4 липня 2023 року Європейський суд з прав людини прийняв рішення у справі Glukhin v Russia та висловив свою думку щодо впливу використання технологій розпізнавання обличчя на приватність особи. Справа стосується адміністративного арешту заявника через його одиночний протест та обробку персональних даних заявника під час адміністративних проваджень за допомогою технологій розпізнавання обличчя у реальому часі. Заявник скаржився на порушення його права на свободу вираження поглядів (стаття 10 Конвенції) та права на приватність (стаття 8 Конвенції).
Суд задовольнив обидві вимоги заявника та визнав порушення обох статей. У контексті права на приватність ЄСПЛ наголосив на необхідності чіткого та якісного законодавства, що передбачає використання інтрузивних технологій. Суд акцентував увагу на законодавчих гарантіях та підкреслив підвищений рівень захищеності осіб у випадку обробки їх біометричних даних технологіями розпізнавання обличчя. Водночас, рішення ЄСПЛ є суперечливим прецедентом, оскільки Суд фактично визнав правомірним використання технологій розпізнавання облич в режимі реального часу.
Чому заявника було заарештовано?
23 серпня 2019 року заявник їхав московським метро з картонною фігурою політичного активіста Котова в натуральну величину, який тримав банер із написом: “Ви, мабуть, знущаєтеся. Я Костянтин Котов. Мені загрожує до п’яти років [в’язниці] за [статтею] 212.1 за мирні протести”. Один зі звітів поліції від 24 серпня 2019 року демонструє, що відділ поліції боротьби з екстремізмом під час “моніторингу Інтернету” виявив фотографію заявника з відповідним банером на станції метро. Після цього відділ зробив скріншоти каналу Telegram, що містив фотографії та відео, на яких заявник тримав картонну фігуру пана Котова на станції метро та всередині підземного поїзда. На скріншотах було чітко видно текст, написаний на банері. Скріншоти були роздруковані та збережені відділом поліції з боротьби з екстремізмом відповідно до Кодексу про адміністративні правопорушення.
З іншого звіту тієї ж дати випливає, що відділ поліції по боротьбі з екстремізмом отримав відеозаписи з камер відеоспостереження, встановлених на станціях метро. 27 серпня 2019 року відділ поліції переглянув ці записи, зробив скріншоти із зображенням заявника, роздрукував їх та зберіг у матеріалах справи. Для контексту, навесні 2018 року у Московському метро були встановлені камери відеоспостереження з технологією розпізнавання обличчя, а в 2019 розпочалося тестування таких технологій в режимі реального часу. Це зумовлено урядовим Указом № 410 про вимоги до транспортної безпеки, що передбачав встановлення технічного обладнання на станціях метрополітену, включаючи системи відеоспостереження для виявлення та ідентифікації осіб. Як зазначено у звіті поліції, ідентифікація заявника через відео та фотографії у Telegram відбувалася в контексті оперативно-розшукової заходів. У цьому випадку національний Закон про захист персональних даних дозволяє обробку спеціальних категорій даних, зокрема, у зв’язку зі здійсненням правосуддя та оперативно-розшукових заходів. 30 серпня 2019 року заявника заарештували, оскільки його особу було ідентифіковано камерами відеоспостереження з розпізнаванням обличчя.
Результати національних проваджень
Заявника було притягнуто до адміністративної відповідальності через порушення встановленого порядку проведення масових заходів, оскільки заявник використовував “швидкозведену збірно-розбірну конструкцію”, а тому повинен був завчасно попередити місцеві органи влади. 2 вересня 2019 року відділ поліції боротьби з екстремізмом звернувся до начальника відділу охорони Московського метрополітену з проханням надати копії відеозаписів від 23 серпня 2019 року, посилаючись на Закон про оперативно-розшукову діяльність. Він також зазначив, що запит подається в рамках перевірки, яка проводиться з метою протидії екстремізму під час проведення авторизованих масових заходів у Москві. 5 вересня 2019 року відділ поліції по боротьбі з екстремізмом переглянув ці записи, зробив скріншоти із зображенням заявника, роздрукував їх та зберіг у матеріалах справи.
23 вересня 2019 року районний суд Москви визнав заявника винуватим через його неавторизовану одиночну демонстрацію, посилаючись на скріншоти каналу Telegram та скріншоти відеозаписів з камер спостереження в метро та призначивши штраф у розмірі 20 000 російських рублів (близько 283 євро). Заявник подав апеляцію на таке рішення, яка не була задоволена іншими судовими інстанціями.
Що вирішив ЄСПЛ?
ЄСПЛ розглядав скаргу заявника у контексті статей 8 (повага до приватного та сімейного життя) та 10 (свобода вираження поглядів) Конвенції, проте для цілей цієї публікації ми звернемо увагу виключно на аналіз Судом статті 8 Конвенції. У контексті втручання у приватне життя заявник скаржився, що його було ідентифіковано та арештовано на основі даних, отриманих з камер відеоспостереження з розпізнаванням обличчя. Заявник стверджував, що збирання, обробка та збереження його персональних даних не були авторизовані (наприклад, судовим наказом), а правова основа для таких дій була сформульована занадто широко та не відповідала вимогами “якості права” (“quality of law”).
Передовсім ЄСПЛ проаналізував наявність втручання у приватне життя заявника. Суд визнав, що існують ситуації, коли діяльність людей в публічних місцях може піддаватися відеоспостереженню. Ключовим фактором тут є очікування приватності – наскільки особа усвідомлює, що її дії можуть стати надбанням публіки у певному місці. При цьому ЄСПЛ зазначив, що спостереження за діями та пересуваннями особи в громадському місці за допомогою камери, яка не записує візуальні дані, сама по собі не є формою втручання в приватне життя. Натомість приватність може бути порушена у випадку систематичного або постійного запису персональних даних, зокрема збереження фотографій ідентифікованої особи. Таким чином, право кожної людини на захист свого зображення є однією з суттєвих складових особистого розвитку та передбачає право контролювати використання цього зображення.
Уряд не заперечував, що виявлення фотографій заявника у Telegram, застосування до фотографій технологій розпізнавання обличчя, збирання даних щодо заявника з камер відеоспостереження з такими технологіями та використання цих даних під час адміністративного провадження становить втручання у приватність заявника. Суд також звернув увагу на труднощі, з якими стикався заявник, аби обґрунтувати свої доводи. Так, національне законодавство не вимагає від поліції фіксувати факт використання технологій розпізнавання обличчя або надавати відповідній особі доступ до будь-якого такого запису, автоматично чи за запитом. Оскільки звіт поліції не пояснює, які оперативно-розшукові заходи були застосовані для ідентифікації заявника, що відбулася менш ніж за два дні з моменту виявлення порушення, Суд вважає за розумне припускати, що національні органи використовували технології розпізнавання обличчя. Крім того, заявник вказав, що його арешт відбувся на основі доказів, отриманих з камер відеоспостереження. Таким чином, ЄСПЛ зазначив, що обробка персональних даних заявника в рамках адміністративного провадження, включаючи використання технології розпізнавання обличчя – по-перше, для ідентифікації його особи за фотографіями та відео, опублікованими в Telegram, і, по-друге, для його арешту, – становило втручання в його право на повагу до приватного життя.
Після цього Суд перейшов до трискладового тесту для оцінки виправданості такого втручання. ЄСПЛ наголосив, що національне законодавство повинно містити ряд гарантій щодо використання персональних даних, особливо коли йдеться про автоматичну обробку даних та їх використання з правоохоронними цілями. При цьому Суд повинен брати до уваги аналіз таких критеріїв як тривалість, зберігання, використання, доступність для третіх сторін, процедуру збереження цілісності та конфіденційності даних та процедуру їх знищення.
Оцінюючи критерій передбачуваності втручання законом, Суд визнав наявність правової основи, оскільки національний Кодекс про адміністративні правопорушення уповноважував поліцію збирати докази у вигляді персональних даних, а Указ № 410 передбачав встановлення камер відеоспостереження з розпізнаванням обличчя у московському метрополітені. При цьому Суд зауважив, що “потреба в гарантіях буде ще більшою, якщо йдеться про використання технології розпізнавання обличчя в режимі реального часу” (пункт 82 рішення). ЄСПЛ вказав, що положення національного закону, які дозволяють обробку біометричних даних, сформульовані занадто широко, а відсутність судової практики та тлумачення де-факто дозволяє використання технологій розпізнавання обличчя при будь-якому судовому провадженні. Як наслідок, національне законодавство не містить жодних обмежень щодо характеру ситуацій, які можуть призвести до використання технології розпізнавання обличчя або принаймні передбачуваних цілей обробки чутливих даних.
Аналізуючи критерій легітимності мети, ЄСПЛ визнав, що поліція діяла з метою запобігання злочину. При цьому Суд наголосив на важливості використання сучасних технологій при боротьбі з організованою злочинністю та тероризмом. Суд підкреслив, що Конвенція загалом не забороняє обробку біометричних даних за допомогою технологій розпізнавання обличчя.
Аналізуючи критерій необхідності втручання у демократичному суспільстві, ЄСПЛ зазначив, що поліція зібрала та зберегла цифрові зображення заявника та використала їх для отримання та обробки його біометричних даних за допомогою технології розпізнавання обличчя: по-перше, щоб ідентифікувати його за фотографіями та відео, опублікованими в Telegram, і, по-друге, щоб знайти та арештувати заявника під час його поїздки в метро. Суд вказав, що у такому випадку національні органи повинні обґрунтувати свої дії за найвищим рівнем доказування, особливо якщо йдеться про обробку чутливих персональних даних, які включають політичну думку заявника.
Більше того, Суд взяв до уваги характер та тяжкість злочину як один із важливих факторів. ЄСПЛ зауважив, що заявника було притягнуто до відповідальності за незначне адміністративне правопорушення, яке полягало у проведенні неавторизованої одиночної демонстрації. Заявника не звинувачували у вчиненні будь-яких шкідливих дій під час демонстрації, як-от перешкоджання руху, пошкодження майна чи акти насильства. Суд вважає, що “використання високо інтрузивної технології розпізнавання обличчя для ідентифікації та арешту учасників мирних акцій протесту може мати “охолоджуючий” ефект на їх право на свободу вираження думок та зібрань” (пункт 88 рішення). Таким чином, Суд дійшов висновку, що обробка персональних даних заявника в рамках адміністративного провадження за допомогою використання технології розпізнавання обличчя не була необхідною у даному контексті. Як наслідок, ЄСПЛ встановив порушення статті 8 Конвенції.
Значення рішення
Хоча ЄСПЛ і підтвердив порушення приватності особи в контексті використання високо інтрузивних технологій, дане рішення містить декілька проблематичних аспектів, на які потрібно звернути увагу. По-перше, Суд не встановив будь-яких застережень щодо використання технологій розпізнавання обличчя в режимі реального часу, фактично визнавши таку практику правомірною. Оскільки такі технології відрізняються від звичайного відеоспостереження як механізмом, так і обробкою персональних даних, такий поблажливий підхід Суду може призвести до негативних наслідків щодо порушення приватності у майбутньому. По-друге, ЄСПЛ не належно обґрунтував пропорційність втручання в приватність заявника, посилаючись виключно на “охолоджуючий ефект” свободи вираження поглядів, спричинений арештом заявника. Нарешті, Суд не приділив достатньої уваги аналізу розслідувальних дій поліції, що нібито діяла в контексті оперативно-розшукових заходів. Як вбачається з фактів справи, відділ поліції по боротьбі з екстремізмом здійснював моніторинг Інтернету на постійній основі, де і були виявлені фотографії заявника з банером. Така практика не є пропорційною з огляду на приватність особи та захист її права на зображення.
Не дивлячись на вищезгадані занепокоєння, цим рішенням ЄСПЛ зробив правильний крок до захисту свободи вираження поглядів та механізму використання високо інтрузивних цифрових технологій. Допоки ЄСПЛ прямо не забороняє обробку біометричних даних системами розпізнавання обличчя, Суд при цьому наголошує на необхідності законодавчих гарантій для запобігання зловживання системами з боку правоохоронних органів.
Рішення ЄСПЛ має велике значення і для України, адже остання залишається активно залученою у розвиток та використання цифрових технологій. Станом на сьогодні, в умовах війни Україна активно використовує систему розпізнавання обличчя Clearview AI, спрямовану на виконання різних функцій (зокрема, ідентифікацію осіб). При цьому українське законодавство все ще потребує вдосконалення для надання суб’єктам більших гарантій захисту їх приватності. Наразі в українському парламенті на розгляді знаходиться Проект Закону № 8153 про захист персональних даних, спрямований на заповнення існуючих законодавчих прогалин. Оскільки Проект все ще опрацьовується в комітеті, дане рішення ЄСПЛ слугуватиме надійною вказівкою для українських законодавців у контексті балансування права на приватність та легітимних цілей правоохоронних органів.
Цей аналітичний роз’яснювальний матеріал створено в рамках програми “Сприяння Інтернет свободі в Україні”, яку реалізує Американська Асоціація Юристів в Україні / Ініціатива верховенства права.