Ansiktsgjenkjenning i Norge: Dette har du rett til å vite om bruken av dine data

Stadig mer informasjon om oss lagres i databaser, og mer sofistikerte systemer for gjenkjenning av ansikt og annen biometri muliggjør automatiserte søk etter personer. Tidligere i vår omtalte Digi politiets nye system for automatisk ansiktsgjenkjenning og et kommende ekspertmiljø hos Kripos.

Praksisen til myndighetene i land som Kina og til dels USA har høstet kritikk for ikke å ta hensyn til personvernet, og nylig vedtok San Francisco som første by i USA å forby bruk av ansiktsgjenkjenning i lokalt politi og rettsvesen.

Norske myndigheter fikk funksjonalitet for automatisert ansiktsgjenkjenning i 2017, og bruker den i pass- og ID-saker, utlendingssaker og straffesaker i politiet.

– Innbyggerne bør informeres

Professor Martin Drahansky ved Brno University of Technology i Tjekkia forsker på biometri, og var i Oslo i forbindelse med et seminar i Oslo 9. mai. Han mener innbyggerne alltid bør informeres om på hvilken måte dataene lagres og analyseres.

– Alle transaksjoner fra databasen blir lagret slik at man i hvert tilfelle skal kunne vite hvorfor og til hvem det er gitt tilgang til konkrete data. Alle brukere, både tsjekkiske statsborgere og utlendinger, kan få innsyn i denne informasjonen om bruken av sine data fra innenriksdepartementet, sier Drahansky til Digi om innsynspraksisen i Tjekkia.

I Norge er tilgangen til databasene regulert etter personopplysningsloven (inkluderer GDPR), passloven og politiregisterloven. Vi har tatt en titt på hva du som innbygger i Norge har rett til å vite om bruken av dine biometriske data.

• Tastebiometri i Norge: Hvordan du skriver på tastaturet kan avsløre hvem du er, men kan vi stole på det? (Saken kan leses av abonnenter).

Politiet har direkte tilgang

For det første har du rett til å få innsyn i all informasjonen om deg som ligger i passet og passregisteret, altså fingeravtrykk, bilde og personalia (passlovens §6a). Du har også rett til å få slettet eller endret uriktig informasjon. Politidirektoratet opplyser at de ikke har fått noen storm av forespørsler om innsyn i dette, men at det kan ha kommet forespørsler til de lokale passkontorene.

Mange vil kanskje like gjerne velge å åpne passet sitt og se, da det meste av denne informasjonen allerede er synlig der.

Mer komplisert er det å få innsyn i hvordan dataene brukes av myndighetene til andre ting enn det som har med selve passet å gjøre. Politidirektoratet er behandlingsansvarlig for passregisteret, og politiet kan få direkte tilgang til bilder og annen informasjon i passregisteret for andre formål for å utføre bestemte politioppgaver (§8a i passloven).

• Lagret mobildata i ett år uten lov: Mobildata til tilfeldige brukere ble lagret i ett år uten lov etter at politiet satte opp falske baser for å øve på overvåking i Oslo.

Taust om innsyn i passloven

Et typisk eksempel er at politiet kan hente ut informasjon fra passregisteret i forbindelse med automatisk trafikkontroll med fotoboks.

– Hvis bilen du kjører ikke er registrert på deg, vil politiet se hvem den er registrert på og finne ut hvem du er gjennom å søke opp bileierens familiemedlemmer i Folkeregisteret. Slik kan forelegget likevel komme til deg. Men det vil ikke stå noe der om på hvilket grunnlag politiet har funnet ut om det er deg, sier seniorrådgiver Steinar Talgø i Politidirektoratet ID-seksjonen.

Hvis politiet har et bilde av en mistenkt i andre saker, kan de også bruke passregisteret til å sammenligne bildet med passbilder av andre mulige personer, forteller Talgø.

– Hvis noen har foretatt et bankran og politiet har fått overvåkningsbilder av personen, kan politiet gå i passregisteret og sammenligne disse med passbilder av navngitte aktuelle personer, sier Talgø.

Hvis du blir savnet, kan politiet gå inn og bruke bildet av deg fra passregisteret hvis det er det best egnede.

Passloven sier ingenting om innsyn i når og hvorfor politiet har brukt opplysninger fra passregisteret, opplyser Juridisk stab i Politidirektoratet.

GDPR vs. personopplysningsloven

Innsynsrettighetene er imidlertid nærmere regulert i personvernforordningen GDPR, som er innlemmet i den norske personopplysningsloven.

Etter denne har du rett til å vite hvorvidt data om deg behandles. Dette innebærer retten til informasjon om «mottakere eller kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til» (artikkel 15c).

Som hovedregel har du etter GDPR derfor krav på å få informasjon om det er utlevert opplysninger fra passregisteret til politimessige formål.

Men, denne retten er ikke absolutt, og begrenses av den norske personopplysningsloven. Du har ikke rett til innsyn i opplysninger som skal hemmeligholdes av hensyn til forebygging, etterforskning, avsløring og rettslig forfølging av straffbare handlinger (§16).

• Les også kommentaren: Hva vi kan lære av de første GDPR-sakene? Fire konkrete saker, hvorav én fra Norge.

Ansiktsgjenkjenningen i ID-registeret

Ved innføring av nye systemer for utstedelse av pass og nasjonalt ID-kort vil det bli foretatt én-til-mange-søk mot eksisterende foto i pass- og ID-kortregistrene med ansiktsgjenkjenningsteknologi.

Det vil dermed bli alminnelige rutine for å behandle foto av samtlige registrerte i pass- og ID-kortregistrene.

«Myndighetenes plikt til å gi informasjon om de automatiserte søkene som foretas som ledd i de nye rutinene er ivaretatt ved at disse rutinene er alminnelig kjent», skriver Politidirektoratet.

Innsyn i data brukt i straffesaker

Politiregisterloven regulerer politiets behandling av personopplysninger til politimessige formål.

Den som er registrert i et av politiets registre utenfor den enkelte straffesak har rett til å få opplyst hvilke opplysninger som er registrert om seg selv (§49).

«Innsyn kan imidlertid nektes der det er nødvendig av hensyn til kriminalitetsbekjempelsen, nasjonal og offentlig sikkerhet, gjennomføring av strafferettslige reaksjoner, vern av andre personer enn den registrerte, eller mottakerorganets lovpålagte kontrolloppgaver», opplyser Politidirektoratets juridiske stab.

Hvordan opplysningene brukes i politiets og påtalemyndighetenes interne saksbehandling i tilknytning til straffesaker ikke er gjenstand for innsyn. Hvorvidt bilder er brukt til ansiktsgjenkjenning i straffesaker vil heller ikke være en opplysning man har rett til å få vite etter politiregisterloven.

Her søker du om innsyn

Så for å oppsummere: Et viktig prinsipp i EUs personvernforordning (GDPR), som er implementert i den norske personopplysningsloven, er at du har rett til å vite hvor informasjon om deg lagres og hva den brukes til.

Samtidig legger nasjonale unntaksbestemmelser begrensninger på hva man kan få innsyn i. Unntakene omfatter opplysninger som kan hemmeligholdes av hensyn til blant annet etterforskning i straffesaker, nasjonal sikkerhet og vern av andre personer.

Det er foreløpig lite presedens for tolkning av gråsonetilfeller der de nasjonale unntaksbestemmelsene for innsyn kommer i konflikt med GDPR. Personvernforordningen har kun vært en del av norsk lov i ett år, bruken av automatsisk ansiktsgjenning er i startgropa og det nye systemet for pass og ID-kort er ennå ikke lansert.

Innsynsbegjæringer for informasjon om biometri lagret i passregisteret kan rettes til de lokale passkontorene. Politiet håndterer forespørsler om innsyn i hvilken informasjon som er registrert hos dem, og hvordan den behandles. Spørsmål om innsyn i saksbehandlingen av konkrete straffesaker kan rettes til Riksadvokaten.

Har du erfaringer eller innspill om biometri og innsyn? Ta kontakt på heidi@digi.no eller i kommentarfeltet under.