Правове регулювання використання технологій розпізнавання обличчя

Abstract

У статті досліджуються проблемні питання правового регулювання систем розпізнавання обличчя, які сьогодні широко використовуються у світі та в Україні. Проаналізовано досвід регулювання захисту персональних даних у законодавстві ЄС, де розроблені чіткі правила використання систем біометричної ідентифікації осіб у режимі реального часу. Відповідно до Загального регламенту захисту даних (GDPR) біометричні дані є особливим видом персональних даних, отриманих внаслідок спеціального технічного опрацювання, що стосується фізичних, фізіологічних чи поведінкових ознак фізичної особи, таких як зображення обличчя чи дактилоскопічні дані, що дозволяють однозначно ідентифікувати або підтверджують однозначну ідентифікацію фізичної особи. GDPR, за загальним принципом, забороняє обробку біометричних даних у режимі реального часу. GDPR класифікує зображення обличчя та іншу біометричну інформацію як особливу категорію даних із додатковими обмеженнями на їх використання. Важливою гарантією реалізації права на захист персональних даних є встановлене у ст. 17 GDPR право на стирання (забуття). Зокрема, видалення контролером персональних даних працівника після звільнення є обов’язковим на вимогу суб’єкта даних, якщо немає іншої законної підстави для опрацювання. На жаль, цивільне законодавство України щодо захисту персональних даних не передбачає такого імперативного правила. У Євросоюзі випадки притягнення до відповідальності за порушення вимог GDPR вже є дуже розповсюдженими. В Україні контроль за додержанням законодавства про захист персональних даних покладено на Уповноваженого Верховної Ради України з прав людини, однак за відсутності в Україні законодавства, котре регулює використання систем відеоспостереження, здійснення належного контролю за використанням біометричних даних, одержаних за їх допомогою, сьогодні є неможливим. Відповідно до Білої книги зі штучного інтелекту системи відеоспостереження з метою обробки біометричних даних можуть використовуватися тільки у виняткових, належним чином обґрунтованих і адекватних випадках на підставі законодавства ЄС або національного законодавства. Згідно з регуляторними правилами Європейської Комісії всі системи штучного інтелекту, призначені для використання для віддаленої біометричної ідентифікації осіб, вважаються ризикованими та підлягають попередній оцінці відповідності регулятором. Використання віддаленої біометричної ідентифікації у режимі реального часу в загальнодоступних приміщеннях для цілей правопорядку забороняється у принципі, за кількома вузькими винятками, які суворо визначені, обмежені та регламентовані. Вони включають використання для правоохоронних цілей цілеспрямованого пошуку конкретних потенційних жертв злочинів, включаючи зниклих дітей; відповідь на безпосередню загрозу теракту; виявлення та встановлення осіб, котрі вчинили тяжкі злочини. Зроблено висновок про необхідність приведення законодавства України про захист персональних даних до високих стандартів Євросоюзу.

The article examines the problematic issues of legal regulation of facial recognition systems, which are now widely used in the world and, in particular, in Ukraine. The experience of regulation of protection of personal data in the EU legislation is analyzed, in which clear rules for the use of biometric identification systems in real time are developed. According to the General Data Protection Regulation (GDPR), “biometric data” means personal data resulting from specific technical processing relating to the physical, physiological or behavioural characteristics of a natural person, which allow or confirm the unique identification of that natural person, such as facial images or dactyloscopic data. The GDPR, as a general principle, prohibits the processing of biometric data in real time. The GDPR classifies facial images and other biometric information as a special category of data with additional restrictions on their use. An important guarantee of the realization of the right on protection of personal data is established in Art. 17 GDPR right to erasure (forgetting). In particular, the controller’s removal of an employee’s personal data after dismissal is mandatory at the request of the data subject, unless there is another legal basis for processing. Unfortunately, the civil legislation of Ukraine on personal data protection does not provide for such an imperative rule. In the European Union, prosecutions for breaches of GDPR are already very common. In Ukraine, the Commissioner for Human Rights of Ukraine is responsible for monitoring compliance with the legislation on personal data protection. However, in the absence of legislation in Ukraine regulating the use of video surveillance systems, proper control over the use of biometric data obtained with their help is currently impossible. According to the White Paper on Artificial Intelligence, video surveillance systems for the processing of biometric data may be used only in exceptional, duly justified and adequate cases on the basis of EU or national legislation. According to the regulatory rules of the European Commission, all artificial intelligence systems intended for use for remote biometric identification of persons are considered risky and are subject to prior assessment of compliance by the regulator. The use of real-time remote biometric identification in public premises for law enforcement purposes is prohibited in principle, with a few narrow exceptions that are strictly defined, limited and regulated. These include the use for law enforcement purposes of a targeted search for specific potential victims of crime, including missing children; response to the immediate threat of a terrorist attack; or identifying of a person commited serious crime. It is concluded that the legislation of Ukraine on personal data protection have to be harmonized with high standards of the European Union.