Biometristen tietojen hallinnointi GDPR:n ja ISO/IEC 27701:n mukaisesti

Kiireellinen kokouspyyntö ilmestyi tietoturvajohtaja Maria Petrovan sähköpostiin. Aihekentässä luki: ”KIIREELLINEN: Biometrinen todennus – Q3-lanseerauksen hyväksyntä tai keskeytys.”

Maria tiesi, mistä oli kyse. Hänen yrityksensä, nopeasti kasvava fintech-yhtiö Finura, valmisteli sovelluksen sisäisen maksuvahvistuksen käyttöönottoa kasvo- ja sormenjälkitunnistuksen avulla. Tuoteorganisaatio näki markkinaa määrittävän ominaisuuden. Hallitus näki nopeamman käyttöönoton. Petostentorjuntatiimit näkivät vähemmän vääriä tilejä. Operatiivinen johtaja näki vähemmän kitkaa. Maria näki toisen kuvan: erityisiin henkilötietoryhmiin kuuluvat henkilötiedot, DPIA-käynnistimet, toimittajariippuvuus, säilytysriski, suostumuksen peruuttaminen, operatiivinen häiriönsietokyky ja tietoturvaloukkausskenaario, jota ei ratkaista antamalla käyttäjälle uusi salasana.

Puhelussa paine alkoi heti. ”Kilpailijat ovat meitä kuukausia jäljessä”, tuotejohtaja perusteli. ”Meillä ei ole varaa viivästykseen.”

Sitten kysymykset alkoivat.

Oliko nimenomainen suostumus suunniteltu ja kirjattu? Oliko olemassa pätevä GDPR:n Article 6:n mukainen oikeusperuste ja Article 9:n mukainen käsittelyedellytys? Oliko biometrinen toimittaja arvioitu DORA:n odotusten mukaisena TVT-palveluja tarjoavana kolmantena osapuolena? Oliko kukaan tehnyt tietosuojaa koskevaa vaikutustenarviointia ennen suunnittelutyön aloittamista? Pystyikö Finura osoittamaan, että peruutettu kasvomalli poistettaisiin tuotantojärjestelmistä, varmuuskopioista ja toimittajan ympäristöistä?

Hiljaisuus kertoi kaiken.

Biometristen tietojen hallinnointi on erilaista, koska tunniste on henkilö itse. Salasana voidaan vaihtaa. Kortti voidaan korvata. Vaarantunutta kasvomallia, sormenjälkikuviota, äänijälkeä, kämmenlaskimomallia tai iiriksestä johdettua tunnistetta ei voida käytännössä muuttaa. Kun biometrisiä tietoja käytetään yksiselitteiseen tunnistamiseen, GDPR käsittelee niitä erityisiin henkilötietoryhmiin kuuluvina henkilötietoina. ISO/IEC 27701:2025 edellyttää tietosuojan hallintajärjestelmää eli PIMS:ää, joka pystyy osoittamaan, miksi käsittely on tarpeen, miten sitä valvotaan, kuka sen on hyväksynyt, kuinka kauan tietoja säilytetään, mitkä toimittajat käsittelevät niitä sekä miten rekisteröityjen pyynnöt ja poikkeamat käsitellään.

Ongelma on, että moni organisaatio hankkii biometrisen identiteettituotteen, täyttää asiakkaan tietoturvakyselyn, lisää yleisluonteisen tietosuojaselosteen ja olettaa salauksen ratkaisevan asian. Näin ei ole. Salaus on välttämätöntä, mutta biometristen tietojen hallinnointi edellyttää yhtenäistä toimintamallia.

Clarysecin lähestymistapa yhdistää ISO/IEC 27701:2025 PIMS -hallinnoinnin, ISO/IEC 27001:2022 -kontrollinäytön, GDPR:n osoitusvelvollisuuden ja viitekehysten välisen vastaavuuskartoituksen tuotteessa Zenith Controls: The Cross-Compliance Guide Zenith Controls. Zenith Controls -kokonaisuudessa biometristen tietojen hallinnointiklusteri rakentuu ISO/IEC 27002:2022 -kontrollin 5.34, Privacy and Protection of PII, ympärille. Sitä tukevat 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography, sekä toimittajakontrollit, kuten 5.20, Addressing Information Security Within Supplier Agreements.

Tavoitteena ei ole hidastaa innovointia. Tavoitteena on tehdä biometrisestä todennuksesta, henkilöllisyyden varmentamisesta, työpaikan pääsynhallinnasta ja petostentorjunnasta perusteltavaa, oikeasuhtaista, turvallista ja auditointivalmista.

Miksi biometristen tietojen hallinnointi epäonnistuu kypsissä yrityksissä

Yrityksellä voi olla vahva tietoturvaohjelma ja silti heikko biometristen tietojen hallinnointi.

Kuvitellaan SaaS-palveluntarjoaja, joka ottaa käyttöön kasvovarmennuksen asiakkaiden perehdytyksessä. Tietoturvatiimi edellyttää TLS:ää, salattua tallennusta, ylläpitäjien MFA:ta, pääsynhallintaa ja lokitusta. Toimittaja kertoo, että biometriset mallit ovat ”palautumattomia”. Tuoteorganisaatio dokumentoi petosten vähentämisen liiketoimintaperusteeksi. Lakitiimi katselmoi tietojenkäsittelysopimuksen. Hankinta merkitsee toimittajavaatimuksen täytetyksi.

Sitten auditoija kysyy viisi kysymystä:

1. Mihin biometrinen käsittelytoimi on kirjattu?
2. Mikä on GDPR:n Article 6:n mukainen oikeusperuste ja soveltuvin osin Article 9:n mukainen erityisiin henkilötietoryhmiin liittyvä käsittelyedellytys?
3. Tehtiinkö DPIA ennen käsittelyn aloittamista?
4. Voitteko osoittaa, että biometriset mallit poistetaan, kun käyttötarkoitus päättyy?
5. Mitä tapahtuu, jos biometrinen toimittaja joutuu tietoturvaloukkauksen kohteeksi tai vaihtaa alikäsittelijöitä?

Jos vastaukset ovat hajallaan sähköpostiketjuissa, hankintatiketeissä, tuotemuistiinpanoissa ja toimittajaportaalissa, ohjelma ei ole auditointivalmis.

GDPR:n Article 5 edellyttää lainmukaisuutta, kohtuullisuutta, läpinäkyvyyttä, käyttötarkoitussidonnaisuutta, tietojen minimointia, täsmällisyyttä, säilytyksen rajoittamista, eheyttä, luottamuksellisuutta ja osoitusvelvollisuutta. Article 6 edellyttää oikeusperustetta. Article 9 lisää tiukemman käsittelyedellytyksen, kun biometrisiä tietoja käsitellään henkilön yksiselitteistä tunnistamista varten. Article 4:n määritelmillä on merkitystä, koska käsittely kattaa keräämisen, tallentamisen, käytön, luovutuksen, poistamisen ja tuhoamisen. Pseudonymisointi auttaa vain, jos tunnistamisen mahdollistavat lisätiedot suojataan erikseen asianmukaisin teknisin ja organisatorisin toimenpitein.

Myös EU:n ulkopuolisiin yrityksiin voidaan soveltaa GDPR:ää, kun ne tarjoavat tavaroita tai palveluja EU:ssa oleville henkilöille tai seuraavat EU:ssa tapahtuvaa käyttäytymistä. Tämä tekee biometrisestä perehdytyksestä, petospisteytyksestä, etätyövoiman pääsynhallinnasta, puhelinkeskusten äänivarmennuksesta ja asiakkaan henkilöllisyyden varmentamisesta olennaista myös kaukana Euroopan ulkopuolella.

Hallinnoinnin epäonnistuminen johtuu harvoin yhdestä puuttuvasta kontrollista. Useimmiten kyse on yhtenäisen näyttöketjun puuttumisesta.

Clarysecin näyttöketju biometristä PIMS:ää varten

Clarysec käsittelee biometrisiä käyttötapauksia elinkaaren mukaan hallinnoituna henkilötietojen käsittelynä, ei erillisinä todennusominaisuuksina. Näyttöketju alkaa ennen järjestelmän hankintaa, konfigurointia tai käyttöönottoa.

Teoksessa Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint Controls in Action -vaiheen Step 23 kuvaa ISO/IEC 27002:2022 -kontrollia 5.34 näin:

Nimet, osoitteet, henkilötunnisteet, terveystiedot ja taloudelliset tiedot kertovat tarinan oikeista ihmisistä. Kun niitä käsitellään virheellisesti, varastetaan tai käytetään väärin, seuraukset ulottuvat paljon vaatimustenmukaisuuden epäonnistumisia pidemmälle. Kyse on henkilökohtaisesta loukkauksesta, mainevahingosta ja oikeudellisesta altistumisesta.

Biometristen tunnisteiden kohdalla viesti korostuu. Biometrinen malli ei ole pelkkää kirjautumisdataa. Se liittyy henkilön fyysisiin tai käyttäytymiseen perustuviin ominaisuuksiin, ja sitä voidaan käyttää henkilön yksiselitteiseen tunnistamiseen.

Puolustettava biometrinen hallinnointityönkulku yhdistää seitsemän päätöstä seitsemään näyttötyyppiin:

Tämä erottaa väitteen ”käytämme biometriikkaa turvallisesti” väitteestä ”pystymme osoittamaan biometristen tietojen hallinnoinnin GDPR:n ja ISO/IEC 27701:2025:n mukaisesti”.

Oikeusperuste ei ole valintaruutu

Biometriset hankkeet epäonnistuvat usein oikeusperustevaiheessa, koska tiimit sekoittavat tietoturva-arvon oikeudelliseen lupaan.

GDPR:n Article 6 edellyttää oikeusperustetta, kuten suostumusta, sopimuksen tarpeellisuutta, lakisääteistä velvoitetta, elintärkeitä etuja, yleistä etua koskevaa tehtävää tai soveltuvin osin oikeutettuja etuja. Article 9 kieltää pääsääntöisesti biometristen tietojen käsittelyn yksiselitteistä tunnistamista varten, ellei sovellu nimenomainen poikkeus, kuten nimenomainen suostumus, työlainsäädäntöön ja sosiaaliturvaan liittyvät lakisääteiset velvoitteet, elintärkeät edut, huomattava yleinen etu, terveydenhuolto, kansanterveys, oikeusvaateet tai tutkimus ja arkistointi asianmukaisin suojatoimin.

Työntekijöiden biometrinen työajanseuranta, sormenjälkeen perustuva ovipääsy, kasvopohjainen perehdytys ja äänitodennus voivat edellyttää erilaista analyysiä. Sama teknologia voi johtaa eri oikeusperustetuloksiin käyttötarkoituksen, käyttäjän valinnan, valtaepätasapainon, paikallisen lainsäädännön, oikeasuhtaisuuden ja ei-biometristen vaihtoehtojen saatavuuden mukaan.

Clarysecin Enterprise Data Protection and Privacy Policy Data Protection and Privacy Policy määrittää perustason selvästi:

Kaiken käsittelyn on perustuttava pätevään oikeudelliseen perusteeseen, kuten suostumukseen, sopimukseen tai lakisääteiseen velvoitteeseen.

Kohdasta ”Policy Implementation Requirements”, politiikkalauseke 6.1.1.

Erityisiin henkilötietoryhmiin kuuluvien tietojen osalta Clarysecin PII Processing Inventory and Lawful Basis Policy PII Processing Inventory and Lawful Basis Policy tiukentaa näyttövaatimusta:

[Ehdollinen] Prosessin omistajan / liiketoimintavastaavan TULEE kirjata erityisiin henkilötietoryhmiin liittyvä käsittelyedellytys REG02:een ennen erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittelyä.

Kohdasta ”Controller purpose and lawful basis records”, politiikkalauseke 4.2.6.

Pk-yrityksille Clarysec soveltaa samaa kurinalaisuutta kevyemmässä toimintamallissa. Pk-yrityksille tarkoitettu Data Protection and Privacy Policy-sme Data Protection and Privacy Policy - SME toteaa:

Tietosuojakoordinaattorin on ylläpidettävä rekisteriä kaikista henkilötietojen käsittelytoimista, mukaan lukien tietoluokat, käyttötarkoitus, oikeusperuste ja säilytysajat.

Kohdasta ”Governance Requirements”, politiikkalauseke 5.2.1.

Lisäksi se toteaa:

Oikeusperuste, kuten suostumus, sopimus tai lakisääteinen velvoite, on dokumentoitava käsittelyrekisteriin.

Kohdasta ”Policy Implementation Requirements”, politiikkalauseke 6.1.2.

Biometristen tietojen hallinnoinnissa käsittelyrekisteri ei ole hallinnollista siivousta. Se on kontrollipiste, jossa organisaatio osoittaa, että biometrinen käyttötapaus tunnetaan, luokitellaan, perustellaan ja rajataan.

DPIA ensin, käyttöönotto sitten

Biometrisille järjestelmille on yksi selkeä toimintaperiaate: hankinta ei saa ohittaa DPIA:a.

Biometriset teknologiat sisältävät usein erityisiin henkilötietoryhmiin kuuluvia henkilötietoja, yksiselitteistä tunnistamista, järjestelmällistä valvontaa, petosprofilointia, haavoittuvassa asemassa olevia rekisteröityjä, työpaikan valtaepätasapainoa, innovatiivista teknologiaa tai automaattisen päätöksenteon tukea. Nämä ovat tyypillisiä DPIA-käynnistimiä. DPIA ei ole vain tietosuojalomake. Sen avulla organisaatio arvioi tarpeellisuuden, oikeasuhtaisuuden, vaihtoehdot, jäännösriskin, suojatoimet, läpinäkyvyyden, säilytyksen, toimittajariippuvuuden ja poikkeaman vaikutukset.

Enterprise Data Protection and Privacy Policy edellyttää muodollista analyysiä korkean riskin järjestelmille:

Uhkamallinnus ja tietosuojaa koskevat vaikutustenarvioinnit (DPIA) ovat pakollisia korkean riskin käsittelyjärjestelmille.

Kohdasta ”Policy Implementation Requirements”, politiikkalauseke 6.3.4.

PIMS-kohtainen Privacy Risk Assessment and DPIA Policy Privacy Risk Assessment and DPIA Policy on suoraviivaisempi:

[Rekisterinpitäjä] Prosessin omistajan / liiketoimintavastaavan TULEE ohjata käsittely, joka sisältää laajamittaista järjestelmällistä valvontaa, profilointia, automaattisia päätöksiä, erityisiin henkilötietoryhmiin kuuluvia henkilötietoja, rikostuomioita tai rikkomuksia koskevia tietoja, haavoittuvassa asemassa olevia rekisteröityjä, innovatiivista teknologiaa tai olennaisesti muuttunutta käsittelyä, tietosuojavastaavalle / PIMS-päällikölle REG04:ssä ennen käsittelyn aloittamista.

Kohdasta ”DPIA triggers and requirement determination”, politiikkalauseke 4.2.2.

Biometrisen DPIA:n tulee vastata vähintään näihin kysymyksiin:

• Mitä biometristä tietoa käsitellään, kuten kasvoja, sormenjälkeä, ääntä, iiristä, kämmentä tai käyttäytymismallia?
• Käytetäänkö biometrisiä tietoja yksiselitteiseen tunnistamiseen vai vain paikalliseen laitevarmennukseen?
• Onko organisaatio rekisterinpitäjä, henkilötietojen käsittelijä, yhteisrekisterinpitäjä vai alikäsittelijä?
• Mikä ei-biometrinen vaihtoehto on olemassa, ja onko se yhtä helposti saatavilla?
• Edellytetäänkö nimenomaista suostumusta, ja voidaanko se antaa ja peruuttaa vapaaehtoisesti?
• Tallennetaanko raakamuotoisia biometrisiä kuvia, ääntä tai malleja?
• Missä mallit tallennetaan, esimerkiksi laitteen suojatussa erillisalueessa, keskitetyssä järjestelmässä vai toimittajan pilviympäristössä?
• Kuka voi käyttää malleja, vastaavuuspisteitä ja biometrisiä lokeja?
• Mitä säilytysaikaa sovelletaan rekisteröityihin käyttäjiin, hylättyihin hakijoihin, käyttämättömiin tunnuksiin ja työsuhteen päättäneisiin työntekijöihin?
• Miten poistaminen ja varmuuskopioiden vanheneminen osoitetaan?
• Mitä tapahtuu väärien positiivisten, väärien hylkäysten tai automaattisen päätöksenteon virheiden jälkeen?
• Mitkä alikäsittelijät ovat mukana ja missä tietoja käsitellään?

Finuralla DPIA:sta tuli keskeinen hallinnointiasiakirja. Se ei peruuttanut lanseerausta. Se muutti riskialttiin idean hallituksi toteutussuunnitelmaksi.

Nimenomainen suostumus ja pakotetun mukavuuden ongelma

Biometriset ohjelmat tukeutuvat usein suostumukseen, koska se tuntuu luontevalta. Henkilö rekisteröi kasvonsa, äänensä tai sormenjälkensä, joten hän on varmasti suostunut. GDPR-tasoinen suostumus on kuitenkin yksilöitävä, annettava tietoon perustuen, oltava yksiselitteinen ja vapaaehtoinen. Kun Article 9:n mukainen nimenomainen suostumus vaaditaan, vaatimustaso on korkeampi.

Työsuhteessa tai tilanteessa, jossa pääsy välttämättömään palveluun riippuu biometrisestä rekisteröinnistä, suostumusta voi olla vaikea puolustaa ilman todellista vaihtoehtoa. ”Kätevä” biometrinen vaihtoehto muuttuu ongelmalliseksi, jos vaihtoehto on piilotettu, hitaampi, rankaiseva tai käytännössä saavuttamaton.

Clarysecin Consent and Preference Management Policy Consent and Preference Management Policy antaa operatiivisen säännön:

[Ehdollinen] Tietosuojavastaavan / PIMS-päällikön TULEE merkitä suostumus nimenomaiseksi REG05:ssä ennen käsittelyn aloittamista, kun valittu käyttötarkoitus edellyttää nimenomaista suostumusta.

Kohdasta ”Consent Request and Capture”, politiikkalauseke 4.2.5.

Biometrisissä järjestelmissä REG05:n tulee osoittaa:

• Tarkka suostumusteksti.
• Biometrinen käyttötarkoitus, kuten todennus, petostentorjunta, pääsynhallinta tai henkilöllisyyden varmentaminen.
• Onko suostumus nimenomainen.
• Päivämäärä, kanava ja tietosuojaselosteen versio.
• Peruuttamismenetelmä.
• Ei-biometrinen vaihtoehto.
• Vaikuttaako kieltäytyminen palvelun käyttöön.
• Järjestelmäheräte, joka lopettaa käsittelyn suostumuksen peruuttamisen jälkeen.

Pk-yrityksille tarkoitettu Data Protection and Privacy Policy-sme toteaa:

Sisäänrakennettu tietosuoja ja oletusarvoinen tietosuoja on toteutettava kaikissa uusissa järjestelmissä ja palveluissa.

Kohdasta ”Governance Requirements”, politiikkalauseke 5.3.1.

Biometrisissä järjestelmissä oletusarvoinen tietosuoja tarkoittaa, ettei käyttäjiä rekisteröidä huomaamatta, raakakuvia ei säilytetä ilman perustelua, biometristä vastaavuustarkastusta ei käytetä uudelleen analytiikkaan ilman uudelleenarviointia eikä vaihtoehtoja piiloteta tukipyyntöjen taakse.

Luokittele koko biometrinen tietoaineisto

Biometristä järjestelmää ei voida hallinnoida, jos biometriset tiedot eivät näy omaisuusluettelossa.

Clarysecin Enterprise Data Classification and Labeling Policy Data Classification and Labeling Policy toteaa:

Varmistaa, että GDPR:n, DORA:n tai muun tietosuojalainsäädännön alaiset henkilötiedot luokitellaan oikein, esimerkiksi merkitään luokkaan ”Confidential” tai ”Restricted”.

Kohdasta ”Roles and Responsibilities”, politiikkalauseke 4.6.1.

Pk-yrityksille tarkoitettu Data Classification and Labeling Policy-sme Data Classification and Labeling Policy - SME määrittää suojausodotuksen:

Kaikille ”Confidential”-luokkaan luokitelluille tiedoille on annettava korkein suojaustaso:

Kohdasta ”Governance Requirements”, politiikkalauseke 5.2.

Luokituksen tulee kattaa muutakin kuin mallitietokanta:

ISO/IEC 27001:2022 vahvistaa tätä kurinalaisuutta. Clauses 4.1–4.4 edellyttävät, että organisaatio määrittää toimintaympäristön, sidosryhmien vaatimukset, ISMS:n soveltamisalan ja riippuvuudet. Clauses 6.1.1–6.1.3 edellyttävät riskien arviointia, riskien käsittelyä, soveltuvuuslausuntoa ja riskinomistajan hyväksyntää. Jos biometriset järjestelmät vaikuttavat luottamuksellisuuteen, eheyteen, saatavuuteen tai tietosuojaan, ne kuuluvat soveltamisalaan.

Tietoturvakontrollit: salaus on vain yksi kerros

Biometrinen tietoturva edellyttää kerroksellisia kontrolleja. Salaus on tärkeää, mutta se ei korjaa heikkoa oikeusperustetta, liiallista säilytystä, hallitsematonta toimittajapääsyä tai puuttuvaa poistamisen todentavaa aineistoa.

Zenith Blueprint -kokonaisuuden Controls in Action -vaiheen Step 20 selittää ISO/IEC 27002:2022 -kontrollia 8.24, Use of Cryptography:

Tässä kontrollissa ei ole kyse pelkästä ”salauksen käyttöönotosta”, vaan kryptografian sisällyttämisestä organisaation suunnitteluun, politiikkoihin ja elinkaaren hallintaan.

Clarysecin PII Security and Access Control Policy PII Security and Access Control Policy asettaa PIMS-säännön arkaluonteisille henkilötiedoille:

[Molemmat] Tietoturvavastaavan TULEE määrittää salauksen tai hyväksyttyjen kompensoivien suojausvaatimusten vaatimukset REG12:ssa ennen kuin vaikutuksiltaan merkittäviä, arkaluonteisia tai ulkoisesti siirrettäviä henkilötietoja tallennetaan, siirretään tai asetetaan saataville.

Kohdasta ”Encryption and secure storage”, politiikkalauseke 4.5.1.

REG12:n tulee määrittää biometriset suojatoimet, kuten lepotilassa olevien tietojen salaus, siirrettävien tietojen salaus, avainten omistajuus, avainten kierto, ylläpitäjien MFA, pääsyn hyväksyntä, identiteettitietojen ja biometristen mallien erottaminen, rekisteröinti-, vastaavuus-, vienti- ja poistotapahtumien lokitus, epätavallisen mallipääsyn seuranta, turvallinen poistaminen sekä mallin vaarantumiseen liittyvät poikkeamakäynnistimet.

Zenith Controls -kokonaisuudessa ISO/IEC 27002:2022 -kontrollit 5.17, Authentication Information, ja 8.5, Secure Authentication, ovat erityisen tärkeitä, koska biometria on usein sisällytetty todennusvirtoihin. Kysymys ei ole vain siitä, onko biometrinen kirjautuminen turvallinen. Kysymys on myös siitä, ovatko varamenetelmät, palautuspolut, elävyyden tunnistus, etuoikeutetut käyttöoikeudet ja biometrisen todennuksen ohituspolut hallinnassa.

Säilytys, poistaminen ja biometrinen hautausmaa

Biometriset järjestelmät säilyttävät usein enemmän tietoja kuin tiimit ymmärtävät: epäonnistuneita rekisteröintejä, vanhoja malleja, käyttämättömiä tunnuksia, tukipaketteja, arkistoituja tietokantoja, tilannevedoksia ja varmuuskopioita. Tästä syntyy biometrisen hautausmaan ongelma. Tiedoista ei ole enää operatiivista hyötyä, mutta ne ovat edelleen erittäin arkaluonteisia.

Enterprise Data Protection and Privacy Policy toteaa:

Henkilötietoja ei saa säilyttää pidempään kuin on tarpeen.

Kohdasta ”Policy Implementation Requirements”, politiikkalauseke 6.5.1.

Zenith Blueprint -kokonaisuuden Controls in Action -vaiheen Step 19 selittää ISO/IEC 27002:2022 -kontrollia 8.10, Information Deletion:

Tämä kontrolli varmistaa, ettei tietoja säilytetä tarpeettoman pitkään ja että kun niitä ei enää tarvita, ne poistetaan turvallisesti ja luotettavasti.

Biometristen tietojen osalta poistaminen on suunniteltava järjestelmään. Sääntöjen tulee kattaa suostumuksen peruuttaminen, tilin sulkeminen, työsuhteen päättyminen, epäonnistunut perehdytys muutoksenhakuaikojen jälkeen, käyttämättömät tunnukset, laitteen vaihtaminen, toimittajasopimuksen päättäminen, oikeudellinen säilytysvelvoite, varmuuskopioiden vanheneminen ja tarvittaessa kryptografinen poisto.

Auditoijat eivät hyväksy vastausta ”toimittaja hoitaa poistamisen”, ellei voida osoittaa, miten, milloin, minkä käynnistimen perusteella ja millä näytöllä se tapahtuu.

Toimittajien hallinnointi: toimittaja on osa kontrolliympäristöä

Useimmat organisaatiot eivät rakenna biometrisiä tunnistusmoottoreita itse. Ne tukeutuvat toimittajiin kasvojen vertailussa, äänivarmennuksessa, elävyyden tunnistuksessa, pääsynhallintalaitteistossa, SDK-komponenteissa, petospisteytyksessä, pilvitallennuksessa tai tukianalytiikassa. Tämä tekee toimittajien hallinnoinnista keskeistä.

Enterprise Data Protection and Privacy Policy edellyttää toimittajien uudelleenarviointia:

Hankinnan sekä laki- ja vaatimustenmukaisuustiimien tulee varmistaa GDPR:n Article 28:n noudattaminen ja edellyttää kaikkien korkean riskin toimittajien vuosittaista uudelleenarviointia.

Kohdasta ”Enforcement and Compliance”, politiikkalauseke 8.5.2.

Processor, Subprocessor and Third-Party Privacy Management Policy Processor, Subprocessor and Third-Party Privacy Management Policy lisää PIMS-hyväksyntäportin:

[Ehdollinen] Tietosuojavastaavan / tietosuojaneuvonantajan TULEE antaa neuvo REG04:ssä tai REG12:ssa ennen sellaisen suhteen hyväksymistä, johon liittyy korkea tietosuojaan kohdistuva jäännösriski, erityisiin henkilötietoryhmiin kuuluvia henkilötietoja, laajamittaista käsittelyä, järjestelmällistä valvontaa tai ratkaisematon rooliluokittelu.

Kohdasta ”Due diligence and risk assessment”, politiikkalauseke 4.2.4.

Pk-yrityksille tarkoitettu Third-Party and Supplier Security Policy-sme Third-Party and Supplier Security Policy - SME muistuttaa pienempiä yrityksiä siitä, että sopimukset ovat kontrollipinta:

Sopimusten on sisällettävä pakolliset lausekkeet, jotka kattavat:

Kohdasta ”Governance Requirements”, politiikkalauseke 5.3.

Zenith Blueprint -kokonaisuuden Controls in Action -vaiheen Step 23 kuvaa ISO/IEC 27002:2022 -kontrollia 5.20, Addressing Information Security Within Supplier Agreements:

Luottamus toimittajiin ei voi perustua oletuksiin. Se on kirjattava sopimuksiin.

Biometristen sopimusten tulee kattaa henkilötietojen käsittelijän rooli, käyttötarkoitussidonnaisuus, alikäsittelijöiden hyväksyntä, tietojen sijainti, salaus, pääsynhallinta, poikkeamailmoitus, auditointioikeudet, poistaminen, tietojen palauttaminen, tukipääsy, yhteistyö tietoturvaloukkauksissa, mallien kouluttamista koskevat rajoitukset ja irtautumisen tukemista koskeva lauseke.

DORA:n piiriin kuuluvilla finanssialan toimijoilla biometrisen identiteetin toimittajat voivat olla TVT-palveluja tarjoavia kolmansia osapuolia. DORA-asetusta sovelletaan 17. tammikuuta 2025 alkaen, ja se edellyttää finanssialan toimijoilta TVT-riskien hallintaa, poikkeamaraportointia, operatiivisen häiriönsietokyvyn testausta ja kolmansien osapuolten TVT-riskin hallintaa. Jos biometrinen perehdytys tukee kriittistä tai tärkeää toimintoa, toimittajasopimuksista, poikkeamien eskaloinnista, häiriönsietokyvyn testauksesta ja irtautumissuunnitelmista tulee sekä operatiivisen häiriönsietokyvyn että tietosuojan todentavaa aineistoa.

NIS2 on merkityksellinen myös monille pilvipalvelu-, SaaS-, hallinnoitu palvelu-, hallinnoitu tietoturvapalvelu-, digitaalisen infrastruktuurin ja TVT-palvelunhallinnan tarjoajille. Sen riskienhallintaodotukset limittyvät vahvasti ISO/IEC 27001:2022:n ja biometrisen PIMS-näyttöketjun kanssa.

Biometristen tietojen hallinnoinnin viitekehysten välinen vastaavuuskartoitus

Biometristen tietojen hallinnointi ei saa muodostaa erillisiä siiloja GDPR:n, ISO/IEC 27701:2025:n, ISO/IEC 27001:2022:n, NIS2:n, DORA:n, NIST CSF 2.0:n ja COBIT 19:n välille. Yksi näyttömalli voi tukea useita velvoitteita.

NIS2-toimijoilla merkittävät poikkeamat voivat edellyttää ennakkovaroitusta 24 tunnin kuluessa, poikkeamailmoitusta 72 tunnin kuluessa ja loppuraporttia kuukauden kuluessa. Jos biometrinen identiteettialusta häiriintyy tai vaarantuu, tietoturvan, tietosuojan ja operatiivisen raportoinnin työnkulut voivat kaikki käynnistyä.

Auditointinäkökulma: mitä katselmoijat kysyvät

Eri auditoijat testaavat biometristen tietojen hallinnointia eri näkökulmista. Clarysec käyttää Zenith Controls -kokonaisuutta yhdistämään ISO/IEC 27002:2022 -kontrollit tietosuojaan, todennukseen, toimittajiin, salaukseen, poistamiseen, poikkeamiin ja auditointinäyttöön.

Yleisiä auditointihavaintoja ovat tekniset kontrollit ilman hallinnointipäätöksiä, Article 6:n mukainen oikeusperuste ilman Article 9:n mukaista käsittelyedellytystä, DPIA:t jotka on tehty tuotantokäyttöönoton jälkeen, suostumuskirjaukset ilman poistokäynnistimiä, toimittajasopimukset ilman biometrisiä erityislausekkeita sekä poikkeamien pelikirjat, jotka käsittelevät biometrisen mallin vaarantumista tavallisena tunnistetietojen vaarantumisena.

Käytännön hyväksyntätyönkulku biometristä perehdytystä varten

Clarysecin ohjaama organisaatio, joka käsittelee kasvovarmennusta asiakkaiden perehdytyksessä, etenisi rakenteisesti:

1. Luo käsittelykirjaus REG02:een.
2. Tunnista rekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän roolit.
3. Kirjaa Article 6:n mukainen oikeusperuste ja Article 9:n mukainen käsittelyedellytys, kun biometrisiä tietoja käytetään yksiselitteiseen tunnistamiseen.
4. Kirjaa tietoluokat, kuten selfie, asiakirjakuva, biometrinen malli, elävyyden tunnistuksen tulos, vastaavuuspisteet, auditointilokit ja tukiviennit.
5. Käynnistä REG04:n DPIA ennen toteutusta.
6. Arvioi tarpeellisuus, oikeasuhtaisuus ja ei-biometriset vaihtoehdot.
7. Määritä nimenomainen suostumus REG05:ssä tarvittaessa.
8. Luokittele raakakuvat ja mallit luokkaan Restricted tai korkeimman arkaluonteisuuden tasolle.
9. Määritä REG12:n tietoturvavaatimukset salaukselle, avaintenhallinnalle, pääsylle, lokitukselle, seurannalle, vientirajoituksille ja poistamiselle.
10. Katselmoi toimittajan due diligence -arviointi, alikäsittelijäluettelo, hosting-sijainti, poikkeamailmoitus, auditointioikeudet ja poistotodistusprosessi.
11. Lisää säilytyssäännöt onnistuneelle perehdytykselle, epäonnistuneelle perehdytykselle, peruutetulle suostumukselle, muutoksenhauille, petostutkinnoille ja varmuuskopioille.
12. Hyväksy jäännösriski nimettyjen omistajien toimesta.
13. Tallenna auditointinäyttö PIMS-näyttörekisteriin.
14. Katselmoi vaikuttavuus lanseerauksen ja toimittajamuutosten jälkeen.

Tämä antaa CISO:lle teknisen kontrollinäytön, tietosuojavastaavalle tietosuojan osoitusvelvollisuuden näytön, hankinnalle sopimusportit, tuoteorganisaatiolle lanseerauspolun ja auditoijille jäljitettävän kokonaisuuden.

Muunna biometrinen riski luottamukseksi

Finuralla Maria ei peruuttanut biometristä ominaisuutta. Hän asetti sille uuden perustan. Tuote- ja suunnittelutiimit integroivat PIMS-vaatimukset kehityksen elinkaareen. Suostumusvirrasta tuli nimenomainen ja erillinen. Toimittajasopimukseen lisättiin vahvemmat poistamista, auditointia, tietoturvaloukkauksia ja alikäsittelijöitä koskevat sitoumukset. REG02:sta, REG04:stä, REG05:stä ja REG12:sta tuli näyttöselkäranka. Peruutettujen tietojen osalta toteutettiin kryptografinen poisto. Lanseeraus siirtyi yhdellä neljänneksellä, mutta se tehtiin luottamusta tukevan perustan varaan.

Tämä on biometristen tietojen hallinnoinnin tarkoitus. Se ei kiellä innovointia. Se tekee innovoinnista perusteltavaa.

Seuraavat vaiheet ovat suoraviivaiset:

1. Inventoi jokainen biometrinen käyttötapaus, mukaan lukien työpaikan pääsynhallinta, asiakkaiden perehdytys, laitetodennus, petostentorjunta ja äänivarmennus.
2. Luokittele tiedot ja vahvista, käytetäänkö niitä yksiselitteiseen tunnistamiseen.
3. Kirjaa oikeusperuste ja mahdollinen erityisiin henkilötietoryhmiin liittyvä käsittelyedellytys käsittelyrekisteriin.
4. Tee DPIA ennen uuden tai olennaisesti muuttuneen käsittelyn aloittamista.
5. Validoi nimenomainen suostumus ja vaihtoehdot tarvittaessa.
6. Katselmoi toimittajasopimukset ja alikäsittelijät.
7. Määritä salausta, pääsyä, lokitusta, seurantaa ja poistamista koskeva näyttö.
8. Kartoita näyttö ISO/IEC 27701:2025:n, GDPR:n, ISO/IEC 27001:2022:n, NIS2:n, DORA:n, NIST CSF 2.0:n ja COBIT 19:n odotuksiin.

Clarysec voi auttaa muuttamaan biometristen tietojen hallinnoinnin auditointivalmiiksi PIMS-työnkuluksi. Aloita tuotteesta Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, validoi viitekehysten välinen vastaavuuskartoitus tuotteella Zenith Controls: The Cross-Compliance Guide Zenith Controls ja operationalisoi näyttö Clarysecin ISO/IEC 27701:2025 PIMS -politiikkakokonaisuuden avulla, mukaan lukien PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Consent and Preference Management Policy, PII Security and Access Control Policy ja Processor, Subprocessor and Third-Party Privacy Management Policy.

Biometria voi vahvistaa tietoturvaa ja parantaa käyttäjäkokemusta. Vain hallinnoitu biometria ansaitsee kestävän luottamuksen.