După primul an GDPR în România, e timpul să încetăm cu dezinformările!

Editorial

Vizualizari: 10710

Facebooktwittergoogle_plusredditpinterestlinkedinmail

"GDPR-ul nu este o revoluţie, este o evoluţie!", aşa îmi încep majoritatea cursurilor încercând să explic că acest pachet de reglementări legislative există înca din 1995 şi a evoluat într-un regulament european unic, influenţat mai ales de dezvoltarea tehnologică fără precedent.

Putem spune că în acest moment legislaţia aleargă după tehnologie, dacă ne gândim doar la intelingenţa artificială şi la dispozitivele 5G.

Regulamentul UE 679/2016 cunoscut drept GDPR a intrat în vigoare în 2016, acum trei ani de zile, dar se aplică doar din 25 mai 2018, dupa o perioadă de grație de doi ani, pe care majoritatea statelor europene nu au folosit-o pentru a lansa campanii de educare a persoanelor vizate și a operatorilor. Astfel, startul a fost dat în luna mai anul trecut, la momentul respectiv existând o estimare că doar 20% dintre operatorii euroepeni au început demersurile pentru a obține conformitatea.

În România GDPR-ul a intrat brusc în viețile noastre printr-un bombardament al consimțămintelor lansat de operatori din dorința de a intra rapid în legalitate. Acest demers a introdus și panica care s-a propagat pe tot parcursul anului. Această panică a fost alimentată și de marketingul înselător a unor indivizi și companii care oferă servicii de consultanță, accentuând în primul rând dimensiunea astronomică a amenzilor în loc să promoveze nevoia de instruire a personalului, fiind mai mult o responsabilita a operatorului.

În tot acest GDPR este vorba despre oameni, sau mai bine spus despre NOI!

Nu este vorba despre creșterea birocrației și despre proceduri sufocante. Este vorba despre respectul pe care trebuie să îl acordăm și să îl obținem unii de la ceilalți, respect de care am uitat datorită banilor obținuți prin tranzacționarea datelor personale și a informațiilor confidențiale, efect direct al evoluției exponențiale a tehnologiei.

Noi ca operatori de date, trebuie să renunțăm la a mai cauta soluții formale. Complianța GDPR nu se obține apasând butonul "Print" și orice operator care alege această cale rămâne la fel de expus riscurilor.

Și nu în ultimul rând trebuie să nu uităm că toți suntem persoane vizate. Daca la birou nu simt acest lucru pentru că sunt patron și influențez și decid direct în ce direcție îmi conduc firma, atunci când navighez pe internet sau pur și simplu merg pe stradă, intru într-un supermarket sau într-un hotel, sunt doar o persoana fizică și mă aștept să pot să decid cine, de ce și ce date personale prelucrează despre mine. Cu toții trebuie să punem umarul și să vorbim cu prietenii, rudele, vecinii despre erorile pe care le facem atunci când vânăm gratuități pe internet. Trebuie să încetăm să mai credem că ceva este gratuit și că de fapt plătim scump cu datele noastre personale care au devenit o valoroasă monedă de schimb.

Și nu în ultimul rând mai trebuie să învățăm o lecție : "Când eşti cunoscut, oamenilor le place să vorbească despre tine. Totuşi, nu tot ce se vorbeşte, este şi adevărat!". Trebuie să învățăm ce însemană Fakenews, să recunoaștem acest fenomen, să ne protejăm, să nu mai alimentăm cererea și să sancționăm atunci când această practică ne influențează deciziile.

In cele ce urmeaza mi-am propus să explic de ce urmatoarele afirmatii sunt de fapt niște DEZINFORMARI!

GDPR-ul schimbă complet modul în care organizaţiile trebuie să-şi gestioneze datele. FALS!

  • UE a avut norme de protecţie a datelor din anul 1995 si GDPR-ul nu este un set nou-nouţ al normelor UE privind protecţia datelor. Este o evoluţie a setului existent de reguli, bazat pe principiile stricte de protecţie a datelor prevăzute în Directiva privind protecţia datelor. Aceste reguli au fost prezente încă din 1995, deci e timpul să ne asigurăm că acestea sunt potrivite pentru era digitală.

GDPR-ul va sufoca  inovaţia europeană în domeniul inteligenţei artificiale (IA). FALS!

  • GDPR-ul se asigură că datele cu caracter personal sunt protejate în raport cu Inteligenta Artificiala (IA). Protecţia datelor cu caracter personal este un drept fundamental în UE. Aşadar, se aplică şi procesării datelor cu caracter personal prin intermediul inteligenţei artificiale şi roboticii. Cu toate acestea, în cazul în care datele utilizate pentru IA sunt anonimizate, atunci nu se aplică cerinţele GDPR. GDPR-ul a fost proiectat spre a fi neutru din punct de vedere tehnologic şi oferă cadrul pentru dezvoltarea unei IA care respectă cetăţenii. GDPR-ul permite luarea unor decizii automate în cazul în care există o justificare fie prin contract, consimţământ explicit sau prin lege şi cu condiţia să se furnizeze garanţii specifice persoanelor în cauză, cum ar fi dreptul de a primi informaţii semnificative privind logica implicată prelucrării acestora şi consecinţele preconizate.

Proprietarii nu pot expune numele chiriaşilor la soneria de la intrare. FALS!

  • Consimţământul nu este singurul temei juridic pentru prelucrarea datelor. GDPR-UL nu impune îndepărtarea numelor de pe soneriile de la intrare sau de pe căsuţele poştale. Consimţământul este doar unul dintre temeiurile juridice pe baza căruia pot fi prelucrate datele cu caracter personal conform GDPR. Un alt temei juridic aplicabil în acest caz este „interesul legitim“, deoarece unele persoane trebuie informate cine locuieşte într-un anumit apartament cu scopul de a contacta persoana respectivă în vederea distribuirii poştei personale. Dacă numele persoanelor de pe soneriile de la intrare, sunt stipulate în contractele de închiriere, contractul ca atare reprezintă un potenţial temei juridic.

GDPR-ul copleşeşte întreprinderile mici. FALS!

  • Obligaţiile nu sunt aceleaşi pentru toate companiile şi organizaţiile. GDPR-ul nu este menit să suprasolicite IMM-uri. Obligaţiile sunt calibrate în funcţie de dimensiunea afacerii şi / sau de natura datelor prelucrate. Companiile mai mici, care procesează mai puţine date şi nu procesează date sensibile, cum ar fi opiniile politice şi orientarea sexuală, vor avea mai puţine obligaţii de urmat. De exemplu, nu fiecare societate trebuie să numească un responsabil cu protecţia datelor sau să efectueze o evaluare a impactului privind protecţia datelor.

Normele GDPR fac jurnalismul mai greu. FALS!

  • GDPR-ul susţine libertatea presei. Noile norme privind protecţia datelor iau în considerare libertatea presei. Aceasta înseamnă că jurnaliştii sunt încă în măsură să-şi exercite munca şi să-şi protejeze sursele. Statele membre ale UE, atunci când este necesar, trebuie să prevadă excepţii sau derogări presei în legislaţiile lor naţionale.

"Ei bine, oricum, Facebook are sediul în SUA si nu trebuie sa respecte legislatia". FALS!

  • Companiile din afara UE trebuie să se conformeze normelor GDPR. Toate companiile care operează pe piaţa UE trebuie să respecte noile norme, indiferent de locul în care se află şi unde au loc activităţile lor de prelucrare a datelor. Toate companiile vor fi supuse aceloraşi sancţiuni dacă încalcă regulile. Aceasta creează condiţii de concurenţă echitabile atât pentru companiile din UE, cât şi pentru cele din afara UE.

Normele GDPR nu acordă mai mult control deoarece companiile cer consimţământul doar o dată iar apoi fac ce vor cu datele mele. FALS!

  • Companiile trebuie să vă solicite consimţământul a doua oară, în cazul în care doresc să vă utilizeze datele pentru un al doilea scop. GDPR-ul prevede că datele cu caracter personal nu pot fi utilizate fără consimţământul persoanei vizate. Dacă o companie colectează datele unei persoane pentru un anumit scop şi apoi doreşte să utilizeze datele respective într-un alt scop sau să le transmită unei terţe părţi, trebuie să solicite din nou consimţământul persoanei vizate. În cazul în care vi s-a solicitat consimţământul pentru prelucrarea datele dumneavoastră cu caracter personal, puteţi cere oricând organizaţiei respective să oprească prelucrarea acestora prin retragerea consimţământului dumneavoastră. Organizaţia respectivă trebuie să se conformeze solicitării dumneavoastră în cazul în care, nu deţine alte motive legale pentru prelucrarea datelor dumneavoastră.

Normele GDPR  împiedică campania politică. FALS!

  • Partidele politice pot procesa date cu caracter personal pentru campanii - dar numai din motive de interes public. Normele GDPR nu interzic partidelor politice şi grupurilor de campanie să prelucreze date cu caracter personal în scopuri politice. Dar normele clarifică faptul că, acestora nu li se permite să prelucreze date cu caracter personal numai din motive de interes public şi cu condiţia să stabilească garanţii adecvate.

Avem nevoie de mai mult timp pentru a ne adapta la aceste reguli complicate. FALS!

  • Perioada de doi ani nu a fost suficientă? Când normele GDPR au intrat în vigoare la 24 Mai 2016, a fost prevăzută o perioadă de tranziţie de doi ani pentru a oferi companiilor timpul necesar de a-şi alinia practicile în conformitate cu noile norme. Această perioadă de tranziţie s-a încheiat la 25 Mai 2018. În prezent, Autorităţile de supraveghere a protecţiei datelor au competenţa de a sancţiona pe cei care nu respectă noile norme.

Amenzile sub normele GDPR pot ucide o afacere. FALS!

  • Nerespectarea normelor nu înseamnă în mod automat o amendă de 20 de milioane € - există şi avertismente.Normele GDPR stabilesc o serie de sancţiuni pentru cei care încalcă regulile. Pe lângă amenzi, există alte măsuri corective, cum ar fi avertismentele, mustrările şi ordinele de respectare a solicitărilor persoanei vizate. Decizia Autorităţilor de supraveghere privind protecţia datelor de impunere a amenzilor trebuie să fie proporţională şi să se bazeze pe o evaluare a tuturor circumstanţelor cazului respectiv. În cazul în care Autoritatea hotărăşte să impună o amendă, suma de 20 milioane EUR sau 4% din cifra de afaceri anuală reprezintă suma maximă absolută. Cuantumul amenzii depinde de circumstanţele fiecărui caz în parte, inclusiv gravitatea încălcării sau dacă încălcarea a fost intenţionată sau din neglijenţă.

GDPR-ul va distruge Crăciunul. FALS!

  • GDPR-ul nu împiedică copiii sa îi scrie lui Moş Crăciun. Este corect să enunţăm că normele GDPR sunt concepute să protejeze utilizarea datele cu caracter personal fără permisiunea dumneavoastră, iar conform acestor reguli, nicăieri este stipulată împiedicarea copiilor să-i spună public lui Moş Crăciun ce-şi doresc de Crăciun. Este la latitudinea părinţilor să decidă dacă copiii lor pot partaja lista lor de dorinţe în mod public sau nu.

 

Mie nu mi se aplica GDPR-ul. FALS!
  • Regulamentul UE 679/2016 se aplică tuturor operatorilor de date cu caracter personal care își au sediul în spațiul european sau prelucrează date ale persoanelor vizate, cetățeni europeni. Nu contează domeniul de activitate, atâta timp cât ai cel puțin un angajat, prelucrezi datele acestuia.

 

“Nu vine nimeni să mă controleze pe mine”. FALS! 
  • Orice operator de date cu caracter personal poate face obiectul unei investigații în urma unei simple sesizări la Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal

 

Este momentul să abandonăm campaniile menite să creeze panica, să informam corect clientii despre riscurile reale și dacă suntem specialiști GDPR să încheiem contracte cu clienții banzându-ne în primul rând nevoia de educație operatorului și pe responsabilitatatea de a garanta drepturile persoanelor vizate. În țările nordice GDPR-ul are o alta valență. Operatorii de date cu caracter persoanl îsi propun conformitatea GDPR din dorința de a nu dezamăgii partenerii și clienții, pe când în România termenul de "dezamagire" il utilizam aproape exclusiv în contexul "dragostei intre doua persoane".


DESPRE AUTOR

Marius Dumitrescu este licențiat în științe politice, având un master în domeniul marketingului și o experiență de peste 16 ani în implementarea și gestionarea soluțiilor software medical și farmaceutic.

Este președintele Asociației Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) și a absolvit în iulie 2018 studiile postuniversitare de lungă durată privind protecția datelor în cadrul Facultății de Științe Economice, Juridice și Administrative – Centrul pentru Protecția Datelor (CPD) din Tîrgu-Mureș.

Este directorul editorial a două publicații, una destinată profesioniștilor în protecția și securitatea datelor cu caracter personal și una adresată comunității medicale și farmaceutice din România.

Este formator și lector, susținând mai multe sesiuni educaționale pe teme precum securitatea datelor, Regulamentul General privind Protectia Datelor și managementul organizațional.

Este implicat activ în organizarea unor evenimente cu tradiție în domeniul sanitar românesc, în special în sfera medicală, a farmacoeconomiei și a managemetului sanitar.

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

De ce românilor nu le pasă de viața lor privată ?

Editorial

Vizualizari: 3439

Facebooktwittergoogle_plusredditpinterestlinkedinmail

La începutul săptămânii trecute citeam despre implementarea unui sistem de recunoaștere facială care va folosi camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare și camere ATM pentru a realiza o prelucrare, în regim automatizat, de către organele de poliție, pentru identificarea unică a indiviazilor, cu generarea unor decizii individuale automatizate care pot genera efecte juridice negative pentru subiecții de date.

Linștea din jurul acestui subiect o pot explica în doua feluri: fie majoritatea românilor sunt conștienți de acest cost și sunt dispuși să îl plătească pentru a combate criminalitatea și frauda din România sau, întreaga societate românească nu este îndeajuns educată ca să recunoască riscurile introduse de implementarea unui astfel de sistem automatizat și nu apreciază corect valoarea "vieții private"  și a libertății. În rândurile următoare nu veți găsi un răspuns clar la întrebarea din titlu dar, citind următoarele informații, puteți cel puțin să ajutați la creșterea nivelul de educație a întregii societăți românești care se va pronunța pe viitor dacă acest proiect intruziv aduce mai multe beneficii sau introduce mai multe riscuri pentru asigurarea drepturilor și libertăților persoanelor.

Ce este această tehnologie de recunoaștere facială? 

Ei bine, această tehnologie presupune prelucrarea automatizată a imaginilor, care constă în identificarea unor caracteristici faciale specifice persoanei fizice, precum ochii, nasul și gura, extragerea unor caracteristici esențiale din datele biometrice, cum ar fi măsurările faciale pornind de la o imagine captată, inclusiv prin reprezentarea matematică a întregii imagini care rezultă din analiza componentelor principale ale acesteia și duce la identificarea persoanei. Soluția de recunoaștere facială care se dorește implementată în România va trebui să poată executa căutări după o imagine „în litigiu” într-o bază de date de până la 2.000.000 de înregistrări, în maxim 5 secunde, într-o bază de date care va putea cuprinde mai mult de 10% din toată populația României. Altfel spus, BigBrother devine o realitate în România și vom plati cu toții cu prețul vieții noastre private pentru binele comun, în condițiile în care un astfel de sistem nu și-a dovedit eficacitatea, fiind interzis de exemplu în San Francisco, Somerville din Massachusetts și Oakland.  Conform unui anunț recent, chiar și California urmează sa adopte o lege de interzicerea a camerelor utilizate de poliție și care folosesc tehnologia de recunoaștere facială, ca o măsură de protecție a vieții private.

În România acest proiect a fost inițiat de Inspectoratul General al Poliției Române care a lansat deja o achiziție publică pentru operaționalizarea sistemului de identificare și recunoaștere facială NBIS (Național Biometric Identification System) și interconectarea acestuia cu autoritățile de aplicare a legii din Uniunea Europeană. Prin implementarea acestei tehnologii, Poliția Română urmărește să crească gradul de combatere și elucidare a cazurilor asociate furtului de identitate, a documentelor pierdute sau furate, identificarea suspecților care comit sau intenționează să comită fapte de natură penală (terorism, infracțiuni cu violenta, etc.).

Am studiat cu interes Caietul de sarcini - sistem de recunoastere faciala și am constatat cu surpriză faptul că în cadrul acestor criterii de atribuire a contractului, ponderea pentru „Eficacitatea algoritmului de căutare/comparare” este de doar 30%, fiind pe aceeași treaptă cu prețul ofertei. Restul factorilor de evaluare vizează caracteristici hardware care nu afectează acuratețea funcționarii software-ului de recunoaștere faciala.  Un alt aspect care mi-a întărit îngrijorarea privind viabilitatea sistemului de recunoaștere faciala este faptul că Autoritatea nu a impus prin documentația achiziției cele mai utilizate condiții de participare atunci când sunt vizate proiecte de o asemenea amploare și sensibilitate: demonstrarea capacității tehnice și profesionale și situația economica și financiară a ofertantului. Prin urmare, operatorii care vor depune o oferta nu vor trebui să dovedească faptul că dețin resursele financiare suficiente pentru a duce la bun sfârșit un proiect de o asemenea amploare și importanță și nici nu vor trebui să dovedească că au experiență în implementarea unei soluții similare sau măcar că personalul care se va ocupa de instalarea sistemului este calificat și deține experiență specifică în astfel de proiecte.

Care este legislația națională și europeană care reglementează această tehnologie ?

Am facut următorul pas logic și am căutat articole din legislația românească și europeană care reglementează acest tip de prelucrări de date personale și am găsit Legea nr. 363/2018 și Directiva 680/2016.

Astfel, conform dispozițiilor art. 10 și 11 din Legea 363/2018, prelucrarea datelor sensibile (biometrice) prin mijloace automate este interzisă, cu excepţia cazului în care prelucrarea este reglementată expres de lege, și sunt instituite măsuri corespunzătoare pentru protejarea drepturilor, a libertăţilor şi a intereselor legitime ale persoanei vizate. Mai mult, utilizarea unui sistem ce ridica suspiciuni privind intruziunea în viața privată a persoanelor ar trebui înainte de toate să treacă printr-o evaluare a impactului asupra protecţiei datelor cu caracter personal (DPIA), obligatorie pentru acest tip de prelucrări conform Deciziei nr. 174/2018 a Autorității Naționale de Supraveghere.

Având în vedere că vorbim despre implementarea unei tehnologii noi care prezintă un risc ridicat pentru drepturile și libertățile persoanelor și care va putea fi utilizat pe întreg teritoriul României, consider că Poliția Română ar fi trebuit să consulte autoritatea națională de supraveghere atunci când a planificat achiziția acestui sistem în vederea includerii în caietului de sarcini a unor cerințe funcționale specifice care să ofere garanții suficiente în ceea ce privește protecția datelor personale, adică respectarea conceptului de privacy by design (vezi art. 25 din GDPR).

În privința legislației europene m-am consultat cu un specialist în domeniu, Sergiu Bozianu - Președinte al Asociației pentru Protecția Vieții Private, Fost Director Adjunct -  Direcția Generală de Supraveghere și Conformitate la Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova, realizând următoarea analiză succintă:

"Având elementele constitutive relevate, constatăm cu certitudine că acestor operațiuni de prelucrare a datelor nu sunt opozabile cerințele GDPR în măsura în care datele colectate în scopurile enunțate nu vor fi prelucrate în alte scopuri decât cele care cad sub incidența Regulamentului, în conformitate cu prevederile art. 9 alin. (1) din Directiva 680. Chiar dacă cerințele Directivei 680 nu au aplicabilitate directă pentru statele membre cum ar fi în cazul GDPR, pentru asigurarea respectării dreptului la viața privată în legătură cu prelucrarea datelor cu caracter personal în sectorul polițienesc aceste trebuințe reprezintă un imperativ.

În acest sens, art. 10 din Directiva 680/2016 stabilește expres și fără drept de interpretare că: prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice [.....] este autorizată numai atunci când este strict necesară și sub rezerva unor garanții adecvate pentru drepturile și libertățile persoanei vizate și numai atunci când este autorizată de dreptul Uniunii sau de dreptul intern

Pentru a putea aprecia caracterul conform al acestei intenției ale IGP, se impun următoarele întrebări:

  • Art. 12-18, cum se vor realiza drepturile persoanelor vizate și în ce măsură vor fi asigurate/restrânse, inclusiv perioada pentru care nu vor fi informați;
  • Art. 22, care sunt măsurile organizatorice și tehnice puse în aplicare de către persoana împuternicită, care aparent este de drept privat;
  • Art. 24, care este actul normativ care stabilește condițiile de evidență a prelucrărilor de date: în special care s-ar referi la: destinatarii datelor, categoriilor de persoane vizate, eventualul transfer către o țară terță, temeiul juridic al prelucrării, termenul limită pentru ștergere a datelor, măsurile generale tehnice de securitate asigurate.
  • Art. 27, dacă a fost efectuat impactul asupra protecției datelor cu caracter personal înainte de a prelucra categoria specială de date prin intermediul dezvoltării unei noi tehnologii.
  • Art. 28, dacă în prealabil a fost consultată Autoritatea de supraveghere, inclusiv care a fost poziția acesteia pe caz, cu specificarea aspectelor esențiale;
  • Art. 36-37, dacă se va efectua transferul către țări terțe și care vor fi situațiile opozabile;
  • Art. 41, care este Autoritatea responsabilă de asigurarea protecției datelor cu caracter personal în cazul unor astfel de operațiuni de prelucrare a datelor și care sunt competențele efective ale acesteia.

De menționat că așa cum opinează CEDO în numeroasele sale hotărâri, simplul fapt al colectării și înregistrării de către o autoritate publică a datelor cu caracter personal ale unei persoane vizate – reprezintă o ingerință în viața privată, care poate avea loc doar dacă este prevăzută de LEGE și este necesară într-un stat democratic. Suplimentar pot să comunic că în Republica Moldova încă în perioada anilor 2015-2016, de către Î.S. CRIS ,,Registru” actuala Agenție Servicii Publice – instituție publice responsabilă de gestionarea mai multor registre de stat cum ar fi: (Registrul de stat al populației, Registrul de stat al unităților de drept, Registrul de stat al transporturilor auto etc.) a intenționat în regim de testare a unui sistem similar de recunoaștere facială. În acel caz, instituția vizată a solicitat poziția Autorității de supraveghere – Centrului Național pentru Protecția Datelor cu Caracter Personal care și-a expus poziția, înaintând un set de cerințe similare celor descrise supra pentru a fi asigurat regimul juridic al protecției datelor cu caracter personal."

 

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Românii vor fi monitorizați de un sistem de recunoașterea facială

Editorial

Vizualizari: 5721

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare, camere ATM din România vor fi monitorizate de un sistem de recunoaștere facială. Controversele din jurul acestei tehnologii aflată încă în curs de maturizare riscă să stârnească îngrijorarea apărătorilor drepturilor și libertăților persoanelor din România.

Recunoașterea facială: Necesitate sau Oportunitate?

Inspectoratul General al Poliției Române a publicat de curând, în SICAP (Sistemul Electronic de Achiziții Publice), un anunț privind achiziționarea unei „Soluții informatice pentru recunoaștere facială + training”, în valoare de 4.779.008 lei.  

Scopul proiectului îl reprezintă operaționalizarea sistemului de identificare și recunoaștere facială NBIS (Național Biometric Identification System) și interconectarea acestuia cu autoritățile de aplicare a legii din Uniunea Europeană.

Prin implementarea acestei tehnologii, Poliția Română urmărește să crească gradul de combatere și elucidare a cazurilor asociate furtului de identitate, a documentelor pierdute sau furate, identificarea suspecților care comit sau intenționează să comită fapte de natură penală (terorism, infracțiuni cu violenta, etc.).

Poate că, având în vedere încărcătura emoțională cauzată de o serie de evenimente tragice care au determinat slăbirea încrederii românilor în eficiența Poliției Naționale, opinia publică ar înclina spre susținerea unui astfel de proiect, însă controversele asociate acestor sisteme ne obligă să fim cel puțin rezervați dacă nu chiar îngrijorați, așa că am răsfoit documentația căutând indicii care să ne demonteze îngrijorările, fără succes însă. 

Recunoașterea facială este plutoniul inteligenței artificiale

Intenția IGPR-ului de a achiziționa un asemenea sistem ne-a amintit de un articol semnat de Luke STARK (Cercetător Postdoctoral la Microsoft Research Montreal) și publicat de Association of Computing Machinery (ACM), întitulat „Facial recognition is the plutonium of AI”, descriind astfel toxicitatea folosirii sisteme care se bazează pe inteligență artificială.

STARK susține că sistemele de recunoaștere facială sunt periculoase, rasiale și au puține utilizări legitime. Prin urmare, astfel de sisteme au nevoie de reglementare și control strict precum deșeurile nucleare.

Comparația poate părea puțin exagerată însă am menționat acest articol pentru a sublinia încă din start existența controverselor la nivel internațional care planează asupra utilizării acestei tehnologii și a riscurilor asociate acesteia.

Toți locuitorii României vor putea fi monitorizați prin utilizarea sistemului de recunoașterea facială 

Conform documentației licitație, NBIS va oferi funcționalități de căutare/verificare/comparare a imaginilor faciale digitale din bazele de date existente, asociindu-le cu cele provenite din diferite surse cum ar fi CCTV (adică sisteme de monitorizare video), webcam, telefoane mobile, rețele de socializare, camere ATM, operațiuni în urma cărora va fi posibilă recunoașterea persoanelor.

Soluția de recunoaștere facială va trebui să poată executa căutări după o imagine „în litigiu” într-o bază de date de până la 2.000.000 de înregistrări, în maxim 5 secunde. Adică o baza de date care va putea cuprinde mai mult de 10% din toată populația României.

Poate ne grăbim cu concluziile însă interpretarea noastră referitor la sursele imaginilor asociate ar fi că Poliția Româna va avea acces la sistemele de monitorizare video, camerele video ale laptop-urilor, ale telefoanelor mobile ale bancomatelor dar și a rețelelor de socializare. Este oare Poliția Română pregătită să gestioneze eficient și în limitele legale un asemenea sistem, respectând totodată drepturile și libertățile persoanelor? 

Să ne imaginăm că în Piața Victoriei are loc un protest. Poliția va putea accesa înregistrările foto-video realizate de Jandarmerie, înregistrările CCTV, imaginile postate pe Facebook etc., iar prin utilizarea software-ului de identificare facială vor putea fi identificați toți participanții,  făcând astfel posibilă sancționarea lor. Sancționarea celor care se fac vinovați de comiterea unei infracțiuni ar putea fi justificată, dar ce garanții avem că această tehnologie nu va fi utilizată pentru a amenda toți participanții în încercarea de a-i descuraja să mai participe la astfel de evenimente. Situația în care s-a trezit bărbatului surdo-mut, amendat de Jandarmerie pentru că a „scandat lozinci” este cel mai bun exemplu. 

Eficacitatea sistemului de recunoaștere facială este importantă, dar nu prea..

Conform criteriilor de atribuire a contractului din caietul de sarcini al licitației menționate mai sus, ponderea pentru „Eficacitatea algoritmului de căutare/comparare” este de doar 30%, fiind pe aceeași treaptă cu prețul ofertei, Restul factorilor de evaluare vizând caracteristici hardware care nu afectează acuratețea funcționarii software-ului de recunoaștere faciala. 

Mai simplu spus, dacă un ofertant propune un sistem mai ieftin dar în același timp mai slab calitativ din punct de vedere al eficienței software-ului de recunoaștere facială, va avea șanse să câștige acest contract. Mind-blowing or not?

Un alt aspect care ne-a întărit îngrijorarea privind viabilitatea sistemului de recunoaștere faciala este faptul că Autoritatea nu a impus prin documentația achiziției cele mai utilizate condiții de participare atunci când sunt vizate proiecte de o asemenea amploare și sensibilitate: demonstrarea capacității tehnice și profesionale și situația economica și financiară a ofertantului. Prin urmare, operatorii care vor depune o oferta nu vor trebui să dovedească faptul că dețin resursele financiare suficiente pentru a duce la bun sfârșit un proiect de o asemenea amploare și importanță și nici nu vor trebui să dovedească că au experiență în implementarea unei soluții similare sau măcar că personalul care se va ocupa de instalarea sistemului este calificat și deține experiență specifică în astfel de proiecte. 

Dacă tot n-am inventat noi apa caldă, să analizăm rezultatele utilizării tehnologiei de recunoaștere facială în țările mai avansate dpdv tehnologic:

  • Politia Metropolitana din Londra acuzată că a irosit banii publici

În perioada august 2016 - iulie 2018 poliția din Londra a testat un sistem de recunoaștere facială. Conform datelor făcute publice de poliția londoneză, în perioada de testare a sistemului au fost declanșate 104 alerte din care 102 s-au dovedit a fi eronate în timp ce doar două au fost confirmate.

Hannah Couchman, ofițer de politică la Liberty, a acuzat Scotland Yard că a lansat o „extindere înfiorătoare” a tehnologiei fără să se implice pe deplin cu problemele legate de discriminare și drepturile omului, relatează Independent.

„Recunoașterea facială este un instrument de supraveghere a masei care ne poate forța să ne schimbăm comportamentul și este cel puțin exact atunci când sunt folosite pentru a identifica femeile și persoanele BME (Black Male Adult) - ceea ce înseamnă că sunt mai susceptibile de a fi supuse unei opriri intruzive ale poliției în urma unei potriviri false“, a adăugat aceasta.

  • San Francisco a interzis utilizarea tehnologiei de recunoaștere facială de către poliţie şi alte agenţii guvernamentale

În data de 14 mai 2019, orașul San Francisco, aflat de mult în centrul revoluției tehnologice, a luat o poziție împotriva potențialelor abuzuri, interzicând poliției și altor agenții să folosească software de recunoaștere facială.

Tehnologia emergentă nu va fi permisă de către agențiile locale, cum ar fi autoritatea de transport a orașului sau forțele de ordine. 

"Tendinţa tehnologiei de recunoaştere facială de a pune în pericol drepturile civile şi libertăţile civice contrabalansează semnificativ aşa-zisele sale beneficii", se spune în textul deciziei.

În plus, orice plan de cumpărare a oricărui tip de tehnologie de supraveghere trebuie să fie acum aprobat de administratorii orașului, relatează BBC.

"Cu acest vot, San Francisco a declarat că tehnologia de monitorizare a fețelor este incompatibilă cu o democrație sănătoasă și că rezidenții merită să aibă o voce în deciziile privind tehnologiile avansate de supraveghere", a declarat Matt Cagle, reprezentant al American Civil Liberties Union.

Somerville din Massachusetts și Oakland, California au urmat modelul orașului San Francisco.

  • China folosește sistemul de recunoaștere facială pentru a profila minoritățile

Potrivit ziarului The New York Times (NYT), autorităţile chineze se folosesc de această tehnologie integrată în vaste reţele de camere de supraveghere în întreaga ţară, pentru a repera membri ai minorităţii musulmane, după ce a fost programată cu caracteristicile lor fizice, pentru a-i căuta doar pe aceştia. Acesta ar fi primul exemplu cunoscut al folosirii de către un guvern a inteligenţei artificiale (AI) cu scopul de a efectua un profilaj rasial.

dpo-NET.ro a publicat un articol despre prelucrarea excesivă a datelor sensibile care poate conduce la o dictatura digitală în care toți am fi captivi. Puteți accesa articolul aici. Documentarul ABC News (Australia) intitulat “Expunerea dictaturii distopice a Chinei | Corespondent străin“ poate fi vizionat la sfârșitul acestui articol. 

  • Campania BanFacialRecognition în SUA

EPIC* împreună cu alte 30 de organizații solicită parlamentarilor americani să interzică utilizarea de către guvern a tehnologiei de recunoaștere facială.

În solicitare, coaliția BanFacialRecognition de subliniat faptul că „utilizarea tehnologiei de recunoaștere a feței ... prezintă riscuri grave pentru viața privată și libertățile civile, amenință imigranții, are un impact larg asupra cetățenilor americani și a fost pusă în aplicare fără garanții adecvate sau aprobare explicită a Congresului".

De asemenea aceștia au trimis autorității responsabile cu securitatea națională (Homeland Security)  o scrisoare prin care au solicitat acestora „suspendarea imediată 

suspendați imediat folosirea tehnologiei de recunoaștere a feței de către Departamentul de Securitate Internă (DHS) asupra publicului larg”. 

______

*EPIC (Electronic Privacy Information Center) este un centru de cercetare de interes public din Washington, care luptă pentru protejarea confidențialității, a libertății de exprimare și a valorilor democratice în era informațională.

  • Până și Facebook a renunțat la recunoașterea facială by default

În 3 septembrie, Facebook a anunțat că va înceta folosirea în mod implicit a recunoașterii facială prin care oferea sugestii de etichetare a persoanelor din fotografiile încărcate. Astfel Facebook  încearcă să ofere mai multa transparență acestui tip de prelucrare, informând utilizatorii despre modul în care platforma folosește această tehnologie și oferindu-le acestora posibilitatea de a opta sau dezactiva cu ușurință aceste setări.

Acest update este consecința anchetei efectuate de Comisiei Federală de Comerț (FTC) care a condus la înțelegerea record de 5 miliarde de dolari. Printre neregulile identificate de FTC s-a numărat și utilizarea programului de recunoaștere facială, FTC ordonând Facebook să „furnizeze o notificare clară și vizibilă despre utilizarea tehnologiei de recunoaștere facială și să obțină consimțământul afirmativ al utilizatorului ...”, potrivit comunicatului de presă al FTC.

Totuși, în anumite condiții, sisteme de recunoașterea facială pot funcționa în limitele legii

Procesul în care Ed Bridges, fost consilier al orașului Cardiff a contestat utilizarea de către Poliția South Wales a tehnologiei automate de recunoaștere facială a avut un deznodământ neașteptat, deși acesta a beneficiat de o puternică susținere din partea Liberty, o organizație care luptă pentru drepturile omului, 

Judecătorii au decis că, deși utilizarea unui sistem de recunoaștere facială automată constituie o ingerință în dreptul la viață privată, există o bază legală pentru aceasta, iar cadrul legal folosit de poliție a fost proporțional.

Înalta Curte a declarat că aceasta este prima dată când o instanță din întreaga lume a analizat legalitatea utilizării tehnologiei de recunoaștere facială, conform BBC.

Aceasta decizie pare să fi luat prin surprindere însăși autoritatea de supraveghere din Marea Britanie (ICO). Aceasta a emis o declarație cu privire la utilizarea tehnologiei de recunoaștere a feței în direct de către Poliția South Wales, prin care a salutat constatarea instanței potrivit căreia utilizarea de către poliție a sistemelor de recunoaștere facială implică prelucrarea de date sensibile, fiind necesara necesitând respectarea legilației privind protecția datelor personale.

„Această tehnologie nouă și intruzivă are potențial, dacă este folosită fără garanțiile de confidențialitate corecte, să submineze mai degrabă decât să sporească încrederea în poliție”, a subliniat autoritatea engleză.

Aceasta a declarat că va lua în considerare decizia instanței de judecată, urmând să finalizeze recomandările și îndrumările adresate forțelor de poliție cu privire la modul de planificare, autorizare și implementare a oricăror sisteme de recunoaștere facială viitoare.

„Între timp, orice forțe de poliție sau organizații private care utilizează aceste sisteme ar trebui să fie conștiente de faptul că legislația și ghidurile privind protecția datelor încă se aplică.”, a concluzionat autoritatea.

Permite legislația națională utilizarea sistemelor de recunoaștere facială?

Necunoscând legislația specifică aplicabilă la nivelul Poliției Române, vom evita să oferim un răspuns ferm însă vom analiza strict din punct de vedere al legislației ce reglementează acest tip de prelucrări de date personale (Legea nr. 363/2018), 

Astfel, conform dispozițiilor art. 10 și 11, prelucrarea datelor sensibile (biometrice) prin mijloace automate este interzisă, cu excepţia cazului în care prelucrarea este reglementată expres de lege, și sunt instituite măsuri corespunzătoare pentru protejarea drepturilor, a libertăţilor şi a intereselor legitime ale persoanei vizate.

Utilizarea unui sistem ce ridica suspiciuni privind intruziunea în viața privată a persoanelor ar trebui înainte de toate să treacă printr-o evaluare a impactului asupra protecţiei datelor cu caracter personal (DPIA), obligatorie pentru acest tip de prelucrări conform Deciziei nr. 174/2018 a autorității naționale de supraveghere. 

Mai mult, având în vedere că vorbim despre implementarea unei tehnologii noi care prezintă un risc ridicat pentru drepturile și libertățile persoanelor și care va putea fi utilizat pe întreg teritoriul României, considerăm că Poliția Română ar fi trebuit să consulte autoritatea națională de supraveghere atunci când a planificat achiziția acestui sistem în vederea includerii în caietului de sarcini a unor cerințe funcționale specifice care să ofere garanții suficiente în ceea ce privește protecția datelor personale, adică respectarea conceptului de privacy by design (vezi art. 25 din GDPR).

Poate nu am fost suficient de atenți, însă noi nu am identificat în documentația aferentă achiziției sistemului de recunoaștere facială cerințe constructive specifice care să asigure respectarea legislației incidente privind protecția datelor personale, în afara celor privind managementul log-urilor. 

______

*Legea nr. 363/2018 din 28 decembrie 2018 privind protecţia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autorităţile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale şi combaterii infracţiunilor sau al executării pedepselor, măsurilor educative şi de siguranţă, precum şi privind libera circulaţie a acestor date

 

În loc de concluzii

Nu contestăm că tehnologia evoluează constant iar astfel de soluții vor putea contribui la diminuarea infracționalității însă astfel de decizii nu pot fi luate fără a ține cont în primul rând de eventualele consecințe.

Una din aceste consecințe, în cazul în care utilizarea unei astfel de soluții tehnice se dovedește a fi o ingerință în viața privată a persoanelor, ar fi procesele colective care ar putea costa Statul Român mai mult decât investiția în sistemul respectiv. 

Dar cu siguranța cea mai mai dureroasă „lovitură” ar fi scăderea încrederii pe care persoanele o au în această instituție, al cărei slogan este „Siguranță și Încredere”.

Probabil că nu toată lumea ne va împărtăși îngrijorările însă informațiile de mai sus ne oferă suficiente argumente să nu privim cu ochi buni achiziția unui asemenea sistem. Ne-am simțit obligați să tragem acest semnal de alarmă și să subliniem faptul că riscăm să ne îndreptăm spre o eră BigBrother, în care spațiul privat nu va mai exista atât timp cât un ochi poate veghea mereu asupra noastră.

Cu siguranță vom fi „acuzați” că ne grăbim cu „concluziile”, motiv pentru care vă invităm să vizionați următorul filmuleț și să extrageți singuri concluziile.

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Facebook riscă și îi fură job-ul lui Cupidon

Proaspătul lansat Facebook Dating ridică mai multe semne de întrebare privind confidențialitatea.  Cupidon a fost scos forțat la pensie când Facebook a anunțat ieri lansarea noului sau serviciu […]

Cine sunt campionii GDPR Summer Challenge 2019 ?

68 de participanți, grupati in 14 echipe, au luat startul in concursul GDPR Summer Challenge 2019 GDPR Summer Challenge este o competitie organizata de Dpo-NET.ro – Data Protection […]

Curtea de Justiție a hotărât: amprentarea angajatilor contravine GDPR-ului

Decizia Curții de Justiție din Amsterdam din 12 august 2019 pune pe jar mulți dintre angajatori. Control accesul angajatilor sau sistemele de autorizare care utilizează cititoare biometrice sunt, în cele mai […]

Giovanni Buttarelli (1957-2019)

Giovanni Buttarelli, liderul Autorității Europene pentru Protecția Datelor (EDPS), a murit înconjurat de familia sa în Italia, la vârsta de 62 de ani. Înmormântarea va avea loc sâmbătă, […]

A început GDPR Summer Challenge 2019!

68 de participanți din 14 echipe au luat startul in concursul GDPR Summer Challenge 2019. GDPR Summer Challenge este o simulare de caz la care participă mai multe […]

Ești DPO ? S-a lansat un MANUAL pentru tine!

Autoritatea de supraveghere italiană (Il Garante per la protezione dei dati personali) a publicat un manual în limba engleză menit să sprijine responsabilii cu protecția datelor (DPO) ai […]

Cine scapă de GDPR?

Autor: Alina Crăciun, Coordonator Editorial Wolters Kluwer Romania La mai bine de un an de la intrarea în vigoare a Regulamentului nr. 679/2016 privind protecția datelor cu caracter […]

GDPR Summer Challenge este pregătit de lansare!

Sâmbătă, 10 August 2019, începe primul concurs național din România destinat aprofundarii și mai ales verificării cunoștințelor în domeniul protecției datelor. Scopul este ca participantii să dobândească cât […]

Te-ai înscris la GDPR Summer Challenge?

Peste 50 de persoane s-au înscris până acum în concursul „GDPR Summer Challenge”, motiv pentru care organizatorii au decis creșterea numărului de membrii într-o echipă la 5 persoane, […]

Ghidul turistului GDPResponsabil. Află cum îți protejezi datele în concediu!

Vacanțele sunt acele momente în care încercăm să fugim de grijile de zi cu zi, însă una dintre ele ne va urmări oriunde am pleca: protejarea datelor noastre. […]

Înscrie-te acum la GDPR Summer Challenge!

Acceptă GDPRovocarea acestui sfârșit de vară! 5 echipe formate din pasionați de GDPR vor concura pentru titlul de GDPR Summer Challenge Champion 2019. Nu este doar un concurs, […]

Atenție la falsele certificări GDPR!

Înainte de a parcurge acest articol-manifest vă invit să răspundeți singuri la o întrebare: „Dacă ideea de a fi tratat de un fals doctor vă înspăimântă, v-ați lăsa […]

Persoanele fizice pot fi amendate, conform GDPR!

Pe zi ce trece devine din ce în ce mai greu să ignori titlurile bombastice care fac referire la acest nou Regulament European (GDPR). Majoritatea titlurilor încearcă să […]

Ce planuri aveți pe 24 iulie ?

Netflix a lansat la trailerul pentru filmul The Great Hack care explorează scandalul Facebook-Cambridge Analytica, o productie care a avut premiera inițială la Festivalul de Film Sundance din […]

Principiile GDPR pe înțelesul tuturor

După câteva mii de ore petrecute împreună cu GDPR-ul, am ajuns la concluzia ca totul ar trebui sa înceapă de la înțelegerea principiilor Protecției Datelor cu Caracter Personal […]

Ce facem după atacutile cibernetice asupra spitalelor românești? Nimic?

Spitalele sunt o țintă a atacurilor ransomware în toată lumea, nu doar în România. Foarte multe astfel de incidente au fost raportate de spitale în ultimii ani și […]

Cookie-urile dau bătăi de cap chiar și autorităților europene

N-a trecut o luna de la ultimul nostru articol despre cookie, că deja ne roade să reluam acest subiect, împinși fiind de ultimele știri venite din spațiul european. […]

ALERTĂ DE FRAUDA către toți cetățenii, emisă de ANAF

Printr-un comunicat de presă publicat ieri (13.06.2019) pe site-ul său, Agenția Națională de Administrare Fiscală atrage atenția contribuabililor asupra unei posibile fraude care se derulează în prezent. În […]

Sunt angajații un risc de securitate?

Da, angajații reprezintă unul dintre cele mai mari riscuri în ceea ce privește securitatea unei unei organizații. Și nu spunem noi asta mergând pe principiul 80/20 al lui […]

Prima amendă GDPR în Belgia a fost aplicată unui primar

Autoritatea de supraveghere din Belgia a impus prima penalizare financiară de la intrarea în vigoare a GDPR, ne informează Comitetul European pentru Protecția Datelor. Probabil mulți dintre cititori […]