Upravljanje biometrijskim podacima prema GDPR-u i ISO 27701

Zahtjev za hitan sastanak stigao je u sandučić e-pošte CISO-ice Marije Petrove s težinom koja nije ostavljala prostor za ignoriranje. Naslov poruke glasio je: “HITNO: Biometrijska autentifikacija - odluka o pokretanju za Q3.”

Maria je znala što stoji iza toga. Njezina organizacija, brzorastuće fintech društvo Finura, pripremala je pokretanje provjere plaćanja unutar aplikacije korištenjem prepoznavanja lica i otiska prsta. Proizvodni tim vidio je značajku koja može definirati tržište. Upravni odbor vidio je brže prihvaćanje usluge. Timovi za sprječavanje prijevara vidjeli su manje lažnih računa. COO je vidio manje trenja za korisnike. Maria je vidjela drukčiju sliku: posebne kategorije osobnih podataka, okidače za DPIA-u, ovisnost o dobavljaču, rizik zadržavanja podataka, povlačenje privole, operativnu otpornost i scenarij povrede koji se ne može riješiti izdavanjem nove lozinke.

Pritisak je stigao već na početku poziva. “Konkurencija mjesecima zaostaje za nama”, tvrdio je voditelj proizvoda. “Ne možemo si priuštiti odgodu.”

Zatim su počela pitanja.

Je li izričita privola projektirana i evidentirana? Postoji li valjana pravna osnova prema GDPR Article 6 i uvjet prema Article 9? Je li biometrijski dobavljač provjeren kao IKT treća strana u skladu s očekivanjima DORA-e? Je li itko dovršio procjenu učinka na zaštitu podataka (DPIA) prije početka inženjerskog rada? Može li Finura dokazati da će opozvani predložak lica biti izbrisan iz aktivnih sustava, sigurnosnih kopija i okruženja dobavljača?

Tišina je rekla sve.

Upravljanje biometrijskim podacima drukčije je jer je identifikator sama osoba. Lozinka se može promijeniti. Kartica se može zamijeniti. Kompromitirani predložak lica, uzorak otiska prsta, glasovni otisak, predložak vena dlana ili identifikator izveden iz šarenice ne može se smisleno promijeniti. Kada se biometrijski podaci koriste za jedinstvenu identifikaciju, GDPR ih tretira kao posebne kategorije podataka. ISO/IEC 27701:2025 očekuje sustav upravljanja informacijama o privatnosti, odnosno PIMS, koji može dokazati zašto je obrada nužna, kako je kontrolirana, tko ju je odobrio, koliko se dugo podaci zadržavaju, koji dobavljači dolaze u doticaj s njima te kako se postupa sa zahtjevima za ostvarivanje prava i incidentima.

Problem je u tome što mnoge organizacije kupe proizvod za biometrijski identitet, ispune sigurnosni upitnik, dodaju generičku obavijest o privatnosti i pretpostave da šifriranje rješava problem. Ne rješava ga. Šifriranje je nužno, ali upravljanje biometrijskim podacima zahtijeva povezan operativni model.

Clarysecov pristup povezuje PIMS upravljanje prema ISO/IEC 27701:2025, dokaze o kontrolama prema ISO/IEC 27001:2022, načelo odgovornosti prema GDPR-u i mapiranje usklađenosti među okvirima kroz Zenith Controls: Vodič za usklađenost među okvirima Zenith Controls. U Zenith Controls, skup kontrola za upravljanje biometrijskim podacima oslanja se na kontrolu ISO/IEC 27002:2022 5.34, Privacy and Protection of PII, uz podršku kontrola 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography, te kontrola dobavljača kao što je 5.20, Addressing Information Security Within Supplier Agreements.

Cilj nije usporiti inovacije. Cilj je biometrijsku autentifikaciju, potvrdu identiteta, pristup radnom mjestu i sprječavanje prijevara učiniti dokazivima, razmjernima, sigurnima i spremnima za reviziju.

Zašto upravljanje biometrijskim podacima ne uspijeva u zrelim organizacijama

Organizacija može imati snažan sigurnosni program, a ipak slabo upravljati biometrijskim podacima.

Zamislite pružatelja SaaS usluge koji uvodi provjeru lica za uvođenje korisnika. Sigurnosni tim zahtijeva TLS, šifriranu pohranu, administratorsku MFA, kontrole pristupa i bilježenje događaja. Dobavljač tvrdi da su biometrijski predlošci “nepovratni”. Proizvodni tim dokumentira smanjenje prijevara kao poslovno opravdanje. Pravni odjel pregledava ugovor o obradi podataka. Nabava označava dobavljača kao provjerenog.

Zatim revizor postavlja pet pitanja:

1. Gdje je evidentirana aktivnost biometrijske obrade?
2. Koja je pravna osnova prema GDPR Article 6 i, gdje je primjenjivo, uvjet za posebne kategorije podataka prema Article 9?
3. Je li DPIA dovršena prije početka obrade?
4. Možete li dokazati da se biometrijski predlošci brišu kada svrha prestane vrijediti?
5. Što se događa ako biometrijski dobavljač pretrpi povredu ili promijeni podizvršitelje obrade?

Ako su odgovori raspršeni po e-mail korespondenciji, nabavnim zahtjevima, bilješkama proizvodnog tima i portalu dobavljača, program nije spreman za reviziju.

GDPR Article 5 zahtijeva zakonitost, poštenost, transparentnost, ograničavanje svrhe, smanjenje količine podataka, točnost, ograničenje pohrane, cjelovitost, povjerljivost i odgovornost. Article 6 zahtijeva pravnu osnovu. Article 9 dodaje stroži uvjet kada se biometrijski podaci obrađuju radi jedinstvene identifikacije osobe. Definicije iz Article 4 važne su jer obrada uključuje prikupljanje, pohranu, uporabu, otkrivanje, brisanje i uništenje. Pseudonimizacija pomaže samo kada su dodatne identifikacijske informacije odvojeno zaštićene odgovarajućim tehničkim i organizacijskim mjerama.

Za organizacije izvan EU-a GDPR se i dalje može primjenjivati kada nude robu ili usluge pojedincima u EU-u ili prate ponašanje koje se odvija u EU-u. Zato su biometrijsko uvođenje korisnika, bodovanje prijevara, udaljeni pristup radne snage, glasovna provjera u pozivnom centru i potvrda identiteta korisnika relevantni daleko izvan Europe.

Neuspjeh upravljanja rijetko je posljedica jedne nedostajuće kontrole. Najčešće je riječ o nepostojanju povezanog lanca dokaza.

Clarysecov lanac dokaza za biometrijski PIMS

Clarysec tretira biometrijske slučajeve uporabe kao obradu osobnih podataka (PII) kojom se upravlja kroz životni ciklus, a ne kao samostalne značajke autentifikacije. Lanac dokaza počinje prije kupnje, konfiguracije ili uvođenja sustava.

U Zenith Blueprint: Revizorski plan provedbe u 30 koraka Zenith Blueprint, faza Kontrole u praksi, korak 23, opisuje kontrolu ISO/IEC 27002:2022 5.34 ovako:

Imena, adrese, identifikatori, zdravstveni zapisi, financijski podaci — ti podaci govore priču o stvarnim ljudima. Kada se njima nepravilno postupa, kada su ukradeni ili zloupotrijebljeni, posljedice znatno nadilaze neuspjehe usklađenosti. Postaju pitanje osobne povrede, reputacijske štete i pravne izloženosti.

Ta poruka postaje još snažnija kod biometrijskih identifikatora. Biometrijski predložak nije samo podatak za prijavu. Povezan je s fizičkim ili bihevioralnim obilježjima osobe i može se koristiti za jedinstvenu identifikaciju te osobe.

Dokaziv tijek rada za upravljanje biometrijskim podacima povezuje sedam odluka sa sedam vrsta dokaza:

To je razlika između tvrdnje “biometriju koristimo sigurno” i tvrdnje “možemo dokazati upravljanje biometrijskim podacima prema GDPR-u i ISO/IEC 27701:2025.”

Pravna osnova nije kvačica na kontrolnom popisu

Biometrijski projekti često padaju već u fazi pravne osnove jer timovi miješaju sigurnosnu vrijednost s pravnim dopuštenjem.

GDPR Article 6 zahtijeva pravnu osnovu kao što su privola, nužnost za izvršenje ugovora, pravna obveza, ključni interesi, zadaća od javnog interesa ili legitimni interesi gdje je primjenjivo. Article 9 općenito zabranjuje obradu biometrijskih podataka za jedinstvenu identifikaciju osim ako se primjenjuje posebna iznimka, primjerice izričita privola, obveze u području radnog prava i socijalne zaštite propisane zakonom, ključni interesi, značajan javni interes, zdravstvena skrb, javno zdravlje, pravni zahtjevi ili istraživanje i arhiviranje uz zaštitne mjere.

Biometrijska evidencija radnog vremena za zaposlenike, pristup vratima otiskom prsta, uvođenje korisnika prepoznavanjem lica i glasovna autentifikacija mogu zahtijevati različitu analizu. Ista tehnologija može dovesti do različitih ishoda pravne osnove ovisno o svrsi, izboru korisnika, neravnoteži moći, lokalnom pravu, razmjernosti i dostupnosti nebiometrijskih alternativa.

Clarysecova korporativna Politika zaštite podataka i privatnosti Politika zaštite podataka i privatnosti jasno postavlja polaznu osnovu:

Sva obrada mora se temeljiti na valjanoj pravnoj osnovi (npr. privola, ugovor, pravna obveza).

Iz odjeljka “Zahtjevi za provedbu politike”, odredba politike 6.1.1.

Za posebne kategorije podataka, Clarysecova Politika popisa aktivnosti obrade osobnih podataka i pravne osnove Politika popisa aktivnosti obrade osobnih podataka i pravne osnove pooštrava zahtjev za dokazima:

[Uvjetno] Vlasnik procesa / vlasnik poslovanja MORA evidentirati uvjet za obradu posebnih kategorija podataka u REG02 prije obrade posebnih kategorija osobnih podataka.

Iz odjeljka “Zapisi voditelja obrade o svrsi i pravnoj osnovi”, odredba politike 4.2.6.

Za MSP-ove, Clarysec primjenjuje istu disciplinu u jednostavnijem operativnom modelu. MSP Politika zaštite podataka i privatnosti Politika zaštite podataka i privatnosti - MSP navodi:

Koordinator za privatnost mora održavati registar svih aktivnosti obrade osobnih podataka, uključujući kategorije podataka, svrhu, pravnu osnovu i razdoblja zadržavanja.

Iz odjeljka “Zahtjevi upravljanja”, odredba politike 5.2.1.

I dodaje:

Pravna osnova (npr. privola, ugovor, pravna obveza) mora biti dokumentirana u registru obrade.

Iz odjeljka “Zahtjevi za provedbu politike”, odredba politike 6.1.2.

Kod upravljanja biometrijskim podacima, registar obrade nije administrativno održavanje evidencije. To je kontrolna točka na kojoj organizacija dokazuje da je biometrijski slučaj uporabe poznat, klasificiran, opravdan i ograničen.

Prvo DPIA, zatim uvođenje

Ako postoji jedno operativno pravilo za biometrijske sustave, ono je jednostavno: ne dopustite da nabava prestigne DPIA-u.

Biometrijske tehnologije često uključuju posebne kategorije osobnih podataka, jedinstvenu identifikaciju, sustavni nadzor, profiliranje prijevara, ranjive ispitanike, neravnotežu u radnom okruženju, inovativnu tehnologiju ili automatiziranu potporu odlučivanju. To su klasični okidači za DPIA-u. DPIA nije samo obrazac za privatnost. To je mjesto na kojem organizacija provjerava nužnost, razmjernost, alternative, preostali rizik, zaštitne mjere, transparentnost, zadržavanje, ovisnost o dobavljaču i učinak incidenta.

Korporativna Politika zaštite podataka i privatnosti zahtijeva formalnu analizu za visokorizične sustave:

Modeliranje prijetnji i procjene učinka na zaštitu podataka (DPIA) obvezni su za visokorizične sustave obrade.

Iz odjeljka “Zahtjevi za provedbu politike”, odredba politike 6.3.4.

PIMS-specifična Politika procjene rizika za privatnost i DPIA-e Politika procjene rizika za privatnost i DPIA-e izravnija je:

[Voditelj obrade] Vlasnik procesa / vlasnik poslovanja MORA u REG04 uputiti obradu koja uključuje veliku mjeru, sustavno praćenje, profiliranje, automatizirane odluke, posebne kategorije osobnih podataka, podatke o kaznenim osudama ili kažnjivim djelima, ranjive ispitanike, inovativnu tehnologiju ili značajno izmijenjenu obradu voditelju privatnosti / voditelju PIMS-a prije početka obrade.

Iz odjeljka “Okidači DPIA-e i utvrđivanje zahtjeva”, odredba politike 4.2.2.

Biometrijska DPIA mora odgovoriti barem na ova pitanja:

• Koji se biometrijski modalitet obrađuje, primjerice lice, otisak prsta, glas, šarenica, dlan ili bihevioralni obrazac?
• Koriste li se biometrijski podaci za jedinstvenu identifikaciju ili samo za lokalnu provjeru na uređaju?
• Je li organizacija voditelj obrade, izvršitelj obrade, zajednički voditelj obrade ili podizvršitelj obrade?
• Koja nebiometrijska alternativa postoji i je li jednako dostupna?
• Je li potrebna izričita privola i može li biti dobrovoljno dana i povučena?
• Pohranjuju li se sirove biometrijske slike, zvuk ili predlošci?
• Gdje se pohranjuju predlošci, primjerice u sigurnom spremniku uređaja, središnjem sustavu ili oblaku dobavljača?
• Tko može pristupiti predlošcima, rezultatima podudaranja i biometrijskim dnevničkim zapisima?
• Koja se pravila zadržavanja primjenjuju na upisane korisnike, odbijene podnositelje zahtjeva, neaktivne korisničke račune i zaposlenike kojima je prestao radni odnos?
• Kako se dokazuje brisanje i istek sigurnosnih kopija?
• Što se događa nakon lažno pozitivnih rezultata, lažnih odbijanja ili pogrešaka automatiziranog odlučivanja?
• Koji su podizvršitelji obrade uključeni i gdje se podaci obrađuju?

U Finuri je DPIA postala središnji dokument upravljanja. Nije zaustavila pokretanje. Pretvorila je rizičnu ideju u kontrolirani plan implementacije.

Izričita privola i problem prisilne praktičnosti

Biometrijski programi često se oslanjaju na privolu jer to djeluje intuitivno. Osoba upisuje svoje lice, glas ili otisak prsta, pa se pretpostavlja da je pristala. Privola u skladu s GDPR-om mora biti posebna, informirana, nedvosmislena i dobrovoljna. Kada je potrebna izričita privola prema Article 9, standard je viši.

U radnom odnosu ili kada pristup nužnoj usluzi ovisi o biometrijskom upisu, privolu može biti teško obraniti ako ne postoji stvarna alternativa. “Praktična” biometrijska opcija postaje problematična ako je alternativa skrivena, sporija, kažnjavajuća ili nedostupna.

Clarysecova Politika upravljanja privolama i preferencijama Politika upravljanja privolama i preferencijama daje operativno pravilo:

[Uvjetno] Voditelj privatnosti / voditelj PIMS-a MORA u REG05 označiti privolu kao izričitu prije početka obrade ako je izričita privola potrebna za odabranu svrhu.

Iz odjeljka “Zahtjev za privolu i prikupljanje privole”, odredba politike 4.2.5.

Za biometrijske sustave REG05 treba prikazati:

• Točan tekst privole.
• Biometrijsku svrhu, primjerice autentifikaciju, sprječavanje prijevara, kontrolu pristupa ili potvrdu identiteta.
• Je li privola izričita.
• Datum, kanal i verziju obavijesti.
• Način povlačenja privole.
• Nebiometrijsku alternativu.
• Utječe li odbijanje na pristup usluzi.
• Sistemski okidač koji zaustavlja obradu nakon povlačenja privole.

MSP Politika zaštite podataka i privatnosti navodi:

Ugrađena zaštita privatnosti i zaštita privatnosti prema zadanim postavkama moraju se provoditi u svim novim sustavima i uslugama.

Iz odjeljka “Zahtjevi upravljanja”, odredba politike 5.3.1.

U biometrijskim sustavima zaštita privatnosti prema zadanim postavkama znači da se korisnici ne upisuju potajno, sirove slike ne zadržavaju se bez opravdanja, biometrijsko podudaranje ne prenamjenjuje se za analitiku bez ponovne procjene, a alternative nisu skrivene iza prijava službi za podršku.

Klasificirajte cijeli skup biometrijskih podataka

Biometrijskim sustavom nije moguće upravljati ako su biometrijski podaci nevidljivi u popisu imovine.

Clarysecova korporativna Politika klasifikacije podataka i označavanja Politika klasifikacije podataka i označavanja navodi:

Osigurava da se osobni podaci na koje se primjenjuju GDPR, DORA ili drugi zakoni o privatnosti ispravno klasificiraju (npr. označe kao “Povjerljivo” ili “Ograničeno”).

Iz odjeljka “Uloge i odgovornosti”, odredba politike 4.6.1.

Za MSP-ove, Politika klasifikacije podataka i označavanja Politika klasifikacije podataka i označavanja - MSP uspostavlja očekivanje zaštite:

Svi podaci klasificirani kao “Povjerljivo” moraju dobiti najvišu razinu zaštite:

Iz odjeljka “Zahtjevi upravljanja”, odredba politike 5.2.

Klasifikacija mora obuhvatiti više od baze podataka predložaka:

ISO/IEC 27001:2022 pojačava ovu disciplinu. Točke 4.1 do 4.4 zahtijevaju da organizacija utvrdi kontekst, zahtjeve zainteresiranih strana, opseg ISMS-a i ovisnosti. Točke 6.1.1 do 6.1.3 zahtijevaju procjenu rizika, obradu rizika, Izjavu o primjenjivosti i odobrenje vlasnika rizika. Ako biometrijski sustavi utječu na povjerljivost, cjelovitost, dostupnost ili privatnost, pripadaju u opseg.

Sigurnosne kontrole: šifriranje je samo jedan sloj

Biometrijska sigurnost zahtijeva višeslojne kontrole. Šifriranje je važno, ali ne može popraviti slabu pravnu osnovu, prekomjerno zadržavanje, nekontrolirani pristup dobavljača ili nedostajuće dokaze o brisanju.

Faza Kontrole u praksi u Zenith Blueprint, korak 20, objašnjava kontrolu ISO/IEC 27002:2022 8.24, Use of Cryptography:

Ova kontrola nije samo pitanje “uključivanja šifriranja”; riječ je o ugradnji kriptografije u dizajn, politiku i upravljanje životnim ciklusom organizacije.

Clarysecova Politika sigurnosti osobnih podataka i kontrole pristupa Politika sigurnosti osobnih podataka i kontrole pristupa postavlja PIMS pravilo za osjetljive osobne podatke:

[Oboje] Voditelj informacijske sigurnosti MORA definirati zahtjeve za šifriranje ili odobrene kompenzacijske zaštitne mjere u REG12 prije nego što se osobni podaci visokog utjecaja, osjetljivi osobni podaci ili osobni podaci koji se prenose prema van pohrane, prenesu ili učine dostupnima.

Iz odjeljka “Šifriranje i sigurna pohrana”, odredba politike 4.5.1.

REG12 mora definirati biometrijske zaštitne mjere kao što su šifriranje podataka u mirovanju, šifriranje podataka u prijenosu, vlasništvo nad ključevima, periodična promjena ključeva, administratorska MFA, odobravanje pristupa, razdvajanje identitetskih podataka i biometrijskih predložaka, bilježenje događaja upisa, podudaranja, izvoza i brisanja, nadzor neuobičajenog pristupa predlošcima, sigurno brisanje i okidači incidenta za kompromitaciju predložaka.

U Zenith Controls, kontrole ISO/IEC 27002:2022 5.17, Authentication Information, i 8.5, Secure Authentication, posebno su važne jer je biometrija često ugrađena u tijekove autentifikacije. Pitanje nije samo je li biometrijska prijava sigurna. Pitanje je jesu li pod kontrolom i rezervne metode, tijekovi oporavka, otkrivanje živosti, pristup s povišenim ovlastima i putovi za zaobilaženje biometrije.

Zadržavanje, brisanje i biometrijsko groblje

Biometrijski sustavi često zadržavaju više podataka nego što timovi shvaćaju: neuspjele upise, stare predloške, neaktivne korisnike, pakete za podršku, arhivirane baze podataka, snimke stanja i sigurnosne kopije. Time nastaje problem biometrijskog groblja. Podaci više nisu operativno korisni, ali ostaju vrlo osjetljivi.

Korporativna Politika zaštite podataka i privatnosti navodi:

Osobni podaci (PII) ne smiju se zadržavati dulje nego što je nužno.

Iz odjeljka “Zahtjevi za provedbu politike”, odredba politike 6.5.1.

Faza Kontrole u praksi u Zenith Blueprint, korak 19, objašnjava kontrolu ISO/IEC 27002:2022 8.10, Information Deletion:

Ova kontrola osigurava da se podaci ne čuvaju dulje nego što je nužno te da se, kada više nisu potrebni, sigurno i pouzdano izbrišu.

Za biometrijske podatke brisanje mora biti ugrađeno u sustav. Pravila moraju obuhvatiti povlačenje privole, zatvaranje računa, prestanak radnog odnosa, neuspjelo uvođenje korisnika nakon isteka žalbenih rokova, neaktivne račune, zamjenu uređaja, prestanak ugovora s dobavljačem, pravna zadržavanja podataka, istek sigurnosnih kopija i kriptografsko brisanje gdje je primjereno.

Revizori neće prihvatiti tvrdnju “dobavljač rješava brisanje” osim ako možete dokazati kako, kada, na temelju kojeg okidača i s kojim dokazima.

Upravljanje dobavljačima: dobavljač je dio kontrolnog okruženja

Većina organizacija ne gradi biometrijske mehanizme od nule. Oslanjaju se na dobavljače za podudaranje lica, glasovnu provjeru, otkrivanje živosti, hardver za kontrolu pristupa, SDK-ove, bodovanje prijevara, pohranu u oblaku ili analitiku podrške. Zato je upravljanje dobavljačima ključno.

Korporativna Politika zaštite podataka i privatnosti zahtijeva ponovnu procjenu dobavljača:

Timovi za nabavu te pravne poslove i usklađenost moraju provjeriti usklađenost s Article 28 GDPR-a i zahtijevati godišnju ponovnu procjenu svih visokorizičnih dobavljača.

Iz odjeljka “Provedba i usklađenost”, odredba politike 8.5.2.

Politika upravljanja izvršiteljima obrade, podizvršiteljima obrade i privatnošću trećih strana Politika upravljanja izvršiteljima obrade, podizvršiteljima obrade i privatnošću trećih strana dodaje PIMS kontrolnu točku odobrenja:

[Uvjetno] Službenik za zaštitu podataka / savjetnik za privatnost MORA dati savjet u REG04 ili REG12 prije odobrenja odnosa koji uključuje visok preostali rizik za privatnost, posebne kategorije osobnih podataka, obradu velikog opsega, sustavno praćenje ili neriješenu klasifikaciju uloga.

Iz odjeljka “Dubinska analiza dobavljača i procjena rizika”, odredba politike 4.2.4.

MSP Politika sigurnosti trećih strana i dobavljača Politika sigurnosti trećih strana i dobavljača - MSP podsjeća manje organizacije da su ugovori kontrolna površina:

Ugovori moraju uključivati obvezne odredbe koje obuhvaćaju:

Iz odjeljka “Zahtjevi upravljanja”, odredba politike 5.3.

Faza Kontrole u praksi u Zenith Blueprint, korak 23, opisuje kontrolu ISO/IEC 27002:2022 5.20, Addressing Information Security Within Supplier Agreements:

Povjerenje, kada je riječ o dobavljačima, ne može počivati na pretpostavkama. Mora biti ugovorno i operativno uređeno.

Biometrijski ugovori moraju obuhvatiti ulogu izvršitelja obrade, ograničavanje svrhe, odobravanje podizvršitelja obrade, lokaciju podataka, šifriranje, kontrole pristupa, obavijest o incidentu, prava na reviziju, brisanje, povrat podataka, pristup u svrhu podrške, suradnju kod povrede, ograničenja treniranja modela i pomoć pri izlasku.

Za financijske subjekte obuhvaćene DORA-om, dobavljači biometrijskog identiteta mogu biti pružatelji IKT usluga trećih strana. DORA se primjenjuje od 17. siječnja 2025. i očekuje da financijski subjekti upravljaju IKT rizicima, izvješćivanjem o incidentima, testiranjem operativne otpornosti i rizikom IKT trećih strana. Ako biometrijsko uvođenje korisnika podržava kritičnu ili važnu funkciju, ugovori s dobavljačima, eskalacija incidenata, testiranje otpornosti i izlazni planovi postaju dokazi operativne otpornosti, ali i dokazi privatnosti.

NIS2 je važan i za mnoge pružatelje usluga u oblaku, SaaS-a, upravljanih usluga, upravljanih sigurnosnih usluga, digitalne infrastrukture i upravljanja IKT uslugama. Njegova očekivanja u pogledu upravljanja rizicima snažno se preklapaju s ISO/IEC 27001:2022 i lancem dokaza biometrijskog PIMS-a.

Mapiranje usklađenosti među okvirima za upravljanje biometrijskim podacima

Upravljanje biometrijskim podacima ne bi smjelo stvarati odvojene silose za GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 i COBIT 19. Jedan model dokaza može podržati brojne obveze.

Za subjekte obuhvaćene NIS2, značajni incidenti mogu zahtijevati rano upozorenje u roku od 24 sata, obavijest o incidentu u roku od 72 sata i završno izvješće u roku od jednog mjeseca. Ako je biometrijska identitetska platforma nedostupna ili kompromitirana, mogu se pokrenuti sigurnosni, privatnosni i operativni tijekovi izvješćivanja.

Revizijski pogled: što će pregledavatelji pitati

Različiti revizori testiraju upravljanje biometrijskim podacima iz različitih kutova. Clarysec koristi Zenith Controls za povezivanje kontrola ISO/IEC 27002:2022 s dokazima o privatnosti, autentifikaciji, dobavljačima, šifriranju, brisanju, incidentima i reviziji.

Česti nalazi revizije uključuju tehničke kontrole bez upravljačkih odluka, pravnu osnovu prema Article 6 bez uvjeta prema Article 9, DPIA-e dovršene nakon puštanja u produkciju, zapise o privoli bez okidača brisanja, ugovore s dobavljačima bez biometrijski specifičnih odredbi i operativne upute za incidente koje kompromitaciju biometrijskog predloška tretiraju kao običnu kompromitaciju vjerodajnica.

Praktični tijek odobrenja za biometrijsko uvođenje korisnika

Organizacija koju vodi Clarysec i koja obrađuje provjeru lica za uvođenje korisnika slijedila bi strukturiran put:

1. Izraditi zapis o obradi u REG02.
2. Utvrditi uloge voditelja obrade, izvršitelja obrade i podizvršitelja obrade.
3. Evidentirati pravnu osnovu prema Article 6 i uvjet prema Article 9 kada se biometrijski podaci koriste za jedinstvenu identifikaciju.
4. Evidentirati kategorije podataka kao što su selfie, slika dokumenta, biometrijski predložak, rezultat provjere živosti, rezultat podudaranja, revizijski zapisi i izvozi za podršku.
5. Pokrenuti REG04 DPIA prije implementacije.
6. Procijeniti nužnost, razmjernost i nebiometrijske alternative.
7. Definirati izričitu privolu u REG05 gdje je potrebna.
8. Klasificirati sirove slike i predloške kao Ograničeno ili najviša osjetljivost.
9. Definirati REG12 sigurnosne zahtjeve za šifriranje, upravljanje ključevima, pristup, bilježenje događaja, nadzor, ograničenja izvoza i brisanje.
10. Pregledati dubinsku analizu dobavljača, popis podizvršitelja obrade, lokaciju hostinga, obavijest o incidentu, prava na reviziju i postupak izdavanja potvrde o brisanju.
11. Dodati pravila zadržavanja za uspješno uvođenje korisnika, neuspjelo uvođenje korisnika, povučenu privolu, žalbe, istrage prijevara i sigurnosne kopije.
12. Odobriti preostali rizik s imenovanim vlasnicima.
13. Pohraniti revizijske dokaze u PIMS repozitorij dokaza.
14. Pregledati djelotvornost nakon pokretanja i nakon promjena dobavljača.

Time CISO dobiva dokaze o tehničkim kontrolama, službenik za zaštitu podataka (DPO) načelo odgovornosti za privatnost, nabava ugovorne kontrolne točke, proizvodni tim put do pokretanja, a revizori sljedivu priču.

Pretvorite biometrijski rizik u povjerenje

U Finuri Maria nije otkazala biometrijsku značajku. Ponovno ju je postavila. Proizvodni i inženjerski tim integrirali su PIMS zahtjeve u životni ciklus razvoja. Tok privole postao je izričit i odvojen. Ugovor s dobavljačem dobio je snažnije obveze za brisanje, reviziju, povredu i podizvršitelje obrade. REG02, REG04, REG05 i REG12 postali su okosnica dokaza. Kriptografsko brisanje implementirano je za opozvane podatke. Pokretanje je pomaknuto za jedno tromjesečje, ali je usluga puštena u rad na temelju povjerenja.

To je svrha upravljanja biometrijskim podacima. Ono ne zabranjuje inovacije. Čini ih dokazivima.

Sljedeći koraci su jasni:

1. Popišite svaki biometrijski slučaj uporabe, uključujući pristup radnom mjestu, uvođenje korisnika, autentifikaciju uređaja, sprječavanje prijevara i glasovnu provjeru.
2. Klasificirajte podatke i potvrdite koriste li se za jedinstvenu identifikaciju.
3. Evidentirajte pravnu osnovu i svaki uvjet za posebne kategorije podataka u registru obrade.
4. Provedite DPIA prije početka nove ili značajno izmijenjene obrade.
5. Provjerite izričitu privolu i alternative gdje je potrebno.
6. Pregledajte ugovore s dobavljačima i podizvršitelje obrade.
7. Definirajte dokaze o šifriranju, pristupu, bilježenju događaja, nadzoru i brisanju.
8. Mapirajte dokaze na očekivanja ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 i COBIT 19.

Clarysec vam može pomoći pretvoriti upravljanje biometrijskim podacima u PIMS tijek rada spreman za reviziju. Počnite s Zenith Blueprint: Revizorski plan provedbe u 30 koraka Zenith Blueprint, provjerite mapiranje među okvirima uz Zenith Controls: Vodič za usklađenost među okvirima Zenith Controls i provedite dokaze kroz Clarysecov skup PIMS politika prema ISO/IEC 27701:2025, uključujući Politiku popisa aktivnosti obrade osobnih podataka i pravne osnove, Politiku procjene rizika za privatnost i DPIA-e, Politiku upravljanja privolama i preferencijama, Politiku sigurnosti osobnih podataka i kontrole pristupa i Politiku upravljanja izvršiteljima obrade, podizvršiteljima obrade i privatnošću trećih strana.

Biometrija može ojačati sigurnost i poboljšati korisničko iskustvo. Samo biometrija kojom se upravlja zaslužuje trajno povjerenje.