La Corte di appello inglese ha recentemente riconosciuto l’illegittimità del dispositivo AFR Locate, in uso presso la Polizia del Galles. L’impiego di tecnologie di riconoscimento facciale per finalità di law enforcement, secondo la Corte inglese, può ritenersi consentito solo a condizione che i criteri ed i limiti del relativo utilizzo siano oggetto di regolamentazione preventiva da parte del corpo di polizia che utilizzi il dispositivo. Tale soluzione non appare pienamente soddisfacente, lasciando aperto l’interrogativo «chi controlla i controllori?».
L’utilizzo delle tecnologie di riconoscimento facciale per finalità di law enforcement è un tema ampiamente controverso (per alcuni dei principali profili problematici v. in questo Osservatorio A. Mascolo, Facial recognition e law enforcement: “quando sei nato non puoi più nasconderti”?; S. Del Gatto, Riconoscimento facciale e diritti fondamentali: quale equilibrio?; Prove di regolazione del riconoscimento facciale e rischi di cattura del regolatore), soprattutto in quanto tale dispositivo si pone al crocevia tra esigenze di pubblica sicurezza e tutela dei diritti fondamentali.
Sebbene nel Libro Bianco sull’IA la Commissione abbia messo in guardia sui rischi a cui il riconoscimento facciale potenzialmente espone i diritti fondamentali – raccomandando agli Stati membri l’utilizzo dell’IA ai fini di identificazione biometrica «unicamente ove tale uso sia debitamente giustificato, proporzionato e soggetto a garanzie adeguate» -, negli ultimi anni tale tecnologia ha preso piede con straordinaria rapidità in molti Paesi europei (si veda, a questo proposito, l’edizione 2020 del report Automating Society redatto dall’organizzazione di ricerca Algorithm Watch).
Tuttavia, alla frenetica implementazione di tali dispositivi non è corrisposto – almeno fino ad ora –uno sforzo di regolamentazione del fenomeno, di fatto lasciando campo libero alle singole autorità pubbliche su come (e quanto) utilizzare i dispositivi di riconoscimento facciale nell’esercizio delle proprie funzioni.
Anche le pronunce giurisdizionali sono ancora sporadiche. Tra le più significative, va segnalata una recente decisione assunta dalla Corte di appello inglese, chiamata a decidere della legittimità del dispositivo di riconoscimento facciale “AFR Locate” utilizzato dalla Polizia del Galles.
All’origine della vicenda vi è un ricorso presentato innanzi al Tribunale di Cardiff dall’attivista per i diritti umani Ed Bridges, identificato in due occasioni – durante lo shopping natalizio in un centro commerciale e, un anno dopo, in una manifestazione pacifica – dalle telecamere di AFR Locate.
Con sentenza del 4 settembre 2019, il Tribunale di Cardiff aveva respinto il ricorso per avere ritenuto che l’obiettivo della misura perseguita (la tutela della pubblica sicurezza) fosse sufficientemente importante da giustificare la limitazione del diritto alla tutela della sfera privata e familiare sancito dall’art. 8 della CEDU (per un commento alla sentenza, v. in questo Osservatorio, S. Del Gatto, Quali regole per le nuove tecnologie di riconoscimento facciale? La Corte di Giustizia di Cardiff si pronuncia per la legittimità dell’uso di tecniche di Automated Facial Recognition da parte della Polizia del Galles).
Ed Bridges ha impugnato la pronuncia, e la Corte di appello inglese ha accolto tre dei cinque motivi di appello proposti.
Con la sentenza pubblicata lo scorso 11 agosto 2020, la Corte ha confermato che, in via di principio, l’uso di dispositivi di riconoscimento facciale per finalità di law enforcement possa considerarsi un’interferenza ragionevole rispetto al diritto al rispetto della vita personale, alla duplice condizione che sussista un’idonea base regolamentare e che il relativo uso sia strettamente proporzionale allo scopo da conseguire.
Nel caso di AFR Locate, però, dalla disamina dei documenti richiamati dalla polizia del Galles quale base regolamentare all’utilizzo del dispositivo di riconoscimento facciale, la Corte ha rilevato che i criteri ed i limiti del relativo utilizzo non erano stati anticipatamente predeterminati dalla Polizia del Galles, lasciando agli agenti spazi di discrezionalità eccessiva sia per quanto concerne i soggetti da inserire nella watchlist che per la scelta dei luoghi pubblici in cui collocare i dispositivi di riconoscimento facciale.
In secondo luogo, la Corte ha giudicato AFR Locate illegittimo anche perché la polizia del Galles aveva omesso di svolgere una preventiva valutazione di impatto sulla protezione dei dati personali, come espressamente richiesto dal Data Protection Act, con conseguente mancata valutazione in ordine alla sussistenza di eventuali rischi per i diritti e le libertà degli interessati.
Non solo. Il dispositivo è stato ritenuto illegittimo anche in ragione della mancata preventiva verifica – sempre da parte della Polizia del Galles – sulla sussistenza di eventuali bias di natura razziale o sessuale nell’algoritmo, in violazione del divieto di discriminazione posto a carico (nella normativa inglese dall’Equality Act 2010) delle pubbliche autorità.
La sentenza si conclude con un’esortazione, rivolta a tutte le forze dell’ordine, a verificare il corretto funzionamento del software utilizzato: «as AFR is a novel and controversial technology», rileva la Corte, «all police forces that intend to use it in the future would wish to satisfy themselves that everything reasonable which could be done had been done in order to make sure that the software used does not have a racial or gender bias».
La decisione ha una portata indubbiamente innovativa poiché, nel solco già tracciato dalla Commissione europea, rimette in questione la legittimità dell’uso dei dispositivi di riconoscimento facciale – tecnologie definite dalla Corte “novel and controversial” – da parte delle autorità di pubblica sicurezza.
Tuttavia, per l’incisivo impatto di tali tecnologie sul godimento dei diritti fondamentali (su questo tema si veda il rapporto Facial recognition technology: fundamental rights considerations in the context of law enforcement redatto dalla EU Agency for Fundamental Rights) il presidio individuato dalla Corte – ossia la regolamentazione preventiva dei criteri ed i limiti del relativo utilizzo e la valutazione di impatto, ad opera dello stesso corpo di polizia che utilizzi il dispositivo – non sembra la soluzione più adeguata allo scopo.
Gli interessi da contemperare sono, infatti, delicati ed estremamente polarizzati. Da una parte, vi è l’esigenza pubblicistica di assicurare il mantenimento dell’ordine pubblico e della sicurezza, e in ciò il riconoscimento facciale può costituire un valido alleato per le forse dell’ordine.
Dall’altra parte, tale tecnologia è suscettibile di incidere su una serie di prerogative fondamentali. Oltre all’interesse alla tutela della vita privata e dei dati personali, il riconoscimento facciale minaccia seriamente anche le libertà di espressione e di associazione (nella misura in cui i cittadini potrebbero essere portati a comportarsi direttamente qualora sospettino di essere osservati), può violare il principio di eguaglianza (come i numerosi casi di pregiudizi etnici hanno contribuito a dimostrare) nonché incidere sullo stesso diritto ad una buona amministrazione (ad esempio per quanto riguarda la motivazione dell’atto assunto in base alla valutazione algoritmica).
E neppure si può sottovalutare la naturale tendenza espansiva della sorveglianza pubblica, come molti episodi della storia recente hanno contribuito a dimostrare (per una rassegna si rinvia ancora al Rapporto Automating Society). Il riconoscimento facciale è un dispositivo di controllo estremamente efficace, in grado di fornire alle forze dell’ordine un patrimonio cognitivo senza precedenti, per capillarità e accuratezza delle informazioni.
Sorge allora spontaneo chiedersi quis custodiet ipsos custodes?
Dato il rango degli interessi da contemperare, l’eterogeneità dei contesti applicativi e la tendenza espansiva della vigilanza, a sorvegliare su tale tecnologia – e sul relativo uso da parte delle forze dell’ordine – non può che essere il diritto.
Ogni eventuale contemperamento (ma prima ancora la stessa decisione sulla legittimità o meno di tale dispositivo) dovrebbe essere, cioè, il frutto di una scelta politico-legislativa, in luogo di essere semplicemente demandato alla regolamentazione interna dei singoli corpi di polizia.