Dlaczego zdjęcia paszportowego nigdy nie należy wysyłać

Zdjęcie paszportowe nie jest zwykłym obrazem. To portret całej twarzy, równo oświetlony, z neutralnym wyrazem, na gładkim tle, wykonany według opublikowanego standardu tak, by maszyna mogła go zmierzyć. Jest to dokładny opis Państwa twarzy jako dokumentu tożsamości, a zarazem dokładny opis najbardziej użytecznego obrazu, jaki może zdobyć złodziej tożsamości. Wysłanie go na stronę internetową po to, by ktoś go przyciął, to wymiana oddająca coś cennego w zamian za arytmetykę, którą wykonałby własny telefon.

To cały argument za przetwarzaniem zdjęcia tam, gdzie już jest. Wszystko poniżej to szczegóły.

Aktywem jest zdjęcie, a nie kadr

Większość ludzi wyobraża sobie ryzyko na odwrót. Widzą skradzione zdjęcie opublikowane gdzieś ku ich zakłopotaniu. Prawdziwa wartość ujednoliconego portretu polega na tym, że jest gotowy dla maszyny: czysto zasila system rozpoznawania twarzy, wpada w szablon sfałszowanego dokumentu bez retuszu i spełnia krok fotograficzny zdalnej weryfikacji tożsamości w banku albo na platformie kryptowalutowej. Te same cechy, które czynią zdjęcie paszportowe zgodnym z przepisami, czyli ujęcie czołowe, ostrość, brak bałaganu i poprawna ekspozycja, czynią je użytecznym dla kogoś innego.

Nie jest to hipotetyczny lęk wymyślony przez branżę. Australian Passport Office mówi to we własnych wskazówkach dla wnioskodawców: nie zaleca korzystania z internetowej usługi zdjęć paszportowych ani z aplikacji mobilnej, ponieważ mogą one narazić Państwa na kradzież tożsamości (Australian Passport Office). To nietypowe, żeby rząd wymieniał w ostrzeżeniu całą kategorię usług komercyjnych, i warto się przy tym zatrzymać. Ostrzeżenie nie dotyczy trudności kadrowania. Dotyczy wysyłania.

Istnieje prawne echo tej samej myśli. Zgodnie z unijnym ogólnym rozporządzeniem o ochronie danych artykuł 9 zakazuje, z zastrzeżeniem określonych warunków, przetwarzania danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, stawiając je obok danych o zdrowiu i przekonaniach religijnych w kategoriach szczególnych. Zdjęcie twarzy nie jest automatycznie danymi biometrycznymi. Staje się nimi w chwili, gdy przetwarza się je w celu identyfikacji albo pomiaru konkretnej osoby, a właśnie to robi narzędzie do zdjęć paszportowych, gdy znajduje twarz i mierzy odległość między oczami. W Europie wysłanie zdjęcia paszportowego do serwisu mierzącego twarz nie należy do tej samej klasy czynności co wysłanie zdjęcia z wakacji, i prawo to potwierdza.

Czego nie mówi zdanie o usuwaniu zdjęcia

Serwisy fotograficzne odpowiadają na pytanie o prywatność zwykle obietnicą retencji: obrazy usuwa się po jakimś czasie, najczęściej od 24 godzin do 180 dni. Obietnice retencji są coś warte, ale odpowiadają na inne pytanie niż zadane.

Usunięcie jest stwierdzeniem o przyszłości kopii, która już powstała. Nie wpływa na to, co zdarzyło się w tym oknie, a w tym oknie zdarza się wszystko: sam transfer, magazyn, w którym plik wylądował, automatyczna kopia zapasowa wykonana o 03:00, podwykonawca przetwarzający obraz, wpis w dzienniku z nazwą pliku, zdarzenie analityczne wywołane przy wysyłce. Obietnica usunięcia po 30 dniach nie cofnie kopii wykonanej drugiego dnia.

Nie mówi też nic o jurysdykcji. Zdjęcie wysłane z Lagos albo z Manili może być przetwarzane na serwerach w państwie trzecim, według prawa, o którym żadna ze stron nie pomyślała. I nie mówi nic o końcu firmy: polityka retencji jest polityką, a polityki nie przeżywają przejęcia ani upadłości w postaci, na której dałoby się polegać.

Nic z tego nie wymaga niczyjej nieuczciwości. Wymaga wyłącznie zwyczajnych rzeczy, które przydarzają się danym, gdy kopia już istnieje.

Alternatywą nie jest obietnica, tylko nieobecność

Wyjściem nie jest lepsza polityka prywatności. Jest nim niewykonywanie kopii.

Wszystko, co musi zrobić narzędzie do zdjęć paszportowych, da się dziś zrobić wewnątrz karty przeglądarki. Oddzielenie człowieka od tła oraz zlokalizowanie oczu, nosa i ust to zadania dla małych modeli widzenia komputerowego, a przeglądarki potrafią uruchomić te modele na Państwa własnym procesorze. Gdy już działają lokalnie, kadrowanie, pomiar wysokości głowy i zastąpienie tła są zwykłą arytmetyką na obrazie. W tej sekwencji nie ma kroku, który wymagałby, aby serwer zobaczył Państwa twarz.

Tak działa nasze narzędzie i dlatego możemy podać obietnicę wprost, zamiast ostrożnie: Państwa zdjęcie nigdy nie opuszcza Państwa urządzenia. Nie twierdzimy, że odpowiedzialnie obchodzimy się z Państwa obrazem. Twierdzimy, że nigdy go nie otrzymujemy, a to stwierdzenie nie zostawia miejsca na wykładnię.

Nie należy brać tego na wiarę i nie trzeba. Dwie kontrole zajmują minutę:

Panel sieci. Proszę otworzyć narzędzia deweloperskie przeglądarki, przejść na zakładkę sieci i zostawić ją otwartą. Po wczytaniu strony zobaczą Państwo jej własny kod oraz jednorazowo pliki modeli. Potem proszę wybrać zdjęcie i pozwolić narzędziu pracować. Wysyłka nie jest subtelna: pojawia się jako żądanie z dużym ładunkiem wychodzącym na zewnątrz. Jeśli nic dużego nie wychodzi, nic dużego nie wyszło.

Tryb samolotowy. Proszę wczytać stronę i poczekać, aż skończy przygotowania. Potem proszę przełączyć urządzenie w tryb samolotowy i mimo to użyć narzędzia. Jeśli zdjęcie wciąż zostaje zmierzone i przycięte przy wyłączonej sieci, przetwarzanie nigdy nie działo się gdzie indziej. Ta próba jest bardziej przekonująca z dwóch, ponieważ nie da się jej podrobić serwisowi, który jedynie odracza wysyłkę.

Precyzyjnie o tym, co to obejmuje, a czego nie

Uczciwość wobec obietnicy prywatności oznacza nazwanie jej krawędzi.

Przetwarzanie na urządzeniu obejmuje Państwa zdjęcie. Nie sprawia, że strona internetowa przestaje być stroną internetową. HTML, skrypty i pliki modeli pobierają się przez sieć jak wszystko inne, a analityka i reklamy, które strona niesie, zachowują się tak jak wszędzie. Chcąc zobaczyć, z czym strona się kontaktuje, pokaże to ten sam panel sieci.

Nie usuwa też wysyłki na końcu. Większość wniosków chce dziś pliku cyfrowego, a wyślą go Państwo do biura paszportowego, portalu wizowego albo służby imigracyjnej. Ten transfer jest sensem całej sprawy: urząd wydający dokument potrzebuje Państwa zdjęcia i ma podstawę prawną, by je przechowywać. Praca w przeglądarce usuwa bezcelową dodatkową kopię trzymaną przez firmę bez żadnej roli w Państwa wniosku, zrobioną tylko po to, by przyciąć prostokąt.

Dwie praktyczne krawędzie warto znać. Na komputerze współdzielonym obraz siedzi na stronie, dopóki karta jest otwarta, więc po skończeniu proszę ją zamknąć. A zdjęcie już przesłane komunikatorem zostało przez tę aplikację ponownie skompresowane, co jest problemem jakości, a nie prywatności, ale za to najczęstszą przyczyną oblania kontroli rozdzielczości przez dobre zdjęcie.

Wersja krótka

Proszę zadać narzędziu fotograficznemu jedno pytanie: czy mój obraz trafia na Państwa serwer? Jeśli odpowiedź brzmi tak, każde inne zapewnienie jest obietnicą co do tego, jak obcy zaopiekują się kopią Państwa twarzy. Jeśli brzmi nie, nie ma czego obiecywać, bo nie ma tam nic.

Gdy będą Państwo gotowi, praktyczne kroki robienia zdjęcia omawiają światło, odległość i ustawienia aparatu, a wymagania rozmiarów cyfrowych tłumaczą, o co poprosi portal, gdy zdjęcie już będzie. Jeśli Państwa wniosek jest australijski, gdzie ostrzeżenie biura paszportowego jest nietypowo bezpośrednie, wymagania australijskie wykładają oczekiwania urzędu.