В России около 14 миллионов айфонов, треть из них — с функцией Touch ID. Чтобы разблокировать экран смартфона, вы делитесь с Apple биометрическими данными. Пользователи всё легче отдают сокровенные данные тела. Кажется, это удобно, надёжно и помогает в борьбе с преступностью. Хотя недавний индийский инцидент с журналистами, получившими доступ к биометрическим данным миллионов сограждан, заставляет думать об обратном. Пока технологии совершенствуются, законодатели по всему миру решают, как регулировать и защищать сбор и использование биометрической информации.


Что такое биометрия?

Биометрия анализирует физические и поведенческие характеристики людей, чтобы идентифицировать их личность. В самом простом смысле, это технологии измерения человеческого тела. Существует две категории биометрических измерений: физиологические и поведенческие.

Физиологические измерения бывают двух типов: морфологические и биологические. К морфологии относятся отпечатки пальцев, форма руки, пальцев или лица, рисунок радужки и сетчатки глаза; к биологическим — анализы ДНК, слюны, крови или мочи.

Поведенческие измерения — это распознавание голоса, динамика почерка (скорость движения, ускорение, давление, наклон), динамика нажатия клавиш, способ использования объектов, походка, звук шагов, жесты.

Эти измерения можно использовать двумя разными способами: для верификации личности и для идентификации.

Верификация предполагает сравнение биометрических данных с конкретным шаблоном, который содержится в базе данных или на переносном носителе, например, смарт-карте. Эта операция позволяет удостовериться, что человек именно тот, за кого себя выдаёт.

В случае идентификации биометрические данные человека сравнивают с данными других людей в базе. Идентификация проходит успешно, если такой биометрический образец уже есть в базе данных.

Биометрия — новое явление?

Не очень-то. В 19 веке французский юрист и полицейский Альфонс Бертильон стал сравнивать физические характеристики людей для идентификации преступников. Разработанная им система антропометрии стала первым научным подходом к определению личности в криминалистике. Его разработки легли в основу дактилоскопии, системы опознания человека по следам пальцев рук. Всем известную систему придумал британский офицер Уильям Гершель — в 1877 году он выдвинул гипотезу о неизменности папиллярного рисунка на ладонях человека. Опознание преступников по отпечаткам пальцев было впервые использовано в 1902 году.

Поведенческая биометрия тоже уходит корнями в 19 век: в 1860-е операторы телеграфа, используя азбуку Морзе, распознавали друг друга по особенностям передачи “точек” и “тире”.

Где сегодня используется биометрия?

В основном — в области национальной безопасности, здравоохранения и регистрационных системах. Биометрию широко применяют компании для контроля за сотрудниками и внутренней охраны, банки — для идентификации клиентов, корпорации и соцсети — в коммерческих целях.

Как и в 19 веке, сегодня правоохранительные органы применяют биометрию, чтобы распознать преступников. Автоматизированные системы идентификации отпечатков пальцев (AFIS) обрабатывают и хранят дактилоскопические изображения, а автоматизированные биометрические системы идентификации (ABIS) содержат шаблоны для лиц, пальцев и радужки глаз. В крупных городах, аэропортах и на границах уже используют технологию живого распознавания лиц (live face recognition), которая позволяет идентифицировать лицо в толпе в режиме реального времени.

В пограничном контроле используют электронные и биометрические паспорта, где кроме фотографии владельца есть и отпечатки двух пальцев. Биометрическая инфраструктура состоит из сканеров отпечатков и камер, которые ускоряют прохождение границ. Государства вводят эти технологии для контроля миграционных потоков.

Биометрия также нужна для создания ID-карт, предоставляющих доступ к медицинскому обслуживанию, гражданской идентификации и регистрации избирателей.

Огромное количество технологий в области сбора биометрических данных разрабатывают IT-гиганты вроде Google и Facebook. Рекламодатели используют технологию распознавания лиц в реальном времени, чтобы показывать клиентам определенные объявления. Банки и розничные магазины применяют биометрию для отслеживания преступников и неблагонадежных клиентов. Компании заменяют замки от офисных помещений на сканеры радужки или отпечатков пальцев, а элитные клубы используют биометрическую информацию для идентификации важных клиентов.

В прошлом году российские банки повсеместно начали запускать пилотные проекты с применением биометрических технологий для регистрации пользователей и предоставления им онлайн-услуг. Пока в этой сфере биометрические данные будут работать наряду со стандартными системами защиты, такими как пара логин-пароль.

Насколько надежна биометрия?

Пока биометрические технологии далеки от совершенства. Физиологические показатели более стабильны по сравнению с поведенческими: меньше меняются в течение жизни и не подвержены ситуативным факторам, например, воздействию стресса. Тем не менее, история знает множество примеров, когда и такие измерения ложно принимаются или отвергаются распознающими системами. Например, лицо можно заменить фотографией или видео в высоком разрешении, а отпечатки пальцев «похитить». Известный случай произошел в 2005 году в британской тюрьме Гленочил, где заключенные влегкую научились обманывать систему замков, основанную на дактилоскопии.

Часто риск ошибки связан с условиями проведения идентификации. Некачественная фотография может заметно увеличить риск. Важно освещение, интенсивность фонового шума, положение человека в пространстве. В идеальных лабораторных условиях частота ошибок в опознании лица колеблется от 5 до 10 %.

Риски утечки данных

Во время верификации данные сверяются с биометрическим шаблоном, который сам человека хранит, например, на смарт-карте. Только пользователь имеет контроль над своими данными. В случае идентификации данные человека сверяют с данными из единой централизованной базы, а это значит, что их носитель не имеет над ними никакой власти. В такой ситуации никто не защищен от нарушения приватности и попадания биометрической информации в чужие руки.

Так, стало известно, что российские банки передали ФСБ биометрию клиентов — данные пользователей могут использовать совсем не тем способом, на который соглашался клиент.

Индийский инцидент

В начале января 2018 журналисты газеты The Tribune в городе Чандигарх заявили, что купили программное обеспечение, которое давало доступ к данным из индийской базы данных Aadhaar, у неизвестных продавцов в WhatsApp всего за £6. Aadhaar — крупная централизованная база данных, в которой хранятся имена, телефоны, адреса жителей и их биометрические данные. Удостоверяющие личность карточки Aadhaar необходимы гражданам Индии для доступа к госуслугам, получению льгот и пособий. Журналисты сообщили, что купленное ими ПО также позволяет печатать поддельные ID-карты.

Хотя Агентство Индии по уникальной идентификации (UIDAI) заявило, что журналисты получили доступ только к именам и адресам, которые не имеют смысла без биометрии, инцидент еще раз показал, насколько ненадежными могут быть подобные базы. Активисты уже критиковали Aadhaar за гибель от голода двух граждан Индии, которые не смогли получить доступ к положенным им пайкам, так как их получение требовало аутентификации в Aadhaar.

В августе 2017 года Верховный суд постановил, что неприкосновенность частной жизни является правом, гарантированным конституцией Индии. По прогнозам аналитиков, это решение заставит пересмотреть решающую роль Aadhaar в жизни индийцев.

Защита биометрических данных: где и как она работает?

Несмотря на весьма специфический характер биометрических данных, в мире практически отсутствуют правовые положения, касающиеся их защиты. В основном правовые тексты говорят о защите персональных данных и конфиденциальности в широком смысле, но иногда такое законодательство плохо адаптируется к биометрии.

В России сбор и хранение биометрических данных возможно только с согласия субъекта персональных данных в письменной форме. Этот пункт есть в законе «О персональных данных». 1 июля 2017 года в него внесли изменения, и теперь все сайты, которые собирают и хранят любые данные о пользователях, должны внести документацию на свой ресурс. Штраф за невыполнение этих требований составит от 10 000 до 75 000 рублей за каждое обнаруженное нарушение. А осенью 2017 глава Роскомнадзора Александр Жаров призвал запретить биометрическую идентификацию несовершеннолетних при использовании ими технических устройств.

За последние 10 лет ряд законопроектов, созданных с упором на биометрические данные, появились в США, а в мае 2018 года во всех странах Евросоюза вступит в силу новый закон ЕС о защите персональных данных (General Data Protection Regulation, GDPR).

США: трое против сорока семи

В Соединенных Штатах нет единого закона, который бы регулировал сбор и использование персональных данных, в том числе биометрических. Жесткое законодательство относительно биометрии существует только в трех штатах: Иллинойсе, Техасе и Вашингтоне.

В 2008 году Иллинойс принял закон о конфиденциальности биометрической информации (BIPA), который установил строгие требования для организаций, которые собирают, покупают или как-то иначе получают биометрические данные пользователей. Закон направлен против неограниченного использования биометрии в коммерческих целях. Любое предприятие, которое получает доступ к таким данным, должно разработать общедоступную политику хранения данных, ограничить передачу или раскрытие биометрии и защищать эти данные так же, как компания защищает другую конфиденциальную информацию. BIPA устанавливает право на иск для «потерпевшего лица» и предусматривает возмещение ущерба в 1000 долларов США за каждое неосторожное нарушение и 5000 долларов — за преднамеренное. В январе 2017 года подобные законопроекты рассматривали в Коннектикуте, Нью-Хэмпшире, Вашингтоне и Аляске, но приняли только в Вашингтоне.

В 2016 году группа истцов из штата Иллинойс подала в суд на Facebook за незаконный сбор биометрических данных. Истцы утверждали, что функция распознавания лиц, с помощью которой соцсеть устанавливает метки на фотографиях, незаконно собирала и хранила данные пользователей. В 2017 в суды Иллинойса подали больше тридцати исков к компаниям, которые собирали отпечатки пальцев сотрудников, чтобы следить за рабочим временем.

В целом же в 47 штатах США компании могут использовать ПО для идентификации лиц на изображениях без согласия пользователей, если изображение находится в публичном доступе. Уже существует софт для распознавания лиц, который магазины могут использовать, чтобы идентифицировать клиентов, слишком часто возвращающих товары или предпочитающих определённый тип покупок. Благодаря Facebook сотрудники могут немедленно получить информацию о клиентах, когда они только входят в магазин, узнать, кто они, откуда, какой у них доход. С точки зрения конфиденциальности это нарушение анонимности, принципа согласия пользователя и целесообразности использования биометрических данных. Но законом в этих штатах такое не запрещено.

Евросоюз пытается вернуть приватность

В этом году шаг навстречу конфиденциальности биометрической информации делает Евросоюз: в мае 2018 года вступает в силу единый закон о защите персональных данных (General Data Protection Regulation, GDPR), принятый в 2016. Основная цель GDPR — вернуть европейским гражданам контроль над своими персональными данными и одновременно упростить нормативно-правовую базу для компаний. Под влияние этого закона попадают не только 28 стран Евросоюза, но и организации, которые имеют представительства в странах ЕС, собирают и обрабатывают персональные данные, оказывают услуги физическим лицам — гражданам Евросоюза, используют онлайн-регистрацию на сайтах и в приложениях. Поэтому закон сильно отразится, в частности, на российском бизнесе.

Закон, написанный с упором на биометрию, объединит и ужесточит все ранее существовавшие в европейских странах нормы защиты персональных данных. В частности, GDPR обязывает любую организацию запрашивать согласие пользователя до сбора данных. При этом субъект данных имеет право отозвать свое согласие в любое время. Этот принцип называется «право быть забытым».

Компании, управляющие биометрической информацией, получат огромные штрафы, если не смогут обеспечить безопасность данных. Санкции могут достигать 20 миллионов евро или 4 % от ежегодного мирового оборота.

Закон говорит о том, что использование данных должно быть ограничено. Персональные данные должны собираться и обрабатываться только для «конкретных, явных и законных целей» (принцип минимизации данных).

Китай строит цифровую диктатуру

Пока европейские страны и организации готовятся к вступлению GDPR в силу, в Китае продолжают разрабатывать систему социального кредита, которая, кажется, не оставит и следа от частной жизни в стране. К 2020 году каждому жителю Китая, в зависимости от поведения, назначат персональный рейтинг, который повлияет на доступ к госуслугам, возможность брать кредит, устраиваться на работу, определять детей в школу, делать покупки и путешествовать.

Система социального кредита основана на сборе максимального количества данных о гражданах и оценке благонадежности жителей на основе их финансового, социального и онлайн-поведения. Так, в рейтинге учитывается кредитная история, своевременность уплаты штрафов, соблюдение ПДД, покупательские привычки, время, проведённое за компьютерными играми (чем больше праздности, тем ниже рейтинг), соблюдение правил планирования семьи, частота посещения родителей, высказывания в интернете, круг общения (проводить время с людьми ниже по рейтингу будет невыгодно). Пока участие в рейтинге добровольное, но к 2020 году оно будет обязательным для всех физических и юрлиц.

Для сбора данных о гражданах правительство привлекло восемь частных компаний, которые должны разработать алгоритмы для оценки социального кредита. Среди них — China Rapid Finance, партнёр техногиганта Tencent, который поддерживает крупнейший мессенджер WeChat с более чем 850 миллионами активных пользователей. Другой игрок — Sesame Credit, управляемый Ant Financial Services Group (AFSG), дочерней компанией Alibaba. AFSG продает страховку и предоставляет кредиты для малого и среднего бизнеса, а также владеет сервисом AliPay, который используют не только для онлайн-покупок, но и для ресторанов, такси, школьных сборов, билетов в кино и денежных переводов. Для разработки системы социального кредита Sesame объединился с другими платформами, собирающими данные: Didi Chuxing, в прошлом главным китайским конкурентом Uber, и крупнейшей в стране онлайн-службой знакомств Baihe. Трудно даже представить, сколько эти компании знают о своих пользователях.

Ожидается, что с помощью тотального контроля онлайн и офлайн-поведения система будет подталкивать граждан к действиям, которые одобряет правительство, и способствовать увеличению всеобщей «искренности» и доверия. Роль систем распознавания лиц и других биометрических технологий в этом проекте будет огромной.

Возможности биометрии всё чаще оборачиваются проблемами: утечкой данных, киберпреступностью, «кражами личности». А рост применения биометрических технологий ставит новые задачи для правительств. Будут ли государства защищать анонимность своих граждан или полная прозрачность ждёт не только жителей Китая, но и всех, кто имеет аккаунт в соцсетях, пользуется телефоном и хотя бы иногда выходит из дома? Развитие технологий в любом случае потребует разработки правового поля.

Текст: Анна Козонина