Perché la sua fototessera non dovrebbe mai essere caricata

Una fototessera non è un'immagine qualsiasi. È un ritratto frontale, illuminato in modo uniforme, con espressione neutra e sfondo uniforme, fatto secondo uno standard pubblicato perché una macchina possa misurarlo. È la descrizione precisa del suo volto come documento d'identità, ed è anche la descrizione precisa dell'immagine più utile che un ladro d'identità possa procurarsi. Caricarla su un sito web per farla ritagliare è uno scambio che regala qualcosa di prezioso in cambio di un'aritmetica che il suo telefono avrebbe potuto fare da solo.

È tutto qui l'argomento a favore dell'elaborazione della foto dove già si trova. Tutto ciò che segue è il dettaglio.

Il valore è la foto, non il ritaglio

Quasi tutti immaginano il rischio al contrario. Pensano a una foto rubata pubblicata in un posto imbarazzante. Il valore reale di un ritratto standardizzato è che è pronto per una macchina: alimenta senza attriti un sistema di riconoscimento facciale, entra in un modello di documento falso senza ritocchi, e supera il passaggio fotografico di una verifica d'identità a distanza su una piattaforma bancaria o di criptovalute. Proprio le qualità che rendono conforme una fototessera, cioè frontale, nitida, sgombra ed esposta correttamente, sono le qualità che la rendono utile a qualcun altro.

Non è una preoccupazione ipotetica inventata dal settore. L'Australian Passport Office lo dice nelle proprie indicazioni ai richiedenti: sconsiglia l'uso di un servizio online per fototessere o di un'app per telefono, perché possono "esporla al rischio di frode d'identità" (Australian Passport Office). È insolito che un governo nomini una categoria di servizio commerciale in un avvertimento, e vale la pena fermarsi. L'avvertimento non riguarda la difficoltà del ritaglio. Riguarda il caricamento.

Della stessa questione esiste un'eco giuridica. Nel Regolamento generale sulla protezione dei dati dell'Unione europea, l'articolo 9 vieta, salvo condizioni specifiche, il trattamento di "dati biometrici intesi a identificare in modo univoco una persona fisica", collocandoli accanto ai dati sanitari e alle convinzioni religiose fra le categorie particolari. La fotografia di un volto non è automaticamente un dato biometrico. Lo diventa nel momento in cui viene trattata per identificare o misurare una persona precisa, che è esattamente ciò che fa uno strumento per fototessere quando trova un volto e misura la distanza fra gli occhi. Se si trova in Europa, caricare una fototessera su un servizio che misura i volti non è lo stesso tipo di atto del caricare una foto delle vacanze, e la legge lo dice.

Che cosa tralascia il "cancelliamo la sua foto"

I siti di fototessere di solito rispondono alla questione della riservatezza con una promessa di conservazione: le immagini si cancellano dopo un certo intervallo, di norma fra 24 ore e 180 giorni. Le promesse di conservazione hanno un valore, ma rispondono a una domanda diversa da quella che ha posto.

La cancellazione è un'affermazione sul futuro di una copia già fatta. Non incide su ciò che è successo durante l'intervallo, ed è nell'intervallo che succede tutto: il trasferimento stesso, il deposito in cui è finita, il backup automatico eseguito alle 03:00, il subappaltatore che si occupa dell'elaborazione delle immagini, la riga di registro che ha annotato il nome del file, l'evento di analisi scattato al caricamento. Una promessa di cancellare dopo 30 giorni non può ritirare una copia fatta il secondo giorno.

E non dice nulla sulla giurisdizione. Una foto caricata da Lagos o da Manila può essere elaborata su server in un paese terzo secondo leggi a cui nessuna delle due parti ha pensato. E non dice nulla sulla fine dell'azienda: una politica di conservazione è una politica, e le politiche non sopravvivono a un'acquisizione o a un fallimento in una forma su cui si possa contare.

Nulla di tutto ciò richiede che qualcuno sia disonesto. Richiede solo le cose ordinarie che accadono ai dati una volta che una copia esiste.

L'alternativa non è una promessa, è un'assenza

La via d'uscita non è una politica sulla riservatezza scritta meglio. È non fare la copia.

Tutto ciò che uno strumento per fototessere deve fare si può ormai fare dentro una scheda del browser. Separare una persona dallo sfondo e individuare occhi, naso e bocca sono compiti per piccoli modelli di visione, e i browser sanno far girare quei modelli sul suo processore. Una volta che girano localmente, il ritaglio, la misura dell'altezza del viso e la sostituzione dello sfondo sono normale aritmetica sulle immagini. In quella sequenza non c'è alcun passaggio che richieda a un server di vedere il suo volto.

È così che funziona il nostro strumento, ed è il motivo per cui possiamo enunciare la promessa in modo netto invece che prudente: la sua foto non lascia mai il suo dispositivo. Non stiamo affermando di trattare la sua immagine in modo responsabile. Stiamo affermando che non la riceviamo mai, che è un'affermazione senza spazio per interpretazioni.

Non deve crederci sulla parola, e non è necessario. Due controlli richiedono un minuto:

Il pannello di rete. Apra gli strumenti per sviluppatori del browser, vada alla scheda della rete e la lasci aperta. Carichi la pagina e vedrà arrivare il codice della pagina e, una volta sola, i file dei modelli di visione. Poi scelga la sua foto e lasci lavorare lo strumento. Un caricamento non è discreto: compare come una richiesta con un contenuto pesante in uscita. Se non esce nulla di pesante, non è uscito nulla di pesante.

La modalità aereo. Carichi la pagina e aspetti che finisca di prepararsi. Poi metta il dispositivo in modalità aereo e usi comunque lo strumento. Se la foto viene ancora misurata e ritagliata con la rete spenta, l'elaborazione non è mai avvenuta altrove. Questa prova è la più convincente delle due perché non può essere simulata da un sito che si limiti a rimandare il caricamento.

Sia preciso su che cosa copra e che cosa no

Essere onesti su un'affermazione di riservatezza significa nominarne i confini.

L'elaborazione sul dispositivo copre la sua foto. Non fa smettere a una pagina web di essere una pagina web. L'HTML, gli script e i file dei modelli si scaricano dalla rete come qualsiasi altra cosa, e le analisi o la pubblicità che un sito porta si comportano come ovunque. Se vuole vedere che cosa contatta una pagina, glielo mostra lo stesso pannello di rete.

E non elimina il caricamento finale. Quasi tutte le domande vogliono ormai un file digitale, e lei lo invierà all'ufficio passaporti, al portale dei visti o al servizio immigrazione. Quel trasferimento è lo scopo dell'operazione: l'autorità che rilascia il documento ha bisogno della sua fotografia e ha una base giuridica per conservarla. Ciò che l'elaborazione nel browser elimina è la copia in più senza scopo, conservata da un'azienda che non ha alcun ruolo nella sua domanda, fatta solo perché un rettangolo venisse tagliato a misura.

Vale la pena conoscere due confini pratici. Su un computer condiviso, l'immagine resta nella pagina finché la scheda è aperta, quindi chiuda la scheda quando ha finito. E una foto già passata da un'app di messaggistica è stata ricompressa da quell'app, che è un problema di qualità e non di riservatezza, ma è il motivo più frequente per cui una buona foto non supera un controllo di risoluzione.

La versione breve

Faccia a uno strumento fotografico una sola domanda: la mia immagine va sul vostro server? Se la risposta è sì, ogni altra rassicurazione è una promessa su come una copia del suo volto verrà custodita da estranei. Se la risposta è no, non c'è nulla da promettere, perché non c'è nulla.

Quando è pronto, i passaggi pratici per scattare la foto trattano luce, distanza e impostazioni della fotocamera, e i requisiti di dimensione digitale spiegano che cosa le chiederà il portale una volta che l'avrà. Se la sua domanda è in Australia, dove l'avvertimento dell'ufficio passaporti è insolitamente diretto, i requisiti australiani indicano che cosa si aspetta l'ufficio.