Biometrinių duomenų valdysena pagal GDPR ir ISO 27701

Skubaus susitikimo užklausa garsiai įkrito į CISO Marios Petrovos pašto dėžutę. Temos eilutėje buvo parašyta: „SKUBU: biometrinis autentifikavimas – Q3 paleidimo sprendimas“.

Maria žinojo, kas slypi už šios užklausos. Jos įmonė, sparčiai auganti FinTech bendrovė Finura, rengėsi paleisti mokėjimų patvirtinimą programėlėje naudojant veido ir pirštų atspaudų atpažinimą. Produkto komanda matė rinką formuojančią funkciją. Valdyba matė spartesnį įsisavinimą. Sukčiavimo prevencijos komandos matė mažiau fiktyvių paskyrų. COO matė mažesnę trintį. Maria matė kitą vaizdą: specialių kategorijų asmens duomenis, DPIA inicijavimo sąlygas, priklausomybę nuo tiekėjo, saugojimo riziką, sutikimo atšaukimą, operacinį atsparumą ir asmens duomenų saugumo pažeidimo scenarijų, kurio neįmanoma išspręsti išduodant naują slaptažodį.

Pokalbio metu spaudimas atsirado iš karto. „Konkurentai nuo mūsų atsilieka keliais mėnesiais“, – teigė produkto vadovas. „Negalime sau leisti vėluoti.“

Tada prasidėjo klausimai.

Ar aiškus sutikimas buvo suprojektuotas ir užregistruotas? Ar yra galiojantis GDPR Article 6 teisinis pagrindas ir Article 9 sąlyga? Ar biometrinio sprendimo tiekėjas buvo įvertintas kaip IRT trečioji šalis pagal DORA lūkesčius? Ar kas nors atliko poveikio duomenų apsaugai vertinimą prieš pradedant inžinerinius darbus? Ar Finura galėtų įrodyti, kad atšauktas veido šablonas būtų ištrintas iš aktyvių sistemų, atsarginių kopijų ir tiekėjo aplinkų?

Tyla pasakė viską.

Biometrinių duomenų valdysena yra kitokia, nes identifikatorius yra pats asmuo. Slaptažodį galima pakeisti. Kortelę galima pakeisti kita. Kompromituoto veido šablono, piršto atspaudo rašto, balso atspaudo, delno venų šablono ar pagal rainelę išvesto identifikatoriaus iš esmės pakeisti neįmanoma. Kai biometriniai duomenys naudojami unikaliai identifikacijai, GDPR juos laiko specialių kategorijų duomenimis. ISO/IEC 27701:2025 reikalauja privatumo informacijos valdymo sistemos, arba PIMS, kuri gali pagrįsti, kodėl tvarkymas būtinas, kaip jis kontroliuojamas, kas jį patvirtino, kiek laiko duomenys saugomi, kurie tiekėjai juos tvarko ir kaip nagrinėjami teisių įgyvendinimo prašymai bei incidentai.

Problema ta, kad daugelis organizacijų įsigyja biometrinės tapatybės produktą, užpildo saugumo klausimyną, prideda bendrinį privatumo pranešimą ir mano, kad šifravimas problemą išsprendžia. Neišsprendžia. Šifravimas būtinas, tačiau biometrinių duomenų valdysenai reikia susieto veiklos modelio.

Clarysec požiūris sujungia ISO/IEC 27701:2025 PIMS valdyseną, ISO/IEC 27001:2022 kontrolės priemonių įrodymus, GDPR atskaitomybę ir kelių atitikties sistemų susiejimą per Zenith Controls: The Cross-Compliance Guide Zenith Controls. Zenith Controls biometrinių duomenų valdysenos klasteris grindžiamas ISO/IEC 27002:2022 kontrolės priemone 5.34, Privacy and Protection of PII, kurią palaiko 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography, ir tiekėjų kontrolės priemonės, pavyzdžiui, 5.20, Addressing Information Security Within Supplier Agreements.

Tikslas nėra stabdyti inovacijas. Tikslas – užtikrinti, kad biometrinis autentifikavimas, tapatybės patvirtinimas, prieiga darbo vietoje ir sukčiavimo prevencija būtų pagrįsti, proporcingi, saugūs ir tinkami auditui.

Kodėl biometrinių duomenų valdysena žlunga brandžiose įmonėse

Įmonė gali turėti stiprią saugumo programą ir vis tiek turėti silpną biometrinių duomenų valdyseną.

Įsivaizduokite SaaS teikėją, paleidžiantį veido patikrinimą klientų įtraukimui. Saugumo komanda reikalauja TLS, šifruotos saugyklos, administratoriaus MFA, prieigos kontrolės priemonių ir žurnalavimo. Tiekėjas teigia, kad biometriniai šablonai yra „negrįžtami“. Produkto komanda dokumentuoja sukčiavimo mažinimą kaip verslo pagrindimą. Teisės skyrius peržiūri duomenų tvarkymo sutartį. Pirkimų komanda pažymi tiekėjo patikros langelį.

Tada auditorius užduoda penkis klausimus:

1. Kur užregistruota biometrinio tvarkymo veikla?
2. Koks yra GDPR Article 6 teisinis pagrindas ir, kai taikoma, Article 9 specialios kategorijos sąlyga?
3. Ar DPIA buvo atliktas prieš pradedant tvarkymą?
4. Ar galite įrodyti, kad biometriniai šablonai ištrinami pasibaigus tikslui?
5. Kas nutinka, jei biometrinio sprendimo tiekėjas patiria asmens duomenų saugumo pažeidimą arba pakeičia subtvarkytojus?

Jei atsakymai išsibarstę el. pašto gijose, pirkimo užklausose, produkto pastabose ir tiekėjo portale, programa nėra tinkama auditui.

GDPR Article 5 reikalauja teisėtumo, sąžiningumo, skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo, saugojimo trukmės ribojimo, vientisumo, konfidencialumo ir atskaitomybės. Article 6 reikalauja teisinio pagrindo. Article 9 nustato griežtesnę sąlygą, kai biometriniai duomenys tvarkomi siekiant unikaliai identifikuoti asmenį. Article 4 apibrėžtys svarbios, nes tvarkymas apima rinkimą, saugojimą, naudojimą, atskleidimą, ištrynimą ir sunaikinimą. Pseudonimizavimas padeda tik tada, kai papildoma identifikavimo informacija atskirai apsaugota tinkamomis techninėmis ir organizacinėmis priemonėmis.

Ne ES įmonėms GDPR vis tiek gali būti taikomas, kai jos siūlo prekes ar paslaugas ES esantiems asmenims arba stebi ES vykstantį elgesį. Todėl biometrinis klientų įtraukimas, sukčiavimo vertinimas balais, nuotolinės darbo jėgos prieiga, skambučių centro balso patikrinimas ir klientų tapatybės patvirtinimas yra aktualūs gerokai už Europos ribų.

Valdysenos nesėkmę retai lemia viena trūkstama kontrolės priemonė. Dažniausiai tai yra susietos įrodymų grandinės nebuvimas.

Clarysec įrodymų grandinė biometriniam PIMS

Clarysec biometrinių duomenų naudojimo atvejus traktuoja kaip pagal gyvavimo ciklą valdomą PII tvarkymą, o ne kaip atskiras autentifikavimo funkcijas. Įrodymų grandinė prasideda prieš įsigyjant, sukonfigūruojant ar įdiegiant sistemą.

Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint etape „Controls in Action“, Step 23, ISO/IEC 27002:2022 kontrolės priemonė 5.34 apibūdinama taip:

Vardai, adresai, ID, sveikatos įrašai, finansiniai duomenys – šie duomenys pasakoja istoriją apie tikrus žmones. Kai jie tvarkomi netinkamai, pavagiami arba naudojami netinkamai, pasekmės gerokai viršija atitikties nesėkmes. Tai tampa asmens pažeidimo, reputacijos žalos ir teisinės rizikos klausimu.

Biometrinių identifikatorių atveju ši žinutė tampa dar svarbesnė. Biometrinis šablonas nėra vien prisijungimo duomenys. Jis susietas su fizinėmis ar elgsenos asmens savybėmis ir gali būti naudojamas tam asmeniui unikaliai identifikuoti.

Pagrįsta biometrinių duomenų valdysenos darbo eiga susieja septynis sprendimus su septyniais įrodymų tipais:

Tai yra skirtumas tarp „biometrinius duomenis naudojame saugiai“ ir „galime įrodyti biometrinių duomenų valdyseną pagal GDPR ir ISO/IEC 27701:2025“.

Teisinis pagrindas nėra žymimasis langelis

Biometriniai projektai dažnai žlunga teisinio pagrindo etape, nes komandos painioja saugumo vertę su teisiniu leidimu.

GDPR Article 6 reikalauja teisinio pagrindo, pavyzdžiui, sutikimo, būtinybės sutarčiai vykdyti, teisinės prievolės, gyvybinių interesų, viešojo intereso užduoties arba teisėtų interesų, kai tai taikoma. Article 9 paprastai draudžia tvarkyti biometrinius duomenis unikaliai identifikacijai, nebent taikoma konkreti išimtis, pavyzdžiui, aiškus sutikimas, darbo ir socialinės apsaugos prievolės pagal teisę, gyvybiniai interesai, svarbus viešasis interesas, sveikatos priežiūra, visuomenės sveikata, teisiniai reikalavimai arba moksliniai tyrimai ir archyvavimas su apsaugos priemonėmis.

Biometrinė darbuotojų darbo laiko apskaitos sistema, durų prieiga pagal piršto atspaudą, veido naudojimas klientų įtraukimui ir balso autentifikavimas gali reikalauti skirtingos analizės. Ta pati technologija gali lemti skirtingus teisinio pagrindo rezultatus, priklausomai nuo tikslo, naudotojo pasirinkimo, galios disbalanso, vietos teisės, proporcingumo ir nebiometrinių alternatyvų prieinamumo.

Clarysec įmonėms skirta Duomenų apsaugos ir privatumo politika Duomenų apsaugos ir privatumo politika aiškiai nustato bazinį reikalavimą:

Visas tvarkymas turi būti grindžiamas galiojančiu teisiniu pagrindu (pvz., sutikimu, sutartimi, teisine prievole).

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.1.1.

Specialių kategorijų duomenims Clarysec PII Processing Inventory and Lawful Basis Policy PII tvarkymo veiklos apskaitos ir teisinio pagrindo politika sugriežtina įrodymų reikalavimą:

[Sąlyginai] Procesų savininkas / Verslo savininkas PRIVALO REG02 užregistruoti specialios kategorijos tvarkymo sąlygą prieš pradėdamas tvarkyti specialių kategorijų PII.

Iš skyriaus „Duomenų valdytojo tikslų ir teisinio pagrindo įrašai“, politikos nuostata 4.2.6.

MVĮ atveju Clarysec taiko tą pačią discipliną paprastesniame veiklos modelyje. MVĮ skirta Data Protection and Privacy Policy-sme Duomenų apsaugos ir privatumo politika – MVĮ nustato:

Privatumo koordinatorius turi tvarkyti visų asmens duomenų tvarkymo veiklų registrą, įskaitant duomenų kategorijas, tikslą, teisinį pagrindą ir saugojimo terminus.

Iš skyriaus „Valdysenos reikalavimai“, politikos nuostata 5.2.1.

Taip pat ji papildo:

Teisinis pagrindas (pvz., sutikimas, sutartis, teisinė prievolė) turi būti dokumentuotas tvarkymo registre.

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.1.2.

Biometrinių duomenų valdysenoje tvarkymo registras nėra administracinis formalumas. Tai kontrolės taškas, kuriame organizacija įrodo, kad biometrinių duomenų naudojimo atvejis yra žinomas, suklasifikuotas, pagrįstas ir apribotas.

Pirmiausia DPIA, tada diegimas

Jei biometrinėms sistemoms reikėtų vienos veiklos taisyklės, ji būtų paprasta: neleiskite pirkimams aplenkti DPIA.

Biometrinės technologijos dažnai apima specialių kategorijų PII, unikalią identifikaciją, sistemingą stebėseną, sukčiavimo profiliavimą, pažeidžiamus duomenų subjektus, disbalansą darbo vietoje, inovatyvias technologijas arba automatizuotą sprendimų priėmimo palaikymą. Tai klasikinės DPIA inicijavimo sąlygos. DPIA nėra vien privatumo forma. Tai vieta, kur organizacija patikrina būtinybę, proporcingumą, alternatyvas, liekamąją riziką, apsaugos priemones, skaidrumą, saugojimą, priklausomybę nuo tiekėjo ir incidento poveikį.

Įmonėms skirta Duomenų apsaugos ir privatumo politika reikalauja formalios analizės didelės rizikos sistemoms:

Grėsmių modeliavimas ir poveikio duomenų apsaugai vertinimai (DPIA) yra privalomi didelės rizikos tvarkymo sistemoms.

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.3.4.

PIMS skirta Privacy Risk Assessment and DPIA Policy Privatumo rizikos vertinimo ir DPIA politika yra dar tiesesnė:

[Duomenų valdytojas] Procesų savininkas / Verslo savininkas PRIVALO REG04 perduoti Privatumo vadovui / PIMS vadovui prieš pradedant tvarkymą, kai tvarkymas apima didelę apimtį, sistemingą stebėseną, profiliavimą, automatizuotus sprendimus, specialių kategorijų PII, duomenis apie apkaltinamuosius nuosprendžius ar nusikalstamas veikas, pažeidžiamus duomenų subjektus, inovatyvią technologiją arba iš esmės pakeistą tvarkymą.

Iš skyriaus „DPIA inicijavimo sąlygos ir reikalavimo nustatymas“, politikos nuostata 4.2.2.

Biometrinis DPIA turėtų atsakyti bent į šiuos klausimus:

• Koks biometrinis modalumas tvarkomas, pavyzdžiui, veidas, piršto atspaudas, balsas, rainelė, delnas ar elgsenos modelis?
• Ar biometriniai duomenys naudojami unikaliai identifikacijai, ar tik vietiniam įrenginio patikrinimui?
• Ar organizacija yra duomenų valdytojas, duomenų tvarkytojas, bendras duomenų valdytojas ar subtvarkytojas?
• Kokia nebiometrinė alternatyva egzistuoja ir ar ji vienodai prieinama?
• Ar reikalingas aiškus sutikimas ir ar jis gali būti duotas laisva valia bei atšauktas?
• Ar saugomi neapdoroti biometriniai vaizdai, garso įrašai arba šablonai?
• Kur saugomi šablonai, pavyzdžiui, saugioje įrenginio saugykloje, centrinėje sistemoje ar tiekėjo debesijos aplinkoje?
• Kas gali pasiekti šablonus, sutapimo balus ir biometrinius žurnalus?
• Koks saugojimo terminas taikomas užregistruotiems naudotojams, atmestiems pareiškėjams, neaktyvioms paskyroms ir atleistiems darbuotojams?
• Kaip įrodomas ištrynimas ir atsarginių kopijų galiojimo pabaiga?
• Kas vyksta po klaidingai teigiamų, klaidingai neigiamų ar automatizuotų sprendimų klaidų?
• Kokie subtvarkytojai dalyvauja ir kur tvarkomi duomenys?

Finura atveju DPIA tapo pagrindiniu valdysenos dokumentu. Jis neatšaukė paleidimo. Jis rizikingą idėją pavertė kontroliuojamu įgyvendinimo planu.

Aiškus sutikimas ir priverstinio patogumo problema

Biometrinės programos dažnai remiasi sutikimu, nes tai atrodo intuityvu. Asmuo užregistruoja savo veidą, balsą ar piršto atspaudą, vadinasi, jis sutiko. GDPR lygio sutikimas turi būti konkretus, informuotas, nedviprasmiškas ir duotas laisva valia. Kai pagal Article 9 reikalingas aiškus sutikimas, standartas yra aukštesnis.

Darbo santykiuose arba kai prieiga prie būtinos paslaugos priklauso nuo biometrinio registravimo, sutikimą gali būti sunku pagrįsti, nebent egzistuoja reali alternatyva. „Patogi“ biometrinė parinktis tampa problemiška, jei alternatyva paslėpta, lėtesnė, baudžianti ar neprieinama.

Clarysec Sutikimų ir nuostatų valdymo politika Sutikimų ir nuostatų valdymo politika nustato operacinę taisyklę:

[Sąlyginai] Privatumo vadovas / PIMS vadovas PRIVALO REG05 pažymėti sutikimą kaip aiškų prieš pradedant tvarkymą, kai pasirinktam tikslui reikalingas aiškus sutikimas.

Iš skyriaus „Sutikimo prašymas ir fiksavimas“, politikos nuostata 4.2.5.

Biometrinėms sistemoms REG05 turėtų rodyti:

• Tikslią sutikimo formuluotę.
• Biometrinį tikslą, pavyzdžiui, autentifikavimą, sukčiavimo prevenciją, prieigos kontrolę arba tapatybės patvirtinimą.
• Ar sutikimas yra aiškus.
• Datą, kanalą ir pranešimo versiją.
• Atšaukimo būdą.
• Nebiometrinę alternatyvą.
• Ar atsisakymas daro poveikį prieigai prie paslaugos.
• Sistemos inicijavimo sąlygą, kuri sustabdo tvarkymą po atšaukimo.

MVĮ skirta Data Protection and Privacy Policy-sme nustato:

Privatumas pagal projektavimą ir privatumas pagal numatytuosius nustatymus turi būti taikomi visose naujose sistemose ir paslaugose.

Iš skyriaus „Valdysenos reikalavimai“, politikos nuostata 5.3.1.

Biometrinėse sistemose privatumas pagal numatytuosius nustatymus reiškia, kad naudotojai nėra tyliai registruojami, neapdoroti vaizdai nelaikomi be pagrindimo, biometrinis sutapatinimas nėra pakartotinai naudojamas analitikai be pakartotinio vertinimo, o alternatyvos nėra paslėptos už pagalbos tarnybos užklausų.

Suklasifikuokite visą biometrinių duomenų rinkinį

Biometrinės sistemos neįmanoma valdyti, jei biometriniai duomenys nematomi turto apskaitoje.

Clarysec įmonėms skirta Duomenų klasifikavimo ir ženklinimo politika Duomenų klasifikavimo ir ženklinimo politika nustato:

Užtikrina, kad asmens duomenys, kuriems taikomas GDPR, DORA ar kiti privatumo teisės aktai, būtų tinkamai suklasifikuoti (pvz., pažymėti kaip „Konfidencialus“ arba „Ribojamas“).

Iš skyriaus „Vaidmenys ir atsakomybės“, politikos nuostata 4.6.1.

MVĮ skirta Data Classification and Labeling Policy-sme Duomenų klasifikavimo ir ženklinimo politika – MVĮ nustato apsaugos lūkestį:

Visi duomenys, suklasifikuoti kaip „Konfidencialus“, turi gauti aukščiausio lygio apsaugą:

Iš skyriaus „Valdysenos reikalavimai“, politikos nuostata 5.2.

Klasifikavimas turėtų apimti daugiau nei šablonų duomenų bazę:

ISO/IEC 27001:2022 sustiprina šią discipliną. Clauses 4.1 to 4.4 reikalauja, kad organizacija nustatytų kontekstą, suinteresuotųjų šalių reikalavimus, ISVS taikymo sritį ir priklausomybes. Clauses 6.1.1 to 6.1.3 reikalauja rizikos vertinimo, rizikos tvarkymo, Taikytinumo pareiškimo ir rizikos savininko patvirtinimo. Jei biometrinės sistemos daro poveikį konfidencialumui, vientisumui, prieinamumui ar privatumui, jos turi būti įtrauktos į taikymo sritį.

Saugumo kontrolės priemonės: šifravimas yra tik vienas sluoksnis

Biometriniam saugumui reikia sluoksniuotų kontrolės priemonių. Šifravimas svarbus, tačiau jis neištaisys silpno teisinio pagrindo, perteklinio saugojimo, nekontroliuojamos tiekėjo prieigos ar trūkstamų ištrynimo įrodymų.

Zenith Blueprint etape „Controls in Action“, Step 20, paaiškinama ISO/IEC 27002:2022 kontrolės priemonė 8.24, Use of Cryptography:

Ši kontrolės priemonė nėra vien apie „šifravimo įjungimą“; ji reiškia kriptografijos įtvirtinimą organizacijos projektavime, politikoje ir gyvavimo ciklo valdyme.

Clarysec PII Security and Access Control Policy PII saugumo ir prieigos kontrolės politika nustato PIMS taisyklę jautriai PII:

[Abi šalys] Informacijos saugumo vadovas PRIVALO REG12 apibrėžti šifravimo arba patvirtintų kompensuojančių apsaugos reikalavimų taikymą prieš saugant, perduodant arba padarant prieinamą didelio poveikio, jautrią arba išorėje perduodamą PII.

Iš skyriaus „Šifravimas ir saugus saugojimas“, politikos nuostata 4.5.1.

REG12 turėtų apibrėžti biometrines apsaugos priemones, tokias kaip saugomų duomenų šifravimas, perduodamų duomenų šifravimas, raktų nuosavybė, periodinis raktų keitimas, administratoriaus MFA, prieigos patvirtinimas, tapatybės duomenų ir biometrinių šablonų atskyrimas, registravimo, sutapimo, eksporto ir ištrynimo įvykių žurnalavimas, neįprastos prieigos prie šablonų stebėsena, saugus ištrynimas ir incidentų inicijavimo sąlygos šablonų kompromitavimo atveju.

Zenith Controls ypač svarbios ISO/IEC 27002:2022 kontrolės priemonės 5.17, Authentication Information, ir 8.5, Secure Authentication, nes biometriniai duomenys dažnai įterpiami į autentifikavimo srautus. Klausimas yra ne tik tai, ar biometrinis prisijungimas saugus. Klausimas – ar taip pat kontroliuojami atsarginiai metodai, atkūrimo srautai, gyvumo patikra, privilegijuota prieiga ir biometrinio apėjimo keliai.

Saugojimas, ištrynimas ir biometrinių duomenų kapinynas

Biometrinės sistemos dažnai saugo daugiau duomenų, nei komandos suvokia: nesėkmingus registravimus, senus šablonus, neaktyvius naudotojus, pagalbos paketus, archyvuotas duomenų bazes, momentines kopijas ir atsargines kopijas. Taip atsiranda biometrinių duomenų kapinyno problema. Duomenys nebeturi operacinės vertės, tačiau išlieka itin jautrūs.

Įmonėms skirta Duomenų apsaugos ir privatumo politika nustato:

Asmens identifikavimo informacija (PII) negali būti saugoma ilgiau, nei būtina.

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos nuostata 6.5.1.

Zenith Blueprint etape „Controls in Action“, Step 19, paaiškinama ISO/IEC 27002:2022 kontrolės priemonė 8.10, Information Deletion:

Ši kontrolės priemonė užtikrina, kad duomenys nebūtų laikomi ilgiau, nei būtina, o kai jų nebereikia – būtų saugiai ir patikimai ištrinami.

Biometriniams duomenims ištrynimas turi būti suprojektuotas pačioje sistemoje. Taisyklės turėtų apimti sutikimo atšaukimą, paskyros uždarymą, darbuotojo atleidimą, nesėkmingą klientų įtraukimą pasibaigus apskundimo terminams, neaktyvias paskyras, įrenginio pakeitimą, tiekėjo sutarties nutraukimą, teisinį sulaikymą, atsarginių kopijų galiojimo pabaigą ir kriptografinį ištrynimą, kai tinkama.

Auditoriai nepriims argumento „ištrynimą tvarko tiekėjas“, nebent galėsite įrodyti kaip, kada, pagal kokią inicijavimo sąlygą ir kokiais įrodymais.

Tiekėjų valdysena: tiekėjas yra kontrolės aplinkos dalis

Dauguma organizacijų biometrinių variklių nekuria nuo nulio. Jos remiasi tiekėjais veidų sutapatinimui, balso patikrinimui, gyvumo patikrai, prieigos kontrolės aparatinei įrangai, SDK, sukčiavimo vertinimui balais, debesijos saugyklai arba pagalbos analitikai. Todėl tiekėjų valdysena yra esminė.

Įmonėms skirta Duomenų apsaugos ir privatumo politika reikalauja pakartotinio tiekėjų vertinimo:

Pirkimų ir teisės bei atitikties komandos turi patikrinti atitiktį GDPR Article 28 ir reikalauti kasmetinio visų didelės rizikos tiekėjų pakartotinio vertinimo.

Iš skyriaus „Įgyvendinimas ir atitiktis“, politikos nuostata 8.5.2.

Processor, Subprocessor and Third-Party Privacy Management Policy Duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymo politika prideda PIMS patvirtinimo kontrolės tašką:

[Sąlyginai] Duomenų apsaugos pareigūnas / privatumo konsultantas PRIVALO pateikti konsultaciją REG04 arba REG12 prieš patvirtinant santykius, susijusius su didele liekamąja privatumo rizika, specialių kategorijų PII, didelės apimties tvarkymu, sisteminga stebėsena arba neišspręsta vaidmenų klasifikacija.

Iš skyriaus „Deramas patikrinimas ir rizikos vertinimas“, politikos nuostata 4.2.4.

MVĮ skirta Third-Party and Supplier Security Policy-sme Trečiųjų šalių ir tiekėjų saugumo politika – MVĮ primena mažesnėms įmonėms, kad sutartys yra kontrolės paviršius:

Sutartyse turi būti privalomos nuostatos, apimančios:

Iš skyriaus „Valdysenos reikalavimai“, politikos nuostata 5.3.

Zenith Blueprint etape „Controls in Action“, Step 23, ISO/IEC 27002:2022 kontrolės priemonė 5.20, Addressing Information Security Within Supplier Agreements, apibūdinama taip:

Kalbant apie tiekėjus, pasitikėjimas negali remtis prielaidomis. Jis turi būti įtvirtintas sutartyse.

Biometrinės sutartys turėtų apimti duomenų tvarkytojo vaidmenį, tikslo apribojimą, subtvarkytojų patvirtinimą, duomenų vietą, šifravimą, prieigos kontrolės priemones, pranešimą apie incidentus, audito teises, ištrynimą, duomenų grąžinimą, techninės pagalbos prieigą, bendradarbiavimą asmens duomenų saugumo pažeidimo atveju, modelių mokymo apribojimus ir perėjimo pagalbos sąlygą.

Finansų sektoriaus subjektams, kuriems taikoma DORA, biometrinės tapatybės tiekėjai gali būti trečiųjų šalių IRT paslaugų teikėjai. DORA taikoma nuo 2025 m. sausio 17 d. ir reikalauja, kad finansų sektoriaus subjektai valdytų IRT riziką, pranešimą apie incidentus, operacinio atsparumo testavimą ir trečiųjų šalių IRT riziką. Jei biometrinis klientų įtraukimas palaiko svarbią ar ypatingos svarbos funkciją, tiekėjų sutartys, incidentų eskalavimas, atsparumo testavimas ir pasitraukimo planai tampa ir operacinio atsparumo, ir privatumo įrodymais.

NIS2 taip pat svarbi daugeliui debesijos, SaaS, valdomų paslaugų, valdomo saugumo, skaitmeninės infrastruktūros ir IRT paslaugų valdymo teikėjų. Jos rizikos valdymo lūkesčiai stipriai persidengia su ISO/IEC 27001:2022 ir biometrinio PIMS įrodymų grandine.

Kelių atitikties sistemų susiejimas biometrinių duomenų valdysenai

Biometrinių duomenų valdysena neturėtų kurti atskirų silosų GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 ir COBIT 19 reikalavimams. Vienas įrodymų modelis gali palaikyti daugelį įpareigojimų.

NIS2 subjektams reikšmingi incidentai gali pareikalauti ankstyvojo įspėjimo per 24 valandas, pranešimo apie incidentą per 72 valandas ir galutinės ataskaitos per vieną mėnesį. Jei biometrinės tapatybės platforma sutrikdoma arba kompromituojama, gali būti inicijuotos saugumo, privatumo ir operacinio pranešimo darbo eigos.

Audito požiūris: ko klaus tikrintojai

Skirtingi auditoriai biometrinių duomenų valdyseną tikrina iš skirtingų perspektyvų. Clarysec naudoja Zenith Controls, kad susietų ISO/IEC 27002:2022 kontrolės priemones su privatumo, autentifikavimo, tiekėjų, šifravimo, ištrynimo, incidentų ir audito įrodymais.

Dažnos audito išvados apima technines kontrolės priemones be valdysenos sprendimų, Article 6 teisinį pagrindą be Article 9 sąlygos, po paleidimo atliktus DPIA, sutikimų įrašus be ištrynimo inicijavimo sąlygų, tiekėjų sutartis be biometriniams duomenims skirtų nuostatų ir incidentų veiksmų planus, kurie biometrinio šablono kompromitavimą traktuoja kaip įprastą prisijungimo duomenų kompromitavimą.

Praktinė biometrinio klientų įtraukimo patvirtinimo darbo eiga

Clarysec vadovaujama organizacija, tvarkanti veido patikrinimą klientų įtraukimui, laikytųsi struktūruoto kelio:

1. Sukurti tvarkymo įrašą REG02.
2. Nustatyti duomenų valdytojo, duomenų tvarkytojo ir subtvarkytojo vaidmenis.
3. Užregistruoti Article 6 teisinį pagrindą ir Article 9 sąlygą, kai biometriniai duomenys naudojami unikaliai identifikacijai.
4. Užregistruoti duomenų kategorijas, tokias kaip asmenukė, dokumento vaizdas, biometrinis šablonas, gyvumo rezultatas, sutapimo balas, audito žurnalai ir pagalbos eksportai.
5. Inicijuoti REG04 DPIA prieš įgyvendinimą.
6. Įvertinti būtinybę, proporcingumą ir nebiometrines alternatyvas.
7. REG05 apibrėžti aiškų sutikimą, kai reikalaujama.
8. Suklasifikuoti neapdorotus vaizdus ir šablonus kaip ribojamus arba aukščiausio jautrumo.
9. REG12 apibrėžti saugumo reikalavimus šifravimui, raktų valdymui, prieigai, žurnalavimui, stebėsenai, eksporto apribojimams ir ištrynimui.
10. Peržiūrėti tiekėjo deramą patikrinimą, subtvarkytojų sąrašą, prieglobos vietą, pranešimą apie incidentus, audito teises ir sunaikinimo sertifikato procesą.
11. Pridėti saugojimo taisykles sėkmingam klientų įtraukimui, nesėkmingam klientų įtraukimui, atšauktam sutikimui, skundams, sukčiavimo tyrimams ir atsarginėms kopijoms.
12. Patvirtinti liekamąją riziką su įvardytais savininkais.
13. Saugoti audito įrodymus PIMS įrodymų saugykloje.
14. Po paleidimo ir po tiekėjo pakeitimų peržiūrėti veiksmingumą.

Tai suteikia CISO techninių kontrolės priemonių įrodymus, DAP – privatumo atskaitomybę, pirkimams – sutartinius kontrolės taškus, produktui – paleidimo kelią, o auditoriams – atsekamą istoriją.

Paverskite biometrinę riziką pasitikėjimu

Grįžusi prie Finura, Maria biometrinės funkcijos neatšaukė. Ji ją perkrovė. Produkto ir inžinerijos komandos integravo PIMS reikalavimus į kūrimo gyvavimo ciklą. Sutikimo srautas tapo aiškus ir atskiras. Tiekėjo sutartyje atsirado stipresni ištrynimo, audito, asmens duomenų saugumo pažeidimų ir subtvarkytojų įsipareigojimai. REG02, REG04, REG05 ir REG12 tapo įrodymų pagrindu. Atšauktiems duomenims buvo įgyvendintas kriptografinis ištrynimas. Paleidimas nusikėlė vienu ketvirčiu, bet įvyko ant pasitikėjimo pagrindo.

Tokia yra biometrinių duomenų valdysenos esmė. Ji nedraudžia inovacijų. Ji padaro inovacijas pagrįstas.

Kiti jūsų veiksmai yra aiškūs:

1. Inventorizuokite kiekvieną biometrinių duomenų naudojimo atvejį, įskaitant prieigą darbo vietoje, klientų įtraukimą, įrenginių autentifikavimą, sukčiavimo prevenciją ir balso patikrinimą.
2. Suklasifikuokite duomenis ir patvirtinkite, ar jie naudojami unikaliai identifikacijai.
3. Tvarkymo registre užregistruokite teisinį pagrindą ir bet kurią specialios kategorijos sąlygą.
4. Atlikite DPIA prieš pradedant naują arba iš esmės pakeistą tvarkymą.
5. Patikrinkite aiškų sutikimą ir alternatyvas, kai reikalaujama.
6. Peržiūrėkite tiekėjų sutartis ir subtvarkytojus.
7. Apibrėžkite šifravimo, prieigos, žurnalavimo, stebėsenos ir ištrynimo įrodymus.
8. Susiekite įrodymus su ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 ir COBIT 19 lūkesčiais.

Clarysec gali padėti biometrinių duomenų valdyseną paversti auditui tinkama PIMS darbo eiga. Pradėkite nuo Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, patikrinkite kelių atitikties sistemų susiejimą naudodami Zenith Controls: The Cross-Compliance Guide Zenith Controls ir įgyvendinkite įrodymų valdymą per Clarysec ISO/IEC 27701:2025 PIMS politikų rinkinį, įskaitant PII tvarkymo veiklos apskaitos ir teisinio pagrindo politiką, Privatumo rizikos vertinimo ir DPIA politiką, Sutikimų ir nuostatų valdymo politiką, PII saugumo ir prieigos kontrolės politiką ir Duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymo politiką.

Biometriniai duomenys gali sustiprinti saugumą ir pagerinti naudotojo patirtį. Ilgalaikį pasitikėjimą pelno tik valdoma biometrika.