Ирландската Комисия за защита на данните – „Lead Supervisory Authority“ ще се произнесе за лицевото разпознаване
Ирландската Комисия за защита на данните (DPC) обяви на 4 октомври, че е започнала разследване относно обработването на лични данни от Ryanair като част от процесите за проверка за клиенти, които резервират полети на Ryanair от уебсайтове на трети страни или онлайн туристически агенти.
DPC получи редица оплаквания относно практиката на Ryanair да изисква допълнителна проверка на самоличност от клиенти, които резервират билети за пътуване чрез уебсайтове на трети страни, за разлика от резервациите директно на уебсайта на Ryanair. Тези методи за проверка могат да включват биометрични данни1.
Греъм Дойл, заместник-комисар на DPC, коментира: „DPC получи многобройни оплаквания от клиенти на Ryanair в ЕС/ЕИП, които след като резервираха своите полети, впоследствие трябваше да преминат през процес на проверка. Методите за проверка, използвани от Ryanair, включват използването на технология за лицево разпознаване, използваща биометричните данни на клиентите. Това разследване ще разгледа дали използването на Ryanair на неговите методи за проверка е в съответствие с GDPR.“
Решението за провеждане на разследването съгласно раздел 110 от Закона за защита на данните от 2018 г.2, взето от комисарите по защита на данните, д-р Дес Хоган и Дейл Съндърланд, беше съобщено на Ryanair по-рано тази седмица. Запитването е трансгранично3 по своята същност и ще разгледа дали Ryanair е спазил различните си задължения съгласно GDPR, включително законосъобразността и прозрачността на обработката на данни.
1 Член 4, параграф 14 от GDPR
„биометрични данни“ означава лични данни, получени в резултат на специфично техническо обработване, които са свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице и които позволяват или потвърждават уникалната идентификация на това физическо лице, като лицеви изображения или дактилоскопични данни;
2 Раздел 110 от Закона за защита на данните от 2018 г.:
Комисията може да проведе проверка при съмнение за нарушение на съответния нормативен акт
(1) Комисията, независимо дали за целите на раздел 109 (5) (e), раздел 113 (2), или по собствена воля, може, за да установи дали е извършено или се извършва нарушение, да предизвика такова разследване както смята за подходящо да се проведе за тази цел.
(2) Комисията може, за целите на подраздел (1), когато счете за подходящо да направи това, по-специално да направи едно или и двете от следните:
(a) да предизвика упражняване на което и да е от неговите правомощия по глава 4 (различна от раздел 135);
б) предизвика провеждането на разследване по глава 5.
3 Член 4, параграф 23 от GDPR
„трансгранично обработване“ означава или:
- a) обработване на лични данни, което се осъществява в контекста на дейностите на местата на установяване в повече от една държава членка на администратор или обработващ лични данни в Съюза, като администраторът или обработващият лични данни е установен в повече от една държава членка; или
б) обработване на лични данни, което се осъществява в контекста на дейностите на едно-единствено място на установяване на администратор или обработващ лични данни в Съюза, но което засяга съществено или е вероятно да засегне съществено субекти на данни в повече от една държава членка;
DPC е водещият надзорен орган съгласно GDPR, където се извършва трансгранично обработване на субекти на данни от ЕС/ЕИП и където компанията има основно седалище, базирано в Ирландия.
Европейският комитет по защита на данните в скорошно Становище 11/2024 припомни как използването на биометрични данни, и по-специално технологията за лицево разпознаване, води до повишени рискове за правата и свободите на субектите на данни. Съответно въздействието върху тези основни права и свободи трябва, според комитета, да бъде внимателно разгледано в контекста на всяко използване на такива технологии.
На 21.05.2024 г. писах, че EU travel tech подаде две жалби срещу Ryanair за нарушаване на GDPR: Два надзорни органа ще трябва да се произнесат за инвазивното лицево разпознаване, EU travel tech подаде жалба до френските и белгийските органи за защита на данните (DPA) срещу Ryanair във връзка с прилагането на изискване за обработка на биометрични данни за проверка на клиента.
На 28.07.2023 г. разказах, че NOYB подаде жалба срещу Ryanair заради платено съгласие за обработване на лични данни – Европейският център за цифрови права смята, че испанският надзорен орган по защита на данните AEPD може да наложи глоба до 192 милиона евро.