félnek meg kell felelnie a rá vonatkozó jogszabályi feltételeknek.  

Az adatvédelmi hatásvizsgálat végzésével kapcsolatban:

• az adatkezelés megkezdését megelőzően, a vélemény mellékletében foglaltak figyelembevételével kell elvégezni a hatásvizsgálatot (lásd a vélemény 56. oldalától), 
• amennyiben a kockázatokat az adatkezelő nem tudja megfelelően csökkenteni, akkor a felügyeleti hatósággal való konzultáció is szükséges. 

Az adatkezelőre irányadó (fenti) főbb követelmények mellett az ICO meghatároz olyan követelményeket is, amelyeket az LFR technológia fejlesztését végző iparági szereplőknek kell figyelembe venniük. Ennek körében kiemelt figyelmet kell fordítaniuk a beépített- és alapértelmezett adatvédelem elveinek alkalmazására, az előítéletekkel és diszkriminációval kapcsolatos kockázatok mérséklése érdekében meg kell tenniük a szükséges intézkedéseket, a technológia hatékonyságával kapcsolatban transzparensnek kell lenniük és a statisztikai pontosság mérése kapcsán egységes standardokat ajánlott elfogadniuk, továbbá támogatniuk kell az adatkezelőket abban, hogy átláthatóan működtessél a rendszereket és megfeleljenek az adatvédelmi követelményeknek.