Zo bouwt Europa een enorm internationaal gezichtsherkenningssysteem

De afgelopen 15 jaar hebben politiediensten die op zoek zijn naar criminelen in Europa vingerafdrukken, DNA-gegevens en details van voertuigeigenaren met elkaar kunnen delen. Als bijvoorbeeld ambtenaren in Frankrijk vermoeden dat iemand die ze zoeken zich in Spanje bevindt, kunnen ze de Spaanse autoriteiten vragen om vingerafdrukken te checken in hun database. Nu zullen Europese wetgevers miljoenen foto’s van de gezichten van mensen in dit systeem opnemen -en daarmee gezichtsherkenning op een ongekende schaal mogelijk maken.

De uitbreiding van gezichtsherkenning in heel Europa is opgenomen in de bredere plannen om de politie op het hele continent te “moderniseren”, en het valt onder de Prüm II-voorstellen voor het delen van gegevens. De details werden voor het eerst aangekondigd in december, maar de kritiek van Europese gegevensregelgevers is de afgelopen weken luider geworden, omdat de volledige impact van de plannen is nu pas echter duidelijk wordt.

“Wat u aan het creëren bent, is de meest uitgebreide biometrische bewakingsinfrastructuur die we volgens mij ooit in de wereld zullen hebben gezien”, zegt Ella Jakubowska, beleidsadviseur bij de burgerrechten-ngo European Digital Rights (EDRi). Documenten die door EDRi zijn verkregen onder de wetten op de vrijheid van informatie, gedeeld met WIRED, onthullen hoe landen hebben aangedrongen op het integreren van gezichtsherkenning in de internationale politieovereenkomst.

Wat is Prüm en hoe wordt dit verdrag uitgebreid?

De eerste versie van het Verdrag van Prüm werd in 2005 ondertekend door zeven Europese landen: België, Duitsland, Spanje, Frankrijk, Luxemburg, Nederland en Oostenrijk. Dit verdrag stelt landen in staat gegevens te delen om internationale misdaad aan te pakken. Sinds de introductie van Prüm is de opname in de 27 Europese landen gemengd.

Prüm II is van plan de hoeveelheid informatie die kan worden gedeeld aanzienlijk uit te breiden, mogelijk inclusief foto’s en informatie van rijbewijzen. In de voorstellen van de Europese Commissie staat ook dat de politie meer “geautomatiseerde” toegang zal hebben tot informatie die wordt gedeeld. Wetgevers zeggen dat dit betekent dat de politie in heel Europa nauw kan samenwerken, en dat de Europese wetshandhavingsinstantie Europol een “sterkere rol” zal krijgen.

De opname van ‘gezichtsbeelden’ en de mogelijkheid om gezichtsherkenningsalgoritmen tegen deze beelden aan te houden, behoren tot de grootste geplande veranderingen in Prüm II. Gezichtsherkenningstechnologie heeft de afgelopen jaren te maken gehad met een aanzienlijke terugval. De politie heeft deze technologie namelijk steeds vaker en roekelozer gebruikt en hiermee mensen veelal verkeerd geïdentificeerd, -en daarmee levens ontspoord. Tientallen steden in de VS zijn zelfs zover gegaan dat ze politiediensten verbieden de technologie te gebruiken. De EU debatteert over een verbod op het gebruik van gezichtsherkenning door de politie op openbare plaatsen als onderdeel van haar AI-wet.

Prüm II staat echter het gebruik van retrospectieve gezichtsherkenning toe. Dit betekent dat politiediensten stilstaande beelden van CCTV-camera’s, foto’s van sociale media of die op de telefoon van een slachtoffer kunnen vergelijken met mugshots in een politiedatabase. De technologie is anders dan live gezichtsherkenningssystemen, die vaak verbonden zijn met camera’s in de openbare ruimte; deze hebben de meeste kritiek gekregen.

De Europese voorstellen stellen een land in staat om een ​​foto te vergelijken met die in de databases van andere landen en erachter te komen of er overeenkomsten zijn. Dit is in wezen het creëren van een van de grootste gezichtsherkenningssystemen die er bestaan. In een document dat door EDRi is verkregen, staat dat het aantal potentiële overeenkomsten kan variëren van 10 tot 100 gezichten, hoewel dit cijfer door politici moet worden vastgesteld. Een woordvoerder van de Europese Commissie zegt dat een mens (en niet een computer) de mogelijke overeenkomsten zal beoordelen en zal beslissen of een van deze correct is, voordat er verdere actie wordt ondernomen. “In een aanzienlijk aantal gevallen is een gezichtsfoto van een verdachte beschikbaar”, zei de Franse minister van Binnenlandse Zaken in de documenten. Hij beweerde gevallen van inbraak en seksueel misbruik van kinderen te hebben opgelost met behulp van zijn gezichtsherkenningssysteem.

De Prüm II-documenten, gedateerd uit april 2021, toen de plannen voor het eerst werden besproken, tonen het enorme aantal gezichtsfoto’s dat landen bezitten. Hongarije heeft 30 miljoen foto’s, Italië 17 miljoen, Frankrijk 6 miljoen en Duitsland 5,5 miljoen, zo blijkt uit de documenten. Deze afbeeldingen kunnen verdachten, personen die veroordeeld zijn voor misdaden, asielzoekers en ‘niet-geïdentificeerde lijken’ bevatten, en zijn afkomstig uit meerdere bronnen in elk land.

Problematisch

Jakubowska zegt dat hoewel de kritiek op gezichtsherkenningssystemen vooral gericht was op realtime-systemen, degenen die mensen op een later tijdstip identificeren, deze nog steeds problematisch zijn. “Als je achteraf gezichtsherkenning toepast op afbeeldingen, kan de schade soms nog groter zijn, vanwege het vermogen om terug te kijken naar bijvoorbeeld een protest van drie jaar geleden, of om te zien wie ik vijf jaar geleden heb ontmoet, omdat ik nu een politieke tegenstander kan zijn’, zegt ze. “Alleen gezichtsfoto’s van verdachten of veroordeelde criminelen kunnen worden uitgewisseld”, zegt de woordvoerder van de Europese Commissie, daarbij verwijzend naar een handleiding over hoe het systeem zal werken. “Er zullen geen gezichtsbeelden worden vergeleken met de algemene bevolking.”

Foto’s van gezichten van mensen mogen niet worden opgeslagen in één gigantische centrale database, zo staat in het officiële voorstel, maar politiediensten zullen aan elkaar worden gekoppeld via een ‘centrale router’. Deze router zal geen gegevens opslaan, zegt de woordvoerder van de Europese Commissie, eraan toevoegend dat het “alleen als een berichtenmakelaar” tussen landen zal fungeren. Deze gedecentraliseerde aanpak maakt Prüm II eenvoudiger: de politie die vingerafdrukken wil vergelijken in het huidige systeem, moet afzonderlijk contact opnemen met andere politiediensten. Onder de nieuwe infrastructuur hebben landen slechts één verbinding met de centrale router nodig en zal het gemakkelijker zijn om “extra gegevenscategorieën aan het systeem toe te voegen”, aldus de documenten die door EDRi zijn verkregen.

Kritiek en privacy

De Europese toezichthouder voor gegevensbescherming (EDPS), die toezicht houdt op hoe EU-organen gegevens gebruiken onder de AVG, heeft kritiek geuit op de geplande uitbreiding van Prüm, die enkele jaren zou kunnen duren. “Geautomatiseerd zoeken naar gezichtsbeelden is niet alleen beperkt tot ernstige misdrijven, maar kan worden uitgevoerd voor het voorkomen, opsporen en onderzoeken van álle strafbare feiten, zelfs kleine”, zei Wojciech Wiewiórowski, de EDPS, begin maart. Wiewiórowski zei dat er meer ‘safeguards’ in de voorstellen moeten worden opgenomen om ervoor te zorgen dat de privacyrechten van mensen worden beschermd. De woordvoerder van de Europese Commissie zegt dat de instantie “goede nota” heeft genomen van het EDPS-advies en dat er rekening mee zal worden gehouden bij het bespreken van de wetgeving door het Europees Parlement en de Raad. De vraag is echter in hoeverre achter de schermen wordt omgegaan met de privégegevens van zowel ‘criminelen’, als ook de ‘normale burger’, aangezien dit niet door deze partijen ‘gecheckt’ kan worden.

Gebruik en verzamelen van gegevens door verschillende landen

Tijdens de ontwikkeling van de plannen was Slovenië een belangrijk land dat aandrong op uitbreiding, inclusief het vragen om rijbewijsgegevens van mensen op te nemen. Domen Savič, de CEO van de Sloveense digitale rechtengroep Državljan D, zegt dat er grote zorgen zijn over de verschillen tussen politiedatabases en wie erbij betrokken is. “Ik heb niet genoeg gehoord om ervan overtuigd te zijn dat al deze gegevens die door individuele politiediensten zijn verzameld, op dezelfde manier worden gesaneerd”, zegt Savič.

Politiedatabases zijn vaak slecht samengesteld. In juli 2021 heeft de politie in Nederland 218.000 foto’s verwijderd die zij ten onrechte in haar gezichtsherkenningsdatabase had opgenomen. In het Verenigd Koninkrijk werden in februari 2021 meer dan duizend jonge zwarte mannen verwijderd uit een ‘bendes-database’. Je zou databases kunnen hebben met totaal verschillende achtergronden wat betreft hoe deze gegevens zijn verzameld, waar ze vandaan komen, hoe ze werden uitgewisseld en wie wat heeft goedgekeurd”, zegt Savič. Slovenië heeft al met soortgelijke problemen te maken gehad. “En dit kan leiden tot verkeerde identificatie.”

Zorgen

Een van de grootste problemen voor Jakubowska is hoe Prüm II het gebruik van gezichtsherkenning door politiediensten in heel Europa kon normaliseren. “Wat ons echt zorgen baart, is in hoeverre dit Prüm II-voorstel een stimulans zou kunnen zijn voor het creëren van databases voor gezichtsafbeeldingen en de toepassing van algoritmen op deze databases om gezichtsherkenning uit te voeren”, zegt ze. De EU zal opdraaien voor de kosten van het aansluiten van databases op Prüm II, zegt het voorstel, en dit betreft ook de kosten voor nieuwe databases in de toekomst. Zestig jaar na de uitvinding is gezichtsherkenning, is het gebruik hiervan immers nog maar net begonnen..