Lengyelország: Adatvédelmi aggályok az arcfelismerő keresőszolgáltatás miatt
Lengyelországban egyre gyakoribb téma a különböző biometrikus azonosítási módok használatának kérdése, legyen szó munkaidő nyilvántartásról vagy diákok azonosításáról. A lengyel arcfelismerő keresőszolgáltatás, a PimEyes múlt héten került az adatvédelmi szakemberek látókörébe.
A szolgáltatás úgy működik, hogy a felhasználó feltölthet egy fényképet magáról vagy egy másik személyről, majd a kereső arcfelismerő technológiákat használva átfésüli az internetet, hasonló képeket keresve.
Ha talált eredményeket a szoftver, azokat megjeleníti és ’ötcsillagos’ találatnak értékeli. A találatokról viszonylag kevés információt szolgáltat, így például azt megtudhatjuk, melyik közösségi oldalról származik a kép, de pontos linket nem kapunk hozzá.
A vizsgált oldalak között megtalálható szinte az összes népszerű közösségi oldal (Facebook, Tumblr, YouTube, WordPress, stb.). A Big Brother Watch – egy adatvédelemmel foglalkozó angol cég – szerint a szoftver „lehetőséget ad állami és gazdasági megfigyelésre, továbbá eddig nem látott mértékben vezethet emberek zaklatásához.”
Eredeti marketingszövege szerint a cég a felhasználók adatait akarja ezzel védeni, szoftverükkel megtalálhatók a felhasználók adataival létrehozott hamis közösségi profilok. Az adatvédelmi aggályokra a PimEyes némileg naiv választ adott: „Az adatvédelmi szabályzatunk tiltja a felhasználóknak, hogy más képeivel használják a szolgáltatást, de természetesen minden eszköz használható nem megfelelő módon.”
A szolgáltatásnak elérhető egy prémium verziója is, ami napi 9,79 GBP (~3.700 HUF) áron a domain mellett pontos linket ad a talált fényképekhez. Emellett a prémium felhasználók beállíthatnak akár 25 értesítést naponta, ebben az esetben az app értesíti őket, ha talál a keresési feltételeknek megfelelő eredményt. A szolgáltatás szintén elérhető fejlesztők számára, itt a legdrágább előfizetéssel akár 100 millió keresést lehet végezni havonta.
Az arcfelismerő keresőszolgáltatás bár nem érhető el sok az interneten, de nem is számítanak újdonságnak. 2016-ban már elérhető volt egy meglehetősen hasonló orosz szolgáltatás FindFace néven, azonban a cég azóta átállt az állami megfigyelési szektorba.
A PimEyes-nak is vannak hasonló kapcsolatai, a kódjukat legalább egy másik cég, a Paliscope használja. A Paliscope rendvédelmi szervekkel dolgozik együtt, az ő arcfelismerő szoftverüket használják, hogy a videóra vagy képre vett elkövetőket azonosítsák. Szintén partneri viszonyban vannak a 4thOne Alapítvánnyal, melynek célja a gyermekkereskedelem elleni harc. Egy korábbi, mára eltávolított online hirdetés szerint a PimEyes a darkweben is képes keresni.
Bár a Google fordított képkereső motorja is hasonló módon működik, pontosan adatvédelmi problémák miatt nem használ valódi arcfelismerést. Ehelyett a motor a képben található metaadatokra támaszkodik, illetve olyan részletekre, mint háttér, színösszeállítás stb. Pontosan emiatt a Google szolgáltatása nem is használható ilyen megbízhatóan hasonló célokra.
A PimEyes állítja, hogy nem gyűjt a közösségi oldalakról találatokat, ugyanakkor lehetnek a találatok között pl. Facebookról származó képek, ha azt egy másik felhasználó máshova feltöltötte. Arra a kérdésre, hogy mi történik az oldalra feltöltött képekkel, a PimEyes azt válaszolta, hogy a képek nem, hanem azoknak csupán egy ’lenyomata’ kerül tárolásra a keresés során.
Ez sok európai adatvédelmi szakértőnek nem elégséges válasz, hiszen súlyosan vissza lehet élni személyes adatokkal, csupán azzal, hogy a keresésbe egy másik személy fényképét töltjük fel, bármit is mond a szoftverhez mellékelt adatvédelmi nyilatkozat.
Mivel az internet nem rendelkezik egységes szabályzattal személyes adatok felhasználására vonatkozóan, ezért a felhasználó óvatossága lehet a leghatásosabb ilyen jellegű adatsértések kivédésére, ami valljuk be, elég kevés. A GDPR 9. cikke rendelkezik a biometrikus adatok, mint különleges adatok kezeléséről: ezen adatok kezelése bizonyos esetek kivételével tilos. Ilyen kivétel lehetne a hozzájárulás kifejezett megadása az érintett által, amely szinte semmilyen mértékben nem kontrollálható a PimEyes esetében.
