Az Apple-nek egy komoly, 32,5 milliárd dolláros csoportos perrel kell szembenéznie, amely az Illinoisi Biometrikus Adatvédelmi Törvény (BIPA) megsértésével vádolja a vállalatot. A vád szerint az iPhone-ok Photos alkalmazása a felhasználók engedélye nélkül gyűjt biometrikus adatokat. Nancy Rosenstengel amerikai kerületi bíró szeptember 30-i ítéletében részben helyt adott az Apple összefoglaló ítélet iránti kérelmének, és egy alosztályt törölt a perből, de az ügy jelentős része tovább folytatódik. Az ítélet rávilágít a biometrikus adatok kezelésével kapcsolatos jogi kihívásokra és arra, hogy a technológiai óriások milyen felelősséggel tartoznak a felhasználók adatainak védelméért.
Az arcfelismerés és a BIPA dilemmája
A per eredeti állítása szerint a Photos alkalmazás arcfelismerő technológiával "arcnyomatot" készít a felhasználók arcáról. Ezek az arcnyomatok, megfelelő minták birtokában, elméletileg azonosítani tudják az iPhone felhasználóját és más személyeket. Az Apple állítja, hogy a rendszer neurális hálózatot használ a pixelek elemzésére, nem pedig az arc fizikai geometriáját méri, és csupán az azonos arcnyomattal rendelkező képeket csoportosítja, nem pedig konkrét személyeket azonosít. Azonban a felperesek azzal érvelnek, hogy a neurális hálózat megtanulja az arcfelismerő jellemzőket, beleértve a geometriai kapcsolatokat is, amelyeket aztán az egyének azonosítására használnak.
A bíró egyetértett azzal a felperesi állítással, hogy elegendő bizonyíték van arra, hogy egy esküdtszék potenciálisan egyetértsen velük. Ez a korábbi Facebook-ügyre is utalt, ahol a törvény nem korlátozza az arcfelismeréshez használt mérések típusait. Fontos megjegyezni, hogy a BIPA, egy 2008-ban hatályba lépett állami törvény, azt hivatott szabályozni, hogy a magáncégek hogyan használják a biometrikus információkat, mint például az ujjlenyomatokat, írisz- és retinavizsgálatokat, hangnyomatokat és arcnyomatokat. A vállalatoknak a használat előtt be kell szerezniük a felhasználók hozzájárulását, vagy megfelelően fel kell fedniük a felhasználást, biztonságosan kell tárolniuk ezeket az adatokat, és időben meg kell semmisíteniük azokat.
Az Apple védekezése és a bíróság döntése
Az Apple fő érve az volt, hogy nem gyűjt és nem is birtokol biometrikus azonosítókat vagy információkat, mivel az adatokat helyben, az eszközön dolgozzák fel, és titkosítják. A cég hangsúlyozza, hogy szerverei nem kapnak hozzáférést a feldolgozott arcfelismerő adatokhoz, és csak akkor rendel nevet egy személyhez, ha a felhasználó manuálisan megteszi azt. Az Apple adatvédelmi nyilatkozata szerint a gépi tanulás az eszközön fut az olyan funkciókhoz, mint a People & Pets album, és a vállalatnak nincs hozzáférése a felhasználók fotóihoz vagy videóihoz.
Főbb pontok, amelyek a perben kiemelkedtek:
- Face Crops (kivágott arcok): Az Apple sikeresen érvelt a face crops, vagyis az arcészlelő algoritmus által létrehozott képek esetében. A bíróság úgy ítélte meg, hogy az arcfelismerő algoritmus csak a kép azon részét vágja ki, ahol az arc található, de ez az információ önmagában nem tartalmaz geometriai adatokat az arcról. Ezért ezen a ponton az Apple javára hozott ítéletet a bíróság.
- Adatgyűjtés és titkosítás: Az Apple azzal érvelt, hogy a biometrikus adatokat nem gyűjti és nem birtokolja a törvény értelmében, mivel az adatok helyi feldolgozása és titkosítása miatt az iCloudba feltöltött arcnyomatokhoz nem fér hozzá. A bíró azonban elutasította ezt az értelmezést, mondván, hogy az Apple ettől még birtokolja az adatokat az iCloudon, még titkosított formában is. A bíró szerint a birtoklás ténye önmagában is elegendő kontrollt jelent, és az Apple bármikor megváltoztathatja a titkosítási folyamatokat a jövőben. Ezért a titkosítás nem volt elegendő védelmi stratégia ebben az esetben.
- Az alosztályok változásai: A per eredetileg három alosztályt érintett. Az iCloud alosztályt, amely az iCloudhoz társított, azonosító címkékkel ellátott Photos People albummal rendelkező illinoisi lakosokból állt, a bíróság decertifikálta. A Helyi Eszköz Alosztály (Local Device Subclass), amely a 2016 óta Photos People albumában fotókkal rendelkező lakosokból állt, továbbra is tanúsított maradt. A harmadik, iCloud Arcnyomat Alosztály (iCloud Faceprint Subclass), amely a 2024 júliusa óta az új szinkronizációs rendszerrel az iCloudba feltöltött arcnyomatokkal rendelkező lakosokból áll, egyelőre fennmarad, az osztályértesítések felülvizsgálatára várva.
Mi várható a jövőben?
Ez az ítélet nem teljes győzelem és nem is teljes vereség az Apple számára. Bár az ügy folytatódik, a vállalatnak át kell gondolnia érveit a titkosításra, az adatok birtoklására és a BIPA-ra vonatkozóan. A per kimenetele szélesebb körű hatással lehet arra, hogy a technológiai cégek hogyan használják az arcfelismerő technológiát és más hasonló funkciókat, valamint hogyan kezelik a biometrikus adatokat a jövőben. A cél az, hogy a felhasználói adatvédelem továbbra is kiemelt fontosságú maradjon a digitális korban, és a vállalatok felelősséget vállaljanak a gyűjtött adatokért, még akkor is, ha azok titkosított formában tárolódnak.
Egyelőre a magyar felhasználók számára a per közvetlen hatásai nem érezhetők, de a globális trendek azt mutatják, hogy az adatvédelem egyre szigorúbbá válik, és ez hosszú távon az európai szabályozásra is hatással lehet. A jelenlegi magyar jogszabályok szintén szigorúan szabályozzák a biometrikus adatok kezelését, így a hasonló perek eredményei precedenst teremthetnek a jövőre nézve.