Эта история показывает, как лицо перестало быть только изображением человека и стало биометрическим идентификатором, пригодным для поиска, наблюдения, коммерческого анализа и синтетического воспроизведения. Европейский режим защиты данных закрепил особый статус биометрии, а судебные и регуляторные решения превратили согласие, цель сбора и сроки хранения из абстрактных принципов в предмет финансовой и правовой ответственности. Конфликт вокруг баз, собранных из открытых фотографий, показал: публичность снимка не равна разрешению превратить его в поисковый ключ. Затем AI Act связал тему лица с правилами для удалённого распознавания, биометрической категоризации и дипфейков. История продолжается, потому что технологии извлечения и генерации лица развиваются быстрее, чем единая практика их применения.
2016-04-27
GDPR выделил биометрию для уникальной идентификации в особую категорию данных
Регламент ЕС 2016/679, известный как GDPR, задал новую правовую рамку для обработки персональных данных. В нём биометрическими названы данные, полученные специальной технической обработкой физических, физиологических или поведенческих признаков и позволяющие либо подтверждающие уникальную идентификацию человека. Когда такие данные используются именно для идентификации, их обработка попадает в особую категорию, для которой установлен общий запрет с ограниченными законными исключениями. Лицо стало важным примером этой логики: фотография может быть обычным изображением, но извлечённый из неё биометрический шаблон, применяемый для поиска конкретного человека, получает иной режим защиты.
Что это значит
Право стало различать не только файл с изображением, но и цель его технической обработки. Это заложило основу для споров о распознавании лиц: ключевым оказался вопрос, превращают ли фотографию в инструмент уникальной идентификации, а не только вопрос о том, была ли она опубликована.
2018-05-25
GDPR начал применяться, сделав правила для биометрии действующими в ЕС
25 мая 2018 года GDPR начал применяться во всех государствах ЕС, заменив прежнюю директиву о защите данных. Для организаций это означало переход от общего разговора о приватности к прямым обязанностям по выбору правового основания, информированию людей, ограничению целей обработки и соблюдению специальных условий для чувствительных категорий данных. В отношении лица новая система не запрещала любые технологии распознавания автоматически, но требовала обосновать использование биометрии для идентификации. Правило распространялось и на компании за пределами ЕС, если они обрабатывали данные людей в Союзе в предусмотренных регламентом случаях.
Что это значит
С этой даты статус лица как чувствительных биометрических данных получил практическое значение для платформ, разработчиков и заказчиков систем распознавания. Последующие претензии к массовому сбору лиц стали строиться не на новизне технологии, а на проверяемых обязанностях по данным.
2021-02-26
Суд утвердил мировое соглашение Facebook по претензиям к распознаванию лиц
Федеральный суд Северного округа Калифорнии утвердил мировое соглашение на 650 миллионов долларов по коллективному иску пользователей из Иллинойса к Facebook. Иск был связан с функцией распознавания лиц и подсказками для отметок на фотографиях, которые, по мнению истцов, нарушали закон штата Illinois Biometric Information Privacy Act. Судебный документ предусматривал не только денежный фонд, но и изменения в обращении с шаблонами лиц: для пользователей без явного согласия настройка распознавания должна быть выключена по умолчанию, а существующие шаблоны подлежали удалению, если компания не получит согласие после отдельного раскрытия целей использования.
Что это значит
Судебное решение показало, что спор о лице может касаться не утечки и не публикации снимка, а самого извлечения и хранения биометрического шаблона. Для крупных платформ согласие и настройки продукта стали не только вопросом интерфейса, но и источником существенного правового риска.
2021-12-16
Французская CNIL потребовала от Clearview прекратить обработку лиц
Французский регулятор CNIL сообщил о формальном требовании к Clearview AI прекратить незаконную обработку данных людей во Франции и удалить уже собранные данные в двухмесячный срок. Регулятор счёл, что компания собирала и использовала биометрические данные без достаточного правового основания и не обеспечивала должным образом права людей на доступ и удаление данных. Clearview строила поисковую систему по лицам на основе фотографий, собранных из открытых сайтов и социальных сетей. Компания оспаривала применимость GDPR, ссылаясь на отсутствие деятельности и клиентов во Франции и ЕС, однако CNIL исходила из обработки данных людей, находящихся на французской территории.
Что это значит
Решение отделило доступность фотографии в интернете от права использовать её для построения поисковой биометрической базы. Оно также сделало видимым трансграничный конфликт: регулятор может предписать удалить данные, но исполнение требований к зарубежной компании остаётся отдельной практической проблемой.
2022-03-09
Итальянский регулятор оштрафовал Clearview и запретил сбор лиц в Италии
Итальянский Garante per la protezione dei dati personali оштрафовал Clearview AI на 20 миллионов евро и распорядился удалить данные людей, находящихся в Италии, а также запретил дальнейший сбор и обработку этих данных через систему распознавания лиц. В сообщении регулятора говорится, что компания использовала фотографии из открытых интернет-источников, социальных сетей и видеоматериалов для формирования профилей на основе извлечённых биометрических данных. Garante указал на отсутствие надлежащего правового основания, недостаточную прозрачность, нарушение ограничений цели и срока хранения. Компании также предписали назначить представителя в ЕС для облегчения реализации прав людей.
Что это значит
Итальянское решение превратило спор о скрейпинге фотографий в конкретные требования: удалить данные, остановить дальнейший сбор и создать канал для обращений людей. Оно показало, что публичное размещение фото не даёт компании неограниченного права менять первоначальную цель его использования.
2022-05-23
Британский ICO наказал Clearview за базу лиц, собранную из веба
Британское Управление комиссара по информации ICO оштрафовало Clearview AI на 7 552 800 фунтов и выдало предписание прекратить получать и использовать общедоступные данные жителей Великобритании, а также удалить их из систем компании. ICO установило, что фотографии и данные из веба и социальных сетей использовались для глобальной базы, по которой клиент мог загрузить снимок и получить совпадения. Регулятор указал на отсутствие прозрачности и законного основания, бессрочное хранение, а также на несоблюдение повышенных требований к биометрическим данным. Clearview заявляла, что не ведёт бизнес в Великобритании и оспаривала применимость правил.
Что это значит
Решение расширило вопрос о лице от частного согласия до модели массового наблюдения: база позволяла связывать фотографию с похожими изображениями и их исходными сайтами. Одновременно дело показало пределы национального принуждения, когда база и компания находятся за пределами страны, чьи жители в ней оказались.
2024-08-01
В ЕС вступил в силу AI Act с отдельными уровнями риска для систем ИИ
1 августа 2024 года в Европейском союзе вступил в силу AI Act, установивший единый риск-ориентированный режим для систем искусственного интеллекта. Закон не свёл вопрос лица к защите персональных данных: он выделил случаи применения ИИ по уровню риска для прав и безопасности человека. В материалах Европейской комиссии к высокорисковым отнесены системы удалённой биометрической идентификации, распознавания эмоций и биометрической категоризации. Для неприемлемого риска предусмотрены запреты, а для других систем — поэтапные обязанности по качеству данных, документации, контролю человека и прозрачности. Тем самым регулирование стало охватывать не только биометрическую базу, но и способ использования алгоритма.
Что это значит
Лицо оказалось на пересечении двух режимов: правил о персональных данных и правил о рисках самого ИИ-применения. Это изменило предмет проверки: важны стали не только происхождение и хранение шаблона лица, но и контекст, цель и последствия автоматического решения.
2025-02-02
В ЕС начали действовать первые запреты AI Act для опасных практик с лицом
2 февраля 2025 года начали применяться первые запреты AI Act. В их число вошёл неизбирательный сбор из интернета или записей камер наблюдения для создания либо расширения баз распознавания лиц. Также запрещены отдельные формы биометрической категоризации, выводящей защищённые характеристики человека, и использование удалённой биометрической идентификации в реальном времени правоохранительными органами в публично доступных местах, за исключением предусмотренных законом узких случаев. Эти правила не отменили всякое распознавание лиц: другие сценарии, включая некоторые системы удалённой идентификации, относятся к отдельным категориям и регулируются по иной временной шкале.
Что это значит
Право впервые прямо связало неприемлемый риск не только с ошибкой алгоритма, но и с методом наполнения базы лиц и пространством применения распознавания. Для человека это означает, что массовое превращение открытых изображений в идентификационный ресурс стало самостоятельным объектом запрета.
2026-08-02
В ЕС начали действовать правила прозрачности для дипфейков и ИИ-контента
2 августа 2026 года начали применяться положения статьи 50 AI Act о прозрачности для ряда систем ИИ. Для темы лица особенно важна обязанность раскрывать создание или манипулирование дипфейком: изображением, аудио или видео, которое похоже на реальных людей, объекты, места, организации или события и может быть принято за подлинное. Европейская комиссия разъясняет, что раскрытие должно быть понятным и воспринимаемым человеком, например видимой или слышимой маркировкой; одной скрытой машиночитаемой метки недостаточно для выполнения обязанности распространителя. Для отдельных систем, выпущенных до этой даты, предусмотрен ограниченный переходный период именно по части машиночитаемой маркировки.
Что это значит
Правовое значение лица расширилось от защиты биометрического шаблона к различимости синтетического образа. Норма не запрещает создавать реалистичные изображения людей как таковые, но требует сообщать аудитории о существенной ИИ-манипуляции, когда она может выдаваться за реальность.
