Незаконное использование технологии распознавания лиц обернулось для британской школы выговором

Английская школа получила официальное замечание от британского регулятора по защите данных после того, как использовала технологию распознавания лиц, не получив от учеников конкретного согласия на обработку их сканов, сообщили TechCrunch. Эта новость вновь поднимает дискуссию о конфиденциальности при использовании биометрических данных, особенно в школьной среде, где участвуют дети.

Британский регулятор по защите данных официально вынес выговор английской школе после того, как она использовала технологию распознавания лиц без получения от учеников прямого согласия на обработку сканов их лиц.

В прошлом году Нью-Йорк запретил использование технологии распознавания лиц в школах, став первым американским штатом, где это было сделано, после того как компании, занимающиеся разработкой искусственного интеллекта, активизировали свои маркетинговые усилия, обещая сделать школы более безопасными.

Технология отпечатков пальцев уже много лет используется в школах Великобритании для различных целей идентификации и аутентификации, хотя все чаще применяется и распознавание лиц — эту тенденцию ускорил вызванный пандемией спрос на действительно бесконтактные платежи.

Некоторые школы используют программное обеспечение для распознавания лиц при оплате питания уже как минимум четыре года, и эта тенденция заставила Управление комиссара по информации (ICO) Великобритании принять меры после того, как в 2021 году в ряде школ Шотландии начали использовать эту технологию.

Теперь, спустя три года, ICO снова вынуждено принять меры. Школа Chelmer Valley High School в Челмсфорде, Эссекс, начала использовать технологию распознавания лиц для безналичной оплаты обедов в марте 2023 года, а с 2016 года использовала отпечатки пальцев. Система распознавания лиц была предоставлена компанией CRB Cunninghams.

Хотя школам разрешено использовать технологию распознавания лиц, они должны сначала провести оценку воздействия на защиту данных (DPIA), чего, по мнению ICO, не сделала школа Chelmer Valley High School перед внедрением новой биометрической технологии. Школа представила DPIA в ICO в январе этого года, почти через год после внедрения технологии распознавания лиц.

Кроме того, ICO утверждает, что школа не получила «четкого разрешения» на обработку сканов лиц учеников. Школа разослала родителям письмо с информацией об использовании технологии, но это было представлено как программа отказа: если ученики не вернут форму, в которой будет четко указано, что они не хотят участвовать в программе, то они будут автоматически включены в нее. Это противоречит статье 4(11) британского GDPR, которая гласит, что для получения согласия необходимо «четкое утвердительное действие».

«Отпечатки лиц, снятые этими системами, содержат очень чувствительные биометрические данные, — сказал Марк Джонсон, менеджер по защите прав человека в организации Big Brother Watch. — Ни один ребенок не должен проходить через подобные пограничные проверки личности только для того, чтобы получить школьное питание».

«Отрадно, что ICO вмешалась в этот случай. Детей нужно учить заботиться о своих персональных данных, а не обращаться с ними как с ходячими штрих-кодами в их собственных школах и побуждать отдавать свои биометрические данные по прихоти», — добавил он.

Более того, британский GDPR предусматривает, что дети старше 13 лет могут сами давать согласие на обработку своих данных, а это значит, что большинство учеников этой школы не смогли «воспользоваться своими правами и свободами».

«Правильная обработка информации о людях в школьной столовой так же важна, как и обработка самой еды, — говорится в заявлении Линн Карри, руководителя отдела инноваций в области конфиденциальности ICO. — Мы ожидаем, что все организации при внедрении новой технологии проведут необходимую оценку, чтобы снизить риски защиты данных и обеспечить соблюдение законов о защите данных».

Стоит отметить, что ICO имеет право налагать значительные штрафы на любые организации, нарушающие правила защиты данных, о чем свидетельствует случай, когда американская компания Clearview AI была оштрафована на $10 млн за ряд нарушений.

Однако ICO вряд ли будет относиться к государственной школе так же, как к частной компании, поэтому в данном случае она сочла более уместным общественное порицание — тем более что это первый проступок школы.

«Мы приняли меры против этой школы, чтобы показать, что к введению таких мер, как FRT, не следует относиться легкомысленно, особенно когда речь идет о детях, — добавил Карри. — Мы не хотим, чтобы это удержало другие школы от внедрения новых технологий. Но это должно быть сделано правильно, с защитой данных на переднем плане, укреплением доверия, защитой частной жизни детей и их прав».

Ранее Microsoft подтвердила, что запрещает полицейским департаментам США использовать генеративный искусственный интеллект для распознавания лиц через Azure OpenAI Service. Новый пункт распространяется на «правоохранительные органы во всем мире».