La próxima herramienta de reconocimiento facial de Amazon Ring tiene el potencial de violar los derechos de privacidad de millones de personas y podría dar lugar a que Amazon incumpla las leyes estatales de privacidad biométrica.

Ring tiene previsto introducir una función en sus cámaras de vigilancia domésticas denominada «Rostros familiares», que permitirá identificar a personas concretas que entren en el campo de visión de la cámara. Cuando se active, la función escaneará los rostros de todas las personas que se acerquen a la cámara para intentar encontrar una coincidencia con una lista de rostros previamente guardados. Esto incluirá a muchas personas que no han dado su consentimiento para el escaneo facial, como amigos y familiares, encuestadores políticos, carteros, repartidores, niños que venden galletas o incluso algunas personas que pasan por la acera.

Cuando se activa, la función escanea los rostros de todas las personas que se acercan a la cámara.

Muchas leyes de privacidad biométrica en todo el país son claras: las empresas necesitan su consentimiento afirmativo antes de realizar un reconocimiento facial. En al menos un estado, los ciudadanos de a pie, con la ayuda de abogados, pueden impugnar la recopilación de datos de Amazon. Cuando esto no sea posible, los reguladores estatales de privacidad deberían intervenir.

El senador Ed Markey (demócrata por Massachusetts) ya ha pedido a Amazon que abandone sus planes y ha enviado a la empresa una lista de preguntas. La portavoz de Ring, Emma Daniels, respondió a las preguntas escritas formuladas por la EFF, que pueden consultarse aquí.

¿Qué son los «Caras Conocidas» de Ring?

Amazon describe «Caras Conocidas» como una herramienta que «reconoce de forma inteligente a las personas conocidas». Afirma que esta herramienta proporcionará a los propietarios de cámaras «un contexto personalizado de quiénes son las personas detectadas, lo que elimina las conjeturas y facilita la búsqueda y revisión de momentos importantes en los que participan personas conocidas específicas». Amazon tiene previsto lanzar esta función en diciembre.

La función permitirá a los propietarios de cámaras etiquetar a personas concretas para que las cámaras Ring puedan reconocerlas automáticamente en el futuro. Para que Amazon pueda reconocer a personas concretas, tendrá que realizar un reconocimiento facial de todas las personas que se pongan delante de la cámara. Incluso si el propietario de una cámara no etiqueta un rostro concreto, Amazon afirma que puede conservar esa información biométrica durante un máximo de seis meses. Amazon afirma que actualmente no utiliza los datos biométricos para «entrenar modelos o con fines algorítmicos».

Para identificarte biométricamente, una empresa suele tomar tu imagen y extraer una huella facial realizando pequeñas mediciones de tu rostro y convirtiéndolo en una serie de números que se guardan para más adelante. Cuando vuelves a pasar por delante de una cámara, la empresa toma una nueva huella facial y la compara con una lista de huellas anteriores para encontrar una coincidencia. Otras formas de seguimiento biométrico pueden realizarse mediante un escaneo de la yema del dedo, el globo ocular o incluso tu forma particular de caminar.

Amazon ha declarado a los periodistas que la función estará desactivada por defecto y que no estará disponible en determinadas jurisdicciones con las normas más estrictas en materia de privacidad biométrica, como los estados de Illinois y Texas, y la ciudad de Portland, en Oregón. La empresa no ha prometido que esta función siga estando desactivada por defecto en el futuro.

¿Por qué es esto un problema de privacidad?

Tus datos biométricos, como tu huella facial, son algunos de los datos más sensibles que una empresa puede recopilar. Los riesgos asociados incluyen la vigilancia masiva, la violación de datos y la discriminación.

La función actual de reconocer a un amigo en la puerta de su casa puede reutilizarse fácilmente mañana para la vigilancia masiva. La estrecha colaboración de Ring con la policía amplifica esa amenaza. Por ejemplo, en una ciudad con una gran densidad de cámaras de reconocimiento facial, se podrían rastrear todos los movimientos de una persona con solo pulsar un botón, o se podría identificar a todas las personas que se encuentran en un lugar determinado. Una reciente colaboración público-privada no relacionada con este tema en Nueva Orleans demuestra, lamentablemente, que la vigilancia masiva mediante el reconocimiento facial no es una preocupación lejana.

Amazon ya ha anunciado una herramienta relacionada llamada «search party» que puede identificar y rastrear perros perdidos utilizando las cámaras de los vecinos. Una herramienta como esta podría reutilizarse para que las fuerzas del orden rastreen a las personas. Al menos por ahora, Amazon afirma que no tiene la capacidad técnica para cumplir con las exigencias de las fuerzas del orden que solicitan una lista de todas las cámaras en las que se ha identificado a una persona. Sin embargo, cumple con otras exigencias de las fuerzas del orden.

Además, las violaciones de datos son una preocupación constante en cualquier recopilación de datos. La biometría aumenta ese riesgo porque el rostro no se puede restablecer, a diferencia de una contraseña o un número de tarjeta de crédito. Amazon afirma que procesa y almacena los datos biométricos recopilados por las cámaras Ring en sus propios servidores y que utiliza medidas de seguridad exhaustivas para proteger los datos.

También se ha demostrado que el reconocimiento facial tiene mayores índices de error con ciertos grupos, sobre todo con las mujeres de piel oscura. También se ha utilizado una tecnología similar para hacer conjeturas cuestionables sobre las emociones, la edad y el género de una persona.

¿Violarán las «caras conocidas» de Ring las leyes estatales sobre datos biométricos?

Cualquier recopilación de información biométrica por parte de Ring en estados que exigen el consentimiento expreso supone un enorme riesgo legal para la empresa. Amazon ya ha comunicado a los periodistas que la función no estará disponible en Illinois y Texas, lo que sugiere claramente que no superaría el escrutinio legal en esos estados. La empresa ha afirmado que también evitará Portland, Oregón, que cuenta con una ley de privacidad biométrica que otras empresas similares han evitado.

Su función «rostros familiares» requerirá necesariamente que sus cámaras recopilen una huella facial de cada persona que entre en el campo de visión de una cámara habilitada, para intentar encontrar una coincidencia. Es imposible que Amazon obtenga el consentimiento de todo el mundo, especialmente de las personas que no poseen cámaras Ring. Parece que Amazon intentará descargar algunos requisitos de consentimiento en los propios propietarios de las cámaras. Amazon afirma que enviará mensajes a los clientes a través de la aplicación para recordarles que deben cumplir con la legislación aplicable. Pero Amazon, como empresa que recopila, procesa y almacena estos datos biométricos, podría tener sus propias obligaciones de consentimiento en virtud de numerosas leyes.

Las demandas contra funciones similares ponen de relieve los riesgos legales de Amazon. En Texas, Google pagó 1375 millones de dólares para resolver una demanda que alegaba, entre otras cosas, que las cámaras Nest de Google «capturan indiscriminadamente la geometría facial de cualquier tejano que se encuentre en el campo de visión, incluidos los no usuarios». En Illinois, Facebook pagó 650 millones de dólares y cerró sus herramientas de reconocimiento facial que escaneaban automáticamente las fotos de Facebook, incluso los rostros de personas que no eran usuarios de Facebook, con el fin de identificar a personas para recomendar su etiquetado. Más tarde, Meta pagó otros 1400 millones de dólares para resolver una demanda similar en Texas.

Muchos estados, además de Illinois y Texas, protegen ahora los datos biométricos. Aunque el estado nunca ha aplicado su ley, Washington aprobó en 2017 una ley de privacidad biométrica. En 2023, el estado aprobó una ley aún más estricta que protege la privacidad biométrica y permite a las personas presentar demandas en su propio nombre. Y al menos 16 estados han aprobado recientemente leyes de privacidad integrales que a menudo exigen a las empresas obtener el consentimiento expreso para la recopilación de datos sensibles, que suelen incluir datos biométricos. Por ejemplo, en Colorado, una empresa que, junto con otras, determina la finalidad y los medios de tratamiento de los datos biométricos debe obtener el consentimiento. Maryland va más allá y, en esencia, prohíbe a estas empresas recopilar o tratar datos biométricos de personas ajenas.

Muchas de estas leyes integrales tienen numerosas lagunas y solo pueden ser aplicadas por los reguladores estatales, una debilidad evidente facilitada en parte por los lobbistas de Amazon.

No obstante, la nueva función de Ring ofrece a los reguladores una clara oportunidad para intensificar la investigación, proteger la privacidad de las personas y poner a prueba la solidez de sus leyes.