דמיינו את מס הכנסה יושב על מאגר מידע עצום של טביעות קול ייחודיות שנאספו ממיליוני אזרחים.

זה בעצם מה שקרה בבריטניה, אבל לפחות למדינה יש סוכנות שתתקן את הבעיה. לארה"ב אין הגנה כזו - ואחת מהסוכנויות שלה כבר החלה לאסוף סריקות פנים.

משרד ההכנסה והמכס של הוד מלכותה (HMRC) מורה ללקוחות להגיש "טביעות קוליות" מאז 2017, וייתכן שהוא לא קיבל הסכמה מתאימה לעשות זאת.

כעת, לסוכנות לאכיפת הגנת המידע של המדינה, משרד נציב המידע (ICO) ישהגיש צו רשמישה-HMRC חייב למחוק את נתוני הזיהוי הקולי של 7 מיליון אזרחים. יש לו 28 ימים לציית לצו ה-9 במאי.

בארה"ב, סוכנויות ממשלתיותגם אוספיםנתונים ביומטריים. משמר המכס והגבולות (CPB) סורקים את פניהם של אנשים שעוזבים את הארץ. הוא אומר שהתמונות מוצפנות, ונשמרות רק לזמן קצר. אֲבָלמומחים דואגיםשהכנסת טכנולוגיית זיהוי פנים בשדות תעופה יכולה להפוך אותם לכלי מעקב המוני. זה עלול להוביל למעצרים לא חוקיים, שישפיעו באופן לא פרופורציונלי על נשים ואנשים צבעוניים, שתוכנת זיהוי פנים מתקשה לזהות.

הבעיה היא שבניגוד לבריטניה, לארה"ב אין חוק בסגנון GDPR - ולכן אין סוכנות שתוודא שאנשים נותנים הסכמה לאיסוף ואחסון הנתונים הביומטריים שלהם.

מחוקקים הםשוקל כעת את חקיקת הפרטיות הפדרלית, אבל ויכוחים על איזו צורה זה צריך ללבוש מאט את התהליך. זה שם את המדינות בחזית. קליפורניההובילו את הדרךבשנת 2018 כאשר זההעביר חוק היסטורי בסגנון GDPRנקרא חוק פרטיות הצרכן של קליפורניה. חברות טכנולוגיה תומכות כלפי חוץ ברגולציה, אבל בקליפורניה, לוביסטים בתעשייה הם בו זמניתפועלים כדי להחלישהחוק הזה.

ה-HMRC החל לעורר אזרחים לומר ביטויים ייחודיים שישמשו כסיסמאות של Voice ID בשנת 2017. אבל הסיסמה לא הייתה רק על תוכן הביטויים - אלא על הקולות הייחודיים שמנפיקים אותם. משתמשים יצרו את מה שמכונה"טביעות קול".

טביעות קוליות נחשבות לנתונים ביומטריים, שה-GDPR מתייחס אליהם כאל נתוני "קטגוריה מיוחדת". על פי החוק, כל מי שאוסף נתונים מקטגוריות מיוחדות חייב לקבל הסכמה מפורשת ומדעת לאיסוף הנתונים הללו. ארגונים המנהלים נתונים אישיים חייבים גם לערוך הערכת השפעה על הגנת מידע (DPIA), שתקבע כיצד היא תבטיח את הפרטיות והאבטחה של הנתונים, לפני איסוף מידע אישי.

החקירה של ה-ICO מצאה שה-HMRC לא עשה אף אחד מהדברים האלה. לדבריה, היא לא ערכה DPIA, וכי לאחר מכן היא לא שילבה במערכת "הגנה על מידע בתכנון וברירת מחדל". זה קצת מובן, מכיוון שה-GDPR לא נכנס לתוקף עד 2018, והתוכנית החלה ב-2017; מובן, אבל לא תירוץ להגנת מידע עלולה להיות עלולה.

דאגה מבהילה יותר ל-ICO הייתה שהסוכנות לא סיפקה הסכמה מדעת לרוב משתמשי ה-Voice ID. הוא אומר שאזרחים לא הבינו שהם יכולים לבטל את הסכמתם למערכת הזיהוי הקולי.

"HMRC אסף אותו בנסיבות שבהן היה חוסר איזון כוחות משמעותי בין הארגון ללקוחותיו", סטיב ווד, סגן הממונה על המדיניות של ה-ICO.כתב בפוסט בבלוג.

ה-ICO מדווח כי זהו המקרה הראשון של אכיפת הגנת נתונים ביומטרית. אלא כסוכנויות וחברות ממשלתיותמסתמכים יותר ויותר על המזהים הייחודיים שלנו ואוספים אותם, זה בהחלט לא יהיה האחרון. אני מקווה שכאשר ארה"ב בוחנת את חקיקת הפרטיות שלה, היא רושמת הערות.