Texas CUBI Act - definicja
Texas CUBI Act to potoczna nazwa teksańskiej regulacji dotyczącej danych biometrycznych, czyli Capture or Use of Biometric Identifier Act. Ustawa została przyjęta w 2009 roku i jest skodyfikowana w Texas Business and Commerce Code, Chapter 503. Reguluje ona komercyjne pozyskiwanie, przechowywanie, używanie i przekazywanie identyfikatorów biometrycznych. W praktyce compliance najczęściej analizuje się ją przy systemach rozpoznawania twarzy, ponieważ obraz twarzy może być użyty do wyodrębnienia wzorca biometrycznego służącego identyfikacji osoby.
W kontekście anonimizacji zdjęć i nagrań wideo Texas CUBI Act nie zakazuje samego rozmywania twarzy. Kluczowe jest to, czy organizacja przed zamazaniem obrazu dokonuje operacji, które można uznać za przechwycenie lub użycie identyfikatora biometrycznego. Jeżeli system AI analizuje materiał tylko po to, aby wykryć twarz jako obiekt i natychmiast nałożyć maskę rozmycia, ryzyko regulacyjne jest zwykle mniejsze niż przy budowie trwałych szablonów twarzy, porównywaniu osób między nagraniami albo identyfikacji konkretnych jednostek. Granica praktyczna przebiega więc między detekcją obiektu na potrzeby anonimizacji a biometryczną identyfikacją lub weryfikacją osoby.
Z perspektywy źródeł podstawowych najważniejsze są: tekst ustawy Texas Business and Commerce Code, Chapter 503, stanowiska i działania egzekucyjne Attorney General of Texas oraz porównawczo orzecznictwo i praktyka wokół ustawy Illinois BIPA. CUBI Act jest regulacją stanowową, nie federalną, i dotyczy działalności komercyjnej na terenie Teksasu.
Zakres podmiotowy i przedmiotowy Texas CUBI Act
Ustawa obejmuje podmioty komercyjne, które przechwytują identyfikator biometryczny w celu komercyjnym. Nie jest to akt ograniczony wyłącznie do branży monitoringu czy AI. Może mieć znaczenie dla producentów oprogramowania do analizy obrazu, integratorów CCTV, dostawców narzędzi do przetwarzania zdjęć oraz administratorów materiałów wideo.
Normatywnie istotne są trzy elementy: rodzaj danych, cel operacji oraz obowiązki po stronie firmy. W Texas CUBI Act identyfikator biometryczny obejmuje skan siatkówki lub tęczówki, odcisk palca, odcisk głosu oraz zapis geometrii dłoni lub twarzy. To ostatnie ma bezpośrednie znaczenie dla systemów przetwarzania obrazu.
Obszar
Znaczenie praktyczne dla zdjęć i wideo
Geometria twarzy
Może powstać, gdy system wylicza wektor cech twarzy do identyfikacji lub dopasowania osoby
Detekcja twarzy
Samo wykrycie obszaru twarzy do zamazania nie zawsze oznacza utworzenie identyfikatora biometrycznego, ale wymaga analizy architektury modelu i logiki przetwarzania
Przechowywanie
Ryzyko rośnie, gdy cechy twarzy są zapisywane, indeksowane lub łączone z metadanymi osoby
Udostępnianie
Przekazanie wzorców biometrycznych podmiotom trzecim podlega odrębnym ograniczeniom
Obowiązki firm pod Texas CUBI Act
Ustawa nakłada na firmy obowiązki materialne, które należy odczytywać ściśle. Dla zespołów odpowiedzialnych za anonimizację wideo najważniejsze jest rozpoznanie momentu, w którym pipeline techniczny zaczyna tworzyć dane biometryczne w rozumieniu prawa.
W uproszczeniu organizacja komercyjna nie może przechwycić identyfikatora biometrycznego bez uprzedniego poinformowania osoby i uzyskania jej zgody. Ponadto ustawa ogranicza sprzedaż, leasing i ujawnianie takich danych, chyba że zachodzi określona podstawa prawna. Wymaga też ochrony danych biometrycznych z należytą starannością oraz ich usunięcia w rozsądnym terminie, nie później niż rok po celu ich pozyskania.
- uprzednie poinformowanie osoby o przechwyceniu identyfikatora biometrycznego,
- uzyskanie zgody przed przechwyceniem danych,
- zakaz sprzedaży, leasingu lub innego ujawniania identyfikatora biometrycznego w większości przypadków,
- ograniczenie ujawniania danych biometrycznych podmiotom trzecim,
- stosowanie rozsądnych środków ochrony danych, co najmniej porównywalnych do ochrony innych poufnych danych,
- usunięcie danych w rozsądnym czasie, maksymalnie do 1 roku od celu ich pozyskania.
Dla materiałów foto-wideo oznacza to, że zgodność zależy nie tylko od tego, czy końcowy plik ma rozmyte twarze, ale też od tego, co dzieje się po drodze. Jeżeli model tworzy embedding twarzy, zapisuje go i wykorzystuje do ponownego rozpoznawania tej samej osoby, obowiązki compliance są znacznie dalej idące niż przy jednorazowej detekcji obszaru twarzy do anonimizacji.
Znaczenie Texas CUBI Act dla anonimizacji twarzy w zdjęciach i nagraniach
W praktyce anonimizacji obrazu celem jest ograniczenie identyfikowalności osoby. To zwykle wspiera ochronę prywatności, ale nie zwalnia automatycznie z analizy regulacyjnej na etapie przetwarzania wejściowego. System do zamazywania twarzy działa zazwyczaj w oparciu o modele deep learning, które wykrywają twarz w kadrze, wyznaczają prostokąt ograniczający lub maskę segmentacyjną, a następnie nakładają blur, pixelation albo maskę kryjącą. Taki model AI musi zostać wcześniej wytrenowany na zbiorach obrazów zawierających twarze. Sam fakt użycia deep learning nie przesądza jeszcze o przetwarzaniu identyfikatorów biometrycznych konkretnej osoby z materiału produkcyjnego, ale architektura rozwiązania ma tu znaczenie decydujące.
Najbezpieczniejszy model operacyjny dla anonimizacji to taki, w którym system:
- wykrywa twarze lokalnie lub w środowisku kontrolowanym,
- nie tworzy trwałych szablonów twarzy przypisanych do osoby,
- nie porównuje twarzy między plikami w celu identyfikacji,
- nie zapisuje logów zawierających dane biometryczne lub wyniki rozpoznania osoby,
- po anonimizacji ogranicza retencję materiału źródłowego zgodnie z polityką organizacji.
To rozróżnienie jest istotne także z perspektywy praktycznej oceny narzędzi. Oprogramowanie do anonimizacji takie jak Gallio PRO automatycznie zamazuje twarze i tablice rejestracyjne, ale nie służy do biometrycznej identyfikacji osób. Nie wykonuje też anonimizacji strumienia wideo ani w czasie rzeczywistym. Dla oceny pod Texas CUBI Act ważne jest, czy system jest wdrożony jako narzędzie maskujące obraz, czy jako narzędzie rozpoznawania tożsamości.
Różnice między Texas CUBI Act a Illinois BIPA
Najczęściej porównuje się CUBI Act z ustawą Illinois BIPA, czyli Biometric Information Privacy Act, 740 ILCS 14, obowiązującą od 2008 roku. Obie regulacje dotyczą danych biometrycznych, ale ich praktyczne skutki dla firm są różne.
Kryterium
Texas CUBI Act
Illinois BIPA
Rok
2009
2008
Zakres
Przechwytywanie identyfikatora biometrycznego w celu komercyjnym oraz jego przechowywanie, używanie i ujawnianie
Zbieranie, przechwytywanie, zakup, otrzymywanie przez handel i inne formy uzyskiwania danych biometrycznych
Prywatne powództwo
Co do zasady brak prywatnego prawa dochodzenia roszczeń na wzór BIPA
Tak - to główna przyczyna wysokiego ryzyka procesowego
Retencja
Usunięcie w rozsądnym czasie, nie później niż 1 rok po celu pozyskania
Wymóg publicznej polityki retencji i harmonogramu zniszczenia danych
Znaczenie procesowe
Silniejsze ryzyko egzekucyjne ze strony organu stanowego
Bardzo wysokie ryzyko pozwów zbiorowych i odszkodowań ustawowych
Różnica najważniejsza dla compliance jest taka, że BIPA stworzyła wyjątkowo silny reżim sporów cywilnych, podczas gdy Texas CUBI Act jest przede wszystkim narzędziem egzekucji publicznoprawnej. To nie oznacza niskiego ryzyka. Oznacza jedynie inny profil ryzyka prawnego i inny sposób dokumentowania zgodności.
Kluczowe parametry oceny zgodności w systemach anonimizacji
Przy ocenie narzędzia do przetwarzania zdjęć i wideo warto przełożyć wymogi prawne na mierzalne cechy techniczne. Sama skuteczność wykrywania twarzy nie wystarcza. Należy zbadać, czy rozwiązanie generuje i utrwala dane biometryczne, jak długo je przechowuje oraz gdzie odbywa się przetwarzanie.
- retencja danych - maksymalny czas przechowywania materiału źródłowego, masek, metadanych i ewentualnych embeddingów twarzy,
- tryb wdrożenia - on-premise lub środowisko kontrolowane ogranicza ekspozycję danych,
- precyzja detekcji - recall i precision dla twarzy wpływają na ryzyko pozostawienia niezanonimizowanej osoby w kadrze,
- fałszywie ujemne wykrycia - pominięte twarze stanowią ryzyko prywatności i zgodności,
- brak identyfikacji - należy potwierdzić, że system nie służy do rozpoznawania tożsamości,
- logowanie - logi nie powinny zawierać danych osobowych ani wzorców biometrycznych, jeżeli nie jest to niezbędne.
W praktyce można zastosować prostą zasadę oceny: im mniej operacji wykraczających poza jednorazową detekcję twarzy do zamazania, tym mniejsze ryzyko wejścia w reżim biometryczny. To nie zastępuje analizy prawnej, ale porządkuje architekturę rozwiązania.
Odniesienia normatywne i źródła
Definicję i obowiązki należy weryfikować przede wszystkim na poziomie źródeł pierwotnych. W razie rozbieżności interpretacyjnych pierwszeństwo ma tekst ustawy i oficjalna praktyka egzekucyjna.
- Texas Business and Commerce Code, Chapter 503 - Biometric Identifiers, stan prawny obowiązujący w Teksasie
- Illinois Biometric Information Privacy Act - 740 ILCS 14
- Materiały i komunikaty Attorney General of Texas dotyczące egzekwowania przepisów biometrycznych
- Dokumentacja techniczna systemu przetwarzania obrazu - niezbędna do ustalenia, czy dochodzi do tworzenia wzorców biometrycznych
Zobacz też
- RODO
- Anonimizacja danych
- Rozmywanie twarzy
- Ochrona prywatności