Illinois BIPA (Biometric Information Privacy Act) - definicja
Illinois BIPA to ustawa stanu Illinois regulująca pobieranie, przechowywanie, ujawnianie i niszczenie danych biometrycznych. Pełna nazwa aktu to Biometric Information Privacy Act. Ustawa została uchwalona w 2008 roku jako Illinois Public Act 095-0994 i jest skodyfikowana głównie w 740 ILCS 14. W praktyce jest uznawana za jedną z najbardziej rygorystycznych ustaw biometrycznych w USA, ponieważ wprowadza obowiązek uprzedniej zgody pisemnej, obowiązki informacyjne, wymóg polityki retencji oraz prywatne prawo dochodzenia roszczeń przez osoby, których dane dotyczą.
W kontekście zdjęć i nagrań wideo BIPA ma znaczenie wtedy, gdy z obrazu tworzony jest lub może być tworzony identyfikator biometryczny, na przykład matematyczny wzorzec twarzy wykorzystywany do rozpoznawania albo weryfikacji tożsamości. Sama fotografia nie jest co do zasady „biometric identifier” w rozumieniu BIPA. Jednak ekstrakcja cech twarzy z obrazu i zamiana ich na template biometryczny może już podlegać ustawie. To rozróżnienie ma duże znaczenie dla systemów AI używanych do analizy obrazu, trenowania modeli deep learning i automatycznego zamazywania twarzy.
Zakres ustawy BIPA w przetwarzaniu zdjęć i wideo
BIPA rozróżnia kilka kategorii pojęciowych. Dla działów compliance i IOD kluczowe jest odróżnienie zwykłego obrazu od danych powstających w wyniku biometrycznej analizy obrazu. Właśnie ten moment technicznego przekształcenia materiału wizualnego w cechy służące identyfikacji rodzi największe ryzyko regulacyjne.
Ustawa definiuje między innymi identyfikator biometryczny oraz informację biometryczną. Definicje ustawowe są w praktyce stosowane szeroko, zwłaszcza przez sądy Illinois.
- Biometric identifier - obejmuje m.in. skan dłoni, odcisk palca, geometrię twarzy oraz skan siatkówki lub tęczówki.
- Biometric information - każda informacja, niezależnie od sposobu jej pozyskania, przekształcenia, przechowywania lub udostępnienia, oparta na identyfikatorze biometrycznym osoby i używana do identyfikacji osoby.
- Wyłączenie - fotografia jako taka nie jest objęta definicją identyfikatora biometrycznego, ale dane wyekstrahowane z fotografii już mogą być objęte ustawą.
Dla anonimizacji obrazu oznacza to, że narzędzie służące wyłącznie do wykrycia twarzy i jej zamazania nie musi automatycznie oznaczać użycia danych biometrycznych w sensie BIPA, jeżeli nie tworzy ani nie przechowuje wzorca służącego identyfikacji osoby. Inaczej wygląda sytuacja, gdy system porównuje twarze między nagraniami, przypisuje tożsamość, prowadzi matching 1:1 lub 1:N albo buduje trwałe profile osób.
Obowiązki prawne pod BIPA
Najważniejszym elementem BIPA jest model „notice + written consent” przed pobraniem lub uzyskaniem danych biometrycznych. Obowiązki nie ograniczają się do samej zgody. Ustawa wymaga także formalnego zarządzania cyklem życia danych.
- poinformowania osoby na piśmie, że identyfikator biometryczny lub informacja biometryczna jest pobierana lub przechowywana,
- wskazania konkretnego celu i okresu przetwarzania,
- uzyskania pisemnej zgody lub pisemnego zwolnienia,
- opracowania publicznie dostępnej polityki retencji i trwałego usuwania danych,
- zakazu sprzedaży, leasingu, handlu lub czerpania zysku z danych biometrycznych,
- ograniczeń ujawniania danych osobom trzecim, chyba że zachodzi ustawowa przesłanka,
- stosowania rozsądnego standardu ochrony, co najmniej takiego jak dla innych danych poufnych.
Zgodnie z 740 ILCS 14/15 dane powinny być zniszczone po osiągnięciu celu przetwarzania lub w terminie 3 lat od ostatniej interakcji osoby z podmiotem prywatnym, zależnie od tego, co nastąpi wcześniej. To jeden z nielicznych tak konkretnych terminów retencji w amerykańskich regulacjach prywatności.
Znaczenie BIPA dla zamazywania twarzy i trenowania modeli AI
W praktyce należy odróżnić dwa etapy techniczne. Pierwszy to detekcja obiektu na obrazie, na przykład twarzy lub tablicy rejestracyjnej. Drugi to identyfikacja osoby na podstawie cech biometrycznych. BIPA dotyka przede wszystkim drugiego etapu, ale spory prawne pokazują, że granica nie zawsze jest oczywista i zależy od architektury systemu oraz sposobu utrwalania danych pośrednich.
Do stworzenia skutecznego modelu AI do zamazywania twarzy zwykle stosuje się deep learning i zbiory treningowe zawierające twarze oznaczone ramkami, punktami charakterystycznymi albo maskami segmentacyjnymi. Sam trening modelu detekcyjnego nie musi oznaczać użycia identyfikatorów biometrycznych, jeśli celem jest lokalizacja twarzy w kadrze, a nie ustalenie tożsamości konkretnej osoby. Ryzyko rośnie, gdy pipeline techniczny obejmuje:
- face embedding, czyli wektorowy opis cech twarzy używany do rozróżniania lub identyfikacji,
- porównywanie podobieństwa twarzy między zdjęciami i nagraniami,
- tworzenie galerii referencyjnej osób,
- łączenie danych wizualnych z innymi identyfikatorami użytkownika.
W środowiskach compliance bezpieczniejsze jest projektowanie procesu anonimizacji tak, aby system nie tworzył trwałych wzorców identyfikacyjnych, nie przechowywał embeddingów dłużej niż to konieczne i nie wykorzystywał detekcji twarzy do rozpoznawania osoby. W tym modelu celem jest redakcja obrazu, a nie biometryczna identyfikacja.
Sankcje i spory sądowe pod BIPA
BIPA przewiduje prywatne prawo dochodzenia roszczeń. To główny powód, dla którego ustawa ma tak duże znaczenie operacyjne. Ustawa wskazuje zryczałtowane odszkodowanie za naruszenie, niezależnie od wykazania szkody majątkowej w klasycznym rozumieniu.
Rodzaj naruszenia
Wysokość roszczenia ustawowego
Podstawa
Naruszenie niedbałe
1 000 USD za każde naruszenie lub rzeczywista szkoda
740 ILCS 14/20
Naruszenie umyślne lub rażąco niedbałe
5 000 USD za każde naruszenie lub rzeczywista szkoda
740 ILCS 14/20
W sprawie Rosenbach v. Six Flags (Illinois Supreme Court, 2019) sąd potwierdził, że osoba może pozywać na podstawie samego naruszenia ustawowych obowiązków, bez wykazywania dodatkowej szkody. W sprawie Cothron v. White Castle (Illinois Supreme Court, 2023) sąd uznał, że roszczenie może powstawać przy każdym odrębnym pobraniu lub przekazaniu danych biometrycznych. To istotnie zwiększyło skalę ryzyka finansowego przy procesach masowych. Następnie ustawodawca Illinois ograniczył kumulację roszczeń, przewidując co do zasady jedno roszczenie za osobę dla naruszeń związanych z pobraniem oraz jedno za osobę dla naruszeń związanych z ujawnieniem lub przekazaniem danych.
Kluczowe parametry oceny ryzyka BIPA w systemach wideo
W ocenie zgodności nie wystarczy odpowiedzieć, czy system „używa AI”. Trzeba opisać, jakie artefakty danych powstają oraz czy mogą służyć identyfikacji osoby. Dla systemów analizy obrazu przydatna jest poniższa lista kontrolna.
- Cel przetwarzania - detekcja do zamazania czy identyfikacja osoby.
- Typ danych pośrednich - bounding box, landmarki, embedding, template.
- Retencja - czas przechowywania ramek, modeli, logów i cech pośrednich.
- Możliwość reidentyfikacji - matching 1:1, 1:N, próg podobieństwa, baza referencyjna.
- Bezpieczeństwo - szyfrowanie, kontrola dostępu, separacja środowisk, audyt dostępu.
- Skala operacji - liczba osób, liczba zdarzeń ekstrakcji, częstotliwość skanowania.
Z punktu widzenia technicznego warto dokumentować co najmniej: architekturę pipeline, miejsca generowania cech twarzy, retencję liczbową w dniach, wskaźniki błędów detekcji oraz to, czy logi zawierają dane umożliwiające identyfikację. Takie informacje są potrzebne przy analizie ryzyka i przy odpowiedziach na pytania działu prawnego lub audytora.
Praktyczny kontekst dla anonimizacji zdjęć i nagrań
Przy publikacji materiałów wizualnych podstawowym celem jest zwykle ograniczenie ryzyka naruszenia prywatności przez zamazanie twarzy i tablic rejestracyjnych. W takim scenariuszu należy minimalizować zakres danych i unikać funkcji rozpoznawania tożsamości, jeśli nie są niezbędne. To podejście jest spójne zarówno z privacy by design, jak i z ograniczaniem ekspozycji na BIPA.
W praktyce oznacza to preferowanie rozwiązań, które automatycznie wykrywają twarze i tablice rejestracyjne wyłącznie na potrzeby anonimizacji materiału. Jeśli inne elementy kadru wymagają ukrycia, powinny być redagowane manualnie w edytorze, bez rozszerzania zakresu automatycznej analizy o kolejne kategorie obiektów i bez budowy dodatkowych profili identyfikacyjnych.
Odniesienia normatywne i źródła
Podstawą interpretacji powinny być tekst ustawy i orzecznictwo, a nie opracowania wtórne. W projektach compliance warto odwoływać się do następujących źródeł:
- Illinois Biometric Information Privacy Act, 740 ILCS 14, wersja obowiązująca.
- Illinois Public Act 095-0994, rok uchwalenia 2008.
- Rosenbach v. Six Flags Entertainment Corp., 2019 IL 123186.
- Cothron v. White Castle System, Inc., 2023 IL 128004.
- Public Act 103-0769, zmiany dotyczące naliczania roszczeń ustawowych.
- FTC - materiały dotyczące praktyk bezpieczeństwa danych i privacy by design jako uzupełniający kontekst operacyjny.
Zobacz też
- Anonimizacja danych
- Rozmywanie twarzy
- Bezpieczeństwo danych
- AI w ochronie danych