Správa a riadenie biometrických údajov podľa GDPR a ISO 27701

Žiadosť o mimoriadne stretnutie pristála v schránke CISO Márie Petrovej s jasnou naliehavosťou. Predmet správy znel: „URGENT: Biometric Auth - Go/No-Go for Q3 Launch.“

Mária vedela, čo je v hre. Jej spoločnosť Finura, rýchlo rastúci FinTech, sa pripravovala spustiť overovanie platieb v aplikácii pomocou rozpoznávania tváre a odtlačkov prstov. Produktový tím videl funkciu, ktorá môže definovať trh. Predstavenstvo videlo rýchlejšiu adopciu. Tímy prevencie podvodov videli menej falošných účtov. COO videl menšie trenie. Mária videla iný obraz: osobné údaje osobitnej kategórie, spúšťače DPIA, závislosť od dodávateľa, riziko uchovávania, odvolanie súhlasu, prevádzkovú odolnosť a scenár porušenia ochrany osobných údajov, ktorý sa nedá vyriešiť vydaním nového hesla.

Počas hovoru sa tlak objavil okamžite. „Konkurencia je za nami o celé mesiace,“ argumentoval vedúci produktového tímu. „Nemôžeme si dovoliť odklad.“

Potom prišli otázky.

Bol výslovný súhlas navrhnutý a zaznamenaný? Existoval platný právny základ podľa GDPR Article 6 a podmienka podľa Article 9? Bol biometrický dodávateľ preverený ako tretia strana IKT podľa očakávaní DORA? Dokončil niekto posúdenie vplyvu na ochranu údajov pred začiatkom vývoja? Vedela Finura preukázať, že zrušená šablóna tváre bude vymazaná zo živých systémov, záloh aj prostredí dodávateľa?

Ticho povedalo všetko.

Správa a riadenie biometrických údajov je iné, pretože identifikátorom je samotná osoba. Heslo možno rotovať. Kartu možno vymeniť. Kompromitovanú šablónu tváre, vzor odtlačku prsta, hlasový odtlačok, šablónu žíl dlane alebo identifikátor odvodený z dúhovky nemožno zmysluplne zmeniť. Keď sa biometrické údaje používajú na jednoznačnú identifikáciu, GDPR ich považuje za osobitnú kategóriu údajov. ISO/IEC 27701:2025 očakáva systém manažérstva informácií o ochrane súkromia, teda PIMS, ktorý vie preukázať, prečo je spracúvanie nevyhnutné, ako je kontrolované, kto ho schválil, ako dlho sa údaje uchovávajú, ktorí dodávatelia s nimi prichádzajú do kontaktu a ako sa riešia žiadosti o uplatnenie práv a incidenty.

Problém je v tom, že mnohé organizácie kúpia produkt biometrickej identity, vyplnia bezpečnostný dotazník, pridajú generické oznámenie o ochrane údajov a predpokladajú, že šifrovanie problém vyrieši. Nevyrieši. Šifrovanie je nevyhnutné, ale správa a riadenie biometrie vyžaduje prepojený prevádzkový model.

Prístup Clarysec spája správu a riadenie ISO/IEC 27701:2025 PIMS, dôkazy ku kontrolám ISO/IEC 27001:2022, preukázateľnú zodpovednosť podľa GDPR a mapovanie súladu naprieč rámcami prostredníctvom Zenith Controls: The Cross-Compliance Guide Zenith Controls. V Zenith Controls je klaster správy a riadenia biometrie ukotvený okolo kontroly ISO/IEC 27002:2022 5.34, Privacy and Protection of PII, podporenej kontrolami 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography, a dodávateľskými kontrolami, ako je 5.20, Addressing Information Security Within Supplier Agreements.

Cieľom nie je spomaliť inovácie. Cieľom je zabezpečiť, aby biometrická autentifikácia, overovanie identity, prístup na pracovisko a prevencia podvodov boli obhájiteľné, primerané, bezpečné a pripravené na audit.

Prečo správa a riadenie biometrie zlyháva aj vo vyspelých spoločnostiach

Spoločnosť môže mať silný bezpečnostný program a napriek tomu slabú správu a riadenie biometrie.

Predstavte si poskytovateľa SaaS, ktorý spúšťa overovanie tváre pri onboardingu zákazníkov. Bezpečnostný tím vyžaduje TLS, šifrované úložisko, administrátorskú MFA, riadenie prístupu a logovanie. Dodávateľ tvrdí, že biometrické šablóny sú „nevratné“. Produktový tím dokumentuje zníženie podvodov ako obchodné odôvodnenie. Právne oddelenie preskúma zmluvu o spracúvaní osobných údajov. Obstarávanie odškrtne dodávateľskú položku.

Potom audítor položí päť otázok:

1. Kde je zaznamenaná biometrická spracovateľská činnosť?
2. Aký je právny základ podľa GDPR Article 6 a, kde je to relevantné, podmienka pre osobitnú kategóriu podľa Article 9?
3. Bola DPIA dokončená pred začiatkom spracúvania?
4. Viete preukázať, že biometrické šablóny sa vymažú po zániku účelu?
5. Čo sa stane, ak biometrický dodávateľ utrpí porušenie ochrany osobných údajov alebo zmení ďalších sprostredkovateľov?

Ak sú odpovede roztrúsené v e-mailových vláknach, tiketech obstarávania, produktových poznámkach a dodávateľskom portáli, program nie je pripravený na audit.

GDPR Article 5 vyžaduje zákonnosť, spravodlivosť, transparentnosť, obmedzenie účelu, minimalizáciu údajov, presnosť, obmedzenie uchovávania, integritu, dôvernosť a preukázateľnú zodpovednosť. Article 6 vyžaduje právny základ. Article 9 pridáva prísnejšiu podmienku, keď sa biometrické údaje spracúvajú na účel jednoznačnej identifikácie osoby. Definície v Article 4 sú podstatné, pretože spracúvanie zahŕňa zber, uchovávanie, používanie, sprístupnenie, výmaz a zničenie. Pseudonymizácia pomáha iba vtedy, keď sú dodatočné identifikačné informácie chránené oddelene vhodnými technickými a organizačnými opatreniami.

Pre spoločnosti mimo EÚ sa GDPR môže uplatniť aj vtedy, keď ponúkajú tovar alebo služby osobám v EÚ alebo monitorujú správanie prebiehajúce v EÚ. Preto sú biometrický onboarding, skórovanie podvodov, vzdialený prístup pracovnej sily, hlasové overovanie v call centre a overovanie identity zákazníkov relevantné ďaleko za hranicami Európy.

Zlyhanie správy a riadenia zriedka spočíva v jednej chýbajúcej kontrole. Zvyčajne ide o absenciu prepojeného dôkazového reťazca.

Dôkazový reťazec Clarysec pre biometrický PIMS

Clarysec pristupuje k biometrickým prípadom použitia ako k spracúvaniu PII riadenému počas celého životného cyklu, nie ako k samostatným autentifikačným funkciám. Dôkazový reťazec sa začína ešte pred kúpou, konfiguráciou alebo nasadením systému.

V Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, vo fáze Controls in Action, krok 23, je kontrola ISO/IEC 27002:2022 5.34 opísaná takto:

Mená, adresy, ID, zdravotné záznamy, finančné údaje – tieto údaje rozprávajú príbeh o skutočných ľuďoch. Keď sa s nimi nesprávne zaobchádza, sú odcudzené alebo zneužité, dôsledky ďaleko presahujú zlyhania súladu. Stáva sa z toho zásah do osobnej integrity, reputačná ujma a právna alebo regulačná expozícia.

Pri biometrických identifikátoroch je toto posolstvo ešte výraznejšie. Biometrická šablóna nie je len údaj na prihlásenie. Je naviazaná na fyzické alebo behaviorálne charakteristiky osoby a môže sa použiť na jej jednoznačnú identifikáciu.

Obhájiteľný pracovný postup správy a riadenia biometrie prepája sedem rozhodnutí so siedmimi typmi dôkazov:

Toto je rozdiel medzi tvrdením „biometriu používame bezpečne“ a tvrdením „vieme preukázať správu a riadenie biometrických údajov podľa GDPR a ISO/IEC 27701:2025“.

Právny základ nie je zaškrtávacie políčko

Biometrické projekty často zlyhávajú už vo fáze právneho základu, pretože tímy si mýlia bezpečnostnú hodnotu s právnym oprávnením.

GDPR Article 6 vyžaduje právny základ, ako je súhlas, nevyhnutnosť plnenia zmluvy, zákonná povinnosť, životne dôležité záujmy, úloha vo verejnom záujme alebo oprávnené záujmy, ak sú uplatniteľné. Article 9 vo všeobecnosti zakazuje spracúvanie biometrických údajov na jednoznačnú identifikáciu, pokiaľ sa neuplatní konkrétna výnimka, napríklad výslovný súhlas, pracovnoprávne povinnosti a povinnosti v oblasti sociálneho zabezpečenia a sociálnej ochrany podľa práva, životne dôležité záujmy, významný verejný záujem, zdravotná starostlivosť, verejné zdravie, právne nároky alebo výskum a archivácia s ochrannými opatreniami.

Biometrické dochádzkové terminály pre zamestnancov, prístup ku dverám odtlačkom prsta, onboarding tvárou a hlasová autentifikácia si môžu vyžadovať odlišnú analýzu. Rovnaká technológia môže viesť k rozdielnym výsledkom právneho základu v závislosti od účelu, voľby používateľa, nerovnováhy moci, miestneho práva, proporcionality a dostupnosti nebiometrických alternatív.

Podniková Data Protection and Privacy Policy Clarysec Data Protection and Privacy Policy jasne stanovuje základné pravidlo:

Každé spracúvanie musí byť založené na platnom právnom základe (napr. súhlas, zmluva, zákonná povinnosť).

Zo sekcie „Požiadavky na implementáciu politiky“, ustanovenie politiky 6.1.1.

Pre údaje osobitnej kategórie Clarysec PII Processing Inventory and Lawful Basis Policy PII Processing Inventory and Lawful Basis Policy sprísňuje dôkazovú požiadavku:

[Podmienené] Vlastník procesu / vlastník organizácie MUSÍ pred spracúvaním PII osobitnej kategórie zaznamenať v REG02 podmienku spracúvania osobitnej kategórie.

Zo sekcie „Záznamy prevádzkovateľa o účele a právnom základe“, ustanovenie politiky 4.2.6.

Pre MSP Clarysec uplatňuje rovnakú disciplínu v jednoduchšom prevádzkovom modeli. MSP Data Protection and Privacy Policy-sme Data Protection and Privacy Policy - SME uvádza:

Koordinátor ochrany súkromia musí viesť register všetkých spracovateľských činností s osobnými údajmi vrátane kategórií údajov, účelu, právneho základu a lehôt uchovávania.

Zo sekcie „Požiadavky na správu a riadenie“, ustanovenie politiky 5.2.1.

A dopĺňa:

Právny základ (napr. súhlas, zmluva, zákonná povinnosť) musí byť zdokumentovaný v registri spracúvania.

Zo sekcie „Požiadavky na implementáciu politiky“, ustanovenie politiky 6.1.2.

Pri správe a riadení biometrických údajov nie je register spracúvania administratívna formalita. Je to kontrolný bod, v ktorom organizácia preukazuje, že biometrický prípad použitia je známy, klasifikovaný, odôvodnený a ohraničený.

Najprv DPIA, až potom zavedenie

Ak pre biometrické systémy platí jedno prevádzkové pravidlo, je jednoduché: nedovoľte, aby obstarávanie predbehlo DPIA.

Biometrické technológie často zahŕňajú PII osobitnej kategórie, jednoznačnú identifikáciu, systematické monitorovanie, profilovanie podvodov, zraniteľné dotknuté osoby, nerovnováhu na pracovisku, inovatívnu technológiu alebo automatizovanú podporu rozhodovania. Ide o typické spúšťače DPIA. DPIA nie je len formulár ochrany súkromia. Je to miesto, kde organizácia testuje nevyhnutnosť, proporcionalitu, alternatívy, zvyškové riziko, ochranné opatrenia, transparentnosť, uchovávanie, závislosť od dodávateľa a vplyv incidentu.

Podniková Data Protection and Privacy Policy vyžaduje formálnu analýzu pre vysokorizikové systémy:

Modelovanie hrozieb a posúdenia vplyvu na ochranu údajov (DPIA) sú povinné pre vysokorizikové systémy spracúvania.

Zo sekcie „Požiadavky na implementáciu politiky“, ustanovenie politiky 6.3.4.

PIMS-špecifická Privacy Risk Assessment and DPIA Policy Privacy Risk Assessment and DPIA Policy je priamejšia:

[Prevádzkovateľ] Vlastník procesu / vlastník organizácie MUSÍ pred začiatkom spracúvania postúpiť spracúvanie zahŕňajúce veľký rozsah, systematické monitorovanie, profilovanie, automatizované rozhodnutia, PII osobitnej kategórie, údaje o odsúdeniach alebo trestných činoch, zraniteľné dotknuté osoby, inovatívnu technológiu alebo podstatne zmenené spracúvanie vedúcemu ochrany súkromia / manažérovi PIMS v REG04.

Zo sekcie „Spúšťače DPIA a určenie požiadavky“, ustanovenie politiky 4.2.2.

Biometrická DPIA má odpovedať aspoň na tieto otázky:

• Aká biometrická modalita sa spracúva, napríklad tvár, odtlačok prsta, hlas, dúhovka, dlaň alebo behaviorálny vzor?
• Používajú sa biometrické údaje na jednoznačnú identifikáciu alebo iba na lokálne overenie zariadenia?
• Je organizácia prevádzkovateľ, sprostredkovateľ, spoločný prevádzkovateľ alebo ďalší sprostredkovateľ?
• Aká nebiometrická alternatíva existuje a je dostupná za rovnakých podmienok?
• Vyžaduje sa výslovný súhlas a môže byť slobodne udelený a odvolaný?
• Ukladajú sa surové biometrické snímky, zvuk alebo šablóny?
• Kde sa šablóny ukladajú, napríklad v bezpečnej enkláve zariadenia, centrálnom systéme alebo dodávateľskom cloude?
• Kto má prístup k šablónam, skóre zhody a biometrickým logom?
• Aké uchovávanie sa uplatňuje na zapísaných používateľov, zamietnutých žiadateľov, neaktívne účty a ukončených zamestnancov?
• Ako sa preukazuje výmaz a uplynutie platnosti záloh?
• Čo sa deje po falošných pozitívnych výsledkoch, falošných zamietnutiach alebo chybách automatizovaného rozhodovania?
• Ktorí ďalší sprostredkovatelia sú zapojení a kde sa údaje spracúvajú?

Vo Finure sa DPIA stala centrálnym dokumentom správy a riadenia. Spustenie nezrušila. Z rizikového nápadu vytvorila kontrolovaný implementačný plán.

Výslovný súhlas a problém vynúteného pohodlia

Biometrické programy sa často opierajú o súhlas, pretože to pôsobí intuitívne. Osoba zapíše svoju tvár, hlas alebo odtlačok prsta, takže predsa súhlasila. Súhlas na úrovni GDPR musí byť konkrétny, informovaný, jednoznačný a slobodne udelený. Keď sa vyžaduje výslovný súhlas podľa Article 9, štandard je vyšší.

V pracovnoprávnom kontexte alebo tam, kde prístup k nevyhnutnej službe závisí od biometrického zápisu, môže byť súhlas ťažko obhájiteľný, pokiaľ neexistuje skutočná alternatíva. „Pohodlná“ biometrická možnosť sa stáva problematickou, ak je alternatíva skrytá, pomalšia, sankcionovaná alebo nedostupná.

Clarysec Consent and Preference Management Policy Consent and Preference Management Policy poskytuje prevádzkové pravidlo:

[Podmienené] Vedúci ochrany súkromia / manažér PIMS MUSÍ pred začiatkom spracúvania označiť súhlas v REG05 ako výslovný tam, kde sa pre zvolený účel vyžaduje výslovný súhlas.

Zo sekcie „Žiadosť o súhlas a jeho získanie“, ustanovenie politiky 4.2.5.

Pre biometrické systémy má REG05 ukazovať:

• Presné znenie súhlasu.
• Biometrický účel, napríklad autentifikácia, prevencia podvodov, riadenie prístupu alebo overenie identity.
• Či je súhlas výslovný.
• Dátum, kanál a verziu oznámenia.
• Spôsob odvolania.
• Nebiometrickú alternatívu.
• Či odmietnutie ovplyvní prístup k službe.
• Systémový spúšťač, ktorý po odvolaní zastaví spracúvanie.

MSP Data Protection and Privacy Policy-sme uvádza:

Ochrana súkromia už od návrhu a štandardne sa musí presadzovať vo všetkých nových systémoch a službách.

Zo sekcie „Požiadavky na správu a riadenie“, ustanovenie politiky 5.3.1.

V biometrických systémoch ochrana súkromia v predvolenom nastavení znamená, že používatelia nie sú zapisovaní potichu, surové snímky sa neuchovávajú bez odôvodnenia, biometrické porovnávanie sa bez opätovného posúdenia nevyužíva na analytiku a alternatívy nie sú skryté za ticketmi podpory.

Klasifikujte celý biometrický súbor údajov

Biometrický systém nemožno riadiť, ak sú biometrické údaje neviditeľné v evidencii aktív.

Podniková Data Classification and Labeling Policy Clarysec Data Classification and Labeling Policy uvádza:

Zabezpečuje, aby osobné údaje podliehajúce GDPR, DORA alebo iným právnym predpisom o ochrane súkromia boli správne klasifikované (napr. označené ako „Dôverné“ alebo „Obmedzené“).

Zo sekcie „Roly a zodpovednosti“, ustanovenie politiky 4.6.1.

Pre MSP Data Classification and Labeling Policy-sme Data Classification and Labeling Policy - SME stanovuje očakávanie ochrany:

Všetky údaje klasifikované ako „Dôverné“ musia dostať najvyššiu úroveň ochrany:

Zo sekcie „Požiadavky na správu a riadenie“, ustanovenie politiky 5.2.

Klasifikácia má zahŕňať viac než databázu šablón:

ISO/IEC 27001:2022 túto disciplínu posilňuje. Kapitoly 4.1 až 4.4 vyžadujú, aby organizácia určila kontext, požiadavky zainteresovaných strán, rozsah ISMS a závislosti. Kapitoly 6.1.1 až 6.1.3 vyžadujú posúdenie rizík, ošetrenie rizík, vyhlásenie o uplatniteľnosti a schválenie vlastníkom rizika. Ak biometrické systémy ovplyvňujú dôvernosť, integritu, dostupnosť alebo ochranu súkromia, patria do rozsahu.

Bezpečnostné kontroly: šifrovanie je iba jedna vrstva

Biometrická bezpečnosť vyžaduje viacvrstvové riadenie. Šifrovanie je dôležité, ale nedokáže napraviť slabý právny základ, nadmerné uchovávanie, nekontrolovaný prístup dodávateľa ani chýbajúce dôkazy o výmaze.

Zenith Blueprint, fáza Controls in Action, krok 20, vysvetľuje kontrolu ISO/IEC 27002:2022 8.24, Use of Cryptography:

Táto kontrola nie je iba o „zapnutí šifrovania“; ide o zabudovanie kryptografie do návrhu organizácie, politiky a riadenia životného cyklu.

Clarysec PII Security and Access Control Policy PII Security and Access Control Policy stanovuje pravidlo PIMS pre citlivé PII:

[Obe roly] Vedúci informačnej bezpečnosti MUSÍ v REG12 definovať požiadavky na šifrovanie alebo schválené kompenzačné ochranné opatrenia skôr, ako sa PII s vysokým vplyvom, citlivé PII alebo externe prenášané PII uloží, prenesie alebo sprístupní.

Zo sekcie „Šifrovanie a bezpečné úložisko“, ustanovenie politiky 4.5.1.

REG12 má definovať biometrické ochranné opatrenia, ako sú šifrovanie v pokoji, šifrovanie pri prenose, vlastníctvo kľúčov, rotácia kľúčov, administrátorská MFA, schvaľovanie prístupu, oddelenie identitných údajov od biometrických šablón, logovanie udalostí zápisu, porovnania, exportu a výmazu, monitorovanie neobvyklého prístupu k šablónam, bezpečný výmaz a spúšťače incidentov pri kompromitácii šablóny.

V Zenith Controls sú kontroly ISO/IEC 27002:2022 5.17, Authentication Information, a 8.5, Secure Authentication, obzvlášť dôležité, pretože biometria je často zabudovaná do autentifikačných tokov. Otázkou nie je len to, či je biometrické prihlásenie bezpečné. Otázkou je aj to, či sú kontrolované náhradné metódy, obnovovacie toky, detekcia živosti, privilegovaný prístup a cesty obídenia biometrie.

Uchovávanie, výmaz a biometrický cintorín

Biometrické systémy často uchovávajú viac údajov, než si tímy uvedomujú: neúspešné zápisy, staré šablóny, neaktívnych používateľov, balíky podpory, archivované databázy, snapshoty a zálohy. Vzniká tak problém biometrického cintorína. Údaje už nie sú prevádzkovo užitočné, ale zostávajú vysoko citlivé.

Podniková Data Protection and Privacy Policy uvádza:

Osobné údaje (PII) sa nesmú uchovávať dlhšie, než je nevyhnutné.

Zo sekcie „Požiadavky na implementáciu politiky“, ustanovenie politiky 6.5.1.

Zenith Blueprint, fáza Controls in Action, krok 19, vysvetľuje kontrolu ISO/IEC 27002:2022 8.10, Information Deletion:

Táto kontrola zabezpečuje, aby sa údaje neuchovávali dlhšie, než je nevyhnutné, a keď už nie sú potrebné, musia byť bezpečne a spoľahlivo vymazané.

Pri biometrických údajoch musí byť výmaz navrhnutý priamo v systéme. Pravidlá majú pokrývať odvolanie súhlasu, zrušenie účtu, ukončenie pracovného pomeru, neúspešný onboarding po uplynutí lehôt na odvolanie, neaktívne účty, výmenu zariadenia, ukončenie zmluvy s dodávateľom, právnu blokáciu, uplynutie platnosti záloh a kryptografické vymazanie, kde je to vhodné.

Audítori neprijmú tvrdenie „výmaz rieši dodávateľ“, pokiaľ neviete preukázať ako, kedy, na základe akého spúšťača a s akými dôkazmi.

Riadenie dodávateľov: dodávateľ je súčasťou kontrolného prostredia

Väčšina organizácií nestavia biometrické enginy od základov. Spoliehajú sa na dodávateľov pri porovnávaní tváre, hlasovom overovaní, detekcii živosti, hardvéri na riadenie prístupu, SDK, skórovaní podvodov, cloudovom úložisku alebo analytike podpory. Preto je riadenie dodávateľov kľúčové.

Podniková Data Protection and Privacy Policy vyžaduje prehodnotenie dodávateľov:

Tímy obstarávania a právneho a regulačného súladu musia overiť súlad s Article 28 GDPR a vyžadovať ročné prehodnotenie všetkých vysokorizikových dodávateľov.

Zo sekcie „Uplatňovanie politiky a súlad“, ustanovenie politiky 8.5.2.

Processor, Subprocessor and Third-Party Privacy Management Policy Processor, Subprocessor and Third-Party Privacy Management Policy pridáva schvaľovací kontrolný bod PIMS:

[Podmienené] Zodpovedná osoba pre ochranu osobných údajov / poradca pre ochranu súkromia MUSÍ poskytnúť odporúčanie v REG04 alebo REG12 pred schválením vzťahu zahŕňajúceho vysoké zvyškové riziko ochrany súkromia, PII osobitnej kategórie, spracúvanie vo veľkom rozsahu, systematické monitorovanie alebo nevyriešenú klasifikáciu rolí.

Zo sekcie „Due diligence a posúdenie rizík“, ustanovenie politiky 4.2.4.

MSP Third-Party and Supplier Security Policy-sme Third-Party and Supplier Security Policy - SME pripomína menším podnikom, že zmluvy sú kontrolnou plochou:

Zmluvy musia obsahovať povinné doložky pokrývajúce:

Zo sekcie „Požiadavky na správu a riadenie“, ustanovenie politiky 5.3.

Zenith Blueprint, fáza Controls in Action, krok 23, opisuje kontrolu ISO/IEC 27002:2022 5.20, Addressing Information Security Within Supplier Agreements:

Dôvera voči dodávateľom nemôže stáť na predpokladoch. Musí byť zakotvená v pravidlách a zmluvách.

Biometrické zmluvy majú pokrývať rolu sprostredkovateľa, obmedzenie účelu, schvaľovanie ďalších sprostredkovateľov, lokalitu údajov, šifrovanie, riadenie prístupu, oznámenie incidentu, práva na audit, výmaz, vrátenie údajov, prístup technickej podpory, spoluprácu pri porušení ochrany osobných údajov, obmedzenia tréningu modelov a ustanovenie o pomoci pri ukončení.

Pre finančné subjekty v rozsahu DORA môžu byť dodávatelia biometrickej identity externými poskytovateľmi služieb IKT. DORA sa uplatňuje od 17. januára 2025 a očakáva, že finančné subjekty budú riadiť riziká IKT, nahlasovanie incidentov, testovanie prevádzkovej odolnosti a riziko IKT tretích strán. Ak biometrický onboarding podporuje kritickú alebo dôležitú funkciu, dodávateľské zmluvy, eskalácia incidentov, testovanie odolnosti a plány ukončenia sa stávajú dôkazmi prevádzkovej odolnosti aj dôkazmi ochrany súkromia.

NIS2 je tiež relevantná pre mnohých poskytovateľov cloudových služieb, SaaS, riadených služieb, riadených bezpečnostných služieb, digitálnej infraštruktúry a riadenia služieb IKT. Jej očakávania v oblasti riadenia rizík sa výrazne prekrývajú s ISO/IEC 27001:2022 a dôkazovým reťazcom biometrického PIMS.

Mapovanie súladu naprieč rámcami pre správu a riadenie biometrických údajov

Správa a riadenie biometrie nemá vytvárať oddelené silá pre GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 a COBIT 19. Jeden dôkazový model môže podporiť mnoho povinností.

Pre subjekty NIS2 môžu významné incidenty vyžadovať včasné varovanie do 24 hodín, oznámenie incidentu do 72 hodín a záverečnú správu do jedného mesiaca. Ak je platforma biometrickej identity narušená alebo kompromitovaná, môžu sa súčasne spustiť bezpečnostné, súkromnostné aj prevádzkové oznamovacie pracovné postupy.

Auditný pohľad: na čo sa budú pýtať hodnotitelia

Rôzni audítori testujú správu a riadenie biometrie z odlišných uhlov. Clarysec používa Zenith Controls na prepojenie kontrol ISO/IEC 27002:2022 s dôkazmi ochrany súkromia, autentifikácie, dodávateľov, šifrovania, výmazu, incidentov a auditu.

Medzi bežné auditné zistenia patria technické kontroly bez rozhodnutí správy a riadenia, právny základ podľa Article 6 bez podmienky podľa Article 9, DPIA dokončené až po spustení do produkčného prostredia, záznamy o súhlase bez spúšťačov výmazu, dodávateľské zmluvy bez biometricky špecifických doložiek a playbooky incidentov, ktoré kompromitáciu biometrickej šablóny riešia ako bežnú kompromitáciu prihlasovacích údajov.

Praktický schvaľovací pracovný postup pre biometrický onboarding

Organizácia vedená prístupom Clarysec, ktorá rieši overovanie tváre pri onboardingu zákazníkov, by postupovala štruktúrovane:

1. Vytvoriť záznam o spracúvaní v REG02.
2. Identifikovať roly prevádzkovateľa, sprostredkovateľa a ďalšieho sprostredkovateľa.
3. Zaznamenať právny základ podľa Article 6 a podmienku podľa Article 9, ak sa biometrické údaje používajú na jednoznačnú identifikáciu.
4. Zaznamenať kategórie údajov, ako sú selfie, snímka dokladu, biometrická šablóna, výsledok detekcie živosti, skóre zhody, auditné logy a exporty podpory.
5. Spustiť REG04 DPIA pred implementáciou.
6. Posúdiť nevyhnutnosť, proporcionalitu a nebiometrické alternatívy.
7. Definovať výslovný súhlas v REG05, kde sa vyžaduje.
8. Klasifikovať surové snímky a šablóny ako Obmedzené alebo s najvyššou citlivosťou.
9. Definovať bezpečnostné požiadavky REG12 na šifrovanie, správu kľúčov, prístup, logovanie, monitorovanie, obmedzenia exportu a výmaz.
10. Preskúmať due diligence dodávateľa, zoznam ďalších sprostredkovateľov, miesto hostovania, oznámenie incidentu, práva na audit a proces potvrdenia o výmaze.
11. Pridať pravidlá uchovávania pre úspešný onboarding, neúspešný onboarding, odvolaný súhlas, odvolania, vyšetrovania podvodov a zálohy.
12. Schváliť zvyškové riziko s menovanými vlastníkmi.
13. Uložiť auditné dôkazy do dôkazového repozitára PIMS.
14. Preskúmať účinnosť po spustení a po zmenách dodávateľa.

Tým CISO získava technické dôkazy ku kontrolám, DPO preukázateľnú zodpovednosť v oblasti ochrany súkromia, obstarávanie zmluvné kontrolné body, produktový tím cestu k spusteniu a audítori sledovateľný príbeh.

Premeňte biometrické riziko na dôveru

Vo Finure Mária biometrickú funkciu nezrušila. Nastavila ju nanovo. Produktový a vývojový tím integrovali požiadavky PIMS do životného cyklu vývoja. Tok súhlasu sa stal výslovným a oddeleným. Zmluva s dodávateľom získala silnejšie záväzky týkajúce sa výmazu, auditu, porušenia ochrany osobných údajov a ďalších sprostredkovateľov. REG02, REG04, REG05 a REG12 sa stali dôkazovou chrbticou. Pre zrušené údaje bolo zavedené kryptografické vymazanie. Spustenie sa posunulo o jeden štvrťrok, ale prebehlo na základe dôvery.

To je podstata správy a riadenia biometrických údajov. Nezakazuje inovácie. Robí ich obhájiteľnými.

Vaše ďalšie kroky sú priamočiare:

1. Zinventarizujte každý biometrický prípad použitia vrátane prístupu na pracovisko, onboardingu zákazníkov, autentifikácie zariadení, prevencie podvodov a hlasového overovania.
2. Klasifikujte údaje a potvrďte, či sa používajú na jednoznačnú identifikáciu.
3. Zaznamenajte právny základ a každú podmienku osobitnej kategórie v registri spracúvania.
4. Vykonajte DPIA pred začiatkom nového alebo podstatne zmeneného spracúvania.
5. Overte výslovný súhlas a alternatívy, kde sa vyžadujú.
6. Preskúmajte dodávateľské zmluvy a ďalších sprostredkovateľov.
7. Definujte dôkazy o šifrovaní, prístupe, logovaní, monitorovaní a výmaze.
8. Namapujte dôkazy na očakávania ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 a COBIT 19.

Clarysec vám môže pomôcť premeniť správu a riadenie biometrických údajov na pracovný postup PIMS pripravený na audit. Začnite s Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, overte mapovanie naprieč rámcami pomocou Zenith Controls: The Cross-Compliance Guide Zenith Controls a operacionalizujte dôkazy prostredníctvom sady politík Clarysec ISO/IEC 27701:2025 PIMS vrátane PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Consent and Preference Management Policy, PII Security and Access Control Policy a Processor, Subprocessor and Third-Party Privacy Management Policy.

Biometria môže posilniť bezpečnosť a zlepšiť používateľskú skúsenosť. Trvalú dôveru si však získava iba riadená biometria.