Biometrisko datu pārvaldība saskaņā ar GDPR un ISO/IEC 27701

CISO Marijas Petrovas iesūtnē ar nopietnu toni ienāca ārkārtas sanāksmes pieprasījums. Temata rindiņā bija rakstīts: “STEIDZAMI: biometriskā autentifikācija — Q3 palaišana vai apturēšana”.

Marija zināja, kas aiz tā stāv. Viņas uzņēmums — strauji augošs FinTech uzņēmums Finura — gatavojās ieviest maksājumu verifikāciju lietotnē, izmantojot sejas un pirkstu nospiedumu atpazīšanu. Produktu komanda tajā saskatīja tirgu definējošu funkcionalitāti. Valde — ātrāku lietotāju ieviešanu. Krāpšanas novēršanas komandas — mazāk viltus kontu. COO — mazāku berzi lietotāja ceļā. Marija redzēja citu ainu: īpašu kategoriju personas datus, DPIA nepieciešamības kritērijus, atkarību no piegādātāja, glabāšanas risku, piekrišanas atsaukšanu, operacionālo noturību un pārkāpuma scenāriju, kuru nevar atrisināt, izsniedzot jaunu paroli.

Sarunas laikā spiediens sākās nekavējoties. “Konkurenti no mums atpaliek par vairākiem mēnešiem,” argumentēja produktu vadītājs. “Mēs nevaram atļauties kavēties.”

Tad sākās jautājumi.

Vai nepārprotama piekrišana bija izstrādāta un reģistrēta? Vai bija derīgs GDPR Article 6 tiesiskais pamats un Article 9 nosacījums? Vai biometriskais piegādātājs bija izvērtēts kā IKT trešā puse atbilstoši DORA gaidām? Vai kāds bija pabeidzis novērtējumu par ietekmi uz datu aizsardzību pirms inženierijas darbu sākuma? Vai Finura varēja pierādīt, ka atsaukta sejas veidne tiks dzēsta no aktīvajām sistēmām, rezerves kopijām un piegādātāja vidēm?

Klusums pateica visu.

Biometrisko datu pārvaldība ir atšķirīga, jo identifikators ir pati persona. Paroli var nomainīt. Karti var aizstāt. Kompromitētu sejas veidni, pirkstu nospieduma rakstu, balss nospiedumu, plaukstas vēnu veidni vai no varavīksnenes atvasinātu identifikatoru praktiski nav iespējams jēgpilni mainīt. Ja biometriskie dati tiek izmantoti unikālai identificēšanai, GDPR tos traktē kā īpašu kategoriju personas datus. ISO/IEC 27701:2025 paredz privātuma informācijas pārvaldības sistēmu jeb PIMS, kas spēj pierādīt, kāpēc apstrāde ir nepieciešama, kā tā tiek kontrolēta, kas to apstiprināja, cik ilgi dati tiek glabāti, kuri piegādātāji tiem piekļūst un kā tiek apstrādāti datu subjektu tiesību pieprasījumi un incidenti.

Problēma ir tā, ka daudzas organizācijas iegādājas biometriskās identitātes produktu, aizpilda drošības anketu, pievieno vispārīgu privātuma paziņojumu un pieņem, ka šifrēšana jautājumu atrisina. Tā nav. Šifrēšana ir nepieciešama, taču biometrisko datu pārvaldībai ir vajadzīgs sasaistīts darbības modelis.

Clarysec pieeja apvieno ISO/IEC 27701:2025 PIMS pārvaldību, ISO/IEC 27001:2022 kontroles pasākumu pierādījumus, GDPR pārskatatbildību un starpietvaru kartēšanu, izmantojot Zenith Controls: The Cross-Compliance Guide Zenith Controls. Zenith Controls ietvarā biometriskās pārvaldības klasteris ir balstīts uz ISO/IEC 27002:2022 kontroles pasākumu 5.34, Privacy and Protection of PII, ko atbalsta 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography, kā arī piegādātāju kontroles pasākumi, piemēram, 5.20, Addressing Information Security Within Supplier Agreements.

Mērķis nav bremzēt inovāciju. Mērķis ir padarīt biometrisko autentifikāciju, identitātes apliecināšanu, fizisko piekļuvi darba vietai un krāpšanas novēršanu pamatotu, samērīgu, drošu un auditam gatavu.

Kāpēc biometriskā pārvaldība neizdodas arī nobriedušos uzņēmumos

Uzņēmumam var būt spēcīga drošības programma un vienlaikus vāja biometrisko datu pārvaldība.

Apsveriet SaaS pakalpojumu sniedzēju, kas ievieš sejas verifikāciju klientu uzņemšanai. Drošības komanda pieprasa TLS, šifrētu glabāšanu, administratoru MFA, piekļuves kontroles pasākumus un žurnālu reģistrēšanu. Piegādātājs apgalvo, ka biometriskās veidnes ir “neatgriezeniskas”. Produktu komanda dokumentē krāpšanas samazināšanu kā uzņēmējdarbības pamatojumu. Juridiskā funkcija pārskata datu apstrādes līgumu. Iepirkums atzīmē piegādātāja pārbaudes rūtiņu.

Tad auditors uzdod piecus jautājumus:

1. Kur ir reģistrēta biometriskās apstrādes darbība?
2. Kāds ir GDPR Article 6 tiesiskais pamats un, ja piemērojams, Article 9 īpašu kategoriju datu nosacījums?
3. Vai DPIA tika pabeigts pirms apstrādes sākuma?
4. Vai varat pierādīt, ka biometriskās veidnes tiek dzēstas, kad nolūks ir beidzies?
5. Kas notiek, ja biometriskais piegādātājs piedzīvo personas datu aizsardzības pārkāpumu vai maina apakšapstrādātājus?

Ja atbildes ir izkaisītas e-pasta sarakstēs, iepirkuma pieteikumos, produkta piezīmēs un piegādātāja portālā, programma nav gatava auditam.

GDPR Article 5 prasa likumību, godprātību, pārredzamību, nolūka ierobežojumu, datu minimizēšanu, precizitāti, glabāšanas ierobežojumu, integritāti, konfidencialitāti un pārskatatbildību. Article 6 prasa tiesisko pamatu. Article 9 pievieno stingrāku nosacījumu, ja biometriskie dati tiek apstrādāti personas unikālas identificēšanas nolūkā. Article 4 definīcijas ir būtiskas, jo apstrāde ietver vākšanu, glabāšanu, izmantošanu, izpaušanu, dzēšanu un iznīcināšanu. Pseidonimizācija palīdz tikai tad, ja papildu identificējošā informācija tiek aizsargāta atsevišķi ar atbilstošiem tehniskajiem un organizatoriskajiem pasākumiem.

Uzņēmumiem ārpus ES GDPR joprojām var būt piemērojams, ja tie piedāvā preces vai pakalpojumus fiziskām personām ES vai uzrauga uzvedību, kas notiek ES. Tādēļ biometriskā klientu uzņemšana, krāpšanas riska vērtēšana, attālinātā darbaspēka piekļuve, zvanu centru balss verifikācija un klientu identitātes apliecināšana ir būtiska daudz plašāk nekā tikai Eiropā.

Pārvaldības neveiksme reti ir viena trūkstoša kontrole. Parasti tā ir sasaistītas pierādījumu ķēdes neesamība.

Clarysec pierādījumu ķēde biometriskajam PIMS

Clarysec biometriskās izmantošanas gadījumus traktē kā dzīves ciklā pārvaldītu personas datu apstrādi, nevis kā atsevišķas autentifikācijas funkcijas. Pierādījumu ķēde sākas pirms sistēmas iegādes, konfigurēšanas vai ieviešanas.

Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint sadaļā Controls in Action, 23. solī, ISO/IEC 27002:2022 kontroles pasākums 5.34 ir aprakstīts šādi:

Vārdi, adreses, identifikatori, veselības ieraksti, finanšu informācija — šie dati stāsta par reāliem cilvēkiem. Ja ar tiem rīkojas neatbilstoši, tos nozog vai ļaunprātīgi izmanto, sekas sniedzas daudz tālāk par atbilstības neizpildi. Tas kļūst par personas aizskārumu, reputācijas kaitējumu un juridisku pakļautību riskam.

Biometrisko identifikatoru gadījumā šis vēstījums kļūst vēl asāks. Biometriskā veidne nav tikai pieteikšanās dati. Tā ir saistīta ar personas fiziskajām vai uzvedības īpašībām un var tikt izmantota šīs personas unikālai identificēšanai.

Aizstāvama biometriskās pārvaldības darbplūsma sasaista septiņus lēmumus ar septiņiem pierādījumu veidiem:

Tā ir atšķirība starp “mēs biometriskos datus izmantojam droši” un “mēs varam pierādīt biometrisko datu pārvaldību saskaņā ar GDPR un ISO/IEC 27701:2025”.

Tiesiskais pamats nav atzīme kontrolsarakstā

Biometriskie projekti bieži izgāžas tiesiskā pamata posmā, jo komandas sajauc drošības ieguvumu ar juridisku atļauju.

GDPR Article 6 prasa tiesisko pamatu, piemēram, piekrišanu, līguma izpildes nepieciešamību, juridisku pienākumu, vitālas intereses, sabiedrības interesēs veicamu uzdevumu vai leģitīmās intereses, ja tās ir piemērojamas. Article 9 vispārīgi aizliedz biometrisko datu apstrādi unikālai identificēšanai, ja vien nav piemērojams konkrēts izņēmums, piemēram, nepārprotama piekrišana, nodarbinātības un sociālās aizsardzības pienākumi saskaņā ar tiesību aktiem, vitālas intereses, būtiskas sabiedrības intereses, veselības aprūpe, sabiedrības veselība, juridiskas prasības vai pētniecība un arhivēšana ar aizsardzības pasākumiem.

Darbinieku biometriska darba laika uzskaite, durvju piekļuve ar pirkstu nospiedumu, sejas klientu uzņemšana un balss autentifikācija var prasīt atšķirīgu analīzi. Viena un tā pati tehnoloģija var radīt atšķirīgus tiesiskā pamata rezultātus atkarībā no nolūka, lietotāja izvēles, varas nelīdzsvarotības, vietējiem tiesību aktiem, samērīguma un nebiometrisku alternatīvu pieejamības.

Clarysec Enterprise Data Protection and Privacy Policy Data Protection and Privacy Policy skaidri nosaka pamatprasību:

Visai apstrādei ir jābalstās uz derīgu tiesisko pamatu (piemēram, piekrišanu, līgumu, juridisku pienākumu).

No sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.1.1.

Īpašu kategoriju datiem Clarysec PII Processing Inventory and Lawful Basis Policy PII Processing Inventory and Lawful Basis Policy pastiprina pierādījumu prasību:

[Nosacīti] Procesa īpašniekam / biznesa funkcijas īpašniekam PIRMS īpašu kategoriju personas datu apstrādes REG02 ir jāreģistrē īpašu kategoriju apstrādes nosacījums.

No sadaļas “Pārziņa nolūka un tiesiskā pamata ieraksti”, politikas punkts 4.2.6.

SME gadījumā Clarysec piemēro to pašu disciplīnu vienkāršākā darbības modelī. SME Data Protection and Privacy Policy-sme Data Protection and Privacy Policy - SME nosaka:

Privātuma koordinatoram ir jāuztur visu personas datu apstrādes darbību reģistrs, ietverot datu kategorijas, nolūku, tiesisko pamatu un glabāšanas termiņus.

No sadaļas “Pārvaldības prasības”, politikas punkts 5.2.1.

Un papildina:

Tiesiskais pamats (piemēram, piekrišana, līgums, juridisks pienākums) ir jādokumentē apstrādes reģistrā.

No sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.1.2.

Biometrisko datu pārvaldībā apstrādes reģistrs nav administratīva kārtības uzturēšana. Tas ir kontroles punkts, kurā organizācija pierāda, ka biometriskais izmantošanas gadījums ir zināms, klasificēts, pamatots un ierobežots.

Vispirms DPIA, pēc tam ieviešana

Ja biometriskām sistēmām ir viens operacionāls noteikums, tas ir vienkāršs: neļaujiet iepirkumam apsteigt DPIA.

Biometriskās tehnoloģijas bieži ietver īpašu kategoriju personas datus, unikālu identificēšanu, sistemātisku uzraudzību, krāpšanas profilēšanu, ievainojamus datu subjektus, darba vietas varas nelīdzsvarotību, inovatīvu tehnoloģiju vai automatizētu lēmumu atbalstu. Tie ir klasiski DPIA nepieciešamības kritēriji. DPIA nav tikai privātuma veidlapa. Tā ir vieta, kur organizācija pārbauda nepieciešamību, samērīgumu, alternatīvas, atlikušo risku, aizsardzības pasākumus, pārredzamību, glabāšanu, atkarību no piegādātāja un incidenta ietekmi.

Enterprise Data Protection and Privacy Policy prasa formālu analīzi augsta riska sistēmām:

Draudu modelēšana un novērtējumi par ietekmi uz datu aizsardzību (DPIA) ir obligāti augsta riska apstrādes sistēmām.

No sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.3.4.

PIMS specifiskā Privacy Risk Assessment and DPIA Policy Privacy Risk Assessment and DPIA Policy ir tiešāka:

[Pārzinis] Procesa īpašniekam / biznesa funkcijas īpašniekam pirms apstrādes sākuma REG04 ir jānodod Privātuma vadītājam / PIMS vadītājam apstrāde, kas ietver liela mēroga apstrādi, sistemātisku uzraudzību, profilēšanu, automatizētus lēmumus, īpašu kategoriju personas datus, datus par sodāmību vai pārkāpumiem, ievainojamus datu subjektus, inovatīvu tehnoloģiju vai būtiski mainītu apstrādi.

No sadaļas “DPIA nepieciešamības kritēriji un prasības noteikšana”, politikas punkts 4.2.2.

Biometriskam DPIA ir jāatbild vismaz uz šādiem jautājumiem:

• Kāda biometriskā modalitāte tiek apstrādāta, piemēram, seja, pirkstu nospiedums, balss, varavīksnene, plauksta vai uzvedības raksts?
• Vai biometriskie dati tiek izmantoti unikālai identificēšanai vai tikai lokālai ierīces verifikācijai?
• Vai organizācija ir pārzinis, apstrādātājs, kopīgs pārzinis vai apakšapstrādātājs?
• Kāda nebiometriska alternatīva pastāv, un vai tā ir pieejama līdzvērtīgi?
• Vai ir nepieciešama nepārprotama piekrišana, un vai to var brīvi sniegt un atsaukt?
• Vai tiek glabāti neapstrādāti biometriskie attēli, audioieraksti vai veidnes?
• Kur veidnes tiek glabātas, piemēram, ierīces drošajā enklāvā, centrālajā sistēmā vai piegādātāja mākoņvidē?
• Kas var piekļūt veidnēm, salīdzināšanas vērtējumiem un biometriskajiem žurnāliem?
• Kāda glabāšana attiecas uz reģistrētiem lietotājiem, noraidītiem pieteicējiem, neaktīviem kontiem un darbiniekiem, ar kuriem izbeigtas darba attiecības?
• Kā tiek pierādīta dzēšana un rezerves kopiju termiņa beigas?
• Kas notiek pēc kļūdaini pozitīviem rezultātiem, kļūdaini noraidītiem rezultātiem vai automatizētu lēmumu kļūdām?
• Kādi apakšapstrādātāji ir iesaistīti, un kur dati tiek apstrādāti?

Finura gadījumā DPIA kļuva par centrālo pārvaldības dokumentu. Tas neatcēla palaišanu. Tas riskantu ideju pārvērta kontrolētā ieviešanas plānā.

Nepārprotama piekrišana un piespiedu ērtības problēma

Biometriskās programmas bieži paļaujas uz piekrišanu, jo tas šķiet intuitīvi. Persona reģistrē savu seju, balsi vai pirkstu nospiedumu — tātad it kā ir piekritusi. GDPR līmeņa piekrišanai jābūt konkrētai, informētai, nepārprotamai un brīvi sniegtai. Ja nepieciešama Article 9 nepārprotama piekrišana, standarts ir augstāks.

Nodarbinātības kontekstā vai gadījumos, kad piekļuve nepieciešamam pakalpojumam ir atkarīga no biometriskās reģistrācijas, piekrišanu var būt grūti aizstāvēt, ja nepastāv reāla alternatīva. “Ērta” biometriskā iespēja kļūst problemātiska, ja alternatīva ir paslēpta, lēnāka, sodījoša vai nepieejama.

Clarysec Consent and Preference Management Policy Consent and Preference Management Policy nosaka operacionālo noteikumu:

[Nosacīti] Privātuma vadītājam / PIMS vadītājam REG05 ir jāatzīmē piekrišana kā nepārprotama pirms apstrādes sākuma, ja izvēlētajam nolūkam ir nepieciešama nepārprotama piekrišana.

No sadaļas “Piekrišanas pieprasīšana un iegūšana”, politikas punkts 4.2.5.

Biometriskām sistēmām REG05 ir jāparāda:

• Precīzs piekrišanas formulējums.
• Biometriskais nolūks, piemēram, autentifikācija, krāpšanas novēršana, piekļuves kontrole vai identitātes apliecināšana.
• Vai piekrišana ir nepārprotama.
• Datums, kanāls un paziņojuma versija.
• Atsaukšanas metode.
• Nebiometriskā alternatīva.
• Vai atteikums ietekmē piekļuvi pakalpojumam.
• Sistēmas kritērijs, kas pēc atsaukšanas aptur apstrādi.

SME Data Protection and Privacy Policy-sme nosaka:

Datu aizsardzība pēc projektēšanas un pēc noklusējuma ir jāpiemēro visās jaunajās sistēmās un pakalpojumos.

No sadaļas “Pārvaldības prasības”, politikas punkts 5.3.1.

Biometriskās sistēmās privātums pēc noklusējuma nozīmē, ka lietotāji netiek klusi reģistrēti, neapstrādāti attēli netiek glabāti bez pamatojuma, biometriskā salīdzināšana netiek atkārtoti izmantota analītikai bez atkārtotas izvērtēšanas un alternatīvas netiek paslēptas aiz atbalsta pieteikumiem.

Klasificējiet visu biometrisko datu kopumu

Biometrisko sistēmu nevar pārvaldīt, ja biometriskie dati nav redzami aktīvu uzskaitē.

Clarysec Enterprise Data Classification and Labeling Policy Data Classification and Labeling Policy nosaka:

Nodrošina, ka personas dati, uz kuriem attiecas GDPR, DORA vai citi privātuma tiesību akti, tiek klasificēti pareizi (piemēram, marķēti kā “konfidenciāli” vai “ierobežoti”).

No sadaļas “Lomas un pienākumi”, politikas punkts 4.6.1.

SME gadījumā Data Classification and Labeling Policy-sme Data Classification and Labeling Policy - SME nosaka aizsardzības prasību:

Visiem datiem, kas klasificēti kā “konfidenciāli”, ir jānodrošina augstākais aizsardzības līmenis:

No sadaļas “Pārvaldības prasības”, politikas punkts 5.2.

Klasifikācijai jāaptver vairāk nekā tikai veidņu datubāze:

ISO/IEC 27001:2022 šo disciplīnu pastiprina. Punkti 4.1 līdz 4.4 prasa organizācijai noteikt kontekstu, ieinteresēto pušu prasības, ISMS darbības jomu un atkarības. Punkti 6.1.1 līdz 6.1.3 prasa risku izvērtēšanu, riska apstrādi, Piemērojamības paziņojumu un riska īpašnieka apstiprinājumu. Ja biometriskās sistēmas ietekmē konfidencialitāti, integritāti, pieejamību vai privātumu, tās ietilpst darbības jomā.

Drošības kontroles pasākumi: šifrēšana ir tikai viens slānis

Biometriskajai drošībai ir nepieciešama slāņveida kontrole. Šifrēšana ir būtiska, taču tā nevar novērst vāju tiesisko pamatu, pārmērīgu glabāšanu, nekontrolētu piegādātāja piekļuvi vai trūkstošus dzēšanas pierādījumus.

Zenith Blueprint sadaļas Controls in Action 20. solis skaidro ISO/IEC 27002:2022 kontroles pasākumu 8.24, Use of Cryptography:

Šis kontroles pasākums nav tikai par “šifrēšanas ieslēgšanu”; tas ir par kriptogrāfijas iestrādi organizācijas arhitektūrā, politikā un dzīves cikla pārvaldībā.

Clarysec PII Security and Access Control Policy PII Security and Access Control Policy nosaka PIMS prasību sensitīviem personas datiem:

[Abi] Informācijas drošības vadītājam REG12 ir jādefinē šifrēšanas vai apstiprinātas kompensējošās aizsardzības prasības, pirms augstas ietekmes, sensitīvi vai ārēji pārsūtīti personas dati tiek glabāti, pārsūtīti vai padarīti pieejami.

No sadaļas “Šifrēšana un droša glabāšana”, politikas punkts 4.5.1.

REG12 ir jādefinē biometriskie aizsardzības pasākumi, piemēram, šifrēšana glabāšanā, šifrēšana pārsūtē, atslēgu īpašumtiesības, atslēgu rotācija, administratīvā MFA, piekļuves apstiprināšana, identitātes datu un biometrisko veidņu nodalīšana, reģistrācijas, salīdzināšanas, eksportēšanas un dzēšanas notikumu žurnālu reģistrēšana, neparastas piekļuves veidnēm uzraudzība, droša dzēšana un incidentu kritēriji veidņu kompromitēšanas gadījumā.

Zenith Controls ietvarā ISO/IEC 27002:2022 kontroles pasākumi 5.17, Authentication Information, un 8.5, Secure Authentication, ir īpaši svarīgi, jo biometrika bieži tiek iestrādāta autentifikācijas plūsmās. Jautājums nav tikai par to, vai biometriskā pieteikšanās ir droša. Jautājums ir arī par to, vai rezerves metodes, konta atgūšanas plūsmas, dzīvuma pārbaude, priviliģēta piekļuve un biometriskās apiešanas ceļi ir kontrolēti.

Glabāšana, dzēšana un biometrisko datu kapsēta

Biometriskās sistēmas bieži glabā vairāk datu, nekā komandas apzinās: neveiksmīgas reģistrācijas, vecas veidnes, neaktīvus lietotājus, atbalsta pakotnes, arhivētas datubāzes, momentuzņēmumus un rezerves kopijas. Tas rada biometrisko datu kapsētas problēmu. Dati vairs nav operacionāli noderīgi, bet joprojām ir ļoti sensitīvi.

Enterprise Data Protection and Privacy Policy nosaka:

Personiski identificējama informācija (PII) nedrīkst tikt glabāta ilgāk, nekā nepieciešams.

No sadaļas “Politikas ieviešanas prasības”, politikas punkts 6.5.1.

Zenith Blueprint sadaļas Controls in Action 19. solis skaidro ISO/IEC 27002:2022 kontroles pasākumu 8.10, Information Deletion:

Šis kontroles pasākums nodrošina, ka dati netiek glabāti ilgāk, nekā nepieciešams, un, kad tie vairs nav vajadzīgi, tie ir droši un uzticami jādzēš.

Biometriskajiem datiem dzēšana ir jāiestrādā sistēmā. Noteikumiem jāaptver piekrišanas atsaukšana, konta slēgšana, darba attiecību izbeigšana, neveiksmīga klienta uzņemšana pēc pārsūdzības termiņa beigām, neaktīvi konti, ierīces nomaiņa, piegādātāja līguma izbeigšana, juridiskā saglabāšana, rezerves kopiju termiņa beigas un kriptogrāfiska dzēšana, ja tā ir piemērojama.

Auditori nepieņems apgalvojumu “piegādātājs nodrošina dzēšanu”, ja vien nevarēsiet pierādīt, kā, kad, pēc kāda kritērija un ar kādiem pierādījumiem tas notiek.

Piegādātāju pārvaldība: piegādātājs ir daļa no kontroles vides

Lielākā daļa organizāciju biometriskos dzinējus neveido no nulles. Tās paļaujas uz piegādātājiem sejas salīdzināšanai, balss verifikācijai, dzīvuma pārbaudei, piekļuves kontroles aparatūrai, SDK, krāpšanas riska vērtēšanai, mākoņkrātuvei vai atbalsta analītikai. Tāpēc piegādātāju pārvaldība ir centrāla.

Enterprise Data Protection and Privacy Policy prasa piegādātāju atkārtotu izvērtēšanu:

Iepirkuma, juridiskajai un atbilstības komandai ir jāpārbauda atbilstība GDPR Article 28 un jāpieprasa visu augsta riska piegādātāju ikgadēja atkārtota izvērtēšana.

No sadaļas “Ievērošana un atbilstība”, politikas punkts 8.5.2.

Processor, Subprocessor and Third-Party Privacy Management Policy Processor, Subprocessor and Third-Party Privacy Management Policy pievieno PIMS apstiprināšanas kontroles punktu:

[Nosacīti] Datu aizsardzības speciālistam / privātuma konsultantam pirms tādu attiecību apstiprināšanas, kas ietver augstu atlikušo privātuma risku, īpašu kategoriju personas datus, liela mēroga apstrādi, sistemātisku uzraudzību vai neatrisinātu lomu klasifikāciju, REG04 vai REG12 ir jāsniedz konsultācija.

No sadaļas “Sākotnējā izpēte un risku izvērtēšana”, politikas punkts 4.2.4.

SME Third-Party and Supplier Security Policy-sme Third-Party and Supplier Security Policy - SME atgādina mazākiem uzņēmumiem, ka līgumi ir kontroles virsma:

Līgumos jāiekļauj obligātas klauzulas, kas aptver:

No sadaļas “Pārvaldības prasības”, politikas punkts 5.3.

Zenith Blueprint sadaļas Controls in Action 23. solis apraksta ISO/IEC 27002:2022 kontroles pasākumu 5.20, Addressing Information Security Within Supplier Agreements:

Runājot par piegādātājiem, uzticēšanās nevar balstīties uz pieņēmumiem. Tā ir jānostiprina rakstiski.

Biometriskajiem līgumiem jāaptver apstrādātāja loma, nolūka ierobežojumi, apakšapstrādātāju apstiprināšana, datu atrašanās vieta, šifrēšana, piekļuves kontroles pasākumi, paziņošana par incidentiem, audita tiesības, dzēšana, datu atgriešana, atbalsta piekļuve, sadarbība pārkāpumu gadījumā, modeļa apmācības ierobežojumi un izstāšanās atbalsts.

DORA piemērojamām finanšu vienībām biometriskās identitātes piegādātāji var būt IKT trešo pušu pakalpojumu sniedzēji. DORA ir piemērojama no 2025. gada 17. janvāra un paredz, ka finanšu vienības pārvalda IKT risku, incidentu ziņošanu, operacionālās noturības testēšanu un IKT trešo pušu risku. Ja biometriskā klientu uzņemšana atbalsta kritisku vai svarīgu funkciju, piegādātāju līgumi, incidentu eskalācija, noturības testēšana un izstāšanās plāni kļūst gan par operacionālās noturības pierādījumiem, gan par privātuma pierādījumiem.

NIS2 ir būtiska arī daudziem mākoņpakalpojumu, SaaS, pārvaldītu pakalpojumu, pārvaldītu drošības pakalpojumu, digitālās infrastruktūras un IKT pakalpojumu pārvaldības sniedzējiem. Tās risku pārvaldības gaidas būtiski pārklājas ar ISO/IEC 27001:2022 un biometriskā PIMS pierādījumu ķēdi.

Savstarpējās atbilstības kartēšana biometrisko datu pārvaldībai

Biometriskajai pārvaldībai nevajadzētu veidot atsevišķus silosus GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 un COBIT 19 vajadzībām. Viens pierādījumu modelis var atbalstīt daudzus pienākumus.

NIS2 vienībām nozīmīgi incidenti var prasīt agrīnu brīdinājumu 24 stundu laikā, incidenta paziņošanu 72 stundu laikā un gala ziņojumu viena mēneša laikā. Ja biometriskās identitātes platforma tiek traucēta vai kompromitēta, vienlaikus var tikt iedarbinātas drošības, privātuma un operacionālās ziņošanas darbplūsmas.

Audita skatījums: ko jautās pārbaudītāji

Dažādi auditori biometrisko pārvaldību testē no dažādiem skatpunktiem. Clarysec izmanto Zenith Controls, lai sasaistītu ISO/IEC 27002:2022 kontroles pasākumus ar privātuma, autentifikācijas, piegādātāju, šifrēšanas, dzēšanas, incidentu un audita pierādījumiem.

Bieži audita konstatējumi ietver tehniskus kontroles pasākumus bez pārvaldības lēmumiem, Article 6 tiesisko pamatu bez Article 9 nosacījuma, DPIA, kas pabeigts pēc nodošanas produkcijā, piekrišanas ierakstus bez dzēšanas kritērijiem, piegādātāju līgumus bez biometrikai specifiskām klauzulām un incidentu rokasgrāmatas, kas biometriskās veidnes kompromitēšanu traktē kā parastu autentifikācijas datu kompromitēšanu.

Praktiska apstiprināšanas darbplūsma biometriskai klientu uzņemšanai

Clarysec vadīta organizācija, kas klientu uzņemšanai izmanto sejas verifikāciju, ievērotu strukturētu ceļu:

1. Izveidot apstrādes ierakstu REG02.
2. Noteikt pārziņa, apstrādātāja un apakšapstrādātāja lomas.
3. Reģistrēt Article 6 tiesisko pamatu un Article 9 nosacījumu, ja biometriskie dati tiek izmantoti unikālai identificēšanai.
4. Reģistrēt datu kategorijas, piemēram, pašfoto, dokumenta attēlu, biometrisko veidni, dzīvuma pārbaudes rezultātu, salīdzināšanas vērtējumu, audita žurnālus un atbalsta eksportus.
5. Iedarbināt REG04 DPIA pirms ieviešanas.
6. Izvērtēt nepieciešamību, samērīgumu un nebiometriskas alternatīvas.
7. Definēt nepārprotamu piekrišanu REG05, ja tā ir nepieciešama.
8. Klasificēt neapstrādātus attēlus un veidnes kā ierobežotus vai augstākās sensitivitātes datus.
9. Definēt REG12 drošības prasības šifrēšanai, atslēgu pārvaldībai, piekļuvei, žurnālu reģistrēšanai, uzraudzībai, eksporta ierobežojumiem un dzēšanai.
10. Pārskatīt piegādātāja sākotnējo izpēti, apakšapstrādātāju sarakstu, mitināšanas vietu, paziņošanu par incidentiem, audita tiesības un dzēšanas sertifikāta procesu.
11. Pievienot glabāšanas noteikumus sekmīgai klientu uzņemšanai, neveiksmīgai klientu uzņemšanai, atsauktai piekrišanai, pārsūdzībām, krāpšanas izmeklēšanām un rezerves kopijām.
12. Apstiprināt atlikušo risku ar vārdā norādītiem īpašniekiem.
13. Glabāt audita pierādījumus PIMS pierādījumu repozitorijā.
14. Pārskatīt efektivitāti pēc palaišanas un pēc piegādātāja izmaiņām.

Tas CISO nodrošina tehnisko kontroles pasākumu pierādījumus, DPO — privātuma pārskatatbildību, iepirkumam — līgumiskos kontroles punktus, produktam — palaišanas ceļu, bet auditoriem — izsekojamu stāstu.

Pārvērtiet biometrisko risku uzticībā

Atgriežoties pie Finura, Marija biometrisko funkcionalitāti neatcēla. Viņa to pārstrukturēja. Produktu un inženierijas komandas integrēja PIMS prasības izstrādes dzīves ciklā. Piekrišanas plūsma kļuva nepārprotama un atsevišķa. Piegādātāja līgumā tika nostiprinātas stingrākas dzēšanas, audita, pārkāpumu un apakšapstrādātāju saistības. REG02, REG04, REG05 un REG12 kļuva par pierādījumu mugurkaulu. Atsauktajiem datiem tika ieviesta kriptogrāfiska dzēšana. Palaišana pārcēlās par vienu ceturksni, taču tā notika uz uzticības pamata.

Tāda ir biometrisko datu pārvaldības jēga. Tā neaizliedz inovāciju. Tā padara inovāciju aizstāvamu.

Nākamie soļi ir skaidri:

1. Veiciet visu biometrisko izmantošanas gadījumu uzskaiti, tostarp piekļuvi darba vietai, klientu uzņemšanu, ierīču autentifikāciju, krāpšanas novēršanu un balss verifikāciju.
2. Klasificējiet datus un apstipriniet, vai tie tiek izmantoti unikālai identificēšanai.
3. Reģistrējiet tiesisko pamatu un jebkuru īpašu kategoriju nosacījumu apstrādes reģistrā.
4. Veiciet DPIA pirms jaunas vai būtiski mainītas apstrādes sākuma.
5. Validējiet nepārprotamu piekrišanu un alternatīvas, ja tās ir nepieciešamas.
6. Pārskatiet piegādātāju līgumus un apakšapstrādātājus.
7. Definējiet šifrēšanas, piekļuves, žurnālu reģistrēšanas, uzraudzības un dzēšanas pierādījumus.
8. Kartējiet pierādījumus pret ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 un COBIT 19 gaidām.

Clarysec var palīdzēt pārvērst biometrisko datu pārvaldību auditam gatavā PIMS darbplūsmā. Sāciet ar Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, validējiet starpietvaru kartēšanu ar Zenith Controls: The Cross-Compliance Guide Zenith Controls un ieviesiet pierādījumu pārvaldību ar Clarysec ISO/IEC 27701:2025 PIMS politiku kopu, tostarp PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Consent and Preference Management Policy, PII Security and Access Control Policy un Processor, Subprocessor and Third-Party Privacy Management Policy.

Biometrika var stiprināt drošību un uzlabot lietotāja pieredzi. Ilgstošu uzticību iegūst tikai pārvaldīta biometrika.