Хората трябва да имат максимален контрол върху собствените си биометрични данни
По време на последното си пленарно заседание Европейският комитет по защита на данните (ЕКЗД/EDPB) e приел становище относно използването на технологии за лицево разпознаване от летищни оператори и авиокомпании за рационализиране на пътникопотока на летищата*.
Това становище по член 64, параграф 2 на GDPR/ОРЗД, разглежда въпрос с общо приложение и има действие в повече от една държава-членка.
Френският надзорен орган поиска от EDPB да издаде становище относно използването на технология за лицево разпознаване от летищни оператори и авиокомпании за биометрична автентификация или идентификация на пътници с цел рационализиране на пътникопотока на летищата.
Становището анализира съвместимостта на обработката с принципа за ограничаване на съхранението (член 5, параграф 1, буква д) от ОРЗД), принципа за цялостност и поверителност (член 5, параграф 1, буква (е)) от ОРЗД, защита на данните по проект и по подразбиране (Член 25 от GDPR) и сигурността на обработката (член 32 от GDPR. Спазването на други разпоредби от GDPR, включително по отношение на законосъобразността на обработката, не са в обхвата на това становище.**
В ЕС няма единно законово изискване за летищните оператори и авиокомпаниите да проверяват дали името в бордната карта на пътника съвпада с името в неговия документ за самоличност и това може да е предмет на националните закони. Следователно, когато не се изисква проверка на самоличността на пътниците с официален документ за самоличност, не трябва да се извършва такава проверка с използване на биометрични данни, тъй като това би довело до прекомерна обработка на данни.
В своето становище ЕКЗД разглежда съответствието на обработката на биометричните данни на пътниците с четири различни типа решения за съхранение, вариращи от такива, които съхраняват биометричните данни само в ръцете на индивида, до такива, които разчитат на централизирана архитектура за съхранение с различни варианти. Във всички случаи трябва да се обработват само биометричните данни на пътниците, които са се регистрирали активно и са дали съгласие за участие.
ЕКЗД установява, че единствените решения за съхранение, които биха могли да бъдат съвместими с принципа за цялостност и поверителност, защита на данните на етапа на проектиране и по подразбиране и сигурност на обработката, са решенията, при които биометричните данни се съхраняват локално на неговото индивидуално устройство и под негов едноличен контрол или в централна база данни, но с ключа за криптиране единствено в неговите ръце. Тези решения за съхранение, ако се прилагат със списък от препоръчителни минимални предпазни мерки, са единствените, които адекватно противодействат на натрапчивостта на обработката, като предлагат на хората най-голям контрол.
ЕКЗД установява, че решенията, базирани на съхранение в централизирана база данни или на летището, или в облака, без ключовете за криптиране в ръцете на лицето, не могат да бъдат съвместими с изискванията за защита на данните на етапа на проектиране и по подразбиране и, ако администраторът се ограничава до мерките, описани в анализираните сценарии, няма да отговарят на изискванията за сигурност на обработката.
По отношение на принципа за ограничаване на съхранението, администраторите трябва да гарантират, че имат достатъчна обосновка за предвидения период на съхранение и да го ограничат до това, което е необходимо за предложената цел.
Председателят на EDPB Ану Талус е цитирана да казва, че „Все повече летищни оператори и авиокомпании по света въвеждат пилотни системи за разпознаване на лица, позволяващи на пътниците да преминават по-лесно през различните контролно-пропускателни пунктове. Важно е да се знае, че биометричните данни са особено чувствителни и че тяхната обработка може да създаде значителни рискове за хората. Технологията за лицево разпознаване може да доведе до фалшиви негативи, пристрастия и дискриминация. Злоупотребата с биометрични данни също може да има сериозни последици, като измама със самоличност или представяне под чужда самоличност. Затова призоваваме авиокомпаниите и летищните оператори да изберат по-малко натрапчиви начини за рационализиране на пътникопотоците, когато е възможно. Според ЕКЗД хората трябва да имат максимален контрол върху собствените си биометрични данни.“
* Становището има ограничен обхват и не разглежда използването на лицево разпознаване като цяло и по-специално не обхваща използването на лицево разпознаване за целите на сигурността, граничния контрол или от правоприлагащите органи.
** В заявката се предполага, че обработката ще се основава на съгласието на всеки пътник. Въпреки това, въз основа на ограничения обхват на искането, становището не разглежда правното основание и по-специално валидността на съгласието за такава обработка.
#GDPR, #DataProtection, #HappyBirthdayGDPR