Biometria – perspektywa RODO oraz bezpieczeństwa danych

Autor: Marcin Wolski, pod red. Patryka Siewerta i Marcina Soczko — w kategorii Blog — 27 lipca 2020

27

lip
2020

Dynamiczne zmiany w świecie usług online umacniają rolę biometrii, której wykorzystanie podnosi poziom wygody oraz bezpieczeństwa tych usług. Technologia biometryczna jest nieustannie rozwijana i obecnie możemy zaobserwować różne jej rodzaje i przykłady. Biometria wykorzystywana jest w szczególności w procesach identyfikacji elektronicznej przy rejestracji do usług online oraz uwierzytelniania użytkowników przy logowaniu do różnych usług, poczynając od np. odblokowywania smartfonu, po ułatwienie dostępu do usług bankowych za pośrednictwem aplikacji mobilnych oraz autoryzowania transakcji.

Zakres wykorzystania biometrii zależy od stosowanej metody. Można wyróżnić cztery podstawowe:

  • Biometria twarzy

  • Biometria palca

  • Biometria głosu

  • Biometria behawioralna

Każdy z wyżej wymienionych rodzajów biometrii w założeniu jest wykorzystywany w różnych procesach i powinien uwzględniać czynniki ryzyka. Co istotne, niezależnie od metody, stosowanie technologii biometrii, zgodnie z przepisami RODO, należy uznać za przetwarzanie danych osobowych.
W związku z tym administrator danych bądź podmiot przetwarzający będzie zobowiązany do realizacji poszczególnych obowiązków związanych z przetwarzaniem danych biometrycznych (o czym więcej później). 

Co to są dane biometryczne?

Dane biometryczne, zgodnie z definicją RODO:

„oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne”.

Biometria to mierzenie cech fizycznych osoby w celu zweryfikowania jej tożsamości. Mogą to być cechy fizjologiczne, takie jak odciski palców lub wzór tęczówki oka, bądź cechy behawioralne, które odzwierciedlają unikalny sposób w jaki np. piszemy na klawiaturze (dynamika) lub w jaki sposób poruszamy myszą. Aby dane biometryczne były użyteczne, muszą być niepowtarzalne, trwałe i możliwe do zebrania. Raz zmierzone i zapisane informacje mogą być porównywane i dopasowywane w bazie danych.

Jakie są podstawy przetwarzania danych biometrycznych?

Zgodnie z przepisami RODO, dane biometryczne kwalifikują się do zbioru szczególnych kategorii danych osobowych. Zgodnie z art. 9 ust. 1 RODO, przetwarzanie danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, co do zasady, jest zabronione. Jeżeli jednak spełniony jest jeden z poniższych warunków, przetwarzanie będzie dopuszczalne:

  1. osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach (…);

  2. jest to niezbędne do wypełnienia obowiązków i szczególnych praw administratora lub osoby, której dane dotyczą (jeśli jest to dozwolone przepisami);

  3. jest to niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody;

  4. przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych;

  5. przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;

  6. przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy;

  7. przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym;

  8. przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej;

  9. przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych.

W większości przypadków, legalność przetwarzania danych biometrycznych będzie zapewniona za sprawą wyrażonej zgody lub wynika jasno z przepisu prawa (np. ustawa o dokumentach paszportowych).

Czy dane biometryczne są bezpieczne?

Bezpieczeństwo danych biometrycznych to istotna kwestia, gdyż mamy do czynienia z danymi szczególnej kategorii i ich potencjalne naruszenie mogłoby powodować relatywnie poważniejsze konsekwencje dla podmiotu danych.
W zakresie przetwarzania danych biometrycznych wyróżniamy w szczególności procesy rejestracji danych oraz uwierzytelnienia biometrycznego. Oba procesy zawierają 4 główne elementy w kontekście biometrii fizjologicznej (palca, oka lub twarzy): 

• przechwytywanie obrazu,
• wyodrębnianie cech,
• tworzenie i zapisywanie wzorca w bazie danych oraz
• przechowywanie wzorca lub porównywanie z zapisanym wzorcem. 

W kontekście biometrii behawioralnej rejestracja danych polega na ciągłym analizowaniu różnych czynników, takich jak dynamika posługiwania się klawiaturą, ruchy kursorem myszy czy sposób przewijania stron. Dodatkowo, biometria może być wspierana gromadzeniem danych o lokalizacji użytkownika czy nawykach (np. pory wykonywania transakcji bankowych).
Wzorzec, który jest tworzony i przechowywany, nie jest bezpośrednio daną biometryczną (np. obrazem odcisków palców), ale wynikiem analizy. Może to być analiza lokalizacji minucji zawartych w odciskach palców lub matematyczne podsumowanie wzorów na obrazie tęczówki. Wzorce zawierają unikalne cechy danych biometrycznych użytkownika i są wzorcowymi kopiami, do których będzie docelowo porównywane każde przyszłe pozyskanie danych (uwierzytelnienie).

Rozpatrując bezpieczeństwo danych biometrycznych, należy odnieść się do dwóch modeli pozyskiwania tzw. wzorca biometrycznego (ang. template).

Pierwszy model obejmuje architekturę scentralizowaną (serwerową), gdzie wzorzec biometryczny jest rejestrowany i przechowywany centralnie na serwerze w postaci zaszyfrowanej (oby przy użyciu skutecznych algorytmów szyfrowania). Za każdym razem, gdy użytkownik wykonuje próbę identyfikacji lub uwierzytelnienia, przechwycona próbka jest wysyłana do centralnego mechanizmu, gdzie jest weryfikowana i dopasowywana do zarejestrowanego wzorca na serwerze. Z uwagi na fakt, iż dane biometryczne są przechowywane poza urządzeniem użytkownika, ten model w szczególności wymaga od podmiotów przetwarzających dane, aby zapewniły im bezpieczeństwo. W szczególności należy zadbać o bezpieczeństwo danych podczas ich przesyłania (szyfrowanie komunikacji) i przechowywania (przechowywanie w postaci zaszyfrowanej, zapewnienie kontroli dostępu) oraz reagować odpowiednio na zagrożenia związane z próbą kradzieży danych.

Drugi model obejmuje przechowywanie wzorca biometrycznego na urządzeniu (np. smartfonie). Analiza, tworzenie, przechowywanie i dopasowywanie wzorca biometrycznego odbywa się lokalnie na urządzeniu, gdzie domyślnie wzorzec jest zaszyfrowany. Udane dopasowanie biometryczne zapewnia dostęp do klucza prywatnego przechowywanego na urządzeniu, który z kolei jest używany do odpowiedzi na zapytanie strony ufającej, takiej jak np. bank, którego aplikacja działa na urządzeniu mobilnym. Klucz prywatny nigdy nie opuszcza urządzenia mobilnego.

W obydwu modelach, operacje przetwarzania nie odbywają się na surowych danych, lecz na wzorcach, które ograniczają ryzyko dla prywatności (w przypadku wycieku danych, niepowołane osoby uzyskają dostęp tylko do części danych). Istotne, jest aby proces przetwarzania oryginalnych danych biometrycznych był zabezpieczony na wysokim poziomie – oznacza to przede wszystkim zapewnienie bezpieczeństwa w procesie rejestracji danych (przechwytywanie obrazu twarzy lub odcisku palca) oraz jego przechowywania po stronie dostawcy realizującego identyfikację. 

Każdy z tych modeli ma swoje zagrożenia. Gdy tylko dane biometryczne znajdą się w rękach osoby trzeciej, istnieje ryzyko, że mogą one zostać wykorzystane do celów innych niż te, na które osoba zainteresowana wyraziła zgodę. Z drugiej strony, biometria jest odpowiedzią na inne zagrożenia (np. słabe, powtarzalne hasła) oraz stanowi odpowiedź na potrzeby w zakresie identyfikacji online.

Podsumowując, dynamiczne zmiany w świecie usług online wzmacniają rolę biometrii, dla tego tym bardziej zauważalna jest potrzeba identyfikacji wyzwań oraz zagrożeń związanych z tą technologią. Z uwagi, że jest ona stosunkowo nowa i pojawiają się coraz to nowsze jej formy i zastosowania, konieczne jest poddawanie większości z tych rozwiązań cyklicznemu procesowi analizy ryzyka. Zapewni on stały monitoring pojawiających się zagrożeń, jak również pozwoli dokonać oceny pod kątem wyboru właściwych metod biometrycznych. Jest to aspekt, który dotyczy zarówno dostawców, którzy oferują usługi biometrii, jak i usługodawców, którzy integrują rozwiązania biometryczne we własnych produktach IT.

Potrzebujesz pomocy w zakresie bezpieczeństwa danych?

Zapraszamy do indywidualnych konsultacji.

Dołącz do dyskusji

Podanie adresu e-mail jest związane z moderacją treści komentarza, w szczególności z ewentualnym kontaktem z Użytkownikiem, w celu uzgodnienia ostatecznej treści, co stanowi prawnie uzasadniony interes administratora. Po opublikowaniu komentarza widoczna jest jedynie jego treść i data publikacji oraz imię autora, reszta danych jest niezwłocznie usuwana. Szczegóły dotyczące przetwarzania danych osobowych zawarte są w Polityce prywatności.