CONTROLESTAAT EU: Franse regering zet in op gezichtsherkenning van burgers

Gezichtsherkenningstechnologie wordt steeds meer gebruikt, vooral in China en Singapore. In de Verenigde Staten daarentegen wordt het nogal controversieel geacht. Frankrijk is klaar om het eerste Europese land te worden dat gezichtsherkenningstechnologie gebruikt om burgers een “veilige digitale identiteit” te geven – of ze het willen of niet.

Gezichtsherkenningstechnologie wordt door de Europese Unie zo ongeveer als een instrument van de toekomst gezien (om de burgers goed in de gaten te houden), maar in de Verenigde Staten wordt het op zijn minst mild controversieel geacht. Bepaalde federale agentschappen (zoals de DHS) dringen aan op wijdverspreide inzet, zelfs terwijl congresleden vragen stellen over de nauwkeurigheid en betrouwbaarheid van de technologie. Ondertussen worden verboden op gezichtsherkenning ingevoerd, op stads- en staatsniveau, waaruit blijkt dat er in de VS geen landelijke consensus bestaat dat de technologie betrouwbaar, nuttig of niet-indringend is.

Burgers en privacygroepen hebben vergelijkbare zorgen in Frankrijk, maar de Franse overheid maakt dat blijkbaar geen ene shit uit. In naam van “veiligheid” voegt de Macron-regering gezichtsherkenningstechnologie toe aan haar nationale ID-programma
Dat meldt Helene Fouquet op Bloomberg.

Frankrijk lijkt dus het eerste Europese land te worden dat gezichtsherkenningstechnologie gebruikt om burgers een “veilige digitale identiteit” te geven – of de bevolking het wil of niet.

De regering van president Jupiter Emmanuel Macron zegt dat het de Staat efficiënter wil maken en voert plannen door om in november, dus volgende maand al, een ID-programma uit te rollen, genaamd Alicem, en dat is eerder dan het eerder gestelde doel van invoering met de Kerst.

Deze stap van het ministerie van Binnenlandse Zaken wordt al voor de rechtbank aangevochten door privacygroep La Quadrature du Net. Helaas belet deze rechtsgang niet de uitrol van de Android-app van de Franse overheid, wat de enige manier is voor inwoners om een digitale ID aan te maken die kan worden gebruikt voor toegang tot overheidsdiensten.

Een ID wordt gemaakt via een eenmalige registratie die werkt door de foto van een gebruiker in zijn biometrische paspoort te vergelijken met een selfie-opname die met de app is gemaakt, en die uitdrukkingen, bewegingen en invalshoeken vastlegt. De telefoon en het paspoort communiceren via hun ingebouwde chips.

Omdat deze digitale ID vooralsnog niet verplicht bezit is (staat te lezen op de site security.nl), hebben tegenstanders erop gewezen dat deze praktijk in strijd is met de volgens de GDPR geldende bepalingen voor het verzamelen van consensuele gegevens. Maar dat is verre van het enige probleem. Gezichtsherkenningstechnologie werkt nog steeds niet zo goed als de voorstanders beweren, wat ertoe zal leiden dat bewoners ofwel niet in staat zijn om een ID te maken die de overheid accepteert ofwel mogelijk beschuldigd worden van ID-fraude als de overheidskant van de technologie denkt dat het iemand anders is.

En dan is er de beveiliging van het programma zelf. Het wordt verondersteld om Franse burgers “veiliger” te maken, maar de regering heeft tot op heden bij niemand de indruk kunnen wekken dat haar bewering van “hoogste, staatsniveau” veiligheid juist is. Het eigen gecodeerde berichtenplatform werd in minder dan twee uur ontmanteld door een beveiligingsonderzoeker, waardoor de onderzoeker naar believen accounts kon aanmaken en gevoelige gegevens van bestaande accounts kon verzamelen. Kort daarna werd door de overheid een premieregeling voor het vinden van bugs in dat programma uitgerold, maar er is geen premie voor bugs uitgekeerd of een uitnodiging om de beveiliging op “staatsniveau” van de nieuwste app van de overheid te testen gedaan- een app die door ongeveer 100% van de inwoners van het land zal (moeten) worden gebruikt.

Volgens de Franse overheid zal de potentiële schade wordt beperkt door de aard van de vangst en de vrijgave van de gegevensverzameling. Zodra een ID is aangemaakt, zal de overheid (blijkbaar) de verzamelde gegevens verwijderen en zal alles wat lokaal door de app op het apparaat van de gebruiker is opgeslagen verdwijnen nadat de registratie is voltooid en de app is verwijderd.
Maar sommige gegevens worden nog steeds ergens opgeslagen, zodat burgers hun nieuwe digitale ID’s kunnen gebruiken om toegang te krijgen tot overheidsdiensten, hoewel de overheid blijft volhouden dat biometrische informatie van Alicem niet naar andere overheidsdatabases zal worden gelinkt.

Zelfs als alles wat de Franse regering beweert waar is, zal deze uitrol – een gebeurtenis die plaatsvond zonder dit in het openbaar kenbaar te maken en bewoners geen enkele mogelijkheid biedt om zich af te melden – het voor de overheid gemakkelijker worden om meer indringende gezichtsherkenningsprogramma’s te introduceren. Als dit digitale ID-programma soepel werkt en doet wat wordt beweerd, zal het in de toekomst de weerstand tegen gebruik door de overheid van biometrisch scannen en volgen verminderen. Immers, als iets eenmaal goed werkte tijdens een minimale, gecontroleerde uitrol, kan het weer werken als er meer op het spel staat en er minder controles plaatsvinden op het verzamelen en bewaren van biometrische informatie.
Surveillance door de overheid is (nog steeds) een groot punt van zorg, maar helaas zorgt gemakzucht en ongeïnteresseerdheid ervoor dat weinig mensen het verwerpelijk vinden.

Tot slot nog een aantal kritische kanttekeningen:

Ten eerste vereist het dat iedereen een eigen smartphone heeft. De Franse overheid sleept haar burgers aan de haren mee naar de eeuw van de informatievoorziening en -beheersing. Wee de burger die zo arm is dat die geen smartphone heeft – of wil. En dan moet het ook nog een Android-smartphone zijn. Sorry, iPhone- en Huaweigebruikers!
Ten tweede gaat het systeem ervan uit dat het gezicht van personen nooit zal veranderen. De leeftijd, het oplopen van letsel, het veranderen van het uiterlijk – kapsel, snor baard -, gemakeshalve wordt verondersteld dat er voldoende nuttige datapunten zijn om echt uniek te zijn onder de wereldbevolking. Wat ons inziens een illusie lijkt. En wat te denken van identieke tweelingen?

Komt nog wat anders bij: als iemand een app uit de Google Play Store wilt installeren, die ook akkoord moet gaan met de servicevoorwaarden van Google Play (https://play.google.com/about/play-terms/index.html) alsmede de servicevoorwaarden van Google (https : //policies.google.com/terms).
Dat betekent ook dat het overtreden van de gebruiksvoorwaarden van derden (in dit geval die van Google) ervoor kan zorgen dat Franse burgers permanent worden verbannen uit de Play Store en dus geen toestemming krijgen om een federaal verplicht ID te krijgen – vanwege een contractuele schending van een privéovereenkomst tussen de burger en een commerciële entiteit.
Dus de Franse overheid stelt dus de servicevoorwaarden van Google verplicht voor al haar burgers.

Het verleden leert dat het niet lang duurt vooraleer er een lange lijst met beveiligingslekken op het darkweb te vinden is waarop de accountnamen + wachtwoorden (of hash-bestanden) van gestolen ID’s staan. Wat eerder bij andere systemen is gebeurd zal uiteindelijk ook gebeuren met dit biometrische systeem. Hoe lang duurt het voordat iemand erachter komt hoe een gestolen biometrisch bestand moet worden ingevoerd in een app die een gezicht moet scannen en in plaats daarvan het gestolen bestand in het vergelijkingsgedeelte van het beveiligingssysteem invoert? Op dat moment is de echte accounthouder genaaid omdat die niet zomaar van gezicht kan veranderen alsof er een gestolen wachtwoord kunnen aangepast.