Zeskanujemy ci twarz, a ty zapytaj, co z tym dalej zrobimy

Można zgubić paszport, ale twarzy nie zostawimy niechcący na stole w kuchni. Odprawa na lotnisku zostanie uproszczona, jeśli pozwolimy zeskanować sobie twarz. Powstaje jednak pytanie, co dalej dzieje się ze skanem, w czyje ręce może trafić i po co.

Z tajemniczych powodów na wielu lotniskach staję się obiektem zainteresowania kolejnych kontrolujących. To właśnie moje dokumenty „nie chcą wchodzić”, to mój bilet „się nie wczytuje”, a jeśli ktoś przy was dzwoni na bramce, to sprawdźcie, czy nie jest to z metra cięta kobieta, ubrana w leginsy i t-shirt wielkości chustki do nosa. Bo jeśli tak – to ja.

Butów najpewniej nie mam – zdjęte przed bramką podskakują na taśmie, by potem zablokować się w skanerze bagażu i następnie pojedynczo, między cudzymi walizkami, wyjechać, dramatycznie spadając na końcu linii. Są lotniska, gdzie już mnie znają i – smarując mnie paskami wykrywającymi ślady materiałów wybuchowych – uśmiechają się przyjaźnie. Wyjątek stanowi lotnisko w Goleniowie, gdzie uparto się poddawać mnie kontroli osobistej. Nie mają tych pasków. Jeśli macie coś dużego do przemycenia, ustawcie się zaraz za mną, odciągnę uwagę od was lepiej niż wielki, śniady brodacz w galabii. Jeśli puścicie mnie przodem, przepchniecie za mną nawet bazookę i mały czołg.

Osoba taka jak ja powinna marzyć o uproszczeniu wszelkich kontroli lotniskowych.

Odprawimy cię bez kwitka

Pod koniec czerwca media podały wiadomość, że na polskich lotniskach pojawiły się pierwsze bramki do zautomatyzowanej odprawy pasażerów. Bramki ABC (Automated Border Control) miały – według mediów – uprościć odprawę. Moje własne doświadczenia – nie tylko na polskich lotniskach – kazały mi się zastanowić, w jaki sposób takie procedury ułatwiają życie, gdzie w ogóle są te bramki oraz czy taka automatyzacja naprawdę jest gwarancją bezpieczeństwa dla pasażerów, lotnisk i linii lotniczych.

Na maile z zapytaniami o bramki ABC w Polsce odpowiedziały: Straż Graniczna, Port Lotniczy Olsztyn-Mazury i Lotnisko Chopina w Warszawie.

Straż Graniczna: „od 27 czerwca br. na lotnisku im. Chopina w Warszawie oraz w porcie lotniczym Warszawa-Modlin uruchomione zostały pierwsze w Polsce bramki ABC (ang. Automated Border Control), służące do automatycznej odprawy granicznej podróżnych przekraczających granicę państwową. Podczas odprawy w bramkach ABC dokonywana jest m.in. weryfikacja biometryczna. Urządzenie (bramka ABC) wykonuje tzw. biometryczne porównanie twarzy ze zdjęciem przechowywanym na elektronicznym chipie dokumentu w celu ustalenia, czy osoba, która weszła do bramki, jest rzeczywistym posiadaczem dokumentu. Z bramek ABC mogą korzystać pełnoletni podróżni, będący obywatelami Unii Europejskiej, Europejskiego Obszaru Gospodarczego oraz Szwajcarii, którzy posiadają paszporty biometryczne, jak również pełnoletni Polacy posiadający biometryczne dowody osobiste oraz paszporty”.

Straż Graniczna podkreśliła, że podróżni mają możliwość wyboru rodzaju kontroli – mogą bez problemu skorzystać z odprawy tradycyjnej. Jednak SG zachęca do zaufania automatom: „Wdrożenie automatycznej odprawy zwiększa przepustowość odprawy granicznej, ponieważ skraca czas samej odprawy – kontrole za pomocą bramek biometrycznych trwają z reguły kilkanaście sekund. Obecnie podczas odprawy granicznej od obywateli państw trzecich (czyli każda osoba mająca obywatelstwo państwa niebędącego członkiem UE), którzy posiadają wizy wydane w systemie VIS, poza weryfikacją twarzy, pobierane są również odciski palców. Założeniem systemu VIS (Wizowego Systemu Informacyjnego) jest sprawdzenie, czy osoba ubiegająca się o wizę w konsulacie jest tą samą osobą, która przekracza granicę. W tym celu wykorzystywane są dane biometryczne, które pobierane są w konsulacie, a następnie porównywane na granicy”.

Oto szczegółowa informacja na temat systemu VIS: „to system służący wymianie danych dotyczących wiz pomiędzy krajami strefy Schengen, wymianie danych o osobach, które ubiegają się o otrzymanie wizy Schengen, jak również o wydanych wizach, dzięki którym możliwe jest swobodne podróżowanie obywateli państw spoza UE pomiędzy państwami, które zniosły kontrole na swoich granicach wewnętrznych. Placówki konsularne oraz przejścia graniczne w strefie Schengen są połączone z centralną bazą danych VIS”. Przechowanie danych zgromadzonych w VIS odbywa się maksymalnie przez pięć lat. Całość reguluje rozporządzenie (WE) nr 767/2008 Parlamentu Europejskiego i Rady z dnia 9 lipca 2008 r. w sprawie Wizowego Systemu Informacyjnego (VIS) oraz wymiany danych pomiędzy państwami członkowskimi na temat wiz krótkoterminowych (rozporządzenie w sprawie VIS).

Straż Graniczna zapewniła, że nie wdraża obecnie innych kontroli o charakterze biometrycznym.

Lotnisko Olsztyn-Mazury dodało, że koszt bramki ABC waha się w granicach 450–500 tys. zł, a większa jego część pokrywana jest przez Wojewodę, zaś około 10% przez lotniska. Olsztyn-Mazury poinformowało Z3S, że w tej chwili nie planuje wdrażania bramek ABC i że bramki biometryczne wykorzystywane są na lotniskach, gdzie ruch pasażerów jest bardzo duży.

Lotnisko Chopina potwierdziło, że bramki zostały już na nim wdrożone. Zainstalowano je we współpracy ze Strażą Graniczną i Wojewodą Mazowieckim. Ponadto podało, że „działa 10 bramek dla pasażerów odlatujących i 10 bramek dla pasażerów przylatujących ze strefy Non Schengen, odprawianych na górnym poziomie przylotów”. A oto informacje o zaletach takiej odprawy: „Dzięki samodzielnej formie kontroli paszportowej zwiększyła się przepustowość odpraw granicznych – kontrole za pomocą bramek biometrycznych trwają z reguły dosłownie kilkanaście sekund. Bramka dokonuje weryfikacji biometrycznej pasażera – automatycznie porównuje dane zawarte w chipie biometrycznym dokumentu z wizerunkiem twarzy podróżnego i potwierdza, czy osoba przedstawiająca dokument do odprawy jest jego właścicielem. Bramki ABC połączone są z bazami danych, które obsługuje Straż Graniczna, to z kolei pozwala wykryć m.in. czy podróżny widnieje w bazach danych np. jako osoba poszukiwana lub osoba, która stanowi zagrożenie dla bezpieczeństwa wewnętrznego i porządku publicznego. Nad procesem automatycznej odprawy granicznej stały nadzór sprawuje funkcjonariusz Straży Granicznej”.

Bramki ABC na świecie

Bramki Automated Border Control wdrażane są powoli na całym świecie. Jak podaje nam Fundacja Panoptykon, docelowo mają zastąpić odprawę z udziałem urzędników, są od dłuższego czasu stosowane np. w Wielkiej Brytanii. Korzyści brzmią przekonująco, ale w zgodnym chórze piewców zalet zautomatyzowanej kontroli paszportowej zdarzają się głosy sceptyków.

Jedną z osób, która wskazuje na liczne wady tego systemu jest Allie Funk, ekspertka we Freedom House, organizacji opiniującej rozwój demokracji i wolności na całym świecie. Funk zajmuje się prawami człowieka, bezpieczeństwem i internetem. Na ogół pracuje nad raportami na powyższe tematy. Jednak po zetknięciu się z systemem ABC na lotnisku w Denver opisała swoje doświadczenia w Wired.

W Detroit’s Metro Airport zgłosiła się na lot do Azji Południowo-Wschodniej liniami Delta. Stanęła w szybko przesuwającej się kolejce do automatu – i zastanowiło ją, dlaczego obsługa lotniska ani linii nie poinformowała podróżnych, czy jest jakaś alternatywa do odprawy ABC.

Opuściła więc równo przesuwającą się kolejkę do odprawy i udała się do stanowiska informacyjnego Delta Airlines po więcej wiadomości. Okazało się, że wystarczy zażądać tradycyjnej kontroli paszportowej i można ominąć automat. Takiej weryfikacji tożsamości domaga się jednak tylko 2% podróżnych – trudno się dziwić, przecież to trwa dłużej i wzmaga tylko frustracje osób takich jak ja, wzbudzających podejrzenia obsługi samym tylko groźnym wyglądem.

Ten system w Stanach został wdrożony dzięki wysiłkom administracji Baracka Obamy. Podmioty takie jak linie lotnicze, m.in. Delta, JetBlue, American Airlines, zostały upoważnione do zeskanowania twarzy każdego pasażera, a następnie porównania wyniku skanu ze zdjęciami w chmurze – fotografiami z wiz, paszportów lub powiązanych aplikacji imigracyjnych.

Jednak Allie Funk twierdzi, że tak wcale nie jest ani łatwiej, ani szybciej, a już na pewno nie jest bezpieczniej. Co ważne, wady te dotyczą bramek nie tylko w Detroit, ale i na całym świecie.

Pierwsza kwestia to zawodność systemu rozpoznawania twarzy. W przypadku mężczyzn rasy białej rozpoznawanie jest rzeczywiście bardzo precyzyjne – wskaźnik wynosi tu aż 99%. Jednak w przypadku czarnych kobiet ten wskaźnik z trudem osiąga 35%, co oznacza, że około 2/3 takich podróżnych ma gwarantowaną dodatkową kontrolę. Funk ma też obawy o mieszanie baz skanów twarzy i wykorzystywanie ich wcale nie do celów uproszczenia kontroli na lotniskach. To rodzi poważne obawy związane z przechowywaniem tych danych. Naruszenia prywatności wydają się nieuniknione. Ujawniono ostatnio, że tysiące zdjęć twarzy ludzi oraz tablic rejestracyjnych było celem cyberataku na amerykańską firmę dysponującą tymi danymi. Można zmienić login, można wymienić numer telefonu, można przygotować od nowa dokumenty – ale nie da się, ot tak, wymienić sobie twarzy.

Funk twierdzi, że program identyfikacji biometrycznej opartej na skanowaniu twarzy powinien zostać wstrzymany, dopóki nie zostaną jasno określone priorytety prywatności podróżnych i nie zostaną usunięte wszelkie wady systemu – techniczne i prawne. Funk określa działania osłabiające entuzjastyczne korzystanie z nowych rozwiązań jako zdrowy sceptycyzm – absolutnie niezbędny na lotniskach.

Tymczasem w Polsce…

W Polsce mamy organizację, która – podobnie jak Funk – zadaje pytania o bezpieczeństwo prywatnych danych i poszanowanie praw obywatelskich.

Panoptykon ucieszył się z możliwości skomentowania kwestii zautomatyzowanej kontroli: „Nie ulega wątpliwości, że bramki są wygodne”. Ale po chwili w odpowiedzi z Fundacji entuzjazmu było o wiele mniej: „Patrząc szerzej na sytuacje, w których dane biometryczne wykorzystywane są do weryfikacji tożsamości, często aspekt wygody przeważa nad potencjalnymi zagrożeniami. Idealnym przykładem jest np. stosowanie odcisku palca zamiast karty na siłownię. W skanowaniu twarzy dla wygody linii lotniczych czy odcisku palca dla jednej karty mniej w portfelu widzimy jednak zagrożenie dla prywatności – te informacje mogą być potencjalnie wykorzystane inaczej, niż spodziewa się tego pasażer czy klient/-ka siłowni. Dane biometryczne mają bardzo wrażliwy charakter – ewentualny wyciek może przynieść dużo bardziej dotkliwe skutki niż wyciek jakichkolwiek innych danych. Nie wiemy, co dzieje się ze skanami twarzy czy palca ani kto może mieć do nich dostęp”.

Jakie jest ryzyko? Panoptykon obawia się wykorzystania biometrycznych danych w innych celach niż te, do których zostały zebrane. „W kontekście kontroli granicznej dochodzi jeszcze jeden problem – bazy, którymi dysponuje państwo, mogą być wzbogacane o aktualne zdjęcia podróżujących (a nie tylko te, które widnieją w paszporcie). Jest to tym bardziej niepokojące w sytuacji, gdy demokratyczna kontrola nad działaniami służb jest zupełnie fikcyjna (nie sprawuje jej ani Prezes UODO, ani sama jednostka, ani nawet sąd)”. Na ten sam aspekt – innych zdjęć z innych baz, nawet z mediów społecznościowych – zwracała uwagę Funk.

Czy Panoptykon uważa, że takie działania są złe i powinno się ich zaniechać? „Nie negujemy tego czy innego rozwiązania. Niepokoi nas jednak to, że rozwiązania wykorzystujące biometrię prezentowane są wyłącznie w kategoriach „innowacji”, bez ogólnej refleksji i debaty publicznej nad potencjalnymi ryzykami i zagrożeniami wynikającymi z tych rozwiązań”.

Jako osoba, która przy każdej kontroli lotniskowej wzbudza podejrzenia większe niż oddział włoskich komandosów w umundurowaniu polowym (to nie jest żart, pozdrawiam moje ulubione lotnisko), zastanawiam się, jak wyglądałaby moja uproszczona kontrola przy bramce ABC. Czy byłoby szybciej i prościej? Dopóki można wybierać – wybiorę, w ramach zdrowego sceptycyzmu, kontrolę tradycyjną. Co mi tam – i tak zawsze budzę zainteresowanie załogi lotniska.