Система розпізнавання обличчя: правові аспекти використання в Україні та в ЄС
Право на приватність (right to privacy) належить до основних прав і свобод людини. Аудіовізуальна інформація, зокрема фотографії, відеозображення, записи камер відеоспостереження, записи кол-центру, моніторингу дзвінків та голосової пошти, наряду з іншими категоріями, відноситься до Персональних даних особи, які підлягають захисту.
В яких випадках сучасні системи спостереження із застосуванням штучного інтелекту порушують права людини та як цьому протидіють країни Європи – проаналізував юрист Центру стратегічних справ УГСПЛ Максим Войнов.
«Збирання даних – це також засіб соціальної дискримінації. Це у багатьох випадках може призводити до значних зловживань цим інструментарієм» Йоханнес Каспар
Втручання у приватність особи в сучасному світі відбувається на регулярній основі. Звичайних громадян дедалі частіше фотографують або знімають на камери спостереження на вулицях. У рамках програми «Безпечне місто», столиця України посіла 49-те місце у світовому рейтингу міст, покритих камерами стеження. Київ обладнаний понад 7 тисячами відеокамер, деякі з яких оснащені функцією розпізнавання обличчя, і їхня кількість постійно зростає.
Як соцмережі допомагають системі розпізнавання обличчя
На публічних заходах, в торгівельних центрах, на вокзалах, в метро та в інших громадських містах за кожним з нас ведеться відеоспостереження. Незалежно від того, де було сфотографоване обличчя людини, – відповідне програмне забезпечення за лічені секунди може трансформувати отримані дані у цифрові профілі, провести ідентифікацію особи і встановити її ім’я та адресу.
Система розпізнавання обличчя – це технологія, яка здатна ідентифікувати особу на цифровому зображенні і порівняти риси обличчя заданого зображення з обличчями, які зберігаються в базі даних.
Користувачі соціальних мереж самі вносять свої персональні біометричні дані до платформ, і ці дані зберігаються в мережі. Особиста інформація може бути використана без дозволу власника кіберзлочинцями і недобросовісними рекламодавцями. Наприклад, в базі даних Facebook, по інформації з відкритих джерел, містяться фотографії та їхні цифрові аналоги понад 1,5 мільярда користувачів, також наявна інша персональна інформація: ім’я, електронна адреса, місце проживання, стать, номер телефону, ID користувача. І саме цю базу використовували розробники сторонніх систем розпізнавання. Так, компанія Clearview Al, контраверсійну розробку якої щодо технології розпізнавання обличчя застосовують державні структури, володіє базою даних з понад 10 млрд. фотографій, отриманих з Facebook.
Зазвичай ми не замислюємось над тим, хто виступає кінцевим одержувачем приватної інформації і як саме така інформація може бути використана, однак це питання є надзвичайно важливим.
Уповноважений Гамбурга із захисту персональних даних і свободи інформації Йоханнес Каспар також звернув увагу на ризики, пов’язані із збиранням даних. За його словами, «найгірше, що такі дані (збереження мільйонів облич) дають можливість державним і приватним інстанціям ідентифікувати людей на фотографіях». У такий спосіб втрачається анонімність і люди перетворюються на «прозорих» громадян. Як наголошує Каспар, інформацію та зображення можна збирати лише тоді, коли ті, хто сфотографовані, дають на це дозвіл, інакше це буде порушенням права особи на захист її персональних даних.
Система на службі у держави
Система розпізнавання обличчя використовується в різних сферах: в аеропортах її застосовують на міжнародних рейсах, Apple використовує технологію Face ID для оплати покупок і розблокування смартфонів, найбільші банки підтримують проведення платежів з Face ID.
Перевагами застосування цієї технології є безпека (пошук злочинців, запобігання крадіжкам в магазинах, тощо), зручність, економія часу, простота використання.
Однак, технологія розпізнавання обличчя (ТРО) може посилити порушення прав людини з боку поліції чи інших правоохоронних органів, зокрема право на недоторканість приватного життя. У сфері правоохоронної діяльності обличчя людини використовують для перевірки і ідентифікації особи. Система включає в себе масовий моніторинг, збір, зберігання, аналіз конфіденційних персональних даних (біометричних даних) і використання матеріалів без обгрунтованої підозри у вчиненні кримінального правопорушення, що можна вважати невибірковим масовим наглядом.
З іншої сторони, реальне розпізнавання обличчя допоможе правоохоронцям відшукати не лише ймовірних злочинців, а й, наприклад, без вісти зниклих осіб.
В умовах війни Україна почала використовувати систему розпізнавання обличчя Clearview AI, яка застосовується в контексті протидії збройної агресії Росії і ідентифікації воєнних злочинців.
«Україна використовує програмне забезпечення Clearview AI для розпізнавання облич, щоб ідентифікувати тіла російських солдатів, які загинули в бою, та інформувати їхні сім’ї про їх загибель», – як повідомив міністр цифрової трансформації Михайло Федоров.
Штучний інтелект наступає на права людини?
Однак, використання штучного інтелекту може привести до порушення фундаментальних прав людини, закріплених в міжнародно-правових актах. Технології штучного інтелекту, подібні Clearview AI, здійснюють збір даних особи автоматично, без її інформування про цей процес та за відсутності згоди на обробку даних.
Слід зазначити, що застосування Clearview AI порушує ряд правил, встановлених «Загальним регламентом про захист даних» (GDPR) , щодо:
- прозорого інформування суб’єктів персональних даних про процедуру збору їх особистої інформації;
- цілей використання;
- гарантій приватності в процесі збереження таких даних.
YouTube, Facebook, Google, Twitter та інші крупні компанії відмовляються співпрацювати з цим стартапом, тому що система Clearview AI, задля ідентифікації особи, дозволяє збирати величезну кількість зображень облич з соціальних мереж, що призводить до ризиків порушення конфіденційності. Ряд європейських країн (Італія, Франція та Велика Британія) визнали незаконним збір персональних даних за допомогою системи Clearview AI, внаслідок чого компанія має сплатити значні суми штрафів через порушення правил захисту даних і конфіденційності.
Хоча закони про захист персональних даних прийняті вже в більшості країн Європи, в Україні досі немає належного регулюючого законодавства і якісного підходу до роботи з такими технологіями.
В 2020 році була схвалена «Концепція розвитку штучного інтелекту в Україні», метою якої є визначення основних завдань розвитку технологій ШІ для задоволення прав та законних інтересів фізичних та юридичних осіб. Однак цей документ не створює жодних юридичних зобов’язань та не встановлює конкретної юридичної відповідальності за неправомірне використання таких технологій.
В Законі України «Про захист персональних даних» не передбачений захист таких даних, як зображення облич, автоматично зібраних камерами відеоспостереження. Встановлення камер відеоспостереження в Україні регламентується місцевими радами, і не створює жодних юридичних прав та обов’язків. Це призводить до порушення права особи на приватність, що передбачено ст. 8 Закону України «Про захист персональних даних», відповідно до якої суб’єкт персональних даних має право знати про джерела їх збирання, місцезнаходження та мету їх обробки.
Українське законодавство потребує вдосконалення для надання особам більших гарантій захисту їх приватності. На даний час в Верховній раді України розглядається «Проект Закону про захист персональних даних» № 8153 від 25.10.2022 року, який має заповнити існуючі законодавчі прогалини.
В Європі прагнуть обмежити використання штучного інтелекту
Система розпізнавання обличчя працює не бездоганно, і іноді аналіз індивідуальних рис обличчя людини може давати випадковий збіг. Останнім часом подібних ситуацій стає дедалі більше. Так, широко відомим став випадок, коли китайська система розпізнавання обличчя виписала штраф за перехід дороги на червоне світло голові великої компанії з виробництва кондиціонерів. Однак самої порушниці не було на місці пригоди. Камера зафіксувала рекламу з портретом бізнесвумен на автобусі, який в цей час проїжджав на перехресті, при цьому система вивела особливий ID-номер жінки і її портрет на екран біля перехрестя і вказала, що жінка порушила правила дорожного руху.
Хоча розпізнавання облич є законним у Європейському Союзі і використовувалось на низці великих заходів, законодавці ЄС вже деякий час застерігають від зловживань цією технологією і відмовляються від її застосування.
Верховний комісар ООН з прав людини Фолькер Тюрк у своїй промові повідомив про потенційний негативний вплив систем розпізнавання обличчя і заявив, що ці технології можуть привести до «масового спостереження за нашими громадськими місцями, руйнуючи будь-яку концепцію приватності». Він підкреслив, що потрібно звернути увагу на сфери, де існує «підвищений ризик зловживання владою або втручання в приватне життя», включаючи правосуддя, правоохоронні органи, міграцію, соціальний захист або фінансові послуги.
Мішель Бачелет, колишня очільниця Управління Верховного комісара ООН з прав людини , також попереджала про небезпеку нерегульованих інструментів штучного інтелекту і закликала ввести мораторій на продаж і використання систем ШІ, зокрема системи розпізнавання осіб і суміжних з нею технологій, які загрожують правам людини.
Amnesty International («Міжнародна амністія»), неурядова організація, яка об’єднує понад 7 мільйонів людей по всьому світу і метою якої є запобігання грубим порушенням прав людини, також запустила глобальну кампанію із заборони використання систем розпізнавання обличчя для масового стеження. За їх переконанням, невибіркове масове стеження ніколи не є пропорційним втручанням у право людини на недоторканність приватного життя, свободу вираження думок і свободу асоціацій і мирних зібрань.
У квітні 2021 року Європейською комісією був розроблений проект Закону про штучний інтелект, «Artificial Intelligence Act», який має стати новою правовою базою і значно посилити регулювання розвитку та використання штучного інтелекту. Зазначений законопроект класифікує системи штучного інтелекту за ступенем ризику та встановлює різні вимоги до їхньої розробки та використання.
У червні 2023 року до даного законопроекту були внесені зміни, відповідно до яких введено заборону на використання технології штучного інтелекту в біометричному спостереженні. В проекті Закону про штучний інтелект була встановлена система класифікації, яка визначає рівень ризику технології ШІ для здоров’я, безпеки та основних прав людини. Системи ШІ з обмеженим і мінімальним ризиком (наприклад, спам-фільтри) дозволено застосовувати з невеликими вимогами щодо їх використання. Системи, що становлять неприйнятний ризик, такі як урядові системи соціального оцінювання та біометричної ідентифікації в реальному часі в громадських місцях, – заборонені, за невеликими винятками.
Законопроект про штучний інтелект пропонує суворі покарання за його недотримання, і для компаній штрафи можуть сягати 30 мільйонів євро. Подання неправдивої або оманливої документації до регуляторних органів також може призвести до накладання штрафів.
Запропонований Закон також спрямований на створення Європейської ради зі штучного інтелекту, яка буде здійснювати нагляд за його виконанням і забезпечувати його однакове застосування на території Європейського Союзу. На цей орган планують покласти обов’язки щодо оприлюднення висновків та рекомендацій з питань, пов’язаних з використанням ШІ, а також надання вказівок національним органам влади.
Позиція ЄСПЛ у справах щодо захисту персональних даних
Стаття 8 Європейської Конвенції з прав людини проголошує право на повагу до приватного життя, яке безпосередньо в цифровому середовищі включає в себе захист персональних даних і дотримання конфіденційності кореспонденції і комунікації.
За останні роки Європейський суд з прав людини ухвалив низку рішень, пов’язаних з порушенням права на недоторканність приватного життя при застосуванні урядами засобів і процедур спостереження.
Знаковим в цьому аспекті є рішення ЄСПЛ у справі «Сабо та Віші проти Угорщини». В цій справі двоє громадян Угорщини оскаржували сумісність заходів спостереження, запроваджених в рамках антитерористичного законодавства Угорщини, з правом на недоторканність приватного життя.
Заявники скаржилися на те, що до них потенційно можуть бути застосовані невиправдані та непропорційні заходи з метою нібито забезпечення національної безпеки, тому що Антитерористичне законодавство Угорщини дозволяло Службі національної безпеки здійснювати широкомасштабні таємні заходи спостереження – таємний запис розмов, розкриття листів і посилок, а також перевірку і запис змісту електронних повідомлень без відома або згоди осіб, за якими здійснюється спостереження.
Суд погодився із заявниками, визнавши, що мало місце порушення статті 8 Конвенції. За висновками Суду, заходи спостереження були надмірно широкими, не було проведено жодної оцінки необхідності такого спостереження і не було здійснено судового нагляду за цією діяльністю. Відповідно, виконавча влада необмежено втручалася в приватне життя громадян.
Рішення ЄСПЛ у цій справі значною мірою підтвердило результати, досягнуті попередніми рішеннями Суду. Зокрема, воно вкотре підтвердило фундаментальну роль судової влади в оцінці необхідності та пропорційності заходів масового спостереження, а також визнало зображення обличчя особи чутливою біометричною інформацією.
Рішення ЄСПЛ має велике значення і для України, адже остання залишається активно залученою у розвиток та використання цифрових технологій.
Автор: юрист Центру стратегічних справ УГСПЛ Максим Войнов.
Матеріал підготовлено за підтримки Європейського Союзу та Міжнародного Фонду «Відродження» в рамках спільної ініціативи «Європейське Відродження України». Матеріал представляє позицію авторів і не обов’язково відображає позицію Європейського Союзу чи Міжнародного фонду «Відродження».