Slovenska policija in biometrijske metode nadzora

Avstrijska nevladna organizacija AlgorithmWatch je v svojem poročilu analize policijske uporabe tehnologije za prepoznavanje obrazov zapisala tudi, da slovenska policija od leta 2014 uporablja doma razvito tehnologijo za prepoznavanje obrazov.

Izkaže se, da gre za slovensko podjetje Cent Si d.o.o, ki je razvilo rešitev za obrazno prepoznavanje v povezavi s policijskimi fotoroboti. A tvit razvijalca v tem podjetju odpira vprašanja, ali policija »hrani« algoritem tudi z vašimi javnimi fotografijami, ki so objavljene na spletu.

Regulacija v komunikacijskem šumu

Simbolična fotografija

Problem je tudi regulacija te tehnologije. Informacijski pooblaščenec v odgovoru dne 12.12.2019 pojasnjuje, da je izdal več mnenj, s katerimi je protestiral proti biometričnim metodam, ki jih je policija večkrat uvrstila v zakonske predloge s tega področja, a jih ni nihče upošteval.

1. Mnenje IP številka 007-67/2015/ z dne 9.2015
2. Mnenje IP številka 007-10/2016/2 z dne 3.2016
3. Mnenje IP številka 007-31/2016/3 z dne 5.2016
4. Mnenje IP številka 007-57/2016/2 z dne  7. 2016
5. Mnenje IP številka 007-57/2016/10 z dne 8.2016
6. Mnenje IP številka 007-51/2018/2 z dne  11. 2018
7. Mnenje IP številka 007-51/2018/ z dne 1.2019

Še bolj se zadeva zaplete, ker je Informacijski pooblaščenec po lastnih besedah na Varuha človekovih pravic naslovil pobudo za ustavno presojo uzakonitve in uporabe večih tehnologij v policijske namene.

Varuh človekovih pravic je pobudo je na predlog Informacijskega pooblaščenca vložil na Ustavno sodišče, nanašala se je na presojo določb za uporabo brezpilotnikov, zbiranja in obdelave podatkov o letalskih potnikih (PNR) ter avtomatski prepoznavi registrskih tablic (ANPR). Pobude za presojo biometrijskih ukrepov pa Varuh žal ni vključil v svojo zahtevo za presojo ustavnosti, razlog za to odločitev pa nam ni znan.

O tem smo povprašali tudi Varuha človekovih pravic. Svetovalka Nataša Kuzmič je 13.12.2019 odgovorila:

Z vidika človekovih pravic ali temeljnih svoboščin je na abstraktni ravni mogoče problematizirati marsikatero zakonsko določbo, to pa je še posebej izrazito pri zakonih, ki urejajo delo(vanje) represivnih organov – in tak primer je tudi Zakon o nalogah in pooblastilih policije (ZNPPol). Varuh ima možnost, da zahteva tudi ustavnosodno oceno ustavnosti zakonodaje, vendar ta privilegij jemlje odgovorno in ga ne izkorišča nekritično. Vse prej kot redko je deležen pričakovanj in tudi pritiskov različnih skupin ali posameznikov, naj izpodbija ustavnost različnih zakonov in različnih razlogov. Vedno pa se o tem, ali bo vložil zahtevo za oceno ustavnosti ali ne, odloči na podlagi lastne ocene vseh relevantnih informacij in okoliščin. Enako je storil v konkretnem primeru z ZNPPol po sprejetju novele ZNPPol-A, ki ga je izpodbijal na treh različnih področjih, ne pa tudi z vidika biometrije. Eden od razlogov za takšno odločitev je bila tudi ocena Informacijskega pooblaščenca (IP), da civilna družba ni izražala resnih nasprotovanj glede uporabe tehnologije prepoznave obrazov s strani policije. Informacijski pooblaščenec bo inšpekcijski nadzor glede tega vprašanja opravil šele v letu 2020 in na tej podlagi morda oblikoval drugačno oceno. Vsekakor bomo pri Varuhu spremljali dogajanje, ne izključujemo niti možnosti vložitve nove zahteve za oceno ustavnosti, če bomo na podlagi zbranih informacij in okoliščin tako ocenili.

Policija razen enega stavka v letnem poročilu za 2014 (»Izdelana je bila programska rešitev za avtomatizacijo obrazne prepoznave Face Trace, ki pa zaradi trenutne pravne nedorečenosti zaenkrat še ni v uporabi.«) rešitve ne omenja. Zato je še bolj “čuden” tvit razvijalca, ki se hvali s taistim programom v letu 2016. Zakaj tega ni v letnih poročilih dela policije?

Evidenca fotografiranih oseb

Simbolična fotografija

V petek, 13.12.2019 smo dobili tudi prve odgovore policije. V njih policija potrjuje, da od leta 2014 uporablja tehnologijo za prepoznavanje obrazov, da so ga predstavili in uskladili z Informacijskim pooblaščencem in da Policija za bazo fotografij uporablja lastno Evidenco fotografiranih oseb. Kdo vse je v tej evidenci?

Članek na portalu MMC iz leta 2017 opisuje primer državljanke, ki se je v procesu identifikacije s strani policije soočila z lastnimi fotografijami iz družabnega spleta. Policija je takrat pojasnila, da dostopa do “vseh javno dostopnih virov fotografij” in da uporaba teh fotografij ni problematična, “saj so javno dostopni vsem.”

Ekipi zavoda Državljan D je znan še en primer, ko se je državljanka ob prijavi napada na policiji in v procesu identifikacije storilca napada soočila s fotografijami svojega partnerja. Partner z napadom ni bil povezan, njegove fotografije so bile v Evidenci fotografiranih oseb naključno (pridobljene iz javno dostopnih virov).

Facebook je orodje policijskega nadzora (a.k.a. odpri vir)

Na spletu je dostopen tudi dokument “Praktično izvajanje in izvrševanje evropskih politik na področju preprečevanja kibernetske kriminalitete in boja proti njej,” ki opisuje tudi delovanje slovenske policije pri “patruliranju spleta”.

Tako lahko preberemo, da je najbolj zanimivo omrežje prav Facebook, saj avtorji dokumenta pojasnjujejo: “V okviru skupine je bil pripravljen uporabniški priročnik o odprtih virih, ki je priročnik za uporabo odprtih virov pri preiskavah. Usmerjen je v preiskovanje dejavnosti na družbenem omrežju Facebook, treba pa bi ga bilo posodabljati, razširjati in prilagajati. Na podoben način bi bilo treba pripraviti drugo gradivo na temo preiskovanja kibernetske kriminalitete.”

Informacijski pooblaščenec:”Policija napačno tolmači zakon!”

Informacijski pooblaščenec v odgovoru na nova vprašanje na dan 17.12.2019 najprej eksplicitno zanika: “Delovanja aplikacije za prepoznavo obrazov tako nismo ne uskladili in ne kakor koli potrdili,” ter nadaljuje, da si policija napačno razlaga širino zakonsko določenih pooblastil. Informacijski pooblaščenec pojasni: “Policijo smo vsekakor opozorili na potrebo po izvedbi predhodne ocene učinka oz. presoje vplivov ter na nujnost ustrezne pravne podlage za uporabo biometrijskih ukrepov. Da aplikacije nismo ne potrdili ne uskladili ter da se je Policija tega zavedala in da bi bila za kaj takega zato potrebna sprememba ZNPPol jasno kaže tudi že omenjena navedba v Letnem poročilu o delu policije za leto 2014: »Izdelana je bila programska rešitev za avtomatizacijo obrazne prepoznave Face Trace, ki pa zaradi trenutne pravne nedorečenosti zaenkrat še ni v uporabi,” zaključi pooblaščenec.

Pooblaščenec dodaja še, da je leta 2015 ministrstvo za notranje zadeve pri prenovi zakonodaje opozorilo na naslednji problem. “Vendar pa v zvezi z novo predlaganim 2. odstavkom, ki izrecno dopušča možnost pridobivanja podatkov za analizo »iz vseh javnih virov«, ponovno opozarjamo na stališče IP, da policija ni upravičena na zalogo in na splošno vršiti nadzora »vseh javnih virov«, še zlasti ne objav na družbenih omrežjih, forumih in podobnih spletnih straneh z uporabniško generirano vsebino. Zbiranje oz. analiziranje podatkov (podrobneje opredeljeno v 112. oz. 122. členu, ki se oba spreminjata v to smer, kot opozarjamo v nadaljevanju) mora namreč po mnenju IP biti omejeno na postopke v zvezi s konkretnimi kaznivimi ravnanji oz. osumljenci. Tudi v primeru preventivnega delovanja policije in opravljanja preventivnih dejavnosti mora biti delovanje policije usmerjeno in ne bi smelo vključevati vsesplošnega nadzora nad vsemi,” piše pooblaščenec.

Dodaja še: “Kar zadeva odkrivanje kaznivih dejanj (2. al. 1. odst. 4. člena veljavnega ZNPPol), mora biti začetek dela namreč zmeraj pogojen z obstojem indicev ali razlogov za sum, da se vrši določeno kaznivo dejanje, ki se preganja po uradni dolžnosti (1. odst. 148. člena Zakona o kazenskem postopku, Uradni list RS, št. 32/12 – uradno prečiščeno besedilo, 47/13 in 87/14, v nadaljevanju ZKP). Ti razlogi sicer lahko izhajajo tudi iz lastne, neposredne zaznave policista, celo slučajne (npr. ko ni v službi), vendar po mnenju IP navedenih členov ni mogoče tolmačiti tako široko, da bi smel policist oz. policija kot institucija povsem preventivno zbirati podatke o vseh javno dostopnih komunikacijah, v upanju, da bodo nekateri od njih nakazovali na kazniva ravnanja. Tudi pooblastilo javnega opazovanja (1. al. 6. člena ZNPPol), je, že historično, omejeno na odločitve poveljnikov policijskih postaj, da se organizira opazovanje na bolj rizičnih krajih, tipično tistih, ki so gosto naseljeni, kjer se že beleži večje število kaznivih dejanj ali dejanj zoper javni red in mir, oz. kjer je večje število varnostno pomembnih oseb in objektov. Skratka, javna prisotnost policije naj se zagotovi na znano rizičnih krajih, kot tudi občasno na drugih krajih, da ravnanje policije ne postane preveč predvidljivo. Na ta način je organizirana tudi rutinska kontrola prometa. Ne bi pa šlo za dopustno javno opazovanje, če bi policija, pod predpostavko zadostnih kadrovskih zmogljivosti, organizirala javno opazovanje na vseh javnih krajih, 24 ur/dan, vse dni v letu. Takšen stalno prisoten, neselektiven, sistemski množični nadzor, ki bi bil brez utemeljitve v predhodni oceni tveganja ali obstoju (vsaj) indicev ali razlogov za sum, in ki je značilen za policijske države, bi namreč lahko pomenil nedopusten poseg v pravice do zasebnosti in svobodo izražanja. Navedeno izhaja tudi iz nedavne sodbe Evropskega sodišča za človekove pravice v zadevi Zakharov proti Rusiji, sodbe Sodišča EU v zadevi Digital rights Ireland, in pripadajoče odločbe Ustavnega sodišča, v kateri je to razveljavilo določbe Zakona o elektronskih komunikacijah o obvezni hrambi prometnih podatkov. ”

Avtomatizirana uporaba je prepovedana!

Informacijski pooblaščenec nadalje pojasnjuje: “Ob tem opozarjamo tudi na 122. člen ZNPPol, ki določa, da policija ne sme uporabljati avtomatizirane obdelave osebnih ali drugih podatkov (obdelava osebnih ali drugih podatkov s sredstvi informacijske tehnologije), s katero bi bila lahko o fizični osebi, pravni osebi ali o drugem subjektu sprejeta odločitev, vložena predlog ali kazenska ovadba ali izdelano poročilo, ki bi brez dodatnega delovanja in odločitve pristojnega uslužbenca policije lahko posegali v pravice ali obveznosti fizične osebe, pravne osebe ali drugega subjekta. Z avtomatizirano obdelavo osebnih ali drugih podatkov, zlasti z združevanjem oziroma primerjanjem osebnih podatkov iz ene ali več zbirk osebnih podatkov, evidenc, javnih knjig, registrov ali drugih zbirk osebnih podatkov, policija ne sme izdelati osebnostnih profilov oseb, na katere se nanašajo osebni podatki, tako da bi se brez dodatnega delovanja in odločitve pristojnega uslužbenca policije lahko sklepalo, da so storili ali da niso storili določenega kaznivega ravnanja ali da so izpovedi določenih oseb zanesljive ali nezanesljive. Prepovedana je avtomatizirana obdelava občutljivih osebnih podatkov za izdelavo osebnostnega profila osebe.”

Ter zaključuje: “Zbiranje podatkov ne more in ne sme obsegati zbiranja podatkov na zalogo, vsesplošnega nadzora nad vsemi, ali ustvarjati vtisa oz. možnosti takšnega nadzora. Takšno postopanje policije bi namreč, glede na zadnjo prakso Evropskega sodišča za človekove pravice (primera Zakharov proti Rusiji, in še zlasti Szabó in Vissy proti Madžarski, lahko pri prebivalcih ustvarjalo občutek stalno prisotnega nadzora, ter s tem nedopustno posegalo v njihove pravice do zasebnosti, varstva osebnih podatkov, varstva človekovega dostojanstva, in tako dalje.”

Skratka – slovenska policija uporablja biometrijske metode nadzora. Informacijski pooblaščenec to ve. Te metode so po mnenju informacijskega pooblaščenca v nasprotju s trenutno veljavno zakonodajo, po mnenju policije pa ne. Prosimo, ostanite z nami do inšpekcijskega nadzora v letu 2020.

 Sodna praksa

Sodišče je že ugotavljalo, kako sporne so take metode. Človek se namreč v Evidenci fotografiranih oseb znajde tudi v primeru, ko je popolnoma nedolžen oziroma sam ni imel opravka s policijo. V dokumentu VSL00012155 Višje sodišče v Ljubljani ugotavlja, da je hramba fotografij problematična, podobno kot v dokumentu VS2008073 to ugotavlja Vrhovno sodišče Republike Slovenije.

Ali živimo v policijski državi?

Simbolična fotografija

Zanimiv je članek iz Mladine z naslovom “Učinek domine“. Napisan je bil leta 2016, torej v PO TEM, ko je policija začela uporabljati tehnologijo prepoznavanja obrazov in za identifikacijo uporabljati javno dostopne fotografije vseh državljank in državljanov republike Slovenije.

V članku med drugim piše: “Če bo zakon, ki je zdaj še v medresorskem usklajevanju, sprejet, bo policija lahko povsem zakonito »snemala« in hranila vse zapise na družbenih omrežjih, kot sta Facebook in Twitter.” Zakon je bil sprejet, policija ima za delovanje na tem področju zakonsko podlago v ZKP (148. člen in 149.člen) in ZNPPol (46. člen, 47. člen in 112. člen).

Pogojnik je v tem primeru hudo problematičen in kaže na podobno prakso policije, kot jo je ta ubrala pri nakupu IMSI lovilcev. Skratka – policija se opremlja z vedno bolj naprednimi in invazivnimi tehnologijami nadzora, financira nakupe in razvoj tehnologije in programske opreme, nato pa retroaktivno išče legalizacijo teh tehnologij.

Pomagajo ji še neodvisni nadzorni organi, kot sta Informacijski pooblaščenec in Varuh človekovih pravic, ki z izgovarjanjem na “civilno družbo” dejansko ne opravljajo svojega dela oziroma ščitijo interese državnega represivnega organa.

Kdo je to plačal?

Danes, 22.1.2020, smo našli nov problematičen vidik tega projekta in sicer financerja. Izkaže se, da je slovenska policija projekt Face Trace prijavila na evropski razpis in dobila evropska sredstva za razvoj tehnologije prepoznavanja obrazov. Projekt se je začel izvajati 5.12.2012.

Evropski razpis v svojem opisu sicer nima jasne povezave s to tehnologijo, a očitno to ni motilo Boža Predaliča, generalnega sekretarja vlade Janeza Janše, ki je dal 31.1.2013 soglasje za uvrstitev projekta Face Trace na seznam razvojnih programov. Ja, leta 2013.

Zakaj je to zanimivo? No, evropska komisija sedaj razmišlja o prepovedi tehnologij prepoznavanja obrazov na javnih mestih. Pred desetimi leti je bila situacija očitno drugačna.