Єдина система відеомоніторингу, що впроваджується Міністерством внутрішніх справ, та намагання законодавчо врегулювати її роботу, знову стали об’єктом критики з боку ЗМІ, громадських організацій та правозахисників.
Єдина система відеомоніторингу, що впроваджується Міністерством внутрішніх справ, та намагання законодавчо врегулювати її роботу, знову стали об’єктом критики з боку ЗМІ, громадських організацій та правозахисників.
Інфоприводом до чергового витка суспільного невдоволення стала зустріч керівництва МВС з народними депутатами — членами Комітету ВРУ з питань правоохоронної діяльності, який є головним відносно законопроєкту 11031 «Про єдину систему відеомоніторингу стану публічної безпеки». А, відповідно, саме від позиції комітету залежатиме, чи потрапить він найближчим часом на голосування у сесійну залу. Наразі біля номеру законопроєкту стоїть позначка від 3 вересня «включено до порядку денного». Що актуалізує питання і переводить його з теоретичної у практичну площину: що ж саме може змінитися для суспільства з його прийняттям? Журналісти dev.ua вивчили законодавчу ініціативу та звернулися за коментарями до експертів.
Законопроєкт № 11031 був зареєстрований 20 лютого, а вже 21 лютого у ЗМІ з’явилася інформація, що його перший автор В’ячеслав Медяник написав заяву про складання депутатських повноважень. Офіційна електронна пошта пана Медяника наразі листів не приймає, вони повертаються до адресата. Не більш ніж цікаве співпадіння, адже законопроєкт має авторський колектив з інших народних депутатів — Максим Павлюк, Сергій Кузьміних, Олександр Бакумов, Сергій Швець, Володимир Захарченко, Максим Бужанський (всі — від фракції «Слуга народу»), і на його майбутнє проходження по сходинках парламентських процедур це ніяк не впливає.
Перш за все, поглянемо, що саме містить документ. Зокрема:
Варто зазначити, що у статті про захист персональних даних законодавці посилаються на низку міжнародних документів — Конвенцію про захист осіб у зв’язку з автоматизованою обробкою персональних даних, додатковий протокол до цієї конвенції та загальний регламент захисту персональних даних GDPR (General Data Protection Regulation), прийнятий у Європейському Союзі. Обіцяно, що принципи регулювання у запропонованому законопроєкті відповідатимуть цим актам.
З важливого — вказано, що персональні дані зберігаються в системах відеомоніторингу до п’ятнадцяти років. Після закінчення строку зберігання вони підлягають «знеособленню». Водночас дані щодо відцифрованого образу обличчя особи та транспортного засобу мають зберігатися лише в системі відеомоніторингу центрального рівня.
Попри все перераховане, треба підкреслити — повне регулювання роботи системи відеомоніторингу поки лишається поза кадром і для суспільства, і для журналістів та експертів. Чому? Бо законопроєкт містить велику кількість так званих бланкетних норм, тобто відсилок до інших документів. Ці документи ще не прийняті, і це підзаконні акти, тобто приймаються конкретними відомствами на виконання цього закону (поки ще — законопроєкту). Від того, якими будуть ці підзаконні акти, насправді й залежатиме регулювання, тоді як законопроєкт дає лише загальну канву.
Так, по тексту законопроєкту зустрічаємо наступне:
Це не вичерпний перелік відсилок у цьому законопроєкті, що ще раз переконує — найбільш цікаві подробиці регулювання ми дізнаємося вже потім. Бо, цілком зрозуміло, ці акти ще не розроблені й не оприлюднені.
Цікавим і дуже важливим пунктом законопроєкту є те, що Міністерство внутрішніх справ має визначити державне підприємство, що належить до сфери його управління, адміністратором системи відеомоніторингу стану публічної безпеки центрального рівня. Що саме це буде за підприємство, теж наразі невідомо. Але, на жаль, в Україні було досить багато держпідприємств, які повністю монополізували певні сектори, і їх робота ставала постійним об'єктом критики. Чи не станеться так і цього разу — відкрите питання.
Старша юристка Лабораторії цифрової безпеки Тетяна Авдєєва негативно оцінює якість того регулюванння, яке запропоноване у законопроєкті.
«Тривалий час було багато критики в бік держави щодо нерегульованого використання камер відеостеження, ще й з можливістю біометричної ідентифікації. Ще у 2021 році громадські організації говорили про порушення принципу правової визначеності і, як наслідок, незаконність такого стеження. Незалежно від його характеристик — а як факт відсутності правових підстав. Схоже, держава вирішила виправити цю ситуацію нашвидкуруч і кількома статтями закріпити повноваження здійснювати таке стеження, а заразом — і доступ до усіх можливих баз даних для державних органів»
З її слів, якщо в ідеальному світі закон мав би надавати гарантії від зловживань, то в цьому випадку він лише може погіршити долю українців, адже не пропонує жодних запобіжників. Юристка стверджує, що пояснювальна записка до законопроєкту не має предметного обгрунтування нововведень, а сконцентрована на загальних фразах про безпеку. «Тож, в цілому, важко сказати, що взагалі є потреба приймати такий законопроєкт. Радше зовсім навпаки», — вважає вона.
У випадку побудови єдиної системи відеонагляду, яка б мала централізоване управління з розгалуженими «під-рівнями», ми стикаємося не лише з проблемами юридичного та організаційного, а й технічного характеру.
Хоча зараз перебування в полі зору відеокамер та інших систем збору інформації, на думку співзасновника DroneUA та експерта у галузі технологій Валерія Яковенка, є буденним явищем і частиною суспільного життя.
«У сучасному світі ми маємо бути готовими жити на сто відсотків прозоро, тому що збір інформації про нас як користувачів різноманітних систем та її аналіз так чи інакше відбувається постійно», — вважає експерт.
З його слів, об’єднання всіх систем відеоспостереження в одну є технологічно важким завданням, і одним з критичних питань для його реалізації є обсяг інформації, що може зберігатися.
«Адже в законопроєкті згадуються терміни 15 років. Це може значно підвищити вартість адміністрування поточних мереж або створити велику статтю витрат для існуючого бюджету»
Окреме делікатне і стратегічно важливе з точки зору державної безпеки питання — це доступ до цієї системи. Особливо на центральному рівні, який передбачає можливість отримання інформації з будь-яких камер — в тому числі підприємств і приватних осіб.
«Доступ до централізованої системи є критичним з питань національної безпеки. Частково це питання може бути вирішене розділенням рівня доступів серед співробітників державних структур. Але у воєнний час наявність такої системи може бути критичною, адже навіть формуючи надефективний захист проти кіберзагроз, всі системи є вразливими для дії людського чинника», — озвучує ризики Валерій Яковенко.
Експерт з цифрової безпеки Павло Бєлоусов висловлює ще більш значне занепокоєння щодо можливих прогалин при доступі до системи.
«Одне з ключових питань — це доступ до цих даних. Наразі лише декларується, що буде контроль за ними, але ми маємо величезну кількість підтверджених випадків (наприклад, у реєстрі судових рішень), коли певні люди з доступом до чутливих даних (наприклад, працівники банків) продавали інформацію про стан рахунків та рух коштів тієї чи іншої особи за доволі символічну суму. Навіть зараз у певних групах у Telegram можна знайти осіб, які пропонують подібні послуги. Тож виникає питання: чому такого не може статися і в цій системі стеження? Досвід підказує, що якраз може», — вважає Бєлоусов.
Зі слів експерта, замовниками таких чутливих даних потенційно можуть бути різні категорії — як кримінальні елементи, так і економічні чи політичні конкуренти, а також люди, які мають особисті конфлікти і тд. Зрозуміло, що, на жаль, найбільші ризики для всієї країни зараз несуть всілякі колаборанти та люди, які ведуть підривну діяльність в інтересах ворога.
«Зловмисники можуть доволі вміло використовувати знання про детальне пересування людини. Такого плану масштабний збір даних та їхнє співставлення з іншими даними з різних реєстрів має насторожувати будь-кого. Без нагляду за даними та суворого контролю це все доволі небезпечно, особливо якщо врахувати, що обіцяють зберігати ці дані до 15 років»
Павло Бєлоусов акцентує на тому, що без прозорості, суворого контролю, обмеження доступу та відповідальності за витоки даних така база даних потенційно є доволі небезпечною і може завдати більше шкоди, ніж користі. «Український досвід показує, що подібні запобіжники наразі практично не використовуються або просто не працюють», — резюмує він.
Своєю чергою, CTO «ДонорUA» та CEO DevRain, експерт Олександр Краковецький у коментарі dev.ua надав покроковий «гайд», як саме зробити цю систему потенційно безпечнішою. На його думку, для цього потрібно:
Водночас він стверджує, що повністю убезпечити єдину централізовану систему відеоспостереження від несанкціонованого доступу практично неможливо, а його поради — це лиш методи мінімізації ризиків.
«Чи вірю я в те, що всі необхідні заходи будуть вжиті? Швидше, ні. Такі рішення важко реалізувати, навіть маючи колосальні ресурси та верховенство права», — робить висновки Краковецький.
Старша юристка Лабораторії цифрової безпеки Тетяна Авдєєва також не має відповідей на питання, які саме важелі впливу з боку держави дадуть змогу інтегрувати всі камери, у тому числі ніде не зареєстровані, в одну систему.
«З технічної сторони інтеграція всіх без винятку субʼєктів може бути складною. Щонайменше тому, що зʼясувати, хто саме володіє камерами вуличного стеження вже є неабияким викликом. Це не ті товари, які обовʼязково ліцензуються і на які щоразу отримують дозвіл при купівлі», — зазначає експертка.
Вона занепокоєна тим, що з технічної точки зору законодавець не пояснює, що саме мається на увазі під інтеграцією усіх камер в загальну систему — обʼєднання баз даних? доступ в режимі реального часу? можливість керувати записами камер? «Відповідь на це питання є важливою для розуміння, чи взагалі ця ідея технічно життєздатна», — переконана юристка.
При цьому Авдєєва бачить значно менше перепон для такої інтеграції з юридичного боку.
«Якщо у нас є законодавча вимога щодо обʼєднання баз даних, то юридично зобовʼязати особу поширювати такі дані з, наприклад, органами правопорядку, можуть. Потрібно розуміти, що у юридичній площині „можливість інтегрувати щось кудись“ — це всього лише питання законодавчого формулювання. Якщо в законі встановлять таку вимогу — це буде правова підстава для отримання доступу до інформації з камер будь-якої юридичної чи фізичної особи без, по суті, судового дозволу (ухвали слідчого судді). Чи це буде відповідати стандартам у сфері прав людини? Звісно ж, ні. Але чи можливо так сформулювати закон? Практика (зокрема, китайська) показує, що так», — резюмує старша юристка Лабораторії цифрової безпеки.
CTO «ДонорUA» та CEO DevRain Олександр Краковецький на прохання dev.ua розписав, що треба буде для впровадження проєкту такого масштабу. Зі слів експерта, інтеграція всіх камер спостереження в єдину систему відеонагляду технічно можлива, але вимагає значних ресурсів та складних технічних рішень. Олександр Краковецький виклав своє бачення по конкретним технічним пунктам:
Інфраструктура зберігання даних: потрібні величезні сховища даних для зберігання відеозаписів. Залежно від кількості камер, роздільної здатності відео та тривалості зберігання, об'єми даних можуть досягати петабайтів. Наприклад, система Safe City в москві зберігає дані з понад 200 000 камер протягом 5 днів, що вимагає сховища об'ємом близько 20 петабайтів.
Обчислювальні потужності: для обробки відеопотоків у реальному часі, особливо з використанням алгоритмів комп’ютерного зору та штучного інтелекту, потрібні потужні сервери або розподілені обчислювальні системи. Наприклад, система відеоспостереження в Лондоні використовує кластер з сотень серверів для обробки даних з понад 500 000 камер.
Мережева інфраструктура: необхідна надійна та високошвидкісна мережа для передачі відеопотоків з камер до центрів обробки даних. У багатьох випадках це вимагає прокладання оптоволоконних ліній або використання 5G мереж.
Програмне забезпечення: потрібне спеціалізоване ПЗ для управління відеопотоками, аналізу відео, розпізнавання об'єктів тощо. Наприклад, китайська система Skynet використовує складні алгоритми машинного навчання для розпізнавання осіб та відстеження переміщень.
Інтеграція та стандартизація: необхідно розробити єдині протоколи та інтерфейси для інтеграції камер різних виробників та поколінь. Це може вимагати заміни застарілих камер на нові моделі, сумісні з єдиною системою.
Щодо видатків, то, на думку експерта, вони можуть бути колосальними. Як приклад Краковецький наводить вже згадану систему Safe City в москві, яка коштувала близько $500 млн в період з 2012 по 2019 рік, або лондонську систему CCTV, обслуговування якої, за оцінками, коштує близько 200 млн фунтів щорічно. Водночас китайська система Skynet, зі слів Олександра Краковецького, коштувала кілька мільярдів доларів для розгортання по всій країні.
Як би ми не ставилися до впровадження такої системи, але на перестороги експертів та громадських організацій варто звернути увагу. На жаль, досвід України показує, що намагання сконцентрувати ту чи іншу функцію в одних руках зазвичай призводить не до кращих наслідків. Чи будуть ці наслідки аж такими апокаліптичними, як прогнозують окремі експерти, поки сказати важко. Адже більшість норм законодавчого регулювання нам поки невідомі — їх лише мають розробити вслід за законопроєктом № 11031.
Старша юристка Лабораторії цифрової безпеки Тетяна Авдєєва називає це не інакше як кінцем епохи прав людини в Україні. Вона вважає, що законопроєкт «заточений» під надмірне «профілювання» осіб.
«Згідно з законопроєктом, ідентифікація відбувається за допомогою біометричних даних та іншої інформації, яка включає, зокрема, дату народження/смерті, місце народження, стать та відомості про громадянство (частина 2 стаття 10). Чи допоможе така кількість інформації ідентифікувати особу за зображенням? Звісно ж, ні. Навряд чи дата народження допоможе розпізнати, чиє перед вами фото. Водночас це свідчить про намір створити базу даних майже всіх громадян — а це вже небезпечний прецедент у стилі Китаю та Росії. Жодної пропорційності тут немає», — переконана експертка.
Вона також занепокоєна тим, що законопроєкт не надає гарантій окремим категоріям осіб, наприклад — журналістам.
«Розпізнавання облич і автоматизована обробка даних не стандартизуються, не пропонується жодних запобіжників від зловживань. Так, якщо ми говоримо про журналістку, яка зустрічається з журналістськими джерелами — чи може вона очікувати на приватність? Ні, бо камери будуть повсюдно. Тож журналістські розслідування навряд зможуть проводитися ефективно, якщо взагалі зможуть», — робить висновки вона.
Також Авдєєва вказує на відсутність органу контролю, який зможе хоча б якимось чином здійснювати нагляд і попереджати чи карати за порушення у цій сфері.
Аналогії з китайськими практиками стеження за своїми громадянами виникли й у Павла Бєлоусова. Експерт стверджує — навіть закривання обличчя у таких випадках може не допомогти.
«Якщо люди згодом почнуть приховувати обличчя, це також не допоможе, оскільки система зможе доволі чітко розпізнавати людей за ходою, як це вже є в Китаї. Цим почали займатися ще до ковіду, коли більшість людей ходили в масках і розпізнати обличчя було важче. Але нейромережі працюють добре», — додає він.
На думку Олександра Краковецького, побоювання експертів та громадських організацій справді мають серйозні підстави, адже масштабні системи відеоспостереження несуть значні ризики для приватності та громадянських свобод.
Зі слів експерта, постійне спостереження в публічних місцях може призвести до такого психологічного ефекту, як «охолодження», адже люди можуть змінювати свою поведінку, знаючи, що за ними спостерігають. Наприклад, дослідження показали, що у Лондоні, де встановлено понад 500 000 камер, люди менше схильні до спонтанної поведінки в публічних місцях.
Серед інших ризиків, на яких акцентує Краковецький — доступ до масштабної системи відеоспостереження може бути використаний для політичних переслідувань або корупційних схем (у тому ж Китаї система Skynet використовується для відстеження активістів та представників етнічних меншин).
Приводячи світовий досвід, експерт стверджує, що алгоритми розпізнавання осіб часто мають упередження щодо певних расових або етнічних груп, що може призвести до несправедливого поводження (наприклад, у США були випадки помилкових арештів через неточності в системах розпізнавання обличчя). Окрім того, централізовані бази даних з інформацією про переміщення громадян стають привабливою ціллю для хакерів (наприклад, у 2021 році хакери отримали доступ до камер компанії Verkada, що охоплювали лікарні, школи та в’язниці в США).
Ну і насамкінець системи, спочатку встановлені для безпеки, зі слів Краковецького, можуть поступово розширюватися для інших цілей без належного громадського обговорення. Так, у москві система Safe City, спочатку призначена для боротьби зі злочинністю, використовувалася для відстеження порушень карантину під час пандемії COVID-19.
До речі, в Україні окремі коментатори даної законодавчої ініціативи вже «пророкували», що єдина система відеоспостереження стане ще одним механізмом для боротьби з ухилянтами.
«Важливо зазначити, що навіть у демократичних країнах існують ризики зловживань. Наприклад, у Франції закон про глобальну безпеку 2021 року, який розширив можливості відеоспостереження, викликав масові протести через побоювання щодо обмеження громадянських свобод»
З низки питань цього матеріалу ми також відправили інформаційні запити до Міністерства внутрішніх справ та Національної поліції. Але на момент виходу статті у МВС відповіли, що строк розгляду нашого запиту продовжено.
