Správa a řízení biometrických údajů podle GDPR a ISO 27701

Žádost o mimořádnou schůzku přistála ve schránce CISO Marie Petrové s jasnou naléhavostí. Předmět zněl: „URGENT: Biometric Auth - Go/No-Go for Q3 Launch.“

Maria věděla, co za tím je. Její společnost, rychle rostoucí FinTech s názvem Finura, se připravovala na spuštění ověřování plateb v aplikaci pomocí rozpoznání obličeje a otisku prstu. Produktový tým v tom viděl funkci, která vymezí trh. Správní rada viděla rychlejší adopci. Týmy prevence podvodů očekávaly méně falešných účtů. COO viděl menší tření pro uživatele. Maria viděla jiný obraz: zvláštní kategorii osobních údajů, spouštěče DPIA, závislost na dodavateli, riziko nadměrného uchovávání, odvolání souhlasu, provozní odolnost a scénář porušení zabezpečení, který nelze vyřešit vydáním nového hesla.

Během hovoru se tlak objevil okamžitě. „Konkurence je za námi o měsíce,“ argumentoval vedoucí produktového týmu. „Nemůžeme si dovolit zdržení.“

Pak přišly otázky.

Byl navržen a zaznamenán výslovný souhlas? Existoval platný právní základ podle GDPR Article 6 a podmínka podle Article 9? Byl biometrický dodavatel prověřen jako poskytovatel služeb IKT z řad třetích stran podle očekávání DORA? Dokončil někdo Data Protection Impact Assessment ještě před zahájením vývoje? Dokázala by Finura prokázat, že odvolaná šablona obličeje bude vymazána z produkčních systémů, záloh i prostředí dodavatele?

Ticho řeklo vše.

Správa a řízení biometrických údajů je odlišná, protože identifikátorem je samotná osoba. Heslo lze změnit. Kartu lze nahradit. Kompromitovanou šablonu obličeje, vzor otisku prstu, hlasový otisk, šablonu žil dlaně nebo identifikátor odvozený z duhovky nelze smysluplně změnit. Pokud se biometrické údaje používají k jedinečné identifikaci, GDPR je považuje za zvláštní kategorii osobních údajů. ISO/IEC 27701:2025 očekává privacy information management system, tedy PIMS, který dokáže doložit, proč je zpracování nezbytné, jak je řízeno, kdo jej schválil, jak dlouho jsou údaje uchovávány, kteří dodavatelé k nim mají přístup a jak jsou řešeny žádosti o uplatnění práv a incidenty.

Problém spočívá v tom, že mnoho organizací koupí produkt pro biometrickou identitu, vyplní bezpečnostní dotazník, přidá obecné oznámení o ochraně osobních údajů a předpokládá, že šifrování problém vyřeší. Nevyřeší. Šifrování je nezbytné, ale biometrie vyžaduje propojený provozní model správy a řízení.

Přístup Clarysec kombinuje správu a řízení PIMS podle ISO/IEC 27701:2025, důkazy k opatřením ISO/IEC 27001:2022, odpovědnost podle GDPR a mapování souladu napříč rámci prostřednictvím Zenith Controls: The Cross-Compliance Guide Zenith Controls. V Zenith Controls je cluster správy a řízení biometrie ukotven kolem opatření ISO/IEC 27002:2022 5.34, Privacy and Protection of PII, podporovaného opatřeními 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography, a dodavatelskými opatřeními, jako je 5.20, Addressing Information Security Within Supplier Agreements.

Cílem není zpomalit inovace. Cílem je zajistit, aby biometrická autentizace, ověřování identity, přístup na pracoviště a prevence podvodů byly obhajitelné, přiměřené, bezpečné a připravené na audit.

Proč správa a řízení biometrie selhává i ve vyspělých společnostech

Společnost může mít silný bezpečnostní program, a přesto slabou správu a řízení biometrie.

Představte si poskytovatele SaaS, který spouští ověřování obličeje pro onboarding zákazníků. Bezpečnostní tým vyžaduje TLS, šifrované ukládání, administrátorskou MFA, řízení přístupu a protokolování. Dodavatel tvrdí, že biometrické šablony jsou „nevratné“. Produktový tým dokumentuje snížení podvodů jako obchodní odůvodnění. Právní oddělení přezkoumá smlouvu o zpracování osobních údajů. Nákup dodavatele formálně schválí.

Poté auditor položí pět otázek:

1. Kde je zaznamenána činnost biometrického zpracování?
2. Jaký je právní základ podle GDPR Article 6 a případně podmínka pro zvláštní kategorii podle Article 9?
3. Bylo DPIA dokončeno před zahájením zpracování?
4. Dokážete prokázat, že biometrické šablony jsou vymazány po zániku účelu?
5. Co se stane, pokud u biometrického dodavatele dojde k porušení zabezpečení nebo pokud dodavatel změní dílčí zpracovatele?

Pokud jsou odpovědi rozptýlené v e-mailových vláknech, nákupních tiketech, produktových poznámkách a dodavatelském portálu, program není připraven na audit.

GDPR Article 5 vyžaduje zákonnost, korektnost, transparentnost, účelové omezení, minimalizaci údajů, přesnost, omezení uložení, integritu, důvěrnost a odpovědnost. Article 6 vyžaduje právní základ. Article 9 přidává přísnější podmínku, pokud jsou biometrické údaje zpracovávány za účelem jedinečné identifikace osoby. Definice v Article 4 jsou důležité, protože zpracování zahrnuje shromažďování, ukládání, použití, zpřístupnění, výmaz i zničení. Pseudonymizace pomáhá pouze tehdy, pokud jsou dodatečné identifikační informace chráněny odděleně vhodnými technickými a organizačními opatřeními.

U společností mimo EU může GDPR stále dopadat na situace, kdy nabízejí zboží nebo služby fyzickým osobám v EU nebo monitorují chování probíhající v EU. Tím se biometrický onboarding, skórování podvodů, vzdálený přístup pracovníků, hlasové ověřování v kontaktním centru i ověřování identity zákazníků stávají relevantními daleko za hranicemi Evropy.

Selhání správy a řízení zpravidla není způsobeno jedním chybějícím opatřením. Obvykle jde o absenci propojeného řetězce důkazů.

Řetězec důkazů Clarysec pro biometrický PIMS

Clarysec považuje biometrické případy použití za zpracování PII řízené v celém životním cyklu, nikoli za samostatné autentizační funkce. Řetězec důkazů začíná dříve, než je systém pořízen, nakonfigurován nebo nasazen.

V Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, ve fázi Controls in Action, Step 23, je opatření ISO/IEC 27002:2022 5.34 popsáno takto:

Jména, adresy, identifikátory, zdravotní záznamy, finanční údaje – tato data vyprávějí příběh skutečných lidí. Pokud jsou nesprávně zpracována, odcizena nebo zneužita, důsledky dalece přesahují selhání v oblasti souladu. Stává se z nich zásah do osobní integrity, poškození dobré pověsti a právní expozice.

U biometrických identifikátorů je toto sdělení ještě ostřejší. Biometrická šablona nejsou jen přihlašovací údaje. Je spojena s fyzickými nebo behaviorálními charakteristikami osoby a může být použita k její jedinečné identifikaci.

Obhajitelný pracovní postup správy a řízení biometrie propojuje sedm rozhodnutí se sedmi typy důkazů:

To je rozdíl mezi tvrzením „biometrii používáme bezpečně“ a tvrzením „dokážeme doložit správu a řízení biometrických údajů podle GDPR a ISO/IEC 27701:2025.“

Právní základ není zaškrtávací políčko

Biometrické projekty často selhávají už ve fázi právního základu, protože týmy zaměňují bezpečnostní hodnotu za právní oprávnění.

GDPR Article 6 vyžaduje právní základ, například souhlas, nezbytnost pro plnění smlouvy, právní povinnost, životně důležité zájmy, úkol ve veřejném zájmu nebo oprávněné zájmy, pokud jsou použitelné. Article 9 obecně zakazuje zpracování biometrických údajů pro jedinečnou identifikaci, pokud se neuplatní konkrétní výjimka, například výslovný souhlas, povinnosti v oblasti zaměstnanosti a sociální ochrany podle práva, životně důležité zájmy, významný veřejný zájem, zdravotní péče, veřejné zdraví, právní nároky nebo výzkum a archivace se zárukami.

Biometrické docházkové terminály pro zaměstnance, přístup dveřmi pomocí otisku prstu, onboarding s ověřením obličeje a hlasová autentizace mohou vyžadovat odlišnou analýzu. Stejná technologie může vést k odlišným závěrům o právním základu podle účelu, volby uživatele, nerovného postavení, místního práva, přiměřenosti a dostupnosti nebiometrických alternativ.

Podniková Data Protection and Privacy Policy Data Protection and Privacy Policy společnosti Clarysec stanoví základní pravidlo jasně:

Veškeré zpracování musí být založeno na platném právním důvodu (např. souhlas, smlouva, právní povinnost).

Ze sekce „Policy Implementation Requirements“, ustanovení politiky 6.1.1.

Pro zvláštní kategorii údajů zpřísňuje Clarysec v PII Processing Inventory and Lawful Basis Policy PII Processing Inventory and Lawful Basis Policy požadavek na důkazy:

[Podmíněně] Vlastník procesu / vlastník společnosti MUSÍ před zpracováním zvláštní kategorie PII zaznamenat podmínku zpracování zvláštní kategorie v REG02.

Ze sekce „Controller purpose and lawful basis records“, ustanovení politiky 4.2.6.

Pro SME uplatňuje Clarysec stejnou disciplínu v jednodušším provozním modelu. SME Data Protection and Privacy Policy-sme Data Protection and Privacy Policy - SME uvádí:

Koordinátor ochrany soukromí musí vést registr všech činností zpracování osobních údajů, včetně kategorií údajů, účelu, právního základu a dob uchovávání.

Ze sekce „Governance Requirements“, ustanovení politiky 5.2.1.

A doplňuje:

Právní základ (např. souhlas, smlouva, právní povinnost) musí být dokumentován v registru zpracování.

Ze sekce „Policy Implementation Requirements“, ustanovení politiky 6.1.2.

U správy a řízení biometrických údajů není registr zpracování administrativní formalitou. Je to kontrolní bod, ve kterém organizace prokazuje, že biometrický případ použití je známý, klasifikovaný, odůvodněný a vymezený.

Nejdříve DPIA, teprve potom rollout

Pokud existuje jedno provozní pravidlo pro biometrické systémy, je jednoduché: nedovolte, aby nákup předběhl DPIA.

Biometrické technologie často zahrnují zvláštní kategorii PII, jedinečnou identifikaci, systematické monitorování, profilování podvodů, zranitelné subjekty údajů, nerovnováhu na pracovišti, inovativní technologii nebo automatizovanou podporu rozhodování. To jsou typické spouštěče DPIA. DPIA není jen formulář k ochraně soukromí. Je to místo, kde organizace testuje nezbytnost, přiměřenost, alternativy, zbytkové riziko, ochranná opatření, transparentnost, uchovávání, závislost na dodavateli a dopad incidentu.

Podniková Data Protection and Privacy Policy vyžaduje u vysoce rizikových systémů formální analýzu:

Modelování hrozeb a Data Protection Impact Assessments (DPIAs) jsou povinné pro systémy zpracování s vysokým rizikem.

Ze sekce „Policy Implementation Requirements“, ustanovení politiky 6.3.4.

PIMS-specifická Privacy Risk Assessment and DPIA Policy Privacy Risk Assessment and DPIA Policy je přímější:

[Správce] Vlastník procesu / vlastník společnosti MUSÍ před zahájením zpracování postoupit zpracování zahrnující rozsáhlé zpracování, systematické monitorování, profilování, automatizovaná rozhodnutí, zvláštní kategorii PII, údaje o odsouzeních nebo trestných činech, zranitelné subjekty PII, inovativní technologii nebo významně změněné zpracování vedoucímu ochrany soukromí / manažerovi PIMS v REG04.

Ze sekce „DPIA triggers and requirement determination“, ustanovení politiky 4.2.2.

Biometrické DPIA musí odpovědět alespoň na tyto otázky:

• Jaká biometrická modalita se zpracovává, například obličej, otisk prstu, hlas, duhovka, dlaň nebo behaviorální vzor?
• Používají se biometrické údaje k jedinečné identifikaci, nebo pouze k lokálnímu ověření zařízení?
• Je organizace správcem, zpracovatelem, společným správcem nebo dílčím zpracovatelem?
• Jaká nebiometrická alternativa existuje a je dostupná za stejných podmínek?
• Je vyžadován výslovný souhlas a lze jej svobodně udělit i odvolat?
• Jsou ukládány surové biometrické snímky, zvukové záznamy nebo šablony?
• Kde jsou šablony uloženy, například v bezpečné enklávě zařízení, centrálním systému nebo cloudu dodavatele?
• Kdo má přístup k šablonám, skóre shody a biometrickým logům?
• Jaké uchovávání se vztahuje na zaregistrované uživatele, odmítnuté žadatele, neaktivní účty a ukončené zaměstnance?
• Jak se prokazuje výmaz a expirace záloh?
• Co se stane po falešně pozitivních výsledcích, falešných odmítnutích nebo chybách automatizovaného rozhodování?
• Jací dílčí zpracovatelé jsou zapojeni a kde jsou údaje zpracovávány?

Ve Finuře se DPIA stalo ústředním dokumentem správy a řízení. Nezrušilo spuštění. Proměnilo rizikový nápad v kontrolovaný implementační plán.

Výslovný souhlas a problém vynuceného pohodlí

Biometrické programy často spoléhají na souhlas, protože to působí intuitivně. Osoba zaregistruje svůj obličej, hlas nebo otisk prstu, takže jistě souhlasila. Souhlas na úrovni GDPR musí být konkrétní, informovaný, jednoznačný a svobodně udělený. Pokud je podle Article 9 vyžadován výslovný souhlas, standard je vyšší.

V pracovněprávním kontextu nebo tam, kde přístup k nezbytné službě závisí na biometrické registraci, může být souhlas obtížně obhajitelný, pokud neexistuje skutečná alternativa. „Pohodlná“ biometrická možnost se stává problematickou, pokud je alternativa skrytá, pomalejší, sankční nebo nedostupná.

Consent and Preference Management Policy Consent and Preference Management Policy společnosti Clarysec stanoví provozní pravidlo:

[Podmíněně] Vedoucí ochrany soukromí / manažer PIMS MUSÍ před zahájením zpracování označit souhlas v REG05 jako výslovný, pokud je pro zvolený účel vyžadován výslovný souhlas.

Ze sekce „Consent Request and Capture“, ustanovení politiky 4.2.5.

U biometrických systémů musí REG05 uvádět:

• Přesné znění souhlasu.
• Biometrický účel, například autentizaci, prevenci podvodů, řízení přístupu nebo ověřování identity.
• Zda je souhlas výslovný.
• Datum, kanál a verzi oznámení.
• Způsob odvolání souhlasu.
• Nebiometrickou alternativu.
• Zda odmítnutí ovlivní přístup ke službě.
• Systémový spouštěč, který po odvolání souhlasu zastaví zpracování.

SME Data Protection and Privacy Policy-sme uvádí:

Ochrana osobních údajů již od návrhu a ve výchozím nastavení musí být vynucována ve všech nových systémech a službách.

Ze sekce „Governance Requirements“, ustanovení politiky 5.3.1.

V biometrických systémech znamená ochrana soukromí ve výchozím nastavení, že uživatelé nejsou skrytě registrováni, surové snímky nejsou uchovávány bez odůvodnění, biometrické porovnávání není bez opětovného posouzení využíváno pro analytiku a alternativy nejsou ukryté za tikety podpory.

Klasifikujte celý biometrický datový soubor

Biometrický systém nelze řídit, pokud biometrické údaje nejsou viditelné v evidenci aktiv.

Podniková Data Classification and Labeling Policy Data Classification and Labeling Policy společnosti Clarysec uvádí:

Zajišťuje, aby osobní údaje podléhající GDPR, DORA nebo jiným právním předpisům na ochranu soukromí byly správně klasifikovány (např. označeny jako „Důvěrné“ nebo „Omezené“).

Ze sekce „Roles and Responsibilities“, ustanovení politiky 4.6.1.

Pro SME stanoví Data Classification and Labeling Policy-sme Data Classification and Labeling Policy - SME očekávání ochrany:

Všechna data klasifikovaná jako „Důvěrné“ musí získat nejvyšší úroveň ochrany:

Ze sekce „Governance Requirements“, ustanovení politiky 5.2.

Klasifikace musí zahrnovat více než jen databázi šablon:

ISO/IEC 27001:2022 tuto disciplínu posiluje. Kapitoly 4.1 až 4.4 vyžadují, aby organizace určila kontext, požadavky zainteresovaných stran, rozsah ISMS a závislosti. Kapitoly 6.1.1 až 6.1.3 vyžadují posouzení rizik, ošetření rizik, Prohlášení o použitelnosti a schválení vlastníkem rizika. Pokud biometrické systémy ovlivňují důvěrnost, integritu, dostupnost nebo soukromí, patří do rozsahu.

Bezpečnostní opatření: šifrování je jen jedna vrstva

Bezpečnost biometrie vyžaduje vícevrstvá opatření. Na šifrování záleží, ale nenapraví slabý právní základ, nadměrné uchovávání, nekontrolovaný přístup dodavatele ani chybějící důkazy o výmazu.

Zenith Blueprint ve fázi Controls in Action, Step 20, vysvětluje opatření ISO/IEC 27002:2022 8.24, Use of Cryptography:

Toto opatření není jen o prostém „zapnutí šifrování“; jde o začlenění kryptografie do návrhu, politik a řízení životního cyklu organizace.

PII Security and Access Control Policy PII Security and Access Control Policy společnosti Clarysec stanoví pravidlo PIMS pro citlivé PII:

[Obě role] Vedoucí bezpečnosti informací MUSÍ v REG12 definovat požadavky na šifrování nebo schválenou kompenzační ochranu před tím, než jsou PII s významným dopadem, citlivé PII nebo externě přenášené PII ukládány, přenášeny nebo zpřístupněny.

Ze sekce „Encryption and secure storage“, ustanovení politiky 4.5.1.

REG12 musí definovat biometrická ochranná opatření, například šifrování dat v klidu, šifrování dat při přenosu, vlastnictví klíčů, rotaci klíčů, administrátorskou MFA, schvalování přístupu, oddělení identitních údajů od biometrických šablon, protokolování událostí registrace, shody, exportu a výmazu, monitorování neobvyklého přístupu k šablonám, bezpečné vymazání a spouštěče incidentu při kompromitaci šablony.

V Zenith Controls jsou opatření ISO/IEC 27002:2022 5.17, Authentication Information, a 8.5, Secure Authentication, obzvlášť důležitá, protože biometrie je často vložena do autentizačních toků. Otázkou není pouze to, zda je biometrické přihlášení bezpečné. Otázkou je, zda jsou řízeny také záložní metody, postupy obnovy, detekce živosti, privilegovaný přístup a cesty obejití biometrie.

Uchovávání, výmaz a biometrické pohřebiště

Biometrické systémy často uchovávají více dat, než si týmy uvědomují: neúspěšné registrace, staré šablony, neaktivní uživatele, balíčky pro podporu, archivované databáze, snapshoty a zálohy. Vzniká tak problém biometrického pohřebiště. Data už nejsou provozně užitečná, ale zůstávají vysoce citlivá.

Podniková Data Protection and Privacy Policy uvádí:

Osobní informace (PII) nesmí být uchovávány déle, než je nezbytné.

Ze sekce „Policy Implementation Requirements“, ustanovení politiky 6.5.1.

Zenith Blueprint ve fázi Controls in Action, Step 19, vysvětluje opatření ISO/IEC 27002:2022 8.10, Information Deletion:

Toto opatření zajišťuje, že data nejsou uchovávána déle, než je nezbytné, a když již nejsou potřebná, musí být bezpečně a spolehlivě vymazána.

U biometrických údajů musí být výmaz navržen přímo do systému. Pravidla musí pokrývat odvolání souhlasu, uzavření účtu, ukončení pracovního poměru, neúspěšný onboarding po uplynutí lhůt pro odvolání, neaktivní účty, výměnu zařízení, ukončení smlouvy s dodavatelem, pozastavení mazání, expiraci záloh a případně kryptografický výmaz.

Auditoři nepřijmou tvrzení „výmaz řeší dodavatel“, pokud nedokážete prokázat jak, kdy, na základě jakého spouštěče a s jakými důkazy.

Správa a řízení dodavatelů: dodavatel je součástí kontrolního prostředí

Většina organizací nestaví biometrické enginy od nuly. Spoléhají na dodavatele pro porovnávání obličejů, hlasové ověřování, detekci živosti, hardware pro řízení přístupu, SDK, skórování podvodů, cloudové úložiště nebo podpůrnou analytiku. Tím se správa a řízení dodavatelů dostává do středu pozornosti.

Podniková Data Protection and Privacy Policy vyžaduje opětovné posouzení dodavatelů:

Týmy nákupu a právního a regulačního souladu musí ověřit soulad s Article 28 GDPR a vyžadovat každoroční opětovné posouzení všech vysoce rizikových dodavatelů.

Ze sekce „Enforcement and Compliance“, ustanovení politiky 8.5.2.

Processor, Subprocessor and Third-Party Privacy Management Policy Processor, Subprocessor and Third-Party Privacy Management Policy přidává schvalovací bod PIMS:

[Podmíněně] Pověřenec pro ochranu osobních údajů / poradce pro ochranu soukromí MUSÍ před schválením vztahu zahrnujícího vysoké zbytkové riziko pro soukromí, zvláštní kategorii PII, rozsáhlé zpracování, systematické monitorování nebo nevyřešenou klasifikaci role poskytnout stanovisko v REG04 nebo REG12.

Ze sekce „Due diligence and risk assessment“, ustanovení politiky 4.2.4.

SME Third-Party and Supplier Security Policy-sme Third-Party and Supplier Security Policy - SME menším podnikům připomíná, že smlouvy jsou kontrolní plocha:

Smlouvy musí obsahovat povinná ustanovení pokrývající:

Ze sekce „Governance Requirements“, ustanovení politiky 5.3.

Zenith Blueprint ve fázi Controls in Action, Step 23, popisuje opatření ISO/IEC 27002:2022 5.20, Addressing Information Security Within Supplier Agreements:

Důvěra ve vztahu k dodavatelům nemůže stát na předpokladech. Musí být zakotvena ve smlouvách.

Biometrické smlouvy musí pokrývat roli zpracovatele, účelové omezení, schvalování dílčích zpracovatelů, umístění dat, šifrování, řízení přístupu, oznámení incidentu, práva na audit, výmaz, vrácení dat, přístup pracovníků podpory, součinnost při porušení zabezpečení, omezení trénování modelů a součinnost při ukončení spolupráce.

U finančních subjektů spadajících pod DORA mohou být dodavatelé biometrické identity poskytovateli služeb IKT z řad třetích stran. DORA se použije od 17. ledna 2025 a očekává, že finanční subjekty budou řídit rizika v oblasti ICT, hlášení incidentů, testování provozní odolnosti a rizika třetích stran v oblasti ICT. Pokud biometrický onboarding podporuje kritickou nebo důležitou funkci, dodavatelské smlouvy, eskalace incidentů, testování odolnosti a exit plány se stávají důkazy provozní odolnosti i důkazy ochrany soukromí.

NIS2 je relevantní také pro mnoho poskytovatelů cloudových služeb, SaaS, řízených služeb, řízených bezpečnostních služeb, digitální infrastruktury a řízení ICT služeb. Její očekávání v oblasti řízení rizik se silně překrývají s ISO/IEC 27001:2022 a řetězcem důkazů biometrického PIMS.

Mapování souladu napříč rámci pro správu a řízení biometrických údajů

Správa a řízení biometrie nesmí vytvářet oddělená sila pro GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 a COBIT 19. Jeden důkazní model může podpořit mnoho povinností.

U subjektů NIS2 mohou významné incidenty vyžadovat včasné varování do 24 hodin, oznámení incidentu do 72 hodin a závěrečnou zprávu do jednoho měsíce. Pokud je biometrická identitní platforma narušena nebo kompromitována, mohou být současně spuštěny bezpečnostní, soukromí týkající se i provozní oznamovací pracovní postupy.

Auditní pohled: na co se budou přezkoumávající ptát

Různí auditoři testují správu a řízení biometrie z různých úhlů. Clarysec používá Zenith Controls k propojení opatření ISO/IEC 27002:2022 s důkazy o ochraně soukromí, autentizaci, dodavatelích, šifrování, výmazu, incidentech a auditu.

Mezi běžná auditní zjištění patří technická opatření bez rozhodnutí správy a řízení, právní základ podle Article 6 bez podmínky podle Article 9, DPIA dokončené až po spuštění do produkčního prostředí, záznamy o souhlasu bez spouštěčů výmazu, dodavatelské smlouvy bez biometricky specifických ustanovení a incidentní playbooky, které zacházejí s kompromitací biometrické šablony jako s běžnou kompromitací přihlašovacích údajů.

Praktický schvalovací workflow pro biometrický onboarding

Organizace vedená Clarysec, která řeší ověřování obličeje pro onboarding zákazníků, by postupovala strukturovaně:

1. Vytvořit záznam o zpracování v REG02.
2. Určit role správce, zpracovatele a dílčího zpracovatele.
3. Zaznamenat právní základ podle Article 6 a podmínku podle Article 9 tam, kde jsou biometrické údaje používány k jedinečné identifikaci.
4. Zaznamenat kategorie údajů, například selfie, snímek dokladu, biometrickou šablonu, výsledek detekce živosti, skóre shody, auditní logy a exporty pro podporu.
5. Spustit DPIA v REG04 před implementací.
6. Posoudit nezbytnost, přiměřenost a nebiometrické alternativy.
7. Definovat výslovný souhlas v REG05 tam, kde je vyžadován.
8. Klasifikovat surové snímky a šablony jako Omezené nebo nejvyšší citlivost.
9. Definovat v REG12 bezpečnostní požadavky na šifrování, správu klíčů, přístup, protokolování, monitorování, omezení exportu a výmaz.
10. Přezkoumat náležitou péči u dodavatele, seznam dílčích zpracovatelů, lokalitu hostingu, oznámení incidentu, práva na audit a postup pro certifikát o výmazu.
11. Doplnit pravidla uchovávání pro úspěšný onboarding, neúspěšný onboarding, odvolaný souhlas, odvolání, šetření podvodů a zálohy.
12. Schválit zbytkové riziko s uvedenými vlastníky.
13. Uložit auditní důkazy do důkazního repozitáře PIMS.
14. Přezkoumat účinnost po spuštění a po změnách dodavatele.

Tím CISO získá důkazy o technických opatřeních, DPO odpovědnost v oblasti ochrany soukromí, nákup smluvní kontrolní body, produktový tým cestu ke spuštění a auditoři dohledatelný příběh.

Proměňte biometrické riziko v důvěru

Zpět ve Finuře Maria biometrickou funkci nezrušila. Nastavila ji znovu. Produktový a vývojový tým začlenily požadavky PIMS do životního cyklu vývoje. Tok souhlasu se stal výslovným a odděleným. Dodavatelská smlouva získala silnější závazky k výmazu, auditu, porušení zabezpečení a dílčím zpracovatelům. REG02, REG04, REG05 a REG12 se staly páteří důkazů. Pro odvolaná data byl implementován kryptografický výmaz. Spuštění se posunulo o jedno čtvrtletí, ale proběhlo na základě důvěry.

To je smysl správy a řízení biometrických údajů. Nezakazuje inovace. Dělá inovace obhajitelnými.

Vaše další kroky jsou přímočaré:

1. Zaevidujte každý biometrický případ použití, včetně přístupu na pracoviště, onboardingu zákazníků, autentizace zařízení, prevence podvodů a hlasového ověřování.
2. Klasifikujte data a potvrďte, zda jsou používána k jedinečné identifikaci.
3. Zaznamenejte právní základ a případnou podmínku pro zvláštní kategorii do registru zpracování.
4. Proveďte DPIA před zahájením nového nebo významně změněného zpracování.
5. Ověřte výslovný souhlas a alternativy tam, kde jsou vyžadovány.
6. Přezkoumejte dodavatelské smlouvy a dílčí zpracovatele.
7. Definujte důkazy o šifrování, přístupu, protokolování, monitorování a výmazu.
8. Namapujte důkazy na očekávání ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 a COBIT 19.

Clarysec vám pomůže proměnit správu a řízení biometrických údajů v auditovatelný pracovní postup PIMS. Začněte s Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, ověřte mapování napříč rámci pomocí Zenith Controls: The Cross-Compliance Guide Zenith Controls a provozně zaveďte práci s důkazy prostřednictvím sady politik PIMS podle ISO/IEC 27701:2025 od Clarysec, včetně PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Consent and Preference Management Policy, PII Security and Access Control Policy a Processor, Subprocessor and Third-Party Privacy Management Policy.

Biometrie může posílit bezpečnost a zlepšit uživatelskou zkušenost. Trvalou důvěru si získá pouze řízená biometrie.