Styring af biometriske data efter GDPR og ISO 27701

Anmodningen om et hastemøde landede tungt i CISO Maria Petrovas indbakke. Emnelinjen lød: “HASTER: Biometrisk autentifikation – Go/No-Go for Q3-lancering.”

Maria vidste, hvad der lå bag. Hendes virksomhed, Finura, en hastigt voksende FinTech, forberedte lanceringen af betalingsverifikation i appen baseret på ansigts- og fingeraftryksgenkendelse. Produktteamet så en funktion, der kunne definere markedet. Bestyrelsen så hurtigere udbredelse. Svigteamene så færre falske konti. COO’en så mindre friktion. Maria så et andet billede: særlige kategorier af personoplysninger, DPIA-udløsere, leverandørafhængighed, opbevaringsrisiko, tilbagetrækning af samtykke, operationel robusthed og et brudsscenarie, der ikke kunne løses ved at udstede en ny adgangskode.

Under mødet kom presset med det samme. “Konkurrenterne er måneder efter os,” argumenterede produktchefen. “Vi har ikke råd til at udskyde.”

Så begyndte spørgsmålene.

Var udtrykkeligt samtykke designet og registreret? Var der et gyldigt behandlingsgrundlag efter GDPR Article 6 og en betingelse efter Article 9? Var den biometriske leverandør vurderet som IKT-tredjepart efter DORA-forventningerne? Havde nogen gennemført en konsekvensanalyse vedrørende databeskyttelse, før udviklingsteamet gik i gang? Kunne Finura dokumentere, at en tilbagekaldt ansigtsskabelon ville blive slettet fra produktionssystemer, sikkerhedskopier og leverandørmiljøer?

Stilheden sagde alt.

Styring af biometriske data er anderledes, fordi identifikatoren er personen. En adgangskode kan skiftes. Et kort kan erstattes. En kompromitteret ansigtsskabelon, et fingeraftryksmønster, et stemmeaftryk, en håndveneskabelon eller en irisafledt identifikator kan ikke reelt ændres. Når biometriske data anvendes til entydig identifikation, behandler GDPR dem som særlige kategorier af personoplysninger. ISO/IEC 27701:2025 forventer et ledelsessystem for databeskyttelse, eller PIMS, der kan dokumentere, hvorfor behandlingen er nødvendig, hvordan den kontrolleres, hvem der har godkendt den, hvor længe den opbevares, hvilke leverandører der berører den, og hvordan anmodninger om registreredes rettigheder og hændelser håndteres.

Problemet er, at mange organisationer køber et biometrisk identitetsprodukt, udfylder et sikkerhedsspørgeskema, tilføjer en generisk privatlivsmeddelelse og antager, at kryptering løser problemet. Det gør den ikke. Kryptering er nødvendig, men styring af biometriske data kræver en sammenhængende driftsmodel.

Clarysecs tilgang kombinerer ISO/IEC 27701:2025 PIMS-styring, ISO/IEC 27001:2022-revisionsbevis for kontroller, GDPR-ansvarlighed og kortlægning på tværs af rammeværker gennem Zenith Controls: The Cross-Compliance Guide Zenith Controls. I Zenith Controls er klyngen for styring af biometriske data forankret i ISO/IEC 27002:2022-kontrol 5.34, Privacy and Protection of PII, understøttet af 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography, og leverandørkontroller såsom 5.20, Addressing Information Security Within Supplier Agreements.

Målet er ikke at bremse innovation. Målet er at gøre biometrisk autentifikation, identitetsverifikation, adgang til arbejdspladsen og svigforebyggelse forsvarlig, proportional, sikker og revisionsklar.

Hvorfor styring af biometriske data fejler i modne virksomheder

En virksomhed kan have et stærkt sikkerhedsprogram og stadig have svag styring af biometriske data.

Forestil dig en SaaS-udbyder, der lancerer ansigtsverifikation til kundeonboarding. Sikkerhedsteamet kræver TLS, krypteret lagring, administrator-MFA, adgangsstyring og logning. Leverandøren siger, at biometriske skabeloner er “irreversible”. Produktteamet dokumenterer svigreduktion som den forretningsmæssige begrundelse. Jura gennemgår databehandleraftalen. Indkøb krydser leverandørfeltet af.

Så stiller revisoren fem spørgsmål:

1. Hvor er den biometriske behandlingsaktivitet registreret?
2. Hvad er behandlingsgrundlaget efter GDPR Article 6 og, hvor relevant, betingelsen for særlige kategorier efter Article 9?
3. Blev en DPIA gennemført, før behandlingen begyndte?
4. Kan I dokumentere, at biometriske skabeloner slettes, når formålet udløber?
5. Hvad sker der, hvis den biometriske leverandør rammes af et brud eller ændrer underdatabehandlere?

Hvis svarene er spredt ud over e-mailtråde, indkøbssager, produktnoter og en leverandørportal, er programmet ikke revisionsklart.

GDPR Article 5 kræver lovlighed, rimelighed, gennemsigtighed, formålsbegrænsning, dataminimering, rigtighed, opbevaringsbegrænsning, integritet, fortrolighed og ansvarlighed. Article 6 kræver et behandlingsgrundlag. Article 9 tilføjer en strengere betingelse, når biometriske data behandles med henblik på entydigt at identificere en person. Definitionerne i Article 4 er væsentlige, fordi behandling omfatter indsamling, lagring, brug, videregivelse, sletning og destruktion. Pseudonymisering hjælper kun, når yderligere identificerende oplysninger beskyttes særskilt med passende tekniske og organisatoriske foranstaltninger.

For virksomheder uden for EU kan GDPR stadig finde anvendelse, når de tilbyder varer eller tjenester til personer i EU eller overvåger adfærd, der finder sted i EU. Det gør biometrisk onboarding, svigscoring, fjernadgang for medarbejdere, stemmeverifikation i callcentre og identitetsverifikation af kunder relevant langt uden for Europa.

Styringssvigtet skyldes sjældent én manglende kontrol. Det skyldes typisk fraværet af en sammenhængende beviskæde.

Clarysecs beviskæde for biometrisk PIMS

Clarysec behandler biometriske anvendelsesscenarier som behandling af personoplysninger (PII), der er underlagt livscyklusstyring, ikke som enkeltstående autentifikationsfunktioner. Beviskæden begynder, før systemet købes, konfigureres eller implementeres.

I Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint beskriver fasen Controls in Action, trin 23, ISO/IEC 27002:2022-kontrol 5.34 på denne måde:

Navne, adresser, ID’er, helbredsoplysninger, finansielle oplysninger – disse data fortæller en historie om rigtige mennesker. Når de håndteres forkert, stjæles eller misbruges, rækker konsekvenserne langt ud over efterlevelsessvigt. Det bliver et spørgsmål om personlig krænkelse, omdømmeskade og juridisk eksponering.

Budskabet bliver skarpere for biometriske identifikatorer. En biometrisk skabelon er ikke blot loginoplysninger. Den er knyttet til en persons fysiske eller adfærdsmæssige karakteristika og kan bruges til entydigt at identificere personen.

En forsvarlig arbejdsgang for styring af biometriske data forbinder syv beslutninger med syv typer revisionsbevis:

Det er forskellen mellem “vi bruger biometri sikkert” og “vi kan dokumentere styring af biometriske data efter GDPR og ISO/IEC 27701:2025.”

Behandlingsgrundlag er ikke en afkrydsningsøvelse

Biometriske projekter fejler ofte i fasen for behandlingsgrundlag, fordi teams forveksler sikkerhedsværdi med retlig tilladelse.

GDPR Article 6 kræver et behandlingsgrundlag såsom samtykke, kontraktlig nødvendighed, retlig forpligtelse, vitale interesser, opgave i samfundets interesse eller legitime interesser, hvor det er relevant. Article 9 forbyder som udgangspunkt behandling af biometriske data til entydig identifikation, medmindre en specifik undtagelse finder anvendelse, såsom udtrykkeligt samtykke, arbejdsretlige og socialretlige forpligtelser fastsat i lovgivning, vitale interesser, væsentlige samfundsinteresser, sundhedsydelser, folkesundhed, retskrav eller forskning og arkivering med sikkerhedsforanstaltninger.

Et biometrisk tidsregistreringssystem for medarbejdere, fingeraftryksbaseret døradgang, ansigtsbaseret onboarding og stemmeautentifikation kan kræve forskellige analyser. Den samme teknologi kan føre til forskellige resultater for behandlingsgrundlag afhængigt af formål, brugerens valgmuligheder, magtubalance, lokal lovgivning, proportionalitet og tilgængeligheden af ikke-biometriske alternativer.

Clarysecs Enterprise Databeskyttelses- og privatlivspolitik Databeskyttelses- og privatlivspolitik gør basiskravet klart:

Al behandling skal være baseret på et gyldigt juridisk grundlag (f.eks. samtykke, kontrakt, retlig forpligtelse).

Fra afsnittet “Krav til implementering af politikken”, politikklausul 6.1.1.

For særlige kategorier af oplysninger skærper Clarysecs Politik for fortegnelse over PII-behandling og behandlingsgrundlag Politik for fortegnelse over PII-behandling og behandlingsgrundlag kravet til revisionsbevis:

[Betinget] Proces-/forretningsejeren SKAL registrere betingelsen for behandling af særlige kategorier i REG02, før behandling af særlige kategorier af PII påbegyndes.

Fra afsnittet “Den dataansvarliges formåls- og behandlingsgrundlagsregistreringer”, politikklausul 4.2.6.

For SMV’er anvender Clarysec samme disciplin i en enklere driftsmodel. SMV-udgaven Databeskyttelses- og privatlivspolitik-sme Databeskyttelses- og privatlivspolitik - SMV angiver:

Databeskyttelseskoordinatoren skal vedligeholde et register over alle behandlingsaktiviteter vedrørende personoplysninger, herunder datakategorier, formål, behandlingsgrundlag og opbevaringsperioder

Fra afsnittet “Styringskrav”, politikklausul 5.2.1.

Og den tilføjer:

Behandlingsgrundlaget (f.eks. samtykke, kontrakt, retlig forpligtelse) skal dokumenteres i registeret over behandlingsaktiviteter

Fra afsnittet “Krav til implementering af politikken”, politikklausul 6.1.2.

For styring af biometriske data er registeret over behandlingsaktiviteter ikke administrativ oprydning. Det er kontrolpunktet, hvor organisationen dokumenterer, at det biometriske anvendelsesscenarie er kendt, klassificeret, begrundet og afgrænset.

DPIA først, udrulning bagefter

Hvis der er én operationel regel for biometriske systemer, er den enkel: Lad ikke indkøb løbe fra DPIA’en.

Biometriske teknologier omfatter ofte særlige kategorier af personoplysninger, entydig identifikation, systematisk overvågning, svigprofilering, sårbare registrerede, magtubalance på arbejdspladsen, innovativ teknologi eller automatiseret beslutningsstøtte. Det er klassiske DPIA-udløsere. DPIA’en er ikke kun en privatlivsformular. Det er her, organisationen tester nødvendighed, proportionalitet, alternativer, restrisiko, sikkerhedsforanstaltninger, gennemsigtighed, opbevaring, leverandørafhængighed og hændelsespåvirkning.

Enterprise-udgaven af Databeskyttelses- og privatlivspolitik kræver formel analyse for højrisikosystemer:

Trusselmodellering og konsekvensanalyser vedrørende databeskyttelse (DPIA’er) er obligatoriske for højrisikobehandlingssystemer.

Fra afsnittet “Krav til implementering af politikken”, politikklausul 6.3.4.

Den PIMS-specifikke Politik for risikovurdering vedrørende databeskyttelse og DPIA Politik for risikovurdering vedrørende databeskyttelse og DPIA er mere direkte:

[Dataansvarlig] Proces-/forretningsejeren SKAL henvise behandling, der omfatter stor skala, systematisk overvågning, profilering, automatiserede afgørelser, særlige kategorier af PII, oplysninger om straffedomme og lovovertrædelser, sårbare registrerede, innovativ teknologi eller væsentligt ændret behandling, til den databeskyttelsesansvarlige / PIMS-ansvarlige i REG04, før behandlingen påbegyndes.

Fra afsnittet “DPIA-udløsere og fastlæggelse af krav”, politikklausul 4.2.2.

En biometrisk DPIA bør som minimum besvare disse spørgsmål:

• Hvilken biometrisk modalitet behandles, f.eks. ansigt, fingeraftryk, stemme, iris, håndflade eller adfærdsmønster?
• Anvendes biometriske data til entydig identifikation eller kun til lokal enhedsverifikation?
• Er organisationen dataansvarlig, databehandler, fælles dataansvarlig eller underdatabehandler?
• Hvilket ikke-biometrisk alternativ findes, og er det lige tilgængeligt?
• Kræves udtrykkeligt samtykke, og kan det gives og trækkes tilbage frivilligt?
• Opbevares rå biometriske billeder, lydoptagelser eller skabeloner?
• Hvor opbevares skabelonerne, f.eks. i enhedens secure enclave, i et centralt system eller i leverandørens cloud?
• Hvem kan tilgå skabeloner, matchscorer og biometriske logfiler?
• Hvilken opbevaringsperiode gælder for tilmeldte brugere, afviste ansøgere, inaktive konti og fratrådte medarbejdere?
• Hvordan dokumenteres sletning og udløb af sikkerhedskopier?
• Hvad sker der efter falske positiver, falske afvisninger eller fejl i automatiserede afgørelser?
• Hvilke underdatabehandlere er involveret, og hvor behandles data?

Hos Finura blev DPIA’en det centrale styringsdokument. Den annullerede ikke lanceringen. Den omdannede en risikabel idé til en kontrolleret implementeringsplan.

Udtrykkeligt samtykke og problemet med tvungen bekvemmelighed

Biometriske programmer baserer sig ofte på samtykke, fordi det virker intuitivt. En person tilmelder sit ansigt, sin stemme eller sit fingeraftryk, så vedkommende må have accepteret. Samtykke på GDPR-niveau skal være specifikt, informeret, utvetydigt og frivilligt. Når udtrykkeligt samtykke efter Article 9 kræves, er standarden højere.

I ansættelsesforhold, eller hvor adgang til en nødvendig tjeneste afhænger af biometrisk tilmelding, kan samtykke være vanskeligt at forsvare, medmindre der findes et reelt alternativ. En “bekvem” biometrisk løsning bliver problematisk, hvis alternativet er skjult, langsommere, sanktionerende eller utilgængeligt.

Clarysecs Politik for samtykke- og præferencestyring Politik for samtykke- og præferencestyring fastsætter den operationelle regel:

[Betinget] Den databeskyttelsesansvarlige / PIMS-ansvarlige SKAL markere samtykke som udtrykkeligt i REG05, før behandlingen påbegyndes, hvor udtrykkeligt samtykke kræves for det valgte formål.

Fra afsnittet “Anmodning om og indhentning af samtykke”, politikklausul 4.2.5.

For biometriske systemer bør REG05 vise:

• Den præcise samtykketekst.
• Det biometriske formål, f.eks. autentifikation, svigforebyggelse, adgangsstyring eller identitetsverifikation.
• Om samtykket er udtrykkeligt.
• Dato, kanal og version af privatlivsmeddelelsen.
• Metoden til tilbagetrækning.
• Det ikke-biometriske alternativ.
• Om afslag påvirker adgangen til en tjeneste.
• Den systemudløser, der stopper behandlingen efter tilbagetrækning.

SMV-udgaven Databeskyttelses- og privatlivspolitik-sme angiver:

Databeskyttelse gennem design og standardindstillinger skal håndhæves i alle nye systemer og tjenester

Fra afsnittet “Styringskrav”, politikklausul 5.3.1.

I biometriske systemer betyder databeskyttelse som standard, at brugere ikke tilmeldes uden tydelig information, at rå billeder ikke opbevares uden begrundelse, at biometrisk matching ikke genanvendes til analyseformål uden fornyet vurdering, og at alternativer ikke skjules bag supportsager.

Klassificér hele det biometriske datasæt

Et biometrisk system kan ikke styres, hvis de biometriske data er usynlige i aktivfortegnelsen.

Clarysecs Enterprise Politik for dataklassificering og mærkning Politik for dataklassificering og mærkning angiver:

Sikrer, at personoplysninger, der er omfattet af GDPR, DORA eller anden databeskyttelseslovgivning, klassificeres korrekt (f.eks. mærkes som “Fortrolig” eller “Begrænset”).

Fra afsnittet “Roller og ansvar”, politikklausul 4.6.1.

For SMV’er fastlægger Politik for dataklassificering og mærkning-sme Politik for dataklassificering og mærkning - SMV forventningen til beskyttelse:

Alle data klassificeret som “Fortrolig” skal have det højeste beskyttelsesniveau:

Fra afsnittet “Styringskrav”, politikklausul 5.2.

Klassificering bør omfatte mere end skabelondatabasen:

ISO/IEC 27001:2022 understøtter denne disciplin. Klausulerne 4.1 til 4.4 kræver, at organisationen fastlægger kontekst, interessentkrav, ISMS-omfang og afhængigheder. Klausulerne 6.1.1 til 6.1.3 kræver risikovurdering, risikobehandling, anvendelighedserklæring og godkendelse fra risikoejer. Hvis biometriske systemer påvirker fortrolighed, integritet, tilgængelighed eller databeskyttelse, hører de til i omfanget.

Sikkerhedskontroller: kryptering er kun ét lag

Biometrisk sikkerhed kræver lagdelte kontroller. Kryptering er vigtig, men den kan ikke rette op på et svagt behandlingsgrundlag, overdreven opbevaring, ukontrolleret leverandøradgang eller manglende dokumentation for sletning.

Fasen Controls in Action, trin 20, i Zenith Blueprint forklarer ISO/IEC 27002:2022-kontrol 8.24, Use of Cryptography:

Denne kontrol handler ikke blot om at “slå kryptering til”; den handler om at indbygge kryptografi i organisationens design, politik og livscyklusstyring.

Clarysecs Politik for PII-sikkerhed og adgangsstyring Politik for PII-sikkerhed og adgangsstyring fastsætter PIMS-reglen for følsomme PII:

[Begge] Den informationssikkerhedsansvarlige SKAL definere krav til kryptering eller godkendte kompenserende beskyttelseskrav i REG12, før PII med højt konsekvensniveau, følsomme PII eller eksternt transmitterede PII lagres, transmitteres eller gøres tilgængelige.

Fra afsnittet “Kryptering og sikker lagring”, politikklausul 4.5.1.

REG12 bør definere sikkerhedsforanstaltninger for biometri såsom kryptering af data i hvile, kryptering af data under overførsel, nøgleejerskab, nøglerotation, administrator-MFA, adgangsgodkendelse, adskillelse mellem identitetsdata og biometriske skabeloner, logning af tilmelding, match, eksport- og sletningshændelser, overvågning af usædvanlig skabelonadgang, sikker sletning og hændelsesudløsere ved kompromittering af skabeloner.

I Zenith Controls er ISO/IEC 27002:2022-kontrol 5.17, Authentication Information, og 8.5, Secure Authentication, særligt vigtige, fordi biometri ofte er indlejret i autentifikationsflows. Spørgsmålet er ikke kun, om biometrisk login er sikkert. Det er også, om fallback-metoder, gendannelsesflows, liveness-detektion, privilegeret adgang og stier til omgåelse af biometri også er kontrolleret.

Opbevaring, sletning og den biometriske kirkegård

Biometriske systemer opbevarer ofte flere data, end teams er klar over: mislykkede tilmeldinger, gamle skabeloner, inaktive brugere, supportpakker, arkiverede databaser, snapshots og sikkerhedskopier. Det skaber problemet med den biometriske kirkegård. Dataene er ikke længere operationelt nyttige, men de er fortsat meget følsomme.

Enterprise-udgaven af Databeskyttelses- og privatlivspolitik angiver:

Personoplysninger (PII) må ikke opbevares længere end nødvendigt.

Fra afsnittet “Krav til implementering af politikken”, politikklausul 6.5.1.

Fasen Controls in Action, trin 19, i Zenith Blueprint forklarer ISO/IEC 27002:2022-kontrol 8.10, Information Deletion:

Denne kontrol sikrer, at data ikke opbevares længere end nødvendigt, og at de slettes sikkert og pålideligt, når der ikke længere er behov for dem.

For biometriske data skal sletning designes ind i systemet. Regler bør dække tilbagetrækning af samtykke, kontolukning, medarbejderfratrædelse, mislykket onboarding efter klagefrister, inaktive konti, udskiftning af enheder, ophør af leverandørkontrakt, retlig tilbageholdelse, udløb af sikkerhedskopier og kryptografisk sletning, hvor det er relevant.

Revisorer accepterer ikke “leverandøren håndterer sletning”, medmindre I kan dokumentere hvordan, hvornår, under hvilken udløser og med hvilket revisionsbevis.

Leverandørstyring: leverandøren er en del af kontrolmiljøet

De fleste organisationer bygger ikke biometriske motorer fra bunden. De er afhængige af leverandører til ansigtsmatching, stemmeverifikation, liveness-detektion, adgangskontrolhardware, SDK’er, svigscoring, cloudlagring eller supportanalyse. Det gør leverandørstyring central.

Enterprise-udgaven af Databeskyttelses- og privatlivspolitik kræver revurdering af leverandører:

Indkøb samt Jura og Compliance skal verificere overholdelse af Article 28 i GDPR og kræve årlig revurdering af alle højrisikoleverandører.

Fra afsnittet “Håndhævelse og efterlevelse”, politikklausul 8.5.2.

Politik for styring af databehandlere, underdatabehandlere og tredjepartsdatabeskyttelse Politik for styring af databehandlere, underdatabehandlere og tredjepartsdatabeskyttelse tilføjer et PIMS-godkendelsespunkt:

[Betinget] Databeskyttelsesrådgiveren / databeskyttelsesrådgiveren SKAL rådgive i REG04 eller REG12 før godkendelse af et forhold, der omfatter høj restrisiko vedrørende databeskyttelse, særlige kategorier af PII, behandling i stor skala, systematisk overvågning eller uafklaret rolleklassificering.

Fra afsnittet “Due diligence og risikovurdering”, politikklausul 4.2.4.

SMV-udgaven Politik for tredjeparts- og leverandørsikkerhed-sme Politik for tredjeparts- og leverandørsikkerhed - SMV minder mindre virksomheder om, at kontrakter er en kontrolflade:

Kontrakter skal indeholde obligatoriske klausuler, der dækker:

Fra afsnittet “Styringskrav”, politikklausul 5.3.

Fasen Controls in Action, trin 23, i Zenith Blueprint beskriver ISO/IEC 27002:2022-kontrol 5.20, Addressing Information Security Within Supplier Agreements:

Tillid til leverandører kan ikke baseres på antagelser. Den skal formaliseres i kontrakten.

Biometriske kontrakter bør dække databehandlerrolle, formålsbegrænsning, godkendelse af underdatabehandlere, datalokation, kryptering, adgangsstyring, hændelsesunderretning, revisionsrettigheder, sletning, tilbagelevering af data, supportadgang, samarbejde ved brud, begrænsninger for modeltræning og bistand ved leverandørskifte.

For finansielle enheder omfattet af DORA kan biometriske identitetsleverandører være IKT-tredjepartstjenesteudbydere. DORA finder anvendelse fra 17. januar 2025 og forventer, at finansielle enheder styrer IKT-risiko, hændelsesrapportering, test af operationel robusthed og IKT-tredjepartsrisiko. Hvis biometrisk onboarding understøtter en kritisk eller vigtig funktion, bliver leverandørkontrakter, hændelseseskalering, robusthedstest og exitplaner både revisionsbevis for operationel robusthed og revisionsbevis for databeskyttelse.

NIS2 er også relevant for mange cloud-, SaaS-, administrerede tjeneste-, administrerede sikkerheds-, digital infrastruktur- og IKT-servicestyringsudbydere. Dets forventninger til risikostyring overlapper i høj grad med ISO/IEC 27001:2022 og beviskæden for biometrisk PIMS.

Kortlægning på tværs af efterlevelseskrav for styring af biometriske data

Styring af biometriske data bør ikke skabe særskilte siloer for GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 og COBIT 19. Én bevismodel kan understøtte mange forpligtelser.

For NIS2-enheder kan væsentlige hændelser kræve tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer og en endelig rapport inden for én måned. Hvis en biometrisk identitetsplatform forstyrres eller kompromitteres, kan sikkerheds-, databeskyttelses- og driftsmæssige rapporteringsarbejdsgange alle blive udløst.

Revisionsvinkel: hvad gennemgangsansvarlige vil spørge om

Forskellige revisorer tester styring af biometriske data fra forskellige vinkler. Clarysec bruger Zenith Controls til at forbinde ISO/IEC 27002:2022-kontroller med databeskyttelse, autentifikation, leverandører, kryptering, sletning, hændelser og revisionsbevis.

Almindelige revisionskonstateringer omfatter tekniske kontroller uden styringsbeslutninger, Article 6-behandlingsgrundlag uden Article 9-betingelse, DPIA’er gennemført efter idriftsættelse i produktionsmiljøet, samtykkeregistreringer uden sletningsudløsere, leverandørkontrakter uden biometrispecifikke klausuler og hændelsesplaybooks, der behandler kompromittering af biometriske skabeloner som almindelig kompromittering af legitimationsoplysninger.

En praktisk godkendelsesarbejdsgang for biometrisk onboarding

En Clarysec-understøttet organisation, der håndterer ansigtsverifikation til kundeonboarding, vil følge en struktureret fremgangsmåde:

1. Opret en behandlingsregistrering i REG02.
2. Identificér roller som dataansvarlig, databehandler og underdatabehandler.
3. Registrér behandlingsgrundlaget efter Article 6 og betingelsen efter Article 9, hvor biometriske data anvendes til entydig identifikation.
4. Registrér datakategorier såsom selfie, dokumentbillede, biometrisk skabelon, liveness-resultat, matchscore, revisionslogfiler og supporteksporter.
5. Udløs REG04 DPIA før implementering.
6. Vurdér nødvendighed, proportionalitet og ikke-biometriske alternativer.
7. Definér udtrykkeligt samtykke i REG05, hvor det kræves.
8. Klassificér rå billeder og skabeloner som Begrænset eller højeste følsomhed.
9. Definér REG12-sikkerhedskrav til kryptering, nøglestyring, adgang, logning, overvågning, eksportbegrænsninger og sletning.
10. Gennemgå leverandør-due diligence, liste over underdatabehandlere, hostinglokation, hændelsesunderretning, revisionsrettigheder og proces for slettecertifikat.
11. Tilføj opbevaringsregler for gennemført onboarding, mislykket onboarding, tilbagetrukket samtykke, klager, svigundersøgelser og sikkerhedskopier.
12. Godkend restrisiko med navngivne ejere.
13. Opbevar revisionsbevis i PIMS-repositoriet.
14. Gennemgå effektiviteten efter lancering og efter leverandørændringer.

Det giver CISO’en teknisk revisionsbevis for kontroller, DPO’en ansvarlighed for databeskyttelse, indkøb kontraktmæssige kontrolpunkter, produktteamet et lancerbart forløb og revisorer en sporbar fortælling.

Gør biometrisk risiko til tillid

Tilbage hos Finura annullerede Maria ikke den biometriske funktion. Hun nulstillede den. Produkt og udvikling integrerede PIMS-krav i udviklingslivscyklussen. Samtykkeflowet blev udtrykkeligt og særskilt. Leverandørkontrakten fik stærkere forpligtelser om sletning, revision, brud og underdatabehandlere. REG02, REG04, REG05 og REG12 blev rygraden i revisionsbeviset. Kryptografisk sletning blev implementeret for tilbagekaldte data. Lanceringen rykkede et kvartal, men den blev sat i drift på et tillidsgrundlag.

Det er formålet med styring af biometriske data. Den forbyder ikke innovation. Den gør innovation forsvarlig.

Dine næste skridt er klare:

1. Kortlæg alle biometriske anvendelsesscenarier, herunder adgang til arbejdspladsen, kundeonboarding, enhedsautentifikation, svigforebyggelse og stemmeverifikation.
2. Klassificér dataene, og bekræft, om de anvendes til entydig identifikation.
3. Registrér behandlingsgrundlag og eventuel betingelse for særlige kategorier i registeret over behandlingsaktiviteter.
4. Gennemfør en DPIA, før ny eller væsentligt ændret behandling påbegyndes.
5. Validér udtrykkeligt samtykke og alternativer, hvor det kræves.
6. Gennemgå leverandørkontrakter og underdatabehandlere.
7. Definér revisionsbevis for kryptering, adgang, logning, overvågning og sletning.
8. Kortlæg revisionsbeviset til forventningerne i ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 og COBIT 19.

Clarysec kan hjælpe dig med at omsætte styring af biometriske data til en revisionsklar PIMS-arbejdsgang. Start med Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, validér din kortlægning på tværs af rammeværker med Zenith Controls: The Cross-Compliance Guide Zenith Controls, og operationalisér revisionsbeviset gennem Clarysecs ISO/IEC 27701:2025 PIMS-politiksæt, herunder Politik for fortegnelse over PII-behandling og behandlingsgrundlag, Politik for risikovurdering vedrørende databeskyttelse og DPIA, Politik for samtykke- og præferencestyring, Politik for PII-sikkerhed og adgangsstyring og Politik for styring af databehandlere, underdatabehandlere og tredjepartsdatabeskyttelse.

Biometri kan styrke sikkerheden og forbedre brugeroplevelsen. Kun styret biometri skaber varig tillid.