Biometrikus adatok irányítása a GDPR és az ISO/IEC 27701 szerint

A sürgős értekezlet-összehívó nagy súllyal érkezett Maria Petrova CISO postaládájába. A tárgymezőben ez állt: „SÜRGŐS: biometrikus hitelesítés – indítási döntés a Q3-as élesítéshez.”

Maria pontosan tudta, mi áll mögötte. Vállalata, a gyorsan növekvő FinTech, a Finura, alkalmazáson belüli fizetés-jóváhagyást készült bevezetni arc- és ujjlenyomat-felismeréssel. A termékcsapat piacformáló funkciót látott benne. Az igazgatóság gyorsabb elfogadást. A csalásmegelőzési csapatok kevesebb hamis fiókot. A COO kisebb súrlódást. Maria más képet látott: különleges kategóriájú személyes adatokat, DPIA-kötelezettséget kiváltó körülményeket, beszállítói függőséget, megőrzési kockázatot, hozzájárulás-visszavonást, működési rezilienciát és olyan személyesadat-sértési forgatókönyvet, amelyet nem lehet egy új jelszó kiadásával kezelni.

A hívásban azonnal megjelent a nyomás. „A versenytársak hónapokkal mögöttünk járnak” – érvelt a termékvezető. „Nem engedhetjük meg magunknak a halasztást.”

Ekkor kezdődtek a kérdések.

Megtervezték és rögzítették a kifejezett hozzájárulást? Van érvényes GDPR Article 6 szerinti jogalap és Article 9 szerinti feltétel? A biometrikus beszállítót DORA szerinti IKT harmadik fél szolgáltatóként átvilágították? Elkészült az adatvédelmi hatásvizsgálat (DPIA), mielőtt a fejlesztés elindult? Tudja bizonyítani a Finura, hogy a visszavont arcsablont törlik az éles rendszerekből, a biztonsági mentésekből és a beszállítói környezetekből?

A csend mindent elmondott.

A biometrikus adatok irányítása azért más, mert maga az azonosító a személy. A jelszó rotálható. A kártya cserélhető. Egy kompromittálódott arcsablon, ujjlenyomat-minta, hanglenyomat, tenyérvéna-sablon vagy íriszből származtatott azonosító érdemben nem változtatható meg. Ha a biometrikus adatot egyedi azonosításra használják, a GDPR különleges kategóriájú adatként kezeli. Az ISO/IEC 27701:2025 olyan adatvédelmi információkezelési rendszert, vagyis PIMS-et vár el, amely bizonyítani tudja, miért szükséges az adatkezelés, hogyan szabályozott, ki hagyta jóvá, mennyi ideig őrzik meg, mely beszállítók férnek hozzá, és hogyan kezelik az érintetti joggyakorlási kérelmeket és az incidenseket.

A probléma az, hogy sok szervezet megvásárol egy biometrikus személyazonosság-kezelési terméket, kitölt egy biztonsági kérdőívet, hozzáad egy általános adatvédelmi tájékoztatót, majd feltételezi, hogy a titkosítás megoldja a kérdést. Nem oldja meg. A titkosítás szükséges, de a biometrikus adatok irányításához összekapcsolt működési modell kell.

A Clarysec megközelítése az ISO/IEC 27701:2025 PIMS-irányítást, az ISO/IEC 27001:2022 kontrollbizonyítékokat, a GDPR szerinti elszámoltathatóságot és a megfelelőségi keretrendszerek közötti megfeleltetést kapcsolja össze a Zenith Controls: The Cross-Compliance Guide Zenith Controls segítségével. A Zenith Controls rendszerben a biometrikus irányítási klaszter az ISO/IEC 27002:2022 5.34, Privacy and Protection of PII kontroll köré épül, amelyet az 5.17, Authentication Information, a 8.5, Secure Authentication, a 8.10, Information Deletion, a 8.24, Use of Cryptography, valamint olyan beszállítói kontrollok támogatnak, mint az 5.20, Addressing Information Security Within Supplier Agreements.

A cél nem az innováció lassítása. A cél az, hogy a biometrikus hitelesítés, a személyazonosság-igazolás, a munkahelyi hozzáférés és a csalásmegelőzés igazolható, arányos, biztonságos és auditálható legyen.

Miért bukik el a biometrikus irányítás érett vállalatoknál is

Egy vállalatnak lehet erős biztonsági programja, miközben a biometrikus irányítása gyenge.

Vegyünk egy SaaS-szolgáltatót, amely arcalapú ellenőrzést vezet be az ügyfélbeléptetéshez. A biztonsági csapat TLS-t, titkosított tárolást, adminisztrátori MFA-t, hozzáférés-szabályozást és naplózást ír elő. A beszállító szerint a biometrikus sablonok „visszafordíthatatlanok”. A termékcsapat üzleti indoklásként dokumentálja a csalások csökkenését. A jogi csapat felülvizsgálja az adatfeldolgozási szerződést. A beszerzés kipipálja a beszállítói ellenőrzést.

Ezután az auditor öt kérdést tesz fel:

1. Hol van rögzítve a biometrikus adatkezelési tevékenység?
2. Mi a GDPR Article 6 szerinti jogalap, és ahol alkalmazandó, mi az Article 9 szerinti különleges kategóriájú adatra vonatkozó feltétel?
3. Elkészült a DPIA az adatkezelés megkezdése előtt?
4. Tudják bizonyítani, hogy a biometrikus sablonokat törlik, amikor a cél megszűnik?
5. Mi történik, ha a biometrikus beszállítónál személyesadat-sértés történik, vagy további adatfeldolgozót vált?

Ha a válaszok e-mail-szálakban, beszerzési jegyekben, termékjegyzetekben és beszállítói portálokon szétszórva találhatók, a program nem auditálható.

A GDPR Article 5 jogszerűséget, tisztességességet, átláthatóságot, célhoz kötöttséget, adattakarékosságot, pontosságot, tárolási korlátozást, sértetlenséget, bizalmasságot és elszámoltathatóságot követel meg. Az Article 6 jogalapot ír elő. Az Article 9 szigorúbb feltételt ad hozzá, ha a biometrikus adatot személy egyedi azonosítása céljából kezelik. Az Article 4 fogalommeghatározásai lényegesek, mert az adatkezelés magában foglalja a gyűjtést, tárolást, felhasználást, közlést, törlést és megsemmisítést. Az álnevesítés csak akkor segít, ha a további azonosító információkat megfelelő technikai és szervezési intézkedésekkel elkülönítve védik.

Nem uniós vállalatokra is alkalmazandó lehet a GDPR, ha árukat vagy szolgáltatásokat kínálnak az EU-ban tartózkodó személyeknek, vagy az EU-ban történő viselkedésüket figyelik meg. Ez a biometrikus beléptetést, a csaláskockázati pontozást, a távoli munkaerő-hozzáférést, a call centeres hangalapú ellenőrzést és az ügyfél-azonosságigazolást Európán messze túl is relevánssá teszi.

Az irányítási hiba ritkán egyetlen hiányzó kontroll. Többnyire az összekapcsolt bizonyítéklánc hiánya.

A Clarysec bizonyítéklánca biometrikus PIMS-hez

A Clarysec a biometrikus használati eseteket életciklus szerint irányított PII-adatkezelésként kezeli, nem önálló hitelesítési funkcióként. A bizonyítéklánc még azelőtt kezdődik, hogy a rendszert megvásárolnák, konfigurálnák vagy bevezetnék.

A Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint Controls in Action szakaszának 23. lépése így írja le az ISO/IEC 27002:2022 5.34 kontrollt:

Nevek, címek, azonosítók, egészségügyi nyilvántartások, pénzügyi adatok: ezek az adatok valós emberekről szólnak. Ha helytelenül kezelik, ellopják vagy visszaélnek velük, a következmények messze túlmutatnak a megfelelési hibákon. Személyes jogsérelem, reputációs kár és jogi kitettség kérdésévé válnak.

Ez az üzenet a biometrikus azonosítóknál még erősebb. A biometrikus sablon nem pusztán bejelentkezési adat. Egy személy fizikai vagy viselkedési jellemzőihez kötődik, és alkalmas lehet az adott személy egyedi azonosítására.

Az igazolható biometrikus irányítási munkafolyamat hét döntést kapcsol hét bizonyítéktípushoz:

Ez a különbség aközött, hogy „biztonságosan használunk biometrikus adatokat”, és aközött, hogy „bizonyítani tudjuk a biometrikus adatok irányítását a GDPR és az ISO/IEC 27701:2025 szerint”.

A jogalap nem jelölőnégyzet

A biometrikus projektek gyakran már a jogalapnál elbuknak, mert a csapatok összekeverik a biztonsági értéket a jogszerű adatkezelési feltételekkel.

A GDPR Article 6 jogalapot követel meg, például hozzájárulást, szerződés teljesítéséhez szükséges adatkezelést, jogi kötelezettséget, létfontosságú érdeket, közérdekű feladatot vagy alkalmazható esetben jogos érdeket. Az Article 9 általában tiltja a biometrikus adatok egyedi azonosítás céljából történő kezelését, kivéve, ha meghatározott kivétel alkalmazható, például kifejezett hozzájárulás, jogszabályon alapuló foglalkoztatási és szociális védelmi kötelezettségek, létfontosságú érdek, jelentős közérdek, egészségügyi ellátás, közegészségügy, jogi igények, illetve kutatás és archiválás megfelelő garanciákkal.

A munkavállalói biometrikus munkaidő-nyilvántartás, az ujjlenyomatos ajtóbeléptetés, az arcalapú ügyfélbeléptetés és a hangalapú hitelesítés eltérő elemzést igényelhet. Ugyanaz a technológia eltérő jogalap-eredményre vezethet a céltól, a felhasználói választási lehetőségtől, az erőviszonyoktól, a helyi jogtól, az arányosságtól és a nem biometrikus alternatívák elérhetőségétől függően.

A Clarysec vállalati Adatvédelmi szabályzata Adatvédelmi szabályzat egyértelművé teszi az alapkövetelményt:

Minden adatkezelésnek érvényes jogalapon kell alapulnia (pl. hozzájárulás, szerződés, jogi kötelezettség).

A „Szabályzat végrehajtási követelményei” szakasz 6.1.1 szabályzati pontjából.

Különleges kategóriájú adatok esetén a Clarysec PII Processing Inventory and Lawful Basis Policy PII Processing Inventory and Lawful Basis Policy szabályzata szigorítja a bizonyítékkövetelményt:

[Feltételes] A folyamatgazda / üzleti felelős KÖTELES a különleges kategóriájú adatkezelés feltételét a különleges kategóriájú PII kezelése előtt rögzíteni a REG02-ben.

A „Controller purpose and lawful basis records” szakasz 4.2.6 szabályzati pontjából.

KKV-k esetében a Clarysec ugyanezt a fegyelmet egyszerűbb működési modellben alkalmazza. A KKV-k számára készült Adatvédelmi szabályzat – KKV Adatvédelmi szabályzat – KKV kimondja:

Az adatvédelmi koordinátornak nyilvántartást kell vezetnie valamennyi személyesadat-kezelési tevékenységről, beleértve az adatkategóriákat, a célt, a jogalapot és a megőrzési időket.

Az „Irányítási követelmények” szakasz 5.2.1 szabályzati pontjából.

A szabályzat hozzáteszi:

A jogalapot (pl. hozzájárulás, szerződés, jogi kötelezettség) dokumentálni kell az adatkezelési nyilvántartásban.

A „Szabályzat végrehajtási követelményei” szakasz 6.1.2 szabályzati pontjából.

A biometrikus adatok irányításában az adatkezelési nyilvántartás nem adminisztratív rendrakás. Ez az a kontrollpont, ahol a szervezet bizonyítja, hogy a biometrikus használati eset ismert, besorolt, indokolt és korlátok közé szorított.

Előbb DPIA, utána bevezetés

Ha egyetlen működési szabályt kell megfogalmazni a biometrikus rendszerekhez, az egyszerű: a beszerzés nem előzheti meg a DPIA-t.

A biometrikus technológiák gyakran különleges kategóriájú PII-t, egyedi azonosítást, szisztematikus megfigyelést, csalási profilalkotást, kiszolgáltatott érintetteket, munkahelyi erőviszony-különbséget, innovatív technológiát vagy automatizált döntéstámogatást érintenek. Ezek klasszikus DPIA-kiváltó körülmények. A DPIA nem csupán adatvédelmi űrlap. Itt vizsgálja a szervezet a szükségességet, arányosságot, alternatívákat, maradványkockázatot, védelmi intézkedéseket, átláthatóságot, megőrzést, beszállítói függőséget és incidenshatást.

A vállalati Adatvédelmi szabályzat formális elemzést ír elő a magas kockázatú rendszerekhez:

A fenyegetésmodellezés és az adatvédelmi hatásvizsgálatok (DPIA-k) kötelezők a magas kockázatú adatkezelési rendszerek esetében.

A „Szabályzat végrehajtási követelményei” szakasz 6.3.4 szabályzati pontjából.

A PIMS-specifikus Privacy Risk Assessment and DPIA Policy Privacy Risk Assessment and DPIA Policy még közvetlenebb:

[Adatkezelő] A folyamatgazda / üzleti felelős KÖTELES a nagy léptékű, szisztematikus megfigyelést, profilalkotást, automatizált döntéseket, különleges kategóriájú PII-t, büntetőjogi felelősség megállapítására vagy bűncselekményekre vonatkozó adatokat, kiszolgáltatott PII-érintetteket, innovatív technológiát vagy lényegesen módosított adatkezelést érintő adatkezelést az adatkezelés megkezdése előtt a REG04-ben az adatvédelemért felelős vezetőhöz / PIMS-vezetőhöz irányítani.

A „DPIA triggers and requirement determination” szakasz 4.2.2 szabályzati pontjából.

Egy biometrikus DPIA-nak legalább ezekre a kérdésekre választ kell adnia:

• Milyen biometrikus modalitást kezelnek, például arcot, ujjlenyomatot, hangot, íriszt, tenyeret vagy viselkedésmintát?
• A biometrikus adatot egyedi azonosításra használják, vagy csak helyi eszközszintű ellenőrzésre?
• A szervezet adatkezelő, adatfeldolgozó, közös adatkezelő vagy további adatfeldolgozó?
• Milyen nem biometrikus alternatíva létezik, és az azonos feltételekkel elérhető-e?
• Szükséges-e kifejezett hozzájárulás, és az önkéntesen megadható, illetve visszavonható-e?
• Tárolnak-e nyers biometrikus képeket, hangot vagy sablonokat?
• Hol tárolják a sablonokat: az eszköz biztonságos enklávéjában, központi rendszerben vagy beszállítói felhőben?
• Ki férhet hozzá a sablonokhoz, az egyezési pontszámokhoz és a biometrikus naplókhoz?
• Milyen megőrzési szabály vonatkozik a regisztrált felhasználókra, az elutasított jelentkezőkre, az inaktív fiókokra és a kilépett munkavállalókra?
• Hogyan bizonyítható a törlés és a biztonsági mentések lejárata?
• Mi történik téves pozitív találatok, téves elutasítások vagy automatizált döntési hibák után?
• Milyen további adatfeldolgozók vesznek részt, és hol történik az adatkezelés?

A Finuránál a DPIA lett a központi irányítási dokumentum. Nem törölte a bevezetést. Egy kockázatos ötletet szabályozott megvalósítási tervvé alakított.

Kifejezett hozzájárulás és a kikényszerített kényelem problémája

A biometrikus programok gyakran hozzájárulásra támaszkodnak, mert ez intuitívnak tűnik. Ha valaki regisztrálja az arcát, hangját vagy ujjlenyomatát, akkor bizonyára beleegyezett. A GDPR szintű hozzájárulásnak konkrétnak, tájékozottnak, egyértelműnek és önkéntesnek kell lennie. Ha Article 9 szerinti kifejezett hozzájárulás szükséges, a mérce magasabb.

Munkaviszonyban, vagy ha egy szükséges szolgáltatáshoz való hozzáférés biometrikus regisztrációtól függ, a hozzájárulás nehezen védhető, kivéve, ha valódi alternatíva áll rendelkezésre. A „kényelmes” biometrikus opció problémássá válik, ha az alternatíva rejtett, lassabb, hátrányos következményekkel jár vagy nem elérhető.

A Clarysec Consent and Preference Management Policy Consent and Preference Management Policy adja meg a működési szabályt:

[Feltételes] Az adatvédelemért felelős vezető / PIMS-vezető KÖTELES a kiválasztott célhoz szükséges kifejezett hozzájárulás esetén az adatkezelés megkezdése előtt a hozzájárulást kifejezettként megjelölni a REG05-ben.

A „Consent Request and Capture” szakasz 4.2.5 szabályzati pontjából.

Biometrikus rendszerek esetén a REG05-nek tartalmaznia kell:

• A hozzájárulás pontos szövegét.
• A biometrikus célt, például hitelesítést, csalásmegelőzést, hozzáférés-szabályozást vagy személyazonosság-igazolást.
• Azt, hogy a hozzájárulás kifejezett-e.
• A dátumot, csatornát és tájékoztatóverziót.
• A visszavonás módját.
• A nem biometrikus alternatívát.
• Azt, hogy az elutasítás érinti-e a szolgáltatáshoz való hozzáférést.
• A visszavonás utáni adatkezelést leállító rendszerkiváltó eseményt.

A KKV Adatvédelmi szabályzat – KKV kimondja:

Az új rendszerekben és szolgáltatásokban érvényesíteni kell a beépített és alapértelmezett adatvédelmet.

Az „Irányítási követelmények” szakasz 5.3.1 szabályzati pontjából.

Biometrikus rendszerekben az alapértelmezett adatvédelem azt jelenti, hogy a felhasználókat nem regisztrálják észrevétlenül, a nyers képeket indokolás nélkül nem őrzik meg, a biometrikus egyeztetést újraértékelés nélkül nem használják fel analitikára, és az alternatívákat nem rejtik támogatási jegyek mögé.

A teljes biometrikus adatkészlet besorolása

Egy biometrikus rendszer nem irányítható, ha a biometrikus adat láthatatlan az eszköznyilvántartásban.

A Clarysec vállalati Adatosztályozási és címkézési szabályzata Adatosztályozási és címkézési szabályzat kimondja:

Biztosítja, hogy a GDPR, DORA vagy más adatvédelmi jogszabályok hatálya alá tartozó személyes adatok megfelelően legyenek besorolva (pl. „Bizalmas” vagy „Korlátozott” jelöléssel).

A „Szerepkörök és felelősségek” szakasz 4.6.1 szabályzati pontjából.

KKV-k esetén az Adatosztályozási és címkézési szabályzat – KKV Adatosztályozási és címkézési szabályzat – KKV rögzíti a védelmi elvárást:

A „Bizalmas” besorolású minden adatnak a legmagasabb szintű védelmet kell kapnia:

Az „Irányítási követelmények” szakasz 5.2 szabályzati pontjából.

Az osztályozásnak többet kell lefednie, mint a sablonadatbázist:

Az ISO/IEC 27001:2022 megerősíti ezt a fegyelmet. A 4.1–4.4 pontok előírják, hogy a szervezet határozza meg a kontextust, az érdekelt felek követelményeit, az IBIR alkalmazási területét és a függőségeket. A 6.1.1–6.1.3 pontok kockázatértékelést, kockázatkezelést, alkalmazhatósági nyilatkozatot és kockázattulajdonosi jóváhagyást írnak elő. Ha a biometrikus rendszerek érintik a bizalmasságot, sértetlenséget, rendelkezésre állást vagy adatvédelmet, akkor az alkalmazási területbe tartoznak.

Biztonsági kontrollok: a titkosítás csak egy réteg

A biometrikus biztonság rétegzett kontrollokat igényel. A titkosítás fontos, de nem orvosolja a gyenge jogalapot, a túlzott megőrzést, az ellenőrizetlen beszállítói hozzáférést vagy a hiányzó törlési bizonyítékokat.

A Zenith Blueprint Controls in Action szakaszának 20. lépése így magyarázza az ISO/IEC 27002:2022 8.24, Use of Cryptography kontrollt:

Ez a kontroll nem egyszerűen a „titkosítás bekapcsolásáról” szól; arról szól, hogy a kriptográfiát be kell építeni a szervezet kialakításába, szabályzataiba és életciklus-kezelésébe.

A Clarysec PII Security and Access Control Policy PII Security and Access Control Policy szabályzata meghatározza a PIMS-szabályt az érzékeny PII-re:

[Mindkét szerepkör] Az információbiztonsági vezető KÖTELES a titkosítási vagy jóváhagyott kompenzáló védelmi követelményeket a REG12-ben meghatározni, mielőtt nagy hatású, érzékeny vagy külső fél felé továbbított PII-t tárolnak, továbbítanak vagy hozzáférhetővé tesznek.

Az „Encryption and secure storage” szakasz 4.5.1 szabályzati pontjából.

A REG12-nek meg kell határoznia a biometrikus védelmi intézkedéseket, például a tárolt adatok titkosítását, a továbbított adatok titkosítását, a kulcstulajdonlást, a kulcsrotációt, az adminisztrátori MFA-t, a hozzáférés-jóváhagyást, az identitásadatok és biometrikus sablonok elkülönítését, a regisztrációs, egyeztetési, exportálási és törlési események naplózását, a szokatlan sablonhozzáférés felügyeletét, a biztonságos törlést és a sablonkompromittálódáshoz kapcsolódó incidenskiváltó feltételeket.

A Zenith Controls rendszerben az ISO/IEC 27002:2022 5.17, Authentication Information és 8.5, Secure Authentication kontrollok különösen fontosak, mert a biometrikus megoldások gyakran hitelesítési folyamatokba épülnek be. A kérdés nem csak az, hogy a biometrikus bejelentkezés biztonságos-e. Az is kérdés, hogy a tartalék módszerek, a helyreállítási folyamatok, az élőségdetektálás, az emelt jogosultságú hozzáférés és a biometrikus megkerülési útvonalak is kontrolláltak-e.

Megőrzés, törlés és a biometrikus temető

A biometrikus rendszerek gyakran több adatot őriznek meg, mint amennyit a csapatok felismernek: sikertelen regisztrációkat, régi sablonokat, inaktív felhasználókat, támogatási csomagokat, archivált adatbázisokat, pillanatképeket és biztonsági mentéseket. Ez hozza létre a biometrikus temető problémáját. Az adat működési szempontból már nem hasznos, de továbbra is rendkívül érzékeny.

A vállalati Adatvédelmi szabályzat kimondja:

A személyes információkat (PII) nem szabad a szükségesnél hosszabb ideig megőrizni.

A „Szabályzat végrehajtási követelményei” szakasz 6.5.1 szabályzati pontjából.

A Zenith Blueprint Controls in Action szakaszának 19. lépése így magyarázza az ISO/IEC 27002:2022 8.10, Information Deletion kontrollt:

Ez a kontroll biztosítja, hogy az adatokat ne őrizzék meg a szükségesnél tovább, és ha már nincs rájuk szükség, biztonságosan és megbízhatóan töröljék őket.

Biometrikus adatok esetén a törlést a rendszerbe kell tervezni. A szabályoknak ki kell terjedniük a hozzájárulás visszavonására, fióklezárásra, munkaviszony megszüntetésére, sikertelen ügyfélbeléptetésre a fellebbezési időszakok után, inaktív fiókokra, eszközcserére, beszállítói szerződés megszüntetésére, jogi zárolásokra, biztonsági mentések lejáratára és adott esetben kriptográfiai törlésre.

Az auditorok nem fogadják el, hogy „a beszállító kezeli a törlést”, hacsak nem tudják bizonyítani, hogyan, mikor, milyen kiváltó feltétel alapján és milyen bizonyítékkal történik.

Beszállítói irányítás: a beszállító a kontrollkörnyezet része

A legtöbb szervezet nem épít biometrikus motorokat saját maga. Beszállítókra támaszkodik arcegyeztetéshez, hangalapú ellenőrzéshez, élőségdetektáláshoz, hozzáférés-szabályozási hardverhez, SDK-khoz, csaláskockázati pontozáshoz, felhőalapú tároláshoz vagy támogatási analitikához. Ez a beszállítói irányítást központi jelentőségűvé teszi.

A vállalati Adatvédelmi szabályzat előírja a beszállítók újraértékelését:

A beszerzési, valamint a jogi és megfelelőségi csapatok kötelesek ellenőrizni a GDPR Article 28 szerinti megfelelést, és minden magas kockázatú beszállító éves újraértékelését megkövetelni.

A „Betartatás és megfelelés” szakasz 8.5.2 szabályzati pontjából.

A Processor, Subprocessor and Third-Party Privacy Management Policy Processor, Subprocessor and Third-Party Privacy Management Policy PIMS-jóváhagyási kaput ad hozzá:

[Feltételes] Az adatvédelmi tisztviselő / adatvédelmi tanácsadó KÖTELES tanácsot adni a REG04-ben vagy REG12-ben olyan kapcsolat jóváhagyása előtt, amely magas maradvány adatvédelmi kockázatot, különleges kategóriájú PII-t, nagy léptékű adatkezelést, szisztematikus megfigyelést vagy rendezetlen szerepbesorolást érint.

A „Kellő gondosság és kockázatértékelés” szakasz 4.2.4 szabályzati pontjából.

A KKV Third-Party and Supplier Security Policy – KKV Third-Party and Supplier Security Policy – KKV emlékezteti a kisebb vállalkozásokat arra, hogy a szerződések kontrollfelületet jelentenek:

A szerződéseknek kötelező kikötéseket kell tartalmazniuk az alábbiakra vonatkozóan:

Az „Irányítási követelmények” szakasz 5.3 szabályzati pontjából.

A Zenith Blueprint Controls in Action szakaszának 23. lépése így írja le az ISO/IEC 27002:2022 5.20, Addressing Information Security Within Supplier Agreements kontrollt:

A beszállítókkal kapcsolatos bizalom nem alapulhat feltételezéseken. Szerződésben kell rögzíteni.

A biometrikus szerződéseknek ki kell terjedniük az adatfeldolgozói szerepre, a célhoz kötöttségre, a további adatfeldolgozók jóváhagyására, az adatok helyére, a titkosításra, a hozzáférés-szabályozásra, az incidensértesítésre, az auditálási jogokra, a törlésre, az adatok visszaszolgáltatására, a támogatási hozzáférésre, a személyesadat-sértési együttműködésre, a modellképzés korlátozásaira és a kilépést támogató záradékra.

DORA hatálya alá tartozó pénzügyi szervezeteknél a biometrikus identitásszolgáltatók IKT-szolgáltatást nyújtó harmadik fél szolgáltatók lehetnek. A DORA 2025. január 17-től alkalmazandó, és elvárja a pénzügyi szervezetektől az IKT-kockázat, az incidensjelentés, a működési rezilienciatesztelés és az IKT harmadik féllel kapcsolatos kockázatok kezelését. Ha a biometrikus ügyfélbeléptetés kritikus vagy fontos funkciót támogat, a beszállítói szerződések, incidenseszkaláció, rezilienciatesztelés és kilépési tervek egyszerre válnak működési reziliencia-bizonyítékká és adatvédelmi bizonyítékká.

A NIS2 szintén releváns számos felhő-, SaaS-, menedzselt szolgáltatási, menedzselt biztonsági, digitális infrastruktúra- és IKT-szolgáltatásmenedzsment-szolgáltató számára. Kockázatkezelési elvárásai erősen átfednek az ISO/IEC 27001:2022 és a biometrikus PIMS bizonyítéklánc követelményeivel.

Megfelelőségi keretrendszerek közötti megfeleltetés a biometrikus adatok irányításához

A biometrikus irányításnak nem szabad külön silókat létrehoznia a GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 és COBIT 19 számára. Egyetlen bizonyítékmodell több kötelezettséget is támogathat.

NIS2 szerinti szervezeteknél a jelentős incidensek 24 órán belüli korai figyelmeztetést, 72 órán belüli incidensbejelentést és egy hónapon belüli zárójelentést igényelhetnek. Ha egy biometrikus identitásplatform kiesik vagy kompromittálódik, biztonsági, adatvédelmi és működési jelentéstételi munkafolyamatok egyaránt aktiválódhatnak.

Auditnézet: mit fognak kérdezni a felülvizsgálók

A különböző auditorok eltérő szempontokból tesztelik a biometrikus irányítást. A Clarysec a Zenith Controls segítségével kapcsolja össze az ISO/IEC 27002:2022 kontrollokat az adatvédelmi, hitelesítési, beszállítói, titkosítási, törlési, incidens- és auditbizonyítékokkal.

Gyakori auditmegállapítás a technikai kontrollok irányítási döntések nélkül történő alkalmazása, az Article 6 szerinti jogalap Article 9 feltétel nélkül, az éles indulás után elkészített DPIA, a törlési kiváltó feltételek nélküli hozzájárulási nyilvántartás, a biometrikus specifikus kikötések nélküli beszállítói szerződés, valamint az olyan incidenskezelési forgatókönyv, amely a biometrikus sablon kompromittálódását hétköznapi hitelesítőadat-kompromittálódásként kezeli.

Gyakorlati jóváhagyási munkafolyamat biometrikus ügyfélbeléptetéshez

Egy Clarysec által támogatott szervezet, amely arcalapú ellenőrzést kezel ügyfélbeléptetéshez, strukturált utat követne:

1. Adatkezelési bejegyzés létrehozása a REG02-ben.
2. Az adatkezelői, adatfeldolgozói és további adatfeldolgozói szerepek azonosítása.
3. Az Article 6 szerinti jogalap és az Article 9 szerinti feltétel rögzítése, ha a biometrikus adatot egyedi azonosításra használják.
4. Az adatkategóriák rögzítése, például szelfi, dokumentumkép, biometrikus sablon, élőségvizsgálati eredmény, egyezési pontszám, auditnaplók és támogatási exportok.
5. REG04 DPIA indítása a bevezetés előtt.
6. A szükségesség, arányosság és nem biometrikus alternatívák értékelése.
7. Kifejezett hozzájárulás meghatározása a REG05-ben, ahol szükséges.
8. A nyers képek és sablonok Korlátozott vagy legmagasabb érzékenységi szintű besorolása.
9. REG12 biztonsági követelmények meghatározása titkosításra, kulcskezelésre, hozzáférésre, naplózásra, felügyeletre, exportkorlátozásokra és törlésre.
10. Beszállítói átvilágítás, további adatfeldolgozói lista, tárhelyhelyszín, incidensértesítés, auditálási jogok és törlési igazolási folyamat felülvizsgálata.
11. Megőrzési szabályok hozzáadása sikeres ügyfélbeléptetésre, sikertelen ügyfélbeléptetésre, visszavont hozzájárulásra, fellebbezésekre, csalásvizsgálatokra és biztonsági mentésekre.
12. Maradványkockázat jóváhagyása név szerint kijelölt felelősökkel.
13. Auditbizonyítékok tárolása a PIMS bizonyítéktárban.
14. Az eredményesség felülvizsgálata az éles indulás után és beszállítói változások esetén.

Ez technikai kontrollbizonyítékot ad a CISO-nak, adatvédelmi elszámoltathatóságot a DPO-nak, szerződéses kapukat a beszerzésnek, bevezetési utat a termékcsapatnak, és visszakövethető történetet az auditoroknak.

A biometrikus kockázat bizalommá alakítása

A Finuránál Maria nem törölte a biometrikus funkciót. Újrakeretezte. A termék- és mérnöki csapat beépítette a PIMS-követelményeket a fejlesztési életciklusba. A hozzájárulási folyamat kifejezetté és elkülönültté vált. A beszállítói szerződés erősebb törlési, auditálási, személyesadat-sértési és további adatfeldolgozói kötelezettségeket kapott. A REG02, REG04, REG05 és REG12 lett a bizonyítékok gerince. A visszavont adatokra kriptográfiai törlést vezettek be. Az indulás egy negyedévvel későbbre tolódott, de bizalmi alapokon ment élesbe.

Ez a biometrikus adatok irányításának lényege. Nem tiltja az innovációt. Igazolhatóvá teszi.

A következő lépések egyértelműek:

1. Vegyen nyilvántartásba minden biometrikus használati esetet, beleértve a munkahelyi hozzáférést, ügyfélbeléptetést, eszközhitelesítést, csalásmegelőzést és hangalapú ellenőrzést.
2. Sorolja be az adatokat, és erősítse meg, hogy egyedi azonosításra használják-e őket.
3. Rögzítse a jogalapot és minden különleges kategóriájú adatra vonatkozó feltételt az adatkezelési nyilvántartásban.
4. Végezzen DPIA-t új vagy lényegesen módosított adatkezelés megkezdése előtt.
5. Ellenőrizze a kifejezett hozzájárulást és az alternatívákat, ahol szükséges.
6. Vizsgálja felül a beszállítói szerződéseket és a további adatfeldolgozókat.
7. Határozza meg a titkosítási, hozzáférési, naplózási, felügyeleti és törlési bizonyítékokat.
8. Feleltesse meg a bizonyítékokat az ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 és COBIT 19 elvárásoknak.

A Clarysec segíthet a biometrikus adatok irányítását auditálható PIMS-munkafolyamattá alakítani. Kezdje a Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint használatával, ellenőrizze a keretrendszerek közötti megfeleltetést a Zenith Controls: The Cross-Compliance Guide Zenith Controls segítségével, és tegye működésivé a bizonyítékokat a Clarysec ISO/IEC 27701:2025 PIMS szabályzatkészletével, beleértve a PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Consent and Preference Management Policy, PII Security and Access Control Policy, valamint Processor, Subprocessor and Third-Party Privacy Management Policy szabályzatokat.

A biometria erősítheti a biztonságot és javíthatja a felhasználói élményt. Tartós bizalmat csak az irányított biometria érdemel ki.