The impact of artificial intelligence technologies on personal data collection within criminal procedures

Artificial intelligence technologies enabled the collection and analysis of unlimited amounts of data. Profiling technologies are frequently used for data analysis. These technologies infer general character traits of individuals from several databases which give away their class, economical and social status. Then they determine whether these features pose a risk to society. Their use in criminal procedures transforms the prosecution into a tool to combat the allegedly risky people and inevitably menaces many rights and freedoms. Nevertheless, this thesis addresses primarily the threats towards personal data protection. The thesis evaluates the risk analysis technologies, which have become increasingly complicated, due to the advancement in machine learning. The main concern of the thesis is to answer whether it is possible to benefit from personal data protection norms in criminal procedures when profiling technologies are enforced in criminal procedures. The use of profiling during criminal proceedings requires examining the personal data regulations, yet it is also necessary to evaluate the basic principles and measures of criminal procedures. Thus, the thesis seeks to further question the compliance of profiling tools with the principles and rules of criminal procedures. It evaluates the legal nature of profiling technologies and examines the evidential value of the results obtained by profiling. The research mainly consists of desk research scrutinizing data protection and criminal procedure regulations within a comparative perspective. Thus, relevant books, articles, and publications, as well as the decisions of the Supreme Court, Constitutional Court, and European Court of Human Rights are evaluated. Furthermore, different foreign jurisprudence on the evidential value of profiling technologies is elaborated in detail. Finally, the European Union acquis and nongovernmental organizations' reports are examined to show the current applications of AI technologies and the best practices. Risk analysis tools require knowledge of both technology and law. It is not possible to regulate these technologies without understanding the basic models and concepts of profiling. Therefore, within the thesis, first, the terms such as artificial intelligence, algorithm, machine learning, rule-based learning are introduced. Then the learning models which comply with the principles of the criminal procedures and data protection law have been underlined. Afterward, profiling technologies in criminal justice are introduced. These technologies aim either to detect potential perpetrators or the potential crime scenes. In order to explain their functioning, the underlying criminological theories such as "the theory of broken windows" and "the near-repeat theory" are discussed. Furthermore, the types of data which lead to the profiling outputs are exposed. This chapter is crucial to show that the tools which are already in use in Europe and the US have resulted in identifying people with a certain class, lifestyle, and worldview as risk groups or in marking minority neighborhoods as risky areas. Profiling technologies assign risk scores to individuals based on their identity and personality, yet they are not based on the criminal act in question. It is very crucial to set limits on them, as the risk scores label people and impact them almost perpetually based on their character. In this context, data protection regulations, which have set limits to profiling for the first time, require a thorough analysis. Within the European Union, the European Data Protection Regulation ("GDPR") and the Law Enforcement Directive 2016/680 constitute the main regulations on profiling. As per Turkey, the Personal Data Protection Law ("KVKK") contains important regulations regarding the profiling process and data processing in general. Considering these regulations, in order to benefit from data protection safeguards, first of all, the relevant technologies must process personal data. However, the definition of personal data must be reconsidered, as the new technologies challenge the dichotomy between anonymous data and identifiable data, while they render almost everyone identifiable via combining and analyzing different datasets. Moreover, they eventually cause legal effects on certain people. Therefore, in the light of the case law, recommendations, and reports of the Article 29 Working Group within the EU, personal data should be considered more broadly. On the other hand, it should be noted that even within context of the criminal procedures, the General Data Protection Regulation might apply. In most cases, the data collection and analysis processes are initiated by private companies. Therefore, within the EU, for profiling within the criminal justice context, the GDPR provisions may directly be applicable. In cases where law enforcement or judicial authorities process data for detecting and prosecuting crimes, the more specific regulation, the Directive 2016/680, will apply. As both regulations are relevant with regard to profiling, they are both analyzed thoroughly. The thesis demonstrates that the use of profiling technologies such as COMPAS, SyRI, PSA, Static 99 in many countries is not following the principles of purpose limitation, data minimization, and proportionality. Furthermore, the thesis discusses the right not to be subject to automated decisions based solely on automated processing. As per Turkey, the regulations regarding profiling within the scope of KVKK are evaluated in comparison with the EU acquis. KVKK foresees many limitations and exceptions for data processing via judicial authorities, law enforcement, and prosecutors. The thesis aims to point of legal loopholes within KVKK and emphazises the lack of a separate regulation such as Directive 2016/680. Personal data protection laws foresee many important principles, obligations, and rights. However, these technologies limit fundamental rights and freedoms and must be explicitly regulated by law to be used within criminal procedures. Therefore before evaluating whether a foreseeable norm exists for these technologies or not, the second part of the thesis analyzes their legal status. In this context, preventive measures similar to profiling such as search and physical identification are evaluated. Then, the purposes and basic characteristics of protection measures are explained. Finally, the differences between profiling technologies and preventive measures are pointed out. Furthermore, the thesis questions if profiling technologies can be considered as security measures. As a matter of fact, security measures, like profiling technologies, focus on the danger of the perpetrator and aim to protect society against future crimes. For this purpose, security measures concentrate on rehabilitating the perpetrator and reintegrating them into society. Since they restrict the perpetrator's rights, these measures are limited via foreseeable regulations. The thesis concludes that the profiling technologies contradict the purposes and the rules for security measures. Finally, the evidential nature of the risk scores is evaluated. Foreign jurisdictions come up with incompatible conclusions on their assessment. Moreover, they do not clarify what type of evidence they constitute. For this reason, firstly, the common features of the evidence were discussed, then relevant types of evidence such as witness statements are evaluated. Similarities between personality witnesses and profiling results are drawn. Then risk scores are assessed in light of scientific evidence and expert opinions. Finally, lawfullness of such evidence is questioned. Illegal evidence constitutes an important intersection between personal data protection legislation and criminal procedure rules since the courts must evaluate the compliance with both regulations to make sure that the evidence is legally collected or assessed. Therefore, assessing the legality of risk scores brings together all the principles and rules discussed within the thesis. In conclusion, among all artificial intelligence technologies, profiling technologies are the ones that transform criminal procedures most drastically. Risk groups created via profiling and their assigned scores create a lifetime impact on individuals. These scores do not only lead to the imposition of sanctions against individuals in Europe and the US, but also force people to confront these labels constantly, as they are further shared with institutions such as banks, insurance companies, employers, and immigration administrations. It leads to permanent isolation of so-called risky groups from society. Therefore, at the end of the thesis, a new norm has been proposed concerning the use of profiling, to strengthen the rights and freedoms of individuals and to re-establish the human rights principles within criminal procedures. Les technologies d'intelligence artificielle ont permis la collecte et l'analyse de quantités illimitées de données. Les technologies de profilage effectuent principalement des analyses de données. Ces technologies inférent des traits de caractère généraux des individus à partir de plusieurs bases de données qui révèlent leur classe, leur statut économique et social. Ensuite, ils déterminent si ces caractéristiques présentent un risque pour la société. Leur utilisation dans les procédures pénales transforme les procédures pénales en un outil de lutte contre les personnes dites à risque et menace inévitablement de nombreux droits et libertés. Néanmoins, cette thèse évalue principalement les menaces envers la protection des données personnelles. La thèse évalue les technologies d'analyse des risques, qui sont devenues de plus en plus compliquées, en raison des progrès de l'apprentissage automatique. La principale préoccupation de la thèse est de répondre s'il est possible de bénéficier des normes de protection des données personnelles dans les procédures pénales lorsque les technologies de profilage sont appliquées dans les procédures pénales. L'utilisation du profilage au cours d'une procédure pénale nécessite d'examiner la réglementation relative aux données personnelles, mais il est également nécessaire d'évaluer les principes et mesures de base des procédures pénales. Ainsi, la thèse cherche à interroger davantage la conformité des outils de profilage avec les principes et règles des procédures pénales. Il évalue la nature juridique des technologies de profilage et examine la valeur probante des résultats obtenus par le profilage. La recherche consiste principalement en une recherche documentaire examinant les réglementations en matière de protection des données et de procédure pénale dans une perspective comparative. Ainsi, les livres, articles et publications pertinents, ainsi que les décisions de la Cour suprême, de la Cour constitutionnelle et de la Cour européenne des droits de l'homme sont évalués. En outre, différentes jurisprudences étrangères sur la valeur probante des technologies de profilage sont élaborées en détail. Enfin, l'acquis de l'Union européenne et les rapports des organisations non gouvernementales sont examinés pour montrer les applications actuelles des technologies de l'IA et les meilleures pratiques. Les outils d'analyse des risques nécessitent une connaissance à la fois de la technologie et du droit. Il n'est pas possible de réglementer ces technologies sans comprendre les modèles et concepts de base du profilage. Par conséquent, dans la thèse, les termes tels que intelligence artificielle, algorithme, apprentissage automatique, apprentissage basé sur des règles sont d'abord introduits. Ensuite, les modèles d'apprentissage conformes aux principes des procédures pénales et de la loi sur la protection des données ont été soulignés. De plus, des technologies de profilage dans la justice pénale sont introduites. Ces technologies visent soit à détecter les auteurs potentiels, soit les scènes de crime potentielles. Afin d'expliquer leur fonctionnement, les théories criminologiques sous-jacentes telles que "la théorie de la vitre brisée" et "la théorie de la quasi-répétition" sont discutées. En outre, les types de données qui conduisent aux sorties de profilage sont exposés. Ce chapitre est crucial pour montrer que les outils déjà utilisés en Europe et aux États-Unis ont permis d'identifier des personnes d'une certaine classe, d'un certain style de vie et d'une certaine vision du monde comme groupes à risque ou de marquer des quartiers minoritaires comme zones à risque. Les technologies de profilage attribuent des scores de risque aux individus en fonction de leur identité et de leur personnalité, mais ils ne sont pas basés sur l'acte criminel en question. Il est très crucial de leur fixer des limites, car les scores de risque étiquettent les gens et les impactent presque perpétuellement. Dans ce contexte, les réglementations sur la protection des données, qui fixent pour la première fois des limites au profilage, nécessitent une analyse approfondie. Au sein de l'Union européenne, le Règlement européen sur la protection des données ("RGPD") et la Directive 2016/680 constituent les principales réglementations en matière de profilage. S'agissant de la Turquie, la loi sur la protection des données personnelles ("KVKK") contient des réglementations importantes concernant le processus de profilage et le traitement des données en général. Compte tenu de ces réglementations, afin de bénéficier des garanties de protection des données, tout d'abord, les technologies concernées doivent traiter les données personnelles. Cependant, la définition des données personnelles doit être reconsidérée, car les nouvelles technologies remettent en cause la dichotomie entre données anonymes et données identifiables, alors qu'elles rendent presque tout le monde identifiable en combinant et en analysant différents ensembles de données. De plus, ils provoquent des effets juridiques sur certaines personnes. Par conséquent, à la lumière de la jurisprudence, des recommandations et des rapports du groupe de travail sur l'article 29 au sein de l'UE, les données à caractère personnel devraient être considérées de manière plus large. D'autre part, il convient de noter que même dans le cadre des procédures pénales, le règlement général sur la protection des données pourrait s'appliquer. Dans la plupart des cas, les processus de collecte et d'analyse des données sont initiés par des entreprises privées. Par conséquent, au sein de l'UE, pour le profilage dans le contexte de la justice pénale, les dispositions du RGPD peuvent être directement applicables. Dans les cas où les autorités répressives ou judiciaires traitent des données pour détecter et poursuivre des infractions, le règlement plus spécifique, la directive 2016/680, s'appliquera. Comme les deux réglementations étant pertinentes en matière de profilage, elles sont toutes deux analysées de manière approfondie. La thèse démontre que l'utilisation de technologies de profilage telles que COMPAS, SyRI, PSA, Static 99 dans de nombreux pays ne suit pas les principes de limitation des finalités, de minimisation des données et de proportionnalité. En outre, la thèse traite du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un procédé automatisé. Au sein de la Turquie, les réglementations concernant le profilage dans le cadre du KVKK sont évaluées par rapport à l'acquis de l'UE. KVKK prévoit de nombreuses limitations et exceptions pour le traitement des données via les autorités judiciaires, la police et les procureurs. La thèse vise à souligner les lacunes juridiques au sein du KVKK et souligne l'absence d'une réglementation distincte telle que la directive 2016/680. Les lois sur la protection des données personnelles prévoient de nombreux principes, obligations et droits importants. Cependant, ces technologies limitent les droits et libertés fondamentaux et doivent être explicitement réglementées par la loi pour être utilisées dans le cadre des procédures pénales. Ainsi, avant d'évaluer s'il existe ou non une norme prévisible pour ces technologies, la deuxième partie de la thèse analyse leur statut juridique. Dans ce contexte, des mesures préventives similaires au profilage telles que la recherche et l'identification physique sont évaluées. Ensuite, les objectifs et les caractéristiques des mesures préventives sont expliqués. Enfin, les différences entre les technologies de profilage et les mesures préventives sont signalées. De plus, la thèse se demande si les technologies de profilage peuvent être considérées comme des mesures de sécurité. En fait, les mesures de sécurité, comme les technologies de profilage, se concentrent sur le danger de l'auteur et visent à protéger la société contre de futurs crimes. À cette fin, les mesures de sécurité se concentrent sur la réhabilitation de l'auteur et sa réinsertion dans la société. Puisqu'elles restreignent les droits de l'auteur, ces mesures sont limitées par des réglementations prévisibles. La thèse conclut que les technologies de profilage contredisent les finalités et les règles des mesures de sécurité. Enfin, la nature probante des scores de risque est évaluée. Les juridictions étrangères arrivent à des conclusions incompatibles sur leur évaluation. De plus, ils ne précisent pas quel type de preuve ils constituent. Pour cette raison, tout d'abord, les caractéristiques communes des preuves ont été discutées, puis les types de preuves pertinents tels que les déclarations de témoins sont évalués. Des ressemblances entre les témoins de personnalité et les résultats de profilage sont établies. Ensuite, les scores de risque sont évalués à la lumière de preuves scientifiques et d'opinions d'experts. Enfin, la légalité de ces preuves est remise en question. Les preuves illégales constituent une intersection importante entre la législation sur la protection des données personnelles et les règles de procédure pénale, car les tribunaux doivent évaluer la conformité avec les deux réglementations pour s'assurer que les preuves sont collectées ou évaluées légalement. Par conséquent, l'évaluation de la légalité des scores de risque rassemble tous les principes et règles discutés dans la thèse. En conclusion, parmi toutes les technologies d'intelligence artificielle, les technologies de profilage sont celles qui transforment le plus radicalement les procédures pénales. Les groupes à risque créés via le profilage et les scores qui leur sont attribués créent un impact à vie sur les individus. Ces scores ne conduisent pas seulement à l'imposition de sanctions contre des individus en Europe et aux États-Unis, mais obligent également les gens à se confronter constamment à ces étiquettes, car elles sont en outre partagées avec des institutions telles que les banques, les compagnies d'assurance, les employeurs et les administrations de l'immigration. Elle conduit à un isolement permanent des groupes dits à risque de la société. Ainsi, à la fin de la thèse, une nouvelle norme a été proposée concernant l'utilisation du profilage, pour renforcer les droits et libertés des individus et pour rétablir les principes des droits de l'homme dans les procédures pénales.