Работа с полицейскими управлениями идёт регулярно, но важно, чтобы технологии применялись разумно. Это может не понравиться некоторым клиентам, однако удалось выступить экспертом-свидетелем на стороне Institute for Justice в деле Schmidt v City of Norfolk (все мнения здесь личные, а не позиция IJ). Суть дела — являлся ли поиск по историческим кэшированным данным автоматических камер распознавания номеров (ALPR) незаконным обыском.

Судья вынес решение против истцов. Вот цитата из вердикта:

В соответствии с претензиями истцов по этому делу и действующей практикой по массовому наблюдению в общественных местах, слежка с помощью ALPR может со временем стать чрезмерно навязчивой и нарушить конституционные стандарты приватности. Но когда именно? Хотя однозначного ответа на этот вопрос пока нет, суду очевидно, что, по крайней мере в Норфолке, Виргиния, ответ таков: не сегодня.

Ключевое здесь — слово «не сегодня». Пост получится длинным, но постараемся уложить мысль в несколько пунктов:

  • Камеры станут повсеместными в обозримом будущем. Вопрос не в том, потребуется ли ордер для доступа к этим данным, а когда именно. По действующей судебной практике это произойдёт неизбежно.
  • Камеры — это хорошо, они способны снижать преступность экономически эффективным способом.
  • Есть разница между активными флагами (например, машина в угоне, и система пингует полицию, когда та проезжает мимо камеры) и историческим поиском (например, посмотреть, где номер XYZ1000 находился последние 30 дней).
  • Требование ордера для исторического поиска не серьёзно затруднит работу полиции.
  • Текущая практика неудержания данных очень плоха: она не предотвращает незаконные обыски и одновременно ограничивает пользу этих данных для легитимных расследований.
  • Действующие стандарты предотвращения злоупотреблений при поиске по системам ALPR смехотворны.

Короче говоря, всем было бы лучше, если бы штаты просто закрепили процедуру получения ордера на уровне законодательства.

Действующие правовые стандарты

Чтобы не углубляться слишком сильно в историю того, что считается обыском, проще всего начать с дела Carpenter vs US. Согласно текущей судебной практике США, полиции требуется ордер, чтобы запросить у сотовых операторов данные о пингах вышек связи (cell-site location information, CSLI).

Это отступление от прежней практики связано в первую очередь с тем, что данными владели частные компании. До Carpenter обычно утверждалось, что нет обоснованного ожидания приватности, если частная компания имеет доступ к тем же данным. Суд в деле Carpenter фактически постановил, что данные сотовой связи настолько всеобъемлющи, что оправдывают иной стандарт — ведь с их помощью можно отследить всю совокупность перемещений человека. А такой уровень вторжения в частную жизнь нарушает обоснованные ожидания приватности разумного человека. Даже если у Google есть вся эта информация, никто не ожидает, что компания отдаст её кому-то ещё.

Эта позиция была подтверждена недавним решением по делу Chatrie (о геозаборных ордерах — например, «дайте мне пинги всех телефонов в зоне X за период Y»). Ещё одно важное решение — Beautiful Struggle v Baltimore, где поиск по историческим аэрофотоснимкам с дронов также был признан обыском.

Поэтому вопрос именно в том, когда, а не если данные ALPR потребуют ордера. Если у города окажется камера буквально на каждом перекрёстке (а в будущем так и будет), по действующей судебной практике это явно окажется той же ситуацией, что и с данными сотового телефона.

Камеры — это хорошо

Если коротко: большая часть карьеры связана с работой с полицейскими управлениями, включая опыт работы криминальным аналитиком. Камеры ALPR представляются хорошей инвестицией, в первую очередь потому что они достаточно дешёвы для разумной окупаемости (не все полицейские технологии вызывают такое же отношение — например, есть серьёзные сомнения насчёт ценника систем акустического обнаружения выстрелов).

ALPR стоят заметно дешевле $3000 за камеру. Модели машинного обучения, камера и вычислительные мощности, необходимые для распознавания номера при проезде, легко помещаются на современный смартфон (сложнее с питанием и защитой от погодных условий). ALPR в основном просто делают статичные снимки и извлекают номерной знак (у некоторых вендоров — дополнительно марку и цвет машины).

Общие доказательства того, что ALPR снижают преступность, на данный момент довольно посредственны (см. слайды с выступления перед Wake Libertarian в 2024 году), но поскольку камеры настолько дёшевы, им нужно способствовать лишь нескольким дополнительным арестам, чтобы окупиться.

Оценка довольно приблизительная, поскольку убедительных оценок стоимости увеличения числа раскрытых дел пока нет. Но утверждение «я бы заплатил $500 за помощь в раскрытии одного дела» скорее занижено. Так что одна камера, если она помогает раскрыть хотя бы несколько преступлений в год, скорее всего окупается положительно.

Камеры в общественных местах — это вопрос времени. Представьте, что Ring выпустит более совершенную камерную систему для домовладельцев с более широким обзором вокруг дома и такой же ценой. И в итоге безопасность только выиграет. Так что даже для тех, кто против того, чтобы города платили за Flock, подобные технологии всё равно появятся в ближайшем будущем.

Исторический поиск против активных флагов

ALPR существуют уже давно. Первые камеры, с которыми довелось работать в Трое, штат Нью-Йорк, были установлены в патрульных машинах — по сути GoPro на окне, которая оповещала при проезде мимо угнанного номера.

Хотя изначально ALPR продвигались как средство активного флагирования угнанных машин, их сразу же начали использовать для ретроспективного поиска мест, где ранее находился тот или иной номер. Велся журнал: каждый номер, координаты и время, когда машина проезжала мимо камеры.

Допустим, ведётся расследование в отношении Джо Шмо, известен его номер — вводишь номер и видишь, где машина проезжала мимо камер. На основе этой информации, как и в случае с CSLI, можно фактически восстановить маршруты Джо, места, которые он регулярно посещал, где, вероятно, ночевал и так далее. (При первом использовании такой системы в Трое удалось установить, что конкретный человек, находившийся под наблюдением, жил у своей девушки. Честно говоря, было удивительно, насколько плотной оказалась карта срабатываний по одному номеру благодаря камерам в патрульных машинах.)

Технически кэшировать данные вовсе необязательно для реализации сценария «флаг для угнанной машины» (или любого другого случая активного поиска конкретного номера). Однако есть легитимные сценарии, когда поиск ALPR по свежим данным в режиме реального времени крайне полезен.

Один из распространённых примеров — ограбление заправки, преступник уехал на машине. Номер неизвестен, но можно посмотреть снимки, зафиксированные стационарными ALPR-камерами за нужный промежуток времени, и, особенно имея описание машины от заправщика, установить номер.

Не будучи юристом, но по личному мнению, экстренные обстоятельства делают поиск по нескольким минутам кэшированных данных ALPR полностью обоснованным. На практике трёхминутный период хранения данных в Нью-Гемпшире слишком короток. Разумными кажутся аргументы в пользу нескольких часов (например, «на обочине дороги найдено тело» — на сообщение об этом уходит больше времени). Но дальше начинается территория, где речь уже не об активной угрозе «нужно найти человека, который может быть вооружён и опасен», оправдывающей экстренные обстоятельства. Именно в таких случаях получение ордера разумно (не отличается от геозаборного ордера, если номер неизвестен и нужно просто посмотреть, какие машины проезжали мимо камеры за определённый промежуток времени, или от ордера на CSLI, если есть конкретный подозреваемый и нужно найти конкретный номер).

Большинство штатов хранят данные ALPR более длительные периоды. Пока шло дело в Норфолке, Виргиния установила единый по штату стандарт в 21 день. До этого решение принималось на уровне отдельного управления. Сроки различаются от штата к штату, но чаще всего это около 30 дней либо решение остаётся на усмотрение полицейского управления.

Удаление данных не предотвращает злоупотребления

Законы о хранении данных обычно обосновываются как механизм предотвращения злоупотреблений. На практике эта цель не достигается.

Если посмотреть на случаи, когда сотрудники злоупотребляли системой для поиска конкретных людей, во всех них искали один и тот же номер снова и снова, иногда сотни раз.

Если данные хранятся 20 дней, можно просто делать поиск каждые 20 дней, записывать нужную информацию и повторять запрос ещё через 20 дней. Удаление старых данных само по себе никак не мешает такому злоупотреблению. Более того, если кто-то целенаправленно следит за конкретным человеком, вполне ожидаемо, что запросы будут делаться регулярно, пока есть доступ к системе.

При этом удаление данных действительно мешает их легитимному использованию в долгосрочных расследованиях. Совершенно нормально, если расследование убийства занимает больше 30 дней до установления подозреваемого. А ведь было бы удобно запросить данные ALPR и проверить, находился ли человек рядом с местом преступления. Точно так же эти данные могли бы использоваться защитой для оправдательных целей (что, разумеется, тоже потребует больше 30 дней).

Так что те, кто выступает за удаление данных как средство борьбы со злоупотреблениями, на деле только усугубляют ситуацию. Это не мешает злоупотреблениям, но ограничивает полезность ALPR для исторических расследований. Единственный способ, при котором сам факт хранения данных предотвращает злоупотребления, — это вообще не кэшировать данные (как в Нью-Гемпшире) и использовать ALPR исключительно для активных оповещений.

Как должно выглядеть разумное регулирование

Одна из причин, почему нынешние стандарты предотвращения злоупотреблений выглядят смехотворно, — политика хранения данных и внутренние правила о том, когда данные можно запрашивать, действуют в большинстве управлений годами, если не десятилетие. Случаи, когда поиск по ALPR использовался для преследования партнёра, явно не были предотвращены политикой хранения данных.

При этом предложение хранить часть данных для расследований в реальном времени (дольше трёх минут) и требовать ордер за пределами этого окна тоже не предотвращает подобные злоупотребления. В большинстве управлений прописаны основания для поиска, а в некоторых штатах законодательно закреплены недопустимые причины для запроса. В деле Норфолка сотрудники, указывая причину поиска (что часто вообще пропускалось), иногда прямо писали причины, выглядящие незаконными на первый взгляд, например «протест».

Управления, даже имея правило проводить внутренние проверки, часто не следуют ему. Потребовалось, чтобы Тайлер Дьюкс запросил у полиции Роли результаты аудита, чтобы там впервые вообще провели такую проверку.

Это давняя проблема полицейских управлений, причём не только в отношении ALPR, но и незаконного доступа к базам судимостей. Сбор Institute for Justice десятка случаев злоупотреблений ALPR по всей стране — не доказательство того, что системы работают, скорее это говорит о том, что фиксируются лишь самые вопиющие случаи.

Помимо принятия законов, обязывающих получать ордер для исторического поиска по ALPR, штатам следует, как минимум, установить чёткие санкции за незаконные обыски. Это должно включать увольнение и постоянный запрет доступа к системе. Во время работы криминальным аналитиком в Нью-Йорке (и то же самое — в DCJS) именно такой стандарт применялся за незаконное использование базы судимостей.

Если установлен стандарт хранения активных поисковых данных менее 24 часов, появляется простая проверка, которую стоит внедрить: если конкретный номер или конкретная камера запрашивается два раза в течение двух дней, это должно вызывать более тщательную проверку. У Flock, кстати, есть собственная система для выявления подозрительной истории запросов.

Более серьёзный вопрос — кто проводит эту проверку. Возлагать это на вендоров бессмысленно, а полицейские управления просерьёзно не выделяют на это ресурсы даже в ответ на публичную критику. Механизм аудита логично передать сторонней структуре — например, отдельной группе в офисе генерального прокурора штата или государственному агентству по уголовному правосудию (как DCJS в Нью-Йорке).

Это, разумеется, тоже должно быть чётко закреплено законом штата. Кто именно проводит проверку?

Внимание пока уделялось злоупотреблениям со стороны самих полицейских управлений, но разумное регулирование должно также предусматривать аудит самих вендоров и санкции за несоответствие стандартам защиты данных (речь не столько про атаки уровня TEMPEST, сколько про ситуации вида «оставили незащищённый эндпоинт открытым в интернете»).

Многие из предлагаемых требований, вероятно, уже прописаны в законах — проблема в том, что структура, ответственная за проверку, часто не определена или не имеет ресурсов для работы. (Также часто неясно, какие санкции предусмотрены за несоблюдение — это тоже нужно чётко прописать.)

Будущее

Хотя надежды на то, что этот пост как-то повлияет на действующие стандарты по всей стране, минимальны, важно смотреть на слежку не только с точки зрения того, как всё устроено сейчас, но и как это может выглядеть в обозримом будущем.

Штатам стоит просто решиться и принять законы, требующие ордер для поиска по историческим данным ALPR (это, кстати, делает обмен данными между агентствами практически неважным — поиск в реальном времени нужен только в пределах собственной юрисдикции). Как уже говорилось в начале, действующая судебная практика в отношении возможности восстановить всю совокупность перемещений человека (что представляется вполне разумным критерием) со временем будет соблюдена, если камеры ALPR станут достаточно плотными. Так что штаты могут либо сами закрепить требование ордера законом, либо в конце концов получить его от судебной системы.

В мире, заполненном частными камерами в общественных местах, эти предложения остаются актуальными. Аналогично делу Carpenter для данных CSLI и делу Chatrie для геозаборных ордеров, должны существовать единые стандарты ордера для исторического поиска по любым записям видеонаблюдения. Не должно быть особого различия между данными ALPR (государственными или частными) и обычными видеокамерами.

Даже если группы, выступающие за запрет камер Flock, добьются своего, это не остановит частных владельцев от сбора данных. Так что сам по себе запрет Flock не предотвращает злоупотреблений с поиском по частным камерам. Лучшим решением видится позволить государству хранить данные (так же, как это делают частные вендоры) и установить единые стандарты ордера для получения полицией этих исторических данных.

Это, конечно, дополнительная нагрузка для следователей. Но такой компромисс между защитой личных свобод и сохранением у полиции эффективных инструментов расследования представляется разумным.

Есть некоторые технические тонкости насчёт того, является ли обыском сам факт сбора данных (именно такой сценарий рассматривался в деле Норфолка) или же речь об активном запросе (например, когда сотрудник ищет в системе конкретный номер ABC1234). Дело Норфолка касалось первого сценария, но в этом материале внимание сосредоточено именно на втором — на случаях, когда сотрудники действительно ищут в данных.