Ład w zakresie danych biometrycznych zgodnie z GDPR i ISO 27701

Wniosek o pilne spotkanie, z wyraźnie wysoką wagą, trafił do skrzynki CISO Marii Petrovej. Temat wiadomości brzmiał: „PILNE: uwierzytelnianie biometryczne — decyzja Go/No-Go dla uruchomienia w Q3”.

Maria wiedziała, o co chodzi. Jej firma, szybko rosnący FinTech o nazwie Finura, przygotowywała uruchomienie weryfikacji płatności w aplikacji z wykorzystaniem rozpoznawania twarzy i odcisku palca. Zespół produktu widział funkcję, która mogła zdefiniować rynek. Zarząd widział szybszą adopcję. Zespoły antyfraudowe widziały mniej fałszywych kont. COO widział mniejsze tarcia po stronie użytkownika. Maria widziała inny obraz: szczególne kategorie danych osobowych, przesłanki DPIA, zależność od dostawcy, ryzyko nadmiernej retencji, wycofanie zgody, odporność operacyjną oraz scenariusz naruszenia, którego nie da się rozwiązać przez wydanie nowego hasła.

Presja pojawiła się natychmiast po rozpoczęciu rozmowy. „Konkurencja jest kilka miesięcy za nami” — argumentował Head of Product. „Nie możemy sobie pozwolić na opóźnienie”.

Potem zaczęły się pytania.

Czy wyraźna zgoda została zaprojektowana i zarejestrowana? Czy istnieje ważna podstawa prawna z GDPR Article 6 oraz przesłanka z Article 9? Czy dostawca biometrii został zweryfikowany jako zewnętrzny dostawca ICT zgodnie z oczekiwaniami DORA? Czy ktokolwiek przeprowadził Data Protection Impact Assessment przed rozpoczęciem prac inżynieryjnych? Czy Finura może wykazać, że wycofany szablon twarzy zostanie usunięty z systemów produkcyjnych, kopii zapasowych i środowisk dostawcy?

Cisza powiedziała wszystko.

Ład w zakresie danych biometrycznych jest inny, ponieważ identyfikatorem jest człowiek. Hasło można zmienić. Kartę można wymienić. Skompromitowanego szablonu twarzy, wzorca odcisku palca, odcisku głosu, szablonu układu żył dłoni ani identyfikatora pochodnego od tęczówki nie da się w praktyce sensownie zmienić. Gdy dane biometryczne są wykorzystywane do jednoznacznej identyfikacji, GDPR traktuje je jako szczególne kategorie danych. ISO/IEC 27701:2025 oczekuje systemu zarządzania informacjami o prywatności, czyli PIMS, który potrafi wykazać, dlaczego przetwarzanie jest niezbędne, jak jest kontrolowane, kto je zatwierdził, jak długo dane są przechowywane, którzy dostawcy mają z nimi styczność oraz jak obsługiwane są wnioski dotyczące realizacji praw i incydenty.

Problem polega na tym, że wiele organizacji kupuje produkt do tożsamości biometrycznej, wypełnia kwestionariusz bezpieczeństwa, dodaje ogólną klauzulę informacyjną i zakłada, że szyfrowanie rozwiązuje sprawę. Nie rozwiązuje. Szyfrowanie jest konieczne, ale ład w zakresie biometrii wymaga połączonego modelu operacyjnego.

Podejście Clarysec łączy ład ISO/IEC 27701:2025 PIMS, dowody zabezpieczeń ISO/IEC 27001:2022, rozliczalność GDPR oraz mapowanie zgodności między ramami poprzez Zenith Controls: The Cross-Compliance Guide Zenith Controls. W Zenith Controls klaster ładu w zakresie biometrii jest osadzony wokół zabezpieczenia ISO/IEC 27002:2022 5.34, Privacy and Protection of PII, wspieranego przez 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography oraz zabezpieczenia dotyczące dostawców, takie jak 5.20, Addressing Information Security Within Supplier Agreements.

Celem nie jest spowolnienie innowacji. Celem jest zapewnienie, aby uwierzytelnianie biometryczne, potwierdzanie tożsamości, dostęp w miejscu pracy i zapobieganie oszustwom były możliwe do obrony, proporcjonalne, bezpieczne i gotowe do audytu.

Dlaczego ład w zakresie biometrii zawodzi w dojrzałych firmach

Firma może mieć silny program bezpieczeństwa, a jednocześnie słaby ład w zakresie biometrii.

Rozważmy dostawcę SaaS uruchamiającego weryfikację twarzy w ramach onboardingu klientów. Zespół bezpieczeństwa wymaga TLS, szyfrowanego przechowywania, MFA dla administratorów, zabezpieczeń kontroli dostępu i rejestrowania. Dostawca deklaruje, że szablony biometryczne są „nieodwracalne”. Zespół produktu dokumentuje redukcję oszustw jako uzasadnienie biznesowe. Dział prawny przegląda umowę powierzenia przetwarzania danych. Zakupy odhaczają dostawcę na liście.

Następnie audytor zadaje pięć pytań:

1. Gdzie zarejestrowano czynność przetwarzania danych biometrycznych?
2. Jaka jest podstawa prawna z GDPR Article 6 oraz, tam gdzie ma to zastosowanie, przesłanka dotycząca szczególnych kategorii danych z Article 9?
3. Czy DPIA została przeprowadzona przed rozpoczęciem przetwarzania?
4. Czy możesz wykazać, że szablony biometryczne są usuwane po wygaśnięciu celu?
5. Co się stanie, jeżeli dostawca biometrii doświadczy naruszenia albo zmieni podwykonawców przetwarzania?

Jeżeli odpowiedzi są rozproszone między wątkami e-mail, zgłoszeniami zakupowymi, notatkami produktowymi i portalem dostawcy, program nie jest gotowy do audytu.

GDPR Article 5 wymaga zgodności z prawem, rzetelności, przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania, integralności, poufności i rozliczalności. Article 6 wymaga podstawy prawnej. Article 9 dodaje surowszą przesłankę, gdy dane biometryczne są przetwarzane w celu jednoznacznej identyfikacji osoby. Definicje z Article 4 mają znaczenie, ponieważ przetwarzanie obejmuje zbieranie, przechowywanie, wykorzystywanie, ujawnianie, usuwanie i niszczenie. Pseudonimizacja pomaga tylko wtedy, gdy dodatkowe informacje identyfikujące są chronione odrębnie przy użyciu odpowiednich środków technicznych i organizacyjnych.

W przypadku firm spoza UE GDPR może nadal mieć zastosowanie, gdy oferują towary lub usługi osobom w UE albo monitorują zachowanie odbywające się w UE. To sprawia, że onboarding biometryczny, punktacja antyfraudowa, zdalny dostęp pracowników, głosowa weryfikacja w call centre i potwierdzanie tożsamości klientów mają znaczenie daleko poza Europą.

Niepowodzenie ładu rzadko wynika z jednego brakującego zabezpieczenia. Zwykle wynika z braku połączonego łańcucha dowodów.

Łańcuch dowodów Clarysec dla biometrycznego PIMS

Clarysec traktuje przypadki użycia biometrii jako przetwarzanie PII zarządzane w całym cyklu życia, a nie jako samodzielne funkcje uwierzytelniania. Łańcuch dowodów zaczyna się, zanim system zostanie kupiony, skonfigurowany lub wdrożony.

W Zenith Blueprint: 30-etapowa mapa drogowa audytora Zenith Blueprint, w fazie Controls in Action, Step 23, opisano zabezpieczenie ISO/IEC 27002:2022 5.34 w następujący sposób:

Imiona i nazwiska, adresy, identyfikatory, dokumentacja medyczna, dane finansowe — te dane opowiadają historię o realnych osobach. Gdy są niewłaściwie obsługiwane, skradzione lub nadużywane, konsekwencje wykraczają daleko poza nieskuteczność zgodności. Stają się kwestią naruszenia osobistego, szkody reputacyjnej i ekspozycji prawnej.

W przypadku identyfikatorów biometrycznych ten przekaz jest jeszcze bardziej wyrazisty. Szablon biometryczny to nie tylko dane logowania. Jest powiązany z fizycznymi lub behawioralnymi cechami osoby i może służyć do jej jednoznacznej identyfikacji.

Możliwy do obrony proces ładu w zakresie biometrii łączy siedem decyzji z siedmioma typami dowodów:

Na tym polega różnica między stwierdzeniem „korzystamy z biometrii bezpiecznie” a stwierdzeniem „możemy wykazać ład w zakresie danych biometrycznych zgodnie z GDPR i ISO/IEC 27701:2025”.

Podstawa prawna to nie pole wyboru

Projekty biometryczne często zawodzą na etapie podstawy prawnej, ponieważ zespoły mylą wartość bezpieczeństwa z uprawnieniem prawnym.

GDPR Article 6 wymaga podstawy prawnej, takiej jak zgoda, niezbędność do wykonania umowy, obowiązek prawny, żywotne interesy, zadanie realizowane w interesie publicznym albo prawnie uzasadnione interesy, jeżeli mają zastosowanie. Article 9 co do zasady zakazuje przetwarzania danych biometrycznych w celu jednoznacznej identyfikacji, chyba że zastosowanie ma konkretna przesłanka, taka jak wyraźna zgoda, obowiązki wynikające z prawa pracy i zabezpieczenia społecznego, żywotne interesy, ważny interes publiczny, opieka zdrowotna, zdrowie publiczne, roszczenia prawne albo badania i archiwizacja z zabezpieczeniami.

Biometryczna rejestracja czasu pracy, dostęp do drzwi na odcisk palca, onboarding twarzą i uwierzytelnianie głosowe mogą wymagać odmiennej analizy. Ta sama technologia może prowadzić do różnych wniosków dotyczących podstawy prawnej w zależności od celu, wyboru użytkownika, nierównowagi stron, prawa lokalnego, proporcjonalności i dostępności alternatyw niebiometrycznych.

Enterprise Data Protection and Privacy Policy Data Protection and Privacy Policy Clarysec jasno określa bazowe wymaganie:

Każde przetwarzanie musi opierać się na ważnej podstawie prawnej (np. zgoda, umowa, obowiązek prawny).

Z sekcji „Policy Implementation Requirements”, klauzula polityki 6.1.1.

W przypadku szczególnych kategorii danych PII Processing Inventory and Lawful Basis Policy PII Processing Inventory and Lawful Basis Policy Clarysec zaostrza wymóg dowodowy:

[Warunkowo] Właściciel procesu / właściciel biznesowy MUSI zarejestrować przesłankę przetwarzania szczególnych kategorii danych w REG02 przed rozpoczęciem przetwarzania szczególnych kategorii PII.

Z sekcji „Controller purpose and lawful basis records”, klauzula polityki 4.2.6.

W przypadku MŚP Clarysec stosuje tę samą dyscyplinę w prostszym modelu operacyjnym. SME Data Protection and Privacy Policy-sme Data Protection and Privacy Policy - SME stanowi:

Koordynator ds. prywatności musi prowadzić rejestr wszystkich czynności przetwarzania danych osobowych, obejmujący kategorie danych, cel, podstawę prawną i okresy przechowywania.

Z sekcji „Governance Requirements”, klauzula polityki 5.2.1.

Dodaje również:

Podstawa prawna (np. zgoda, umowa, obowiązek prawny) musi być udokumentowana w rejestrze przetwarzania.

Z sekcji „Policy Implementation Requirements”, klauzula polityki 6.1.2.

W ładzie w zakresie danych biometrycznych rejestr przetwarzania nie jest administracyjną czynnością porządkową. Jest punktem kontrolnym, w którym organizacja wykazuje, że przypadek użycia biometrii jest znany, sklasyfikowany, uzasadniony i ograniczony.

Najpierw DPIA, potem wdrożenie produkcyjne

Jeżeli dla systemów biometrycznych istnieje jedna zasada operacyjna, jest prosta: zakupy nie mogą wyprzedzać DPIA.

Technologie biometryczne często obejmują szczególne kategorie PII, jednoznaczną identyfikację, systematyczne monitorowanie, profilowanie antyfraudowe, osoby, których dane dotyczą, wymagające szczególnej ochrony, nierównowagę w miejscu pracy, innowacyjną technologię albo automatyczne wspieranie decyzji. Są to klasyczne przesłanki DPIA. DPIA nie jest wyłącznie formularzem prywatności. To miejsce, w którym organizacja weryfikuje niezbędność, proporcjonalność, alternatywy, ryzyko rezydualne, zabezpieczenia, przejrzystość, retencję, zależność od dostawcy oraz wpływ incydentu.

Enterprise Data Protection and Privacy Policy wymaga formalnej analizy dla systemów wysokiego ryzyka:

Modelowanie zagrożeń i oceny skutków dla ochrony danych (DPIA) są obowiązkowe dla systemów przetwarzania wysokiego ryzyka.

Z sekcji „Policy Implementation Requirements”, klauzula polityki 6.3.4.

Specyficzna dla PIMS Privacy Risk Assessment and DPIA Policy Privacy Risk Assessment and DPIA Policy jest bardziej bezpośrednia:

[Administrator] Właściciel procesu / właściciel biznesowy MUSI skierować przetwarzanie obejmujące dużą skalę, systematyczne monitorowanie, profilowanie, zautomatyzowane decyzje, szczególne kategorie PII, dane dotyczące wyroków skazujących lub czynów zabronionych, osoby, których dane dotyczą, wymagające szczególnej ochrony, innowacyjną technologię albo istotnie zmienione przetwarzanie do Privacy Lead / PIMS Manager w REG04 przed rozpoczęciem przetwarzania.

Z sekcji „DPIA triggers and requirement determination”, klauzula polityki 4.2.2.

Biometryczna DPIA powinna odpowiedzieć co najmniej na następujące pytania:

• Jaka modalność biometryczna jest przetwarzana, na przykład twarz, odcisk palca, głos, tęczówka, dłoń albo wzorzec behawioralny?
• Czy dane biometryczne są wykorzystywane do jednoznacznej identyfikacji, czy wyłącznie do lokalnej weryfikacji urządzenia?
• Czy organizacja jest administratorem, podmiotem przetwarzającym, współadministratorem czy podwykonawcą przetwarzania?
• Jaka alternatywa niebiometryczna istnieje i czy jest dostępna na równych zasadach?
• Czy wymagana jest wyraźna zgoda i czy może być dobrowolnie udzielona oraz wycofana?
• Czy przechowywane są surowe obrazy biometryczne, nagrania audio albo szablony?
• Gdzie przechowywane są szablony, na przykład w secure enclave urządzenia, systemie centralnym albo chmurze dostawcy?
• Kto może uzyskiwać dostęp do szablonów, wyników dopasowania i logów biometrycznych?
• Jaka retencja dotyczy zarejestrowanych użytkowników, odrzuconych kandydatów, uśpionych kont i pracowników, z którymi zakończono współpracę?
• Jak wykazywane są usunięcie i wygaśnięcie kopii zapasowych?
• Co dzieje się po fałszywych dopasowaniach, fałszywych odrzuceniach albo błędach automatycznych decyzji?
• Jacy podwykonawcy przetwarzania uczestniczą w procesie i gdzie przetwarzane są dane?

W Finurze DPIA stała się centralnym dokumentem ładu. Nie anulowała uruchomienia. Przekształciła ryzykowny pomysł w kontrolowany plan wdrożenia.

Wyraźna zgoda i problem wymuszonej wygody

Programy biometryczne często opierają się na zgodzie, ponieważ wydaje się to intuicyjne. Osoba rejestruje twarz, głos albo odcisk palca, więc zapewne się zgodziła. Zgoda na poziomie wymaganym przez GDPR musi być konkretna, świadoma, jednoznaczna i dobrowolna. Gdy wymagana jest wyraźna zgoda z Article 9, próg jest wyższy.

W kontekście zatrudnienia albo tam, gdzie dostęp do niezbędnej usługi zależy od rejestracji biometrycznej, zgodę trudno obronić, chyba że istnieje rzeczywista alternatywa. „Wygodna” opcja biometryczna staje się problematyczna, jeżeli alternatywa jest ukryta, wolniejsza, obciążająca albo niedostępna.

Consent and Preference Management Policy Consent and Preference Management Policy Clarysec ustanawia regułę operacyjną:

[Warunkowo] Privacy Lead / PIMS Manager MUSI oznaczyć zgodę jako wyraźną w REG05 przed rozpoczęciem przetwarzania, jeżeli wyraźna zgoda jest wymagana dla wybranego celu.

Z sekcji „Consent Request and Capture”, klauzula polityki 4.2.5.

W przypadku systemów biometrycznych REG05 powinien wykazywać:

• Dokładne brzmienie zgody.
• Cel biometryczny, taki jak uwierzytelnianie, zapobieganie oszustwom, kontrola dostępu albo potwierdzanie tożsamości.
• Czy zgoda jest wyraźna.
• Datę, kanał i wersję klauzuli informacyjnej.
• Metodę wycofania zgody.
• Alternatywę niebiometryczną.
• Czy odmowa wpływa na dostęp do usługi.
• Wyzwalacz systemowy, który zatrzymuje przetwarzanie po wycofaniu zgody.

SME Data Protection and Privacy Policy-sme stanowi:

Privacy by design i privacy by default muszą być egzekwowane we wszystkich nowych systemach i usługach.

Z sekcji „Governance Requirements”, klauzula polityki 5.3.1.

W systemach biometrycznych privacy by default oznacza, że użytkownicy nie są rejestrowani po cichu, surowe obrazy nie są przechowywane bez uzasadnienia, dopasowanie biometryczne nie jest ponownie wykorzystywane do analityki bez ponownej oceny, a alternatywy nie są ukryte za zgłoszeniami do wsparcia.

Klasyfikuj pełny zbiór danych biometrycznych

Systemem biometrycznym nie da się zarządzać, jeżeli dane biometryczne są niewidoczne w inwentarzu aktywów.

Enterprise Data Classification and Labeling Policy Data Classification and Labeling Policy Clarysec stanowi:

Zapewnia prawidłową klasyfikację danych osobowych podlegających GDPR, DORA lub innym przepisom o prywatności (np. oznaczanie jako „Poufne” lub „Zastrzeżone”).

Z sekcji „Roles and Responsibilities”, klauzula polityki 4.6.1.

W przypadku MŚP Data Classification and Labeling Policy-sme Data Classification and Labeling Policy - SME określa oczekiwany poziom ochrony:

Wszystkie dane sklasyfikowane jako „Poufne” muszą otrzymać najwyższy poziom ochrony:

Z sekcji „Governance Requirements”, klauzula polityki 5.2.

Klasyfikacja powinna obejmować więcej niż bazę szablonów:

ISO/IEC 27001:2022 wzmacnia tę dyscyplinę. Klauzule 4.1 do 4.4 wymagają, aby organizacja określiła kontekst, wymagania stron zainteresowanych, zakres SZBI i zależności. Klauzule 6.1.1 do 6.1.3 wymagają oceny ryzyka, postępowania z ryzykiem, Deklaracji stosowania i zatwierdzenia przez właściciela ryzyka. Jeżeli systemy biometryczne wpływają na poufność, integralność, dostępność albo prywatność, należą do zakresu.

Zabezpieczenia bezpieczeństwa: szyfrowanie to tylko jedna warstwa

Bezpieczeństwo biometryczne wymaga warstwowych zabezpieczeń. Szyfrowanie ma znaczenie, ale nie naprawi słabej podstawy prawnej, nadmiernej retencji, niekontrolowanego dostępu dostawcy ani brakujących dowodów usunięcia.

Faza Controls in Action, Step 20, w Zenith Blueprint wyjaśnia zabezpieczenie ISO/IEC 27002:2022 8.24, Use of Cryptography:

Ten środek kontrolny nie polega po prostu na „włączeniu szyfrowania”; chodzi o wbudowanie kryptografii w projekt, politykę i zarządzanie cyklem życia organizacji.

PII Security and Access Control Policy PII Security and Access Control Policy Clarysec ustanawia regułę PIMS dla wrażliwych PII:

[Obie role] Kierownik ds. bezpieczeństwa informacji MUSI zdefiniować wymagania dotyczące szyfrowania albo zatwierdzonych kompensujących środków ochrony w REG12, zanim PII o istotnym wpływie, wrażliwe albo przesyłane na zewnątrz będzie przechowywane, transmitowane lub udostępniane.

Z sekcji „Encryption and secure storage”, klauzula polityki 4.5.1.

REG12 powinien definiować zabezpieczenia biometryczne, takie jak szyfrowanie danych w spoczynku, szyfrowanie danych w tranzycie, kontrola nad kluczami, rotacja kluczy, MFA dla administratorów, zatwierdzanie dostępu, separacja danych tożsamości od szablonów biometrycznych, rejestrowanie zdarzeń rejestracji, dopasowania, eksportu i usunięcia, monitorowanie nietypowego dostępu do szablonów, bezpieczne usuwanie oraz przesłanki incydentu dla kompromitacji szablonu.

W Zenith Controls zabezpieczenia ISO/IEC 27002:2022 5.17, Authentication Information, oraz 8.5, Secure Authentication, są szczególnie ważne, ponieważ biometria jest często osadzona w przepływach uwierzytelniania. Pytanie nie dotyczy wyłącznie tego, czy logowanie biometryczne jest bezpieczne. Dotyczy również tego, czy metody awaryjne, przepływy odzyskiwania, wykrywanie żywotności, dostęp uprzywilejowany oraz ścieżki obejścia biometrii są również kontrolowane.

Retencja, usuwanie i biometryczne cmentarzysko

Systemy biometryczne często przechowują więcej danych, niż zespoły sobie uświadamiają: nieudane rejestracje, stare szablony, uśpionych użytkowników, pakiety wsparcia, zarchiwizowane bazy danych, migawki i kopie zapasowe. Tworzy to problem biometrycznego cmentarzyska. Dane nie są już operacyjnie użyteczne, ale pozostają wysoce wrażliwe.

Enterprise Data Protection and Privacy Policy stanowi:

Informacje osobowe (PII) nie mogą być przechowywane dłużej, niż jest to konieczne.

Z sekcji „Policy Implementation Requirements”, klauzula polityki 6.5.1.

Faza Controls in Action, Step 19, w Zenith Blueprint wyjaśnia zabezpieczenie ISO/IEC 27002:2022 8.10, Information Deletion:

Ten środek kontrolny zapewnia, że dane nie są przechowywane dłużej, niż jest to konieczne, a gdy nie są już potrzebne, muszą zostać bezpiecznie i niezawodnie usunięte.

W przypadku danych biometrycznych usuwanie musi być zaprojektowane w systemie. Reguły powinny obejmować wycofanie zgody, zamknięcie konta, zakończenie współpracy z pracownikiem, nieudany onboarding po upływie okresów odwoławczych, uśpione konta, wymianę urządzenia, zakończenie umowy z dostawcą, blokady prawne, wygaśnięcie kopii zapasowych oraz usuwanie kryptograficzne tam, gdzie jest właściwe.

Audytorzy nie zaakceptują stwierdzenia „dostawca obsługuje usuwanie”, chyba że można wykazać, jak, kiedy, na podstawie jakiej przesłanki i z jakimi dowodami.

Ład dostawców: dostawca jest częścią środowiska kontroli

Większość organizacji nie buduje silników biometrycznych od podstaw. Polega na dostawcach w zakresie dopasowywania twarzy, weryfikacji głosu, wykrywania żywotności, sprzętu kontroli dostępu, SDK, punktacji antyfraudowej, przechowywania w chmurze lub analityki wsparcia. To sprawia, że ład dostawców jest centralny.

Enterprise Data Protection and Privacy Policy wymaga ponownej oceny dostawców:

Zespoły zakupów oraz prawne i zgodności muszą weryfikować zgodność z GDPR Article 28 oraz wymagać corocznej ponownej oceny wszystkich dostawców wysokiego ryzyka.

Z sekcji „Enforcement and Compliance”, klauzula polityki 8.5.2.

Processor, Subprocessor and Third-Party Privacy Management Policy Processor, Subprocessor and Third-Party Privacy Management Policy dodaje bramkę zatwierdzania PIMS:

[Warunkowo] Inspektor Ochrony Danych / doradca ds. prywatności MUSI przekazać poradę w REG04 lub REG12 przed zatwierdzeniem relacji obejmującej wysokie ryzyko rezydualne dla prywatności, szczególne kategorie PII, przetwarzanie na dużą skalę, systematyczne monitorowanie albo nierozstrzygniętą klasyfikację roli.

Z sekcji „Due diligence and risk assessment”, klauzula polityki 4.2.4.

SME Third-Party and Supplier Security Policy-sme Third-Party and Supplier Security Policy - SME przypomina mniejszym firmom, że umowy są powierzchnią kontrolną:

Umowy muszą zawierać obowiązkowe klauzule obejmujące:

Z sekcji „Governance Requirements”, klauzula polityki 5.3.

Faza Controls in Action, Step 23, w Zenith Blueprint opisuje zabezpieczenie ISO/IEC 27002:2022 5.20, Addressing Information Security Within Supplier Agreements:

Zaufanie w relacjach z dostawcami nie może opierać się na założeniach. Musi być skodyfikowane.

Umowy dotyczące biometrii powinny obejmować rolę podmiotu przetwarzającego, ograniczenie celu, zatwierdzanie podwykonawców przetwarzania, lokalizację danych, szyfrowanie, zabezpieczenia kontroli dostępu, powiadamianie o incydentach, prawo do audytu, usuwanie, zwrot danych, dostęp personelu wsparcia, współpracę przy naruszeniach, ograniczenia dotyczące trenowania modeli oraz wsparcie wyjścia.

W przypadku podmiotów finansowych objętych DORA dostawcy tożsamości biometrycznej mogą być zewnętrznymi dostawcami usług ICT. DORA obowiązuje od 17 stycznia 2025 r. i oczekuje, że podmioty finansowe będą zarządzać ryzykiem ICT, zgłaszaniem incydentów, testowaniem odporności operacyjnej oraz ryzykiem zewnętrznych dostawców ICT. Jeżeli onboarding biometryczny wspiera funkcję krytyczną lub istotną, umowy z dostawcami, eskalacja incydentów, testowanie odporności i plany wyjścia stają się dowodami odporności operacyjnej, a nie tylko dowodami w zakresie prywatności.

NIS2 ma również znaczenie dla wielu dostawców chmury, SaaS, usług zarządzanych, zarządzanego bezpieczeństwa, infrastruktury cyfrowej oraz zarządzania usługami ICT. Oczekiwania NIS2 dotyczące zarządzania ryzykiem silnie pokrywają się z ISO/IEC 27001:2022 i łańcuchem dowodów biometrycznego PIMS.

Mapowanie zgodności między ramami dla ładu w zakresie danych biometrycznych

Ład w zakresie biometrii nie powinien tworzyć odrębnych silosów dla GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 i COBIT 19. Jeden model dowodów może wspierać wiele obowiązków.

W przypadku podmiotów objętych NIS2 znaczące incydenty mogą wymagać wczesnego ostrzeżenia w ciągu 24 godzin, zgłoszenia incydentu w ciągu 72 godzin oraz raportu końcowego w ciągu jednego miesiąca. Jeżeli platforma tożsamości biometrycznej zostanie zakłócona lub skompromitowana, jednocześnie mogą zostać uruchomione przepływy zgłoszeniowe dotyczące bezpieczeństwa, prywatności i operacji.

Perspektywa audytu: o co zapytają przeglądający

Różni audytorzy testują ład w zakresie biometrii z różnych perspektyw. Clarysec wykorzystuje Zenith Controls, aby połączyć zabezpieczenia ISO/IEC 27002:2022 z dowodami w zakresie prywatności, uwierzytelniania, dostawców, szyfrowania, usuwania, incydentów i audytu.

Typowe ustalenia audytowe obejmują techniczne zabezpieczenia bez decyzji ładu, podstawę prawną z Article 6 bez przesłanki z Article 9, DPIA ukończoną po uruchomieniu produkcyjnym, zapisy zgód bez wyzwalaczy usunięcia, umowy z dostawcami bez klauzul specyficznych dla biometrii oraz podręczniki incydentowe, które traktują kompromitację szablonu biometrycznego jak zwykłą kompromitację danych uwierzytelniających.

Praktyczny proces zatwierdzania onboardingu biometrycznego

Organizacja prowadzona przez Clarysec, obsługująca weryfikację twarzy w onboardingu klientów, realizowałaby uporządkowaną ścieżkę:

1. Utworzyć zapis przetwarzania w REG02.
2. Zidentyfikować role administratora, podmiotu przetwarzającego i podwykonawcy przetwarzania.
3. Zarejestrować podstawę prawną z Article 6 oraz przesłankę z Article 9 tam, gdzie dane biometryczne są wykorzystywane do jednoznacznej identyfikacji.
4. Zarejestrować kategorie danych, takie jak selfie, obraz dokumentu, szablon biometryczny, wynik wykrywania żywotności, wynik dopasowania, logi audytowe i eksporty dla wsparcia.
5. Uruchomić DPIA w REG04 przed wdrożeniem.
6. Ocenić niezbędność, proporcjonalność i alternatywy niebiometryczne.
7. Zdefiniować wyraźną zgodę w REG05 tam, gdzie jest wymagana.
8. Sklasyfikować surowe obrazy i szablony jako Zastrzeżone albo najwyższej wrażliwości.
9. Zdefiniować wymagania bezpieczeństwa w REG12 dotyczące szyfrowania, zarządzania kluczami, dostępu, rejestrowania, monitorowania, ograniczeń eksportu i usuwania.
10. Przejrzeć due diligence dostawcy, listę podwykonawców przetwarzania, lokalizację hostingu, powiadamianie o incydentach, prawa do audytu i proces certyfikatu usunięcia danych.
11. Dodać reguły retencji dla skutecznego onboardingu, nieudanego onboardingu, wycofanej zgody, odwołań, dochodzeń antyfraudowych i kopii zapasowych.
12. Zatwierdzić ryzyko rezydualne wraz ze wskazaniem właścicieli.
13. Przechowywać dowody audytowe w repozytorium dowodów PIMS.
14. Przeglądać skuteczność po uruchomieniu oraz po zmianach u dostawcy.

Daje to CISO techniczne dowody zabezpieczeń, DPO rozliczalność w zakresie prywatności, zakupom bramki umowne, zespołowi produktu ścieżkę uruchomienia, a audytorom możliwą do prześledzenia historię.

Przekształć ryzyko biometryczne w zaufanie

W Finurze Maria nie anulowała funkcji biometrycznej. Zresetowała jej podejście. Zespół produktu i inżynieria zintegrowały wymagania PIMS z cyklem życia rozwoju. Przepływ zgody stał się wyraźny i odrębny. Umowa z dostawcą zyskała silniejsze zobowiązania dotyczące usuwania, audytu, naruszeń i podwykonawców przetwarzania. REG02, REG04, REG05 i REG12 stały się kręgosłupem dowodowym. Usuwanie kryptograficzne wdrożono dla wycofanych danych. Uruchomienie przesunęło się o jeden kwartał, ale nastąpiło na fundamencie zaufania.

Na tym polega sens ładu w zakresie danych biometrycznych. Nie zakazuje innowacji. Sprawia, że innowacje są możliwe do obrony.

Kolejne kroki są proste:

1. Zinwentaryzuj każdy przypadek użycia biometrii, w tym dostęp w miejscu pracy, onboarding klientów, uwierzytelnianie urządzeń, zapobieganie oszustwom i weryfikację głosową.
2. Sklasyfikuj dane i potwierdź, czy są wykorzystywane do jednoznacznej identyfikacji.
3. Zarejestruj podstawę prawną i każdą przesłankę dotyczącą szczególnych kategorii danych w rejestrze przetwarzania.
4. Przeprowadź DPIA przed rozpoczęciem nowego albo istotnie zmienionego przetwarzania.
5. Zweryfikuj wyraźną zgodę i alternatywy tam, gdzie są wymagane.
6. Przejrzyj umowy z dostawcami i podwykonawców przetwarzania.
7. Zdefiniuj dowody dotyczące szyfrowania, dostępu, rejestrowania, monitorowania i usuwania.
8. Zmapuj dowody na oczekiwania ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 i COBIT 19.

Clarysec może pomóc przekształcić ład w zakresie danych biometrycznych w gotowy do audytu proces PIMS. Zacznij od Zenith Blueprint: 30-etapowa mapa drogowa audytora Zenith Blueprint, zweryfikuj mapowanie zgodności między ramami za pomocą Zenith Controls: The Cross-Compliance Guide Zenith Controls i zoperacjonalizuj dowody poprzez zestaw polityk Clarysec ISO/IEC 27701:2025 PIMS, obejmujący PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Consent and Preference Management Policy, PII Security and Access Control Policy oraz Processor, Subprocessor and Third-Party Privacy Management Policy.

Biometria może wzmacniać bezpieczeństwo i poprawiać doświadczenie użytkownika. Trwałe zaufanie zdobywa tylko biometria objęta skutecznym ładem.