Abstrakt. Övervakningen, särskilt med hjälp av biometriska system, hotar enskilda personers privatliv. Ansvarsskyldighet är en etablerad strategi för att stödja integritet i allmänhet, men den måste följa en strikt process och omfatta noggrann granskning av faktisk datahanteringspraxis för att vara effektiv. I detta dokument överväger vi ett specifikt, verkligt biometriskt övervakningssystem, baserat på videokameror och identifikation av kroppsavtryck. Vi visar hur formalisering kan användas för att uppnå den nivå av stringens som krävs och exemplifiera hur vår formella strategi för ansvarighet - i betydelsen av kontrollerbar efterlevnad av personuppgiftshantering - stöder integriteten hos individer som övervakas av systemet. Det formella ramverket för redovisningsskyldighet är tillräckligt allmänt för att kunna återanvändas i andra sammanhang. Övervakningssystem som använder biometriska kännetecken får allt större användning, särskilt för identifieringsändamål [10, 16, 18]. En kraftfull funktion är möjligheten att identifiera agenter baserat på automatiskt detekterbara visuella signaler. Vissa egenskaper (t.ex. längd, hår, kläder) kan förvärvas utan ämnessamarbete [9]. Även när den insamlade informationen är otillräcklig för att på ett unikt sätt identifiera individer direkt, väcker fångandet och behandlingen av deras bilder stor integritet oro. Som Campisi uttryckte det är biometriska uppgifter förknippade med övervakning inte bara av legitima skäl ( ..) men också med oproportionerlig, otydlig och osynlig användning [7]. Scope scree är därför ett bekymmer. Avancerade bearbetningsfunktioner och möjligheten till kommunikation mellan registeransvariga (DC) och tredje parter förstärker dessa farhågor. Det krävs förmildrande åtgärder för att hålla eventuellt missbruk i schack. Ett etablerat tillvägagångssätt för att upprätthålla privatlivet är fokus på ansvarsskyldighet för DC, i den mening som beskrivs i artikel 29-arbetsgruppen [3]. Ansvarsfullhet definieras sedan som en skyldighet för DC att inte bara införa åtgärder som garanterar den registrerades integritet, utan också att dessa åtgärder är kontrollerbara. Helst bör denna kontroll utföras av oberoende tredje parter eller av agenter som agerar på DS:s vägnar (eller, där så är praktiskt möjligt, av DS själva). Detta fokus på öppenhet ger DS och ökar trycket på DC att införa kraftfulla integritetsfrämjande åtgärder, i motsats till enbart avsiktsförklaringar. Colin Bennett [8] skiljer mellan tre typer av ansvarsskyldighet: ansvarsskyldighet för politik, förfaranden och praxis. Den starkaste varianten, som vi fokuserar på här, är ansvarighet för praxis som innebär att DC bör visa att deras faktiska datahantering uppfyller deras skyldigheter. För att vara effektiv bör ansvarsskyldigheten baseras på kontrollerbar, teknisk information om behandling av personuppgifter, till exempel i form av loggböcker för granskning av händelser [5]. För att loggar enkelt ska kunna kartläggas i enlighet med sekretesspolicyer kan en överensstämmelse mellan systemhändelser på låg nivå och databehandling på hög nivå produceras [6]. Vårt arbete är inspirerat av det europeiska projektet PARIS (Privacy pReserving Infrastructure for Surveillance) [1]. Sekretessbevarande övervakningsinfrastrukturer kräver ansvarsmodeller för att upprätthålla stramhet, klargöra processdefinitionen och undvika tvetydigheter. Vår motivering är specificeringen av verkligt skyddande åtgärder för ansvarsskyldighet. För att vara mer än bara rökridåer som används av registeransvariga för att undvika strängare regler måste ansvarsskyldigheten ge konkreta bevis för behandling av personuppgifter och göra det möjligt att låta tredje parts revisorer kontrollera efterlevnaden. Merparten av det relevanta befintliga arbetet är inriktat på säkerhetsmodellering och verifiering av biometriska system. Lloyd tillämpade Unified Modeling Language (UML) och Java Modeling Language (JML) tillvägagångssätt för utveckling och säkerhetsanalys av ett biometriskt autentiseringssystem [12]. Salaiwarakul föreslog en säkerhetskontrollmetod för biometriska autentiseringsprotokoll baserat på ProVerif-protokollanalysatorn [14]. Kanak föreslog ett formellt ramverk kallat Biometric Privacy-Security-Trust Model (BioPSTM) för att beskriva avvägningen mellan integritet och säkerhet och deras förhållande till förtroendet för biometriska autentiseringssystem [11]. Formella tillvägagångssätt för resonemang om ansvarsskyldighet och integritetssystems egenskaper undersöks sällan. Ansvarsskyldighet har nämnts i samband med biometriska kännetecken tidigare, men med fokus på systemanvändarnas ansvarsskyldighet. Prabhakar beaktade till exempel scenariot med åtkomstkontroll av fingeravtrycksbaserade informationssystem, vilket ger ansvar för systemtransaktioner samtidigt som användarens anonymitet bevaras (inga namn är kopplade till fingeravtrycken) [13]. Vi har tidigare infört en formell strategi för ansvarighet för integritet, oberoende av sammanhanget för biometrisk övervakning [6]. Vårt fokus låg på riktigheten i kopplingarna mellan systemhändelser och verksamhet på kategorier av personuppgifter i en generisk miljö. Framför allt föreslogs ett generiskt formellt integritetspolicyspråk som för varje typ av personuppgifter definierar auktoriserade ändamål, raderingsförseningar, begäran om kompletteringsförseningar, tillåtliga sammanhang och policyer för vidarebefordran av uppgifter. Trace compliance egenskaper definierades med avseende på datahantering händelser och delar av dessa sekretesspolicyer. Därefter formaliserade vi korrekthetsegenskaper relaterade till personuppgiftshantering av händelser och systemhändelser. Detta tidigare arbetes allmängiltighet står i kontrast till den aktuella fallstudien, som syftar till att illustrera dess tillämpning (med vissa ändringar) på ett konkret övervakningsscenario. Vi undersöker tillämpningen av ett formellt tillvägagångssätt för ansvarighet för ett biometriskt övervakningssystem. I den aktuella fallstudien analyseras en verklig systemutbyggnad av PARIS-projektets konsortiemedlem Visual Tools [15]. Det formella tillvägagångssätt som tillämpas här bygger på [6], där de tekniska aspekterna av ramverket beskrivs mer i detalj. Ändringar av det policyspråk som krävs för denna fallstudie föreslås. Såvitt vi vet är detta dokument det första arbete som undersöker denna specifika miljö i ett verkligt system. I motsats till tidigare arbete [13] undersöker vi ansvarighet ur systemägarens (DC:s) perspektiv 4. Vi syftar till att visa på den praktiska tillämpningen av en formell ram för ansvarsskyldighet för exemplet med ett verkligt organprintbaserat övervakningssystem. Fallstudien utförs tillräckligt detaljerat för att ge en konkret illustration av ansvarsskyldigheten för ett realistiskt scenario. Den underliggande formella ramen är fortfarande tillräckligt allmän för att tillämpas på olika användningsfall. Fallstudien, de berörda enheterna och kategorierna av personuppgifter presenteras i Sect. 2. Utgångspunkten är följande: Ett integritetspolicyspråk för modellansvarsegenskaper definieras nästa (Select. Tre, tre, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, fyra, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre, tre... Abstrakta personuppgifter hantering händelser införs sedan för att relatera behandling till sekretesspolicy begränsningar (Sect. 4) och efterlevnaden av en sekvens av händelser studeras i Sect. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. Vi avslutar med en diskussion (se. 6 ) och 6 ).................................................................................................. En medlem av PARIS-konsortiet har infört ett biometriskt system för att skydda utrustning som lagras i deras huvudkontor i Madrid 5. Detta biometriska system bygger på videoanalys för att upptäcka otillåten tillgång till kontoret på icke-arbetstimmar, när endast de anställda tillåts vara närvarande. Systemet övervakar de viktigaste transitområdena på kontoret med videokameror, vilket ger djup och rumslig information som analyseras för att upptäcka individer som kommer åt kontoret. För detta ändamål är videokamerorna djupkameror med en videoenhet (VPU). Det biometriska övervakningssystemet består av två huvudfaser: registrering och matchning. Under anmälan registreras och registreras en grupp anställda som auktoriserade. Deras närvaro i de begränsade områdena är tillåten. Återidentifiering av godkända personer samt upptäckt och rapportering av obehöriga personer sker under matchningen. 4 Det vill säga, systemägaren måste tillhandahålla konton till registrerade personer med avseende på hanteringen av deras personuppgifter. 5 Detaljer om detta användningsfall finns i ett projekt som kan levereras [15]. I det föreslagna biometriska systemet används kroppsavtryck [2] för återidentifiering. Ett kroppsavtryck är en vektor av fysiska egenskaper, såsom höjden och bredden på en person och kläder färger, som är tillräckligt distinkta för att göra det möjligt att identifiera och differentiera individer, även med liknande kläder. Godkända personer bär uniformer med en viss färg, vilket underlättar deras identifiering. Bodyprint extraktion är en tvåstegsprocess. Först upptäcks en person av videokamerorna, och hans/hennes rörelse spåras av olika videoramar. För det andra skapas personens kroppsavtryck, baserat på de spårade ramarna. Bodyprints är inte kopplade till andra personuppgifter. Dessutom är det svårt att rekonstruera kompletta bilder från kroppsavtryck.  Under inskrivningen utvinns och lagras kroppsavtryck av auktoriserade personer i systemet. Inskrivningsprocessen utförs i tre steg: 1. En videokamera registrerar en video av en auktoriserad person, och som ett resultat, en videosekvens som innehåller bilder (ramar) av personen erhålls; 2. Bodyprints extraheras från videoramarna, och ett specifikt användargränssnitt underlättar valet av de mest lämpliga för matchning; 3. De valda kroppsavtrycken lagras i APDB (Administrated People Database) som finns i servern för återidentifiering (RIS). Registreringen är offline och hanteras manuellt av Systemadministratören (SA). SA ger instruktioner till auktoriserade personer innan de registrerar dem, väljer lämpliga kroppsavtryck och lagrar dem i APDB. Syftet med matchningen är att upptäcka och rapportera otillåten tillgång till kontoret under arbetstid. Processen övervakas av systemoperatören (SO) och består av följande steg: 1. Varje videokamera fångar kontinuerligt bilder av scenen och extraherar automatiskt de registrerade individernas kroppsavtryck; 2. Camcorders skickar regelbundet nya kroppsavtryck till RIS; 3. RIS jämför de nya kroppsavtrycken med de som finns lagrade i APDB. Resultaten av jämförelsen kopieras till varningsdatabasen; 4. SO kontrollerar de lagrade varningarna genom ett specifikt användargränssnitt på larmhanteringsservern. Vid intrång är SO ansvarigt för att rapportera händelsen till de lokala myndigheterna. Medan registrering sker manuellt av den lagstadgade revisorn, är matchningen helt automatiserad, vilket innebär ett ingripande av SO endast i det sista steget. Varje video- och icke-videodata i systemet ges en unik identitetsbeteckning (ID) för referens- och sökändamål (punkt 5.1.2 i [15] ). När det gäller minimering av personuppgifter, ingen identitet eller grundläggande information (civil identitet, namn, födelsedag, etc.) relaterat till DS lagras i systemet; endast ID för videor och kroppsavtryck. I detta system följer lagringsperioden den spanska dataskyddsmyndighetens instruktion 1/2006 [17]. På grundval av detta kan bilder och kroppsavtryck högst lagras i en månad. För registrering lagras videorna i en VPU tills en motsvarande uppsättning (tillfälliga) kroppsavtryck har extraherats. Denna period kommer under alla omständigheter inte att överstiga en månad. I den matchande fasen raderas videorna direkt efter att kroppsavtrycken har extraherats, vilket utförs automatiskt inom några minuter 6. I varje uppsättning utdragna kroppsavtryck väljs och lagras ett långsiktigt kroppsavtryck i APDB tills systemet är pensionerat. De återstående temporära kroppsavtrycken raderas automatiskt inom några minuter efter det att det långsiktiga kroppsavtrycket har valts. Slutligen, de kroppsavtryck som är föremål för ett larm under matchningsfasen förvaras i varningsdatabasen tills resultaten av igenkänningen verifieras av SO, med en maximal gräns på en dag 7. De andra kroppsavtrycken raderas inom några minuter efter att de har kontrollerats mot APDB. Så småningom granskar vi rollerna och privilegierna för användare i systemet. De lagstadgade revisorernas roll är att förvalta hela systemet, och därför beviljas de alla privilegier, nämligen att ha tillgång till all information som lagras i systemet. Till exempel, en SA kan hantera (lägg till, redigera, ta bort data) APDB, har tillgång till RIS, och även tillgång till VPU. Den SO är ansvarig för att hantera intrång larm; därför har han tillgång till RIS och varningsdatabasen inuti den, och till APDB också. SO tar emot larm på en dator eller mobil enhet, och sedan 6 Även om i § 5.1.2 av [15] (alarmhantering del), valfritt, systemet kunde också direkt skicka en bild av inkräktaren med larmet. Vi betraktar bara den grundläggande inställningen för att förenkla formalismen. 7 Den värsta försening som tillåts enligt spansk lag är fortfarande en månad. En dag är en mycket mer realistisk tidsram i detta fall, eftersom kontrollen är tidskänslig. Loggar in i RIS för att kontrollera de kroppsavtryck som är föremål för larmet. Vid falsklarm raderas dessa kroppsavtryck från RIS-larmdatabasen av SO. Vi utgår från att revisorer med ansvarsskyldighet är oberoende tredje parter såsom dataskyddsombud. De kan kräva tillgång till viss information som lagras i systemet för att kontrollera ett intrång eller systemets överensstämmelse med reglerna. I detta syfte kan de få tillgång till kroppsavtrycken i databasen, eller till kroppsavtrycken i APDB. Baserat på det språk som infördes [6] föreslår vi ett modifierat integritetspolicyspråk för att modellera ansvarighet egenskaper för denna fallstudie. På grund av utrymmesbegränsningar, vi bara överväga videor och kroppsavtryck av individer under anmälan och matchning. De återstående uppgifterna, såsom SA:s och SO:s ID, kan modelleras på liknande sätt. Vi strävar efter att visa att en formell strategi för systemutformning med ansvarsskyldighet i åtanke är genomförbar och att illustrera de fördelar som blir följden, t.ex. ökad tydlighet. Vi skiljer på sekretesspolicyer för varje typ av personuppgifter och fas. I synnerhet är P vid E den policy som fastställts för videoramarna för godkända personer som fångats under inskrivningen. P vid M avser videoramarna i det DS som spelades in under matchningen. P tmp E definieras för den uppsättning temporära kroppsavtryck som beräknas utifrån videoramarna för en viss anställd som registrerats under inskrivningen. I det andra steget av registrering, först en uppsättning tillfälliga kroppsavtryck extraheras från motsvarande video, sedan den mest lämpliga lagras i APDB, medan resten kommer att tas bort. P tmp M liknar P tmp E men behandlar temporära kroppsavtryck under matchning. P apdb E är den policy som definieras för de utvalda kroppsavtryck som lagras i APBD under registreringen. P-varning M definierar policyn för kroppsavtryck som lagras i varningsdatabasen i RIS. I händelse av larm, SO kommer att komma åt denna databas för att verifiera kroppsavtryck av inkräktaren. Specifikt, för var *  till {ev, mv, et, mt, ea, alert}. Syften är särskilt de godkända ändamålen för dataanvändning. Kvarhållandefördröjningen d förklaras i nästa underavsnitt. gd är en global (sämsta) fördröjning efter vilken alla personuppgifter måste raderas. Till skillnad från de kvarhållandeförseningar som anges nedan, definieras global radering för att förhindra att data lagras längre i systemet än vad som under några omständigheter behövs. cx  till Sammanhang är den uppsättning sammanhang där data kan användas. Sammanhang är en uppsättning konstanter, till exempel tid eller plats. Slutligen, acc sa, accc så och ac au ange tillträdespolicyer för SA, SO och revisor, respektive. Möjliga värden för en åtkomstpolicy är ↓ auth, vilket innebär att åtkomst till data är tillåten efter en lyckad autentisering 8, och ↑, som anger att tillgång till data är förbjudet. Den kvarhållande fördröjningen d har en annan betydelse beroende på vilken typ av sekretesspolicy som är under övervägande: -För π ev : fördröjningen för DC att ta bort de videoramar som lagras i en videokamera efter att ett lämpligt kroppsavtryck har extraherats och lagrats i APDB. -För π mv : fördröjningen för DC att ta bort videoramar av DS under matchning efter att ett kroppsavtryck har extraherats från dem för det matchande syftet. -För π et : fördröjningen för DC att ta bort de tillfälliga kroppsavtrycken under inskrivningen efter det valda (tillräckliga) kroppsavtrycket har lagts till i APDB-databasen av en SA. -För π mt : den fördröjning efter vilken DC måste ta bort det extraherade kroppsavtrycket under matchning, efter jämförelsen av detta kroppsavtryck med de lagrade kroppsavtrycken (i APDB) har utförts. - För π ea : den försening efter vilken det långsiktiga kroppsavtryck som lagras i APDB måste tas bort av DC, efter det att motsvarande DS togs bort eller systemet har gått i pension. - För registrering: fördröjningen av radering av de tillfälliga kroppsavtryck som finns lagrade i databasen, som har inletts efter det att alla registreringar har granskats av SO. Tre exempel på konkreta policyer för denna fallstudie finns i bild. 2 πev = ({"Enrol", "Extrakt"}, 1 min, 1 månad, {DC Building}, ↓ auth, ↑, ↓ auth) πmv = ({"Match", "Extrakt"}, 1 min, 1 månad, {DC Building, 21:00/07:00}, ↑, ↑, ↑) πet = ({"Enrol", "Choose"}, 1 min, 1 månad, {DC Building}, ↓ auth, ↑, ↓ auth ) Bild. 2............................................................... Några av de konkreta sekretesspolicyer som används av systemet 8 Om autentiseringen utförs av de lokala myndigheterna kan det röra sig om manuella aspekter. Vi diskuterar nu parametrarna för π ev, π mv och π et in Fig. 2............................................................... Som anges i beskrivningen av användningsfall [15] följer borttagningsfördröjningen för videor och kroppsavtryck den spanska dataskyddsmyndighetens instruktion 1/2006 och bör vara högst en månad. Därför sätter vi den globala radering fördröjningen till 1 månad, och i demonstrationssyfte är kvarhållande förseningar satt till 1 minut för alla sekretesspolicyer. Videorna används i DC-byggnaden och den matchande fasen vid icke-arbetstimmar (perioden mellan 9 PM och 7 AM). I π ev ändamålen med den inskrivna videon kan vara inskrivning och kroppsutskrift utdrag (benämns respektive av "Enrol" och "Extract"), och förfarandet äger rum i byggandet av den registeransvarige. Slutligen är det endast den lagstadgade revisorn och revisorn (efter lyckad behörighetskontroll) som får tillgång till de inskrivna videorna. Däremot är syftet med videon i π mv matchning och kroppsavtryck utvinning, som måste göras i DC-byggnaden mellan 9 PM och 7 AM. Denna video raderas automatiskt inom en kort tid, därför finns ingen åtkomstmöjlighet tillgänglig. Så småningom, i π et syftena med de extraherade kroppsavtrycken kan vara antingen inskrivning eller valet av ett lämpligt kroppsavtryck. Den lagstadgade revisorn och revisorn har tillgång till organtrycken. I praktiken måste betydelsen av konstanter som Enrol, Extract, Match, Choose och DC Building definieras exakt (på naturligt språk) i dokument som måste vara tillgängliga för revisorerna. I enlighet med vad som diskuteras i avsnitt 6 kan revision av ansvarsskyldighet inte helt mekaniseras, och tillämpningen av verktyg för logganalys bör kompletteras med manuella kontroller, särskilt när det gäller begrepp som syfte och sammanhang som kan tolkas eller kräva ytterligare information. För att resonera om personuppgifter hantering händelser med avseende på sekretesspolicy, abstrakta händelser kommer att definieras först. Abstrakta tillstånd specificeras senare för att uttrycka den kombinerade effekten av sekvenser av abstrakta händelser. Alla byggstenar för att definiera spåröverensstämmelseegenskaper (punkt 5) kommer sedan att presenteras. I vårt sammanhang är det yttersta skälet till att definiera spåröverensstämmelseegenskaper att definiera kraven på ansvarighet i övervakningssystemet. För att resonera om ansvarsefterlevnadsegenskaper definierar vi de abstrakta händelser som motsvarar fallstudien. Varje abstrakt händelse fångar en specifik åtgärd, eller en hög nivå händelse som inträffar under systemets utförande. Dessa händelser abstrakt bort från system interna såsom skriva och läsa från minnesadresser, och specificeras baserat på formatet för sekretesspolicyer. Det viktigaste kravet för uppsättningen av händelser är dess fullständighet: den bör omfatta alla verksamheter som kan påverka systemets efterlevnad med avseende på eventuella sekretesspolicyer. Vi antar att varje inspelad video ges en unik identifierare idv från uppsättningen videoidentifierare IDV, och att varje kroppsavtryck som extraheras från denna video ges en unik ID-kod relaterad till video-ID.
I REF ändrade vi till policyspråket [8], och gav sin första tillämpning på ett verkligt biometriskt övervakningssystem som en fallstudie.
Formal Accountability for Biometric Surveillance: A Case Study
{'venue': 'APF', 'journal': None, 'mag_field_of_study': ['Political Science', 'Computer Science']}