Upravljanje biometričnih podatkov v skladu z GDPR in ISO 27701

Zahteva za nujni sestanek je z vso težo pristala v poštnem predalu CISO Marie Petrove. Zadeva sporočila se je glasila: »NUJNO: biometrična avtentikacija – odločitev go/no-go za lansiranje v Q3.«

Maria je vedela, kaj stoji za tem. Njeno podjetje, hitro rastoči FinTech Finura, se je pripravljalo na uvedbo potrjevanja plačil v aplikaciji z uporabo prepoznave obraza in prstnih odtisov. Produktna ekipa je videla funkcionalnost, ki lahko določi položaj na trgu. Upravni odbor je videl hitrejše sprejemanje storitve. Ekipe za preprečevanje goljufij so videle manj lažnih računov. COO je videl manj trenja. Maria je videla drugačno sliko: posebne vrste osebnih podatkov, sprožilce za DPIA, odvisnost od dobavitelja, tveganje hrambe, umik privolitve, operativno odpornost in scenarij kršitve, ki ga ni mogoče rešiti z izdajo novega gesla.

Pritisk se je med klicem pojavil takoj. »Konkurenca je več mesecev za nami,« je trdil vodja produkta. »Zamude si ne moremo privoščiti.«

Nato so se začela vprašanja.

Ali je bila izrecna privolitev zasnovana in zabeležena? Ali obstajata veljavna pravna podlaga po členu 6 GDPR in pogoj po členu 9? Ali je bil biometrični dobavitelj preverjen kot tretja oseba na področju IKT v skladu s pričakovanji DORA? Ali je kdo izvedel oceno učinka v zvezi z varstvom podatkov pred začetkom inženirskih aktivnosti? Ali lahko Finura dokaže, da bo preklicana obrazna predloga izbrisana iz produkcijskih sistemov, varnostnih kopij in okolij dobavitelja?

Tišina je povedala vse.

Upravljanje biometričnih podatkov je drugačno, ker je identifikator oseba sama. Geslo je mogoče zamenjati. Kartico je mogoče nadomestiti. Kompromitirane obrazne predloge, vzorca prstnega odtisa, glasovnega odtisa, predloge žil v dlani ali identifikatorja, izpeljanega iz šarenice, ni mogoče smiselno spremeniti. Kadar se biometrični podatki uporabljajo za enolično identifikacijo, jih GDPR obravnava kot posebne vrste osebnih podatkov. ISO/IEC 27701:2025 pričakuje sistem upravljanja informacij o zasebnosti oziroma PIMS, ki lahko dokaže, zakaj je obdelava potrebna, kako je nadzorovana, kdo jo je odobril, kako dolgo se podatki hranijo, kateri dobavitelji imajo stik z njimi ter kako se obravnavajo zahteve za uveljavljanje pravic in incidenti.

Težava je, da številne organizacije kupijo biometrični identitetni produkt, izpolnijo varnostni vprašalnik, dodajo generično obvestilo o zasebnosti in predpostavijo, da šifriranje rešuje zadevo. Ne rešuje je. Šifriranje je potrebno, vendar upravljanje biometrije zahteva povezan operativni model.

Pristop Clarysec združuje upravljanje ISO/IEC 27701:2025 PIMS, dokazila o kontrolah ISO/IEC 27001:2022, odgovornost po GDPR in preslikavanje med okviri prek Zenith Controls: The Cross-Compliance Guide Zenith Controls. V Zenith Controls je sklop upravljanja biometrije zasidran okoli kontrole ISO/IEC 27002:2022 5.34, Privacy and Protection of PII, podpirajo pa ga 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography, ter kontrole dobaviteljev, kot je 5.20, Addressing Information Security Within Supplier Agreements.

Cilj ni upočasniti inovacij. Cilj je zagotoviti, da so biometrična avtentikacija, preverjanje identitete, dostop na delovnem mestu in preprečevanje goljufij zagovorljivi, sorazmerni, varni in pripravljeni na presojo.

Zakaj upravljanje biometrije odpove tudi v zrelih podjetjih

Podjetje ima lahko močan varnostni program, pa ima kljub temu šibko upravljanje biometrije.

Predstavljajte si ponudnika SaaS, ki uvaja preverjanje obraza pri uvajanju strank. Varnostna ekipa zahteva TLS, šifrirano hrambo, administratorsko MFA, nadzor dostopa in beleženje. Dobavitelj trdi, da so biometrične predloge »nepovratne«. Produktna ekipa dokumentira zmanjšanje goljufij kot poslovno utemeljitev. Pravna služba pregleda pogodbo o obdelavi osebnih podatkov. Nabava označi dobavitelja kot preverjenega.

Nato presojevalec zastavi pet vprašanj:

1. Kje je evidentirana dejavnost biometrične obdelave?
2. Kakšna je pravna podlaga po členu 6 GDPR in, kjer je relevantno, pogoj za obdelavo posebnih vrst podatkov po členu 9?
3. Ali je bila DPIA izvedena pred začetkom obdelave?
4. Ali lahko dokažete, da se biometrične predloge izbrišejo, ko namen preneha?
5. Kaj se zgodi, če biometrični dobavitelj utrpi kršitev ali spremeni podobdelovalce?

Če so odgovori razpršeni po e-poštnih nizih, nabavnih zahtevkih, produktnih zapiskih in portalu dobavitelja, program ni pripravljen na presojo.

Člen 5 GDPR zahteva zakonitost, poštenost, preglednost, omejitev namena, najmanjši obseg podatkov, točnost, omejitev shranjevanja, celovitost, zaupnost in odgovornost. Člen 6 zahteva pravno podlago. Člen 9 dodaja strožji pogoj, kadar se biometrični podatki obdelujejo za namen enolične identifikacije osebe. Opredelitve v členu 4 so pomembne, ker obdelava vključuje zbiranje, hrambo, uporabo, razkritje, izbris in uničenje. Psevdonimizacija pomaga le, kadar so dodatne identifikacijske informacije ločeno zaščitene z ustreznimi tehničnimi in organizacijskimi ukrepi.

Za podjetja zunaj EU se GDPR lahko še vedno uporablja, kadar ponujajo blago ali storitve posameznikom v EU ali spremljajo vedenje, ki poteka v EU. Zato so biometrično uvajanje strank, točkovanje goljufij, oddaljeni dostop delovne sile, glasovno preverjanje v klicnih centrih in preverjanje identitete strank relevantni daleč zunaj Evrope.

Neuspeh upravljanja je redko posledica ene manjkajoče kontrole. Običajno gre za odsotnost povezane verige dokazil.

Veriga dokazil Clarysec za biometrični PIMS

Clarysec biometrične primere uporabe obravnava kot obdelavo osebnih podatkov, upravljano skozi življenjski cikel, in ne kot samostojne funkcionalnosti avtentikacije. Veriga dokazil se začne, preden je sistem kupljen, konfiguriran ali uveden.

V Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint faza »Kontrole v praksi«, korak 23, opisuje kontrolo ISO/IEC 27002:2022 5.34 tako:

Imena, naslovi, identifikacijske številke, zdravstvene evidence, finančni podatki — ti podatki pripovedujejo zgodbo o resničnih ljudeh. Kadar se z njimi ravna neustrezno, so ukradeni ali zlorabljeni, posledice segajo daleč prek neuspehov skladnosti. Postanejo vprašanje posega v posameznika, škode za ugled in pravne izpostavljenosti.

Pri biometričnih identifikatorjih je to sporočilo še ostrejše. Biometrična predloga ni zgolj prijavni podatek. Povezana je s fizičnimi ali vedenjskimi značilnostmi osebe in se lahko uporablja za enolično identifikacijo te osebe.

Zagovorljiv delovni tok upravljanja biometrije poveže sedem odločitev s sedmimi vrstami dokazil:

To je razlika med »biometrijo uporabljamo varno« in »lahko dokažemo upravljanje biometričnih podatkov po GDPR in ISO/IEC 27701:2025«.

Pravna podlaga ni kljukica na seznamu

Biometrični projekti pogosto odpovejo pri pravni podlagi, ker ekipe zamenjujejo varnostno vrednost s pravnim dovoljenjem.

Člen 6 GDPR zahteva pravno podlago, kot so privolitev, nujnost za izvajanje pogodbe, zakonska obveznost, življenjski interesi, naloga v javnem interesu ali zakoniti interesi, kjer je to mogoče. Člen 9 načeloma prepoveduje obdelavo biometričnih podatkov za enolično identifikacijo, razen če velja posebna izjema, kot so izrecna privolitev, obveznosti na področju delovnega prava in socialne varnosti po zakonu, življenjski interesi, pomemben javni interes, zdravstvena oskrba, javno zdravje, pravni zahtevki ali raziskovanje in arhiviranje z zaščitnimi ukrepi.

Biometrična registracija delovnega časa zaposlenih, dostop skozi vrata s prstnim odtisom, uvajanje strank s prepoznavo obraza in glasovna avtentikacija lahko zahtevajo različne analize. Ista tehnologija lahko vodi do različnih rezultatov glede pravne podlage glede na namen, izbiro uporabnika, neravnotežje moči, lokalno zakonodajo, sorazmernost in razpoložljivost nebiometričnih alternativ.

Clarysecova Enterprise Politika varstva podatkov in zasebnosti Politika varstva podatkov in zasebnosti jasno določa izhodišče:

Vsa obdelava mora temeljiti na veljavni pravni podlagi (npr. privolitev, pogodba, zakonska obveznost).

Iz razdelka »Zahteve za izvajanje politike«, klavzula politike 6.1.1.

Za posebne vrste podatkov Clarysecova Politika popisa dejavnosti obdelave PII in pravne podlage Politika popisa dejavnosti obdelave PII in pravne podlage zaostri zahtevo glede dokazil:

[Pogojno] Lastnik procesa / lastnik poslovnega področja MORA v REG02 evidentirati pogoj za obdelavo posebnih vrst podatkov pred začetkom obdelave posebnih vrst osebnih podatkov.

Iz razdelka »Evidence namenov upravljavca in pravnih podlag«, klavzula politike 4.2.6.

Za MSP Clarysec uporablja enako disciplino v enostavnejšem operativnem modelu. MSP Politika varstva podatkov in zasebnosti-sme Politika varstva podatkov in zasebnosti - MSP določa:

Koordinator za zasebnost mora vzdrževati evidenco vseh dejavnosti obdelave osebnih podatkov, vključno s kategorijami podatkov, namenom, pravno podlago in roki hrambe.

Iz razdelka »Zahteve upravljanja«, klavzula politike 5.2.1.

Dodaja še:

Pravna podlaga (npr. privolitev, pogodba, zakonska obveznost) mora biti dokumentirana v registru obdelave.

Iz razdelka »Zahteve za izvajanje politike«, klavzula politike 6.1.2.

Pri upravljanju biometričnih podatkov register obdelave ni administrativno urejanje dokumentacije. Je kontrolna točka, kjer organizacija dokaže, da je biometrični primer uporabe znan, razvrščen, utemeljen in omejen.

Najprej DPIA, nato uvedba

Če za biometrične sisteme velja eno operativno pravilo, je preprosto: nabava ne sme prehiteti DPIA.

Biometrične tehnologije pogosto vključujejo posebne vrste osebnih podatkov, enolično identifikacijo, sistematično spremljanje, oblikovanje profilov za preprečevanje goljufij, ranljive posameznike, neravnotežje na delovnem mestu, inovativno tehnologijo ali avtomatizirano podporo odločanju. To so klasični sprožilci za DPIA. DPIA ni zgolj obrazec o zasebnosti. Je mesto, kjer organizacija preveri potrebnost, sorazmernost, alternative, preostalo tveganje, varovalne ukrepe, preglednost, hrambo, odvisnost od dobaviteljev in vpliv incidentov.

Enterprise Politika varstva podatkov in zasebnosti zahteva formalno analizo za sisteme z visokim tveganjem:

Modeliranje groženj in ocene učinka v zvezi z varstvom podatkov (DPIA) so obvezne za sisteme obdelave z visokim tveganjem.

Iz razdelka »Zahteve za izvajanje politike«, klavzula politike 6.3.4.

PIMS-specifična Politika ocenjevanja tveganj za zasebnost in DPIA Politika ocenjevanja tveganj za zasebnost in DPIA je neposrednejša:

[Upravljavec] Lastnik procesa / lastnik poslovnega področja MORA obdelavo, ki vključuje velik obseg, sistematično spremljanje, oblikovanje profilov, avtomatizirane odločitve, posebne vrste osebnih podatkov, podatke o kazenskih obsodbah ali prekrških, ranljive posameznike, na katere se nanašajo osebni podatki, inovativno tehnologijo ali bistveno spremenjeno obdelavo, pred začetkom obdelave napotiti vodji zasebnosti / vodji PIMS v REG04.

Iz razdelka »Sprožilci DPIA in določitev zahteve«, klavzula politike 4.2.2.

Biometrična DPIA mora odgovoriti vsaj na ta vprašanja:

• Katera biometrična modalnost se obdeluje, na primer obraz, prstni odtis, glas, šarenica, dlan ali vedenjski vzorec?
• Ali se biometrični podatki uporabljajo za enolično identifikacijo ali samo za lokalno preverjanje na napravi?
• Ali je organizacija upravljavec, obdelovalec, skupni upravljavec ali podobdelovalec?
• Katera nebiometrična alternativa obstaja in ali je enako dostopna?
• Ali je zahtevana izrecna privolitev in ali jo je mogoče dati prostovoljno ter umakniti?
• Ali se hranijo surove biometrične slike, zvočni posnetki ali predloge?
• Kje se hranijo predloge, na primer v varnem prostoru naprave, centralnem sistemu ali oblaku dobavitelja?
• Kdo lahko dostopa do predlog, rezultatov ujemanja in biometričnih dnevnikov?
• Kakšna hramba velja za vpisane uporabnike, zavrnjene prosilce, mirujoče račune in zaposlene po prenehanju?
• Kako se dokazujeta izbris in potek varnostnih kopij?
• Kaj se zgodi po lažno pozitivnih rezultatih, lažnih zavrnitvah ali napakah avtomatiziranih odločitev?
• Kateri podobdelovalci so vključeni in kje se podatki obdelujejo?

Pri Finuri je DPIA postala osrednji dokument upravljanja. Uvedbe ni odpovedala. Tvegano zamisel je spremenila v nadzorovan načrt implementacije.

Izrecna privolitev in problem vsiljene priročnosti

Biometrični programi se pogosto opirajo na privolitev, ker se zdi intuitivna. Oseba vpiše svoj obraz, glas ali prstni odtis, zato je gotovo privolila. Privolitev na ravni GDPR mora biti specifična, informirana, nedvoumna in prostovoljna. Kadar je po členu 9 zahtevana izrecna privolitev, je standard višji.

V delovnih razmerjih ali kadar je dostop do nujne storitve odvisen od biometričnega vpisa, je privolitev težko zagovarjati, razen če obstaja dejanska alternativa. »Priročna« biometrična možnost postane problematična, če je alternativa skrita, počasnejša, kaznovalna ali nedostopna.

Clarysecova Politika upravljanja privolitev in preferenc Politika upravljanja privolitev in preferenc določa operativno pravilo:

[Pogojno] Vodja zasebnosti / vodja PIMS MORA pred začetkom obdelave v REG05 označiti privolitev kot izrecno, kadar je za izbrani namen zahtevana izrecna privolitev.

Iz razdelka »Zahteva za privolitev in zajem«, klavzula politike 4.2.5.

Za biometrične sisteme mora REG05 prikazovati:

• Točno besedilo privolitve.
• Biometrični namen, kot so avtentikacija, preprečevanje goljufij, nadzor dostopa ali preverjanje identitete.
• Ali je privolitev izrecna.
• Datum, kanal in različico obvestila.
• Način umika.
• Nebiometrično alternativo.
• Ali zavrnitev vpliva na dostop do storitve.
• Sistemski sprožilec, ki po umiku ustavi obdelavo.

MSP Politika varstva podatkov in zasebnosti-sme določa:

Varstvo zasebnosti že pri načrtovanju in privzeto varstvo zasebnosti morata biti uveljavljena v vseh novih sistemih in storitvah.

Iz razdelka »Zahteve upravljanja«, klavzula politike 5.3.1.

V biometričnih sistemih privzeto varstvo zasebnosti pomeni, da uporabniki niso tiho vpisani, surove slike se ne hranijo brez utemeljitve, biometrično ujemanje se ne uporablja ponovno za analitiko brez ponovne presoje, alternative pa niso skrite za zahtevki za podporo.

Razvrstite celoten biometrični nabor podatkov

Biometričnega sistema ni mogoče upravljati, če so biometrični podatki nevidni v evidenci sredstev.

Clarysecova Enterprise Politika klasifikacije in označevanja podatkov Politika klasifikacije in označevanja podatkov določa:

Zagotavlja, da so osebni podatki, za katere veljajo GDPR, DORA ali drugi predpisi o zasebnosti, pravilno razvrščeni (npr. označeni kot »zaupno« ali »omejeno«).

Iz razdelka »Vloge in odgovornosti«, klavzula politike 4.6.1.

Za MSP Politika klasifikacije in označevanja podatkov-sme Politika klasifikacije in označevanja podatkov - MSP določa pričakovano zaščito:

Vsi podatki, razvrščeni kot »zaupno«, morajo prejeti najvišjo raven zaščite:

Iz razdelka »Zahteve upravljanja«, klavzula politike 5.2.

Razvrščanje mora vključevati več kot samo podatkovno bazo predlog:

ISO/IEC 27001:2022 krepi to disciplino. Točke 4.1 do 4.4 zahtevajo, da organizacija določi kontekst, zahteve zainteresiranih strani, obseg ISMS in odvisnosti. Točke 6.1.1 do 6.1.3 zahtevajo oceno tveganja, obravnavo tveganja, izjavo o uporabnosti in odobritev lastnika tveganja. Če biometrični sistemi vplivajo na zaupnost, celovitost, razpoložljivost ali zasebnost, sodijo v obseg.

Varnostne kontrole: šifriranje je samo ena plast

Varnost biometrije zahteva večplastne kontrole. Šifriranje je pomembno, vendar ne more odpraviti šibke pravne podlage, čezmerne hrambe, nenadzorovanega dostopa dobavitelja ali manjkajočih dokazil o izbrisu.

Faza »Kontrole v praksi« v Zenith Blueprint, korak 20, pojasnjuje kontrolo ISO/IEC 27002:2022 8.24, Use of Cryptography:

Pri tej kontroli ne gre zgolj za »vklop šifriranja«; gre za vgradnjo kriptografije v zasnovo, politiko in upravljanje življenjskega cikla organizacije.

Clarysecova Politika varnosti PII in nadzora dostopa Politika varnosti PII in nadzora dostopa določa pravilo PIMS za občutljive osebne podatke:

[Oba] Vodja informacijske varnosti MORA v REG12 opredeliti zahteve za šifriranje ali odobrene kompenzacijske zaščite, preden se osebni podatki z velikim vplivom, občutljivi ali posredovani navzven hranijo, prenašajo ali omogočijo za dostop.

Iz razdelka »Šifriranje in varna hramba«, klavzula politike 4.5.1.

REG12 mora opredeliti biometrične zaščitne ukrepe, kot so šifriranje podatkov v mirovanju, šifriranje podatkov med prenosom, lastništvo ključev, menjava ključev, administratorska MFA, odobritev dostopa, ločevanje identitetnih podatkov od biometričnih predlog, beleženje dogodkov vpisa, ujemanja, izvoza in izbrisa, spremljanje neobičajnega dostopa do predlog, varni izbris ter sprožilci incidentov pri kompromitaciji predlog.

V Zenith Controls sta kontroli ISO/IEC 27002:2022 5.17, Authentication Information, in 8.5, Secure Authentication, posebej pomembni, ker je biometrija pogosto vgrajena v avtentikacijske tokove. Vprašanje ni le, ali je biometrična prijava varna. Vprašanje je, ali so nadzorovani tudi nadomestni načini, postopki obnovitve, zaznavanje živosti, privilegirani dostop in poti za obhod biometrije.

Hramba, izbris in biometrično pokopališče

Biometrični sistemi pogosto hranijo več podatkov, kot se ekipe zavedajo: neuspele vpise, stare predloge, mirujoče uporabnike, pakete za podporo, arhivirane podatkovne baze, posnetke in varnostne kopije. To ustvarja problem biometričnega pokopališča. Podatki niso več operativno uporabni, vendar ostajajo zelo občutljivi.

Enterprise Politika varstva podatkov in zasebnosti določa:

Osebni podatki (PII) se ne smejo hraniti dlje, kot je potrebno.

Iz razdelka »Zahteve za izvajanje politike«, klavzula politike 6.5.1.

Faza »Kontrole v praksi« v Zenith Blueprint, korak 19, pojasnjuje kontrolo ISO/IEC 27002:2022 8.10, Information Deletion:

Ta kontrola zagotavlja, da se podatki ne hranijo dlje, kot je potrebno, in da se, ko niso več potrebni, varno in zanesljivo izbrišejo.

Pri biometričnih podatkih mora biti izbris vgrajen v sistem. Pravila morajo zajemati umik privolitve, zaprtje računa, prenehanje delovnega razmerja, neuspešno uvajanje po izteku pritožbenih rokov, mirujoče račune, zamenjavo naprave, prenehanje pogodbe z dobaviteljem, pravna zadržanja, potek varnostnih kopij in kriptografski izbris, kjer je ustrezno.

Presojevalci ne bodo sprejeli odgovora »izbris ureja dobavitelj«, razen če lahko dokažete, kako, kdaj, na podlagi katerega sprožilca in s kakšnimi dokazili.

Upravljanje dobaviteljev: dobavitelj je del kontrolnega okolja

Večina organizacij biometričnih mehanizmov ne razvija od začetka. Zanašajo se na dobavitelje za ujemanje obrazov, glasovno preverjanje, zaznavanje živosti, strojno opremo za nadzor dostopa, SDK-je, točkovanje goljufij, shrambo v oblaku ali podporno analitiko. Zato je upravljanje dobaviteljev osrednjega pomena.

Enterprise Politika varstva podatkov in zasebnosti zahteva ponovno presojo dobaviteljev:

Ekipe za nabavo ter pravne zadeve in skladnost morajo preveriti skladnost s členom 28 GDPR ter zahtevati letno ponovno presojo vseh dobaviteljev z visokim tveganjem.

Iz razdelka »Uveljavljanje in skladnost«, klavzula politike 8.5.2.

Politika upravljanja obdelovalcev, podobdelovalcev in zasebnosti tretjih oseb Politika upravljanja obdelovalcev, podobdelovalcev in zasebnosti tretjih oseb dodaja kontrolno točko odobritve PIMS:

[Pogojno] Pooblaščena oseba za varstvo podatkov / svetovalec za zasebnost MORA podati svetovanje v REG04 ali REG12 pred odobritvijo razmerja, ki vključuje visoko preostalo tveganje za zasebnost, posebne vrste osebnih podatkov, obdelavo velikega obsega, sistematično spremljanje ali nerešeno razvrstitev vlog.

Iz razdelka »Skrbni pregled in ocena tveganja«, klavzula politike 4.2.4.

MSP Politika varnosti tretjih oseb in dobaviteljev-sme Politika varnosti tretjih oseb in dobaviteljev - MSP manjša podjetja opozarja, da so pogodbe kontrolna površina:

Pogodbe morajo vključevati obvezne klavzule, ki zajemajo:

Iz razdelka »Zahteve upravljanja«, klavzula politike 5.3.

Faza »Kontrole v praksi« v Zenith Blueprint, korak 23, opisuje kontrolo ISO/IEC 27002:2022 5.20, Addressing Information Security Within Supplier Agreements:

Pri dobaviteljih zaupanje ne sme temeljiti na predpostavkah. Biti mora zapisano v pogodbenih določilih.

Biometrične pogodbe morajo zajemati vlogo obdelovalca, omejitev namena, odobritev podobdelovalcev, lokacijo podatkov, šifriranje, kontrole dostopa, obvestila o incidentih, pravice do revizije, izbris, vračilo podatkov, dostop za podporo, sodelovanje pri kršitvah, omejitve učenja modelov in klavzulo o podpori pri izstopu.

Za finančne subjekte, zajete z DORA, so lahko dobavitelji biometrične identitete tretji ponudniki storitev IKT. DORA se uporablja od 17. januarja 2025 in od finančnih subjektov pričakuje upravljanje tveganj IKT, poročanje o incidentih, testiranje operativne odpornosti in obvladovanje tveganj tretjih ponudnikov IKT. Če biometrično uvajanje podpira kritično ali pomembno funkcijo, postanejo pogodbe z dobavitelji, eskalacija incidentov, testiranje odpornosti in izhodni načrti dokazila o operativni odpornosti ter dokazila o zasebnosti.

NIS2 je pomemben tudi za številne ponudnike storitev v oblaku, SaaS, upravljanih storitev, upravljanih varnostnih storitev, digitalne infrastrukture in upravljanja storitev IKT. Njena pričakovanja glede upravljanja tveganj se močno prekrivajo z ISO/IEC 27001:2022 in verigo dokazil biometričnega PIMS.

Preslikavanje skladnosti med okviri za upravljanje biometričnih podatkov

Upravljanje biometrije ne sme ustvarjati ločenih silosov za GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 in COBIT 19. En model dokazil lahko podpira številne obveznosti.

Za subjekte po NIS2 lahko pomembni incidenti zahtevajo zgodnje opozorilo v 24 urah, obvestilo o incidentu v 72 urah in končno poročilo v enem mesecu. Če je biometrična identitetna platforma motena ali kompromitirana, se lahko sprožijo varnostni, zasebnostni in operativni delovni tokovi poročanja.

Revizijski pogled: kaj bodo pregledovalci vprašali

Različni presojevalci upravljanje biometrije testirajo iz različnih zornih kotov. Clarysec uporablja Zenith Controls za povezovanje kontrol ISO/IEC 27002:2022 z dokazili o zasebnosti, avtentikaciji, dobaviteljih, šifriranju, izbrisu, incidentih in presoji.

Pogoste revizijske ugotovitve vključujejo tehnične kontrole brez odločitev upravljanja, pravno podlago po členu 6 brez pogoja po členu 9, DPIA izvedeno po prehodu v produkcijo, evidence privolitev brez sprožilcev za izbris, pogodbe z dobavitelji brez biometrično specifičnih klavzul ter odzivne priročnike za incidente, ki kompromitacijo biometrične predloge obravnavajo kot običajno kompromitacijo poverilnic.

Praktičen odobritveni delovni tok za biometrično uvajanje strank

Organizacija, ki jo vodi Clarysec in obravnava preverjanje obraza pri uvajanju strank, bi sledila strukturirani poti:

1. Ustvari zapis obdelave v REG02.
2. Opredeli vloge upravljavca, obdelovalca in podobdelovalca.
3. Evidentira pravno podlago po členu 6 in pogoj po členu 9, kadar se biometrični podatki uporabljajo za enolično identifikacijo.
4. Evidentira kategorije podatkov, kot so selfi, slika dokumenta, biometrična predloga, rezultat zaznavanja živosti, rezultat ujemanja, revizijski dnevniki in izvozi za podporo.
5. Sproži REG04 DPIA pred implementacijo.
6. Presodi potrebnost, sorazmernost in nebiometrične alternative.
7. Opredeli izrecno privolitev v REG05, kjer je zahtevana.
8. Razvrsti surove slike in predloge kot omejene ali najvišje občutljive.
9. Opredeli varnostne zahteve REG12 za šifriranje, upravljanje ključev, dostop, beleženje, spremljanje, omejitve izvoza in izbris.
10. Pregleda skrbni pregled dobavitelja, seznam podobdelovalcev, lokacijo gostovanja, obvestila o incidentih, pravice do revizije in postopek potrdila o izbrisu.
11. Doda pravila hrambe za uspešno uvajanje, neuspešno uvajanje, umaknjeno privolitev, pritožbe, preiskave goljufij in varnostne kopije.
12. Odobri preostalo tveganje z imenovanimi lastniki.
13. Shrani revizijska dokazila v repozitorij dokazil PIMS.
14. Pregleda učinkovitost po uvedbi in po spremembah dobavitelja.

To CISO zagotovi tehnična dokazila o kontrolah, DPO odgovornost za zasebnost, nabavi pogodbene kontrolne točke, produktu pot do uvedbe, presojevalcem pa sledljivo zgodbo.

Pretvorite biometrično tveganje v zaupanje

Nazaj pri Finuri Maria biometrične funkcionalnosti ni odpovedala. Ponovno jo je postavila na pravilne temelje. Produktna in inženirska ekipa sta zahteve PIMS vključili v življenjski cikel razvoja. Tok privolitve je postal izrecen in ločen. Pogodba z dobaviteljem je dobila močnejše zaveze glede izbrisa, revizije, kršitev in podobdelovalcev. REG02, REG04, REG05 in REG12 so postali hrbtenica dokazil. Za preklicane podatke je bil implementiran kriptografski izbris. Lansiranje se je premaknilo za eno četrtletje, vendar je zaživelo na temelju zaupanja.

To je namen upravljanja biometričnih podatkov. Inovacij ne prepoveduje. Naredi jih zagovorljive.

Vaši naslednji koraki so jasni:

1. Popišite vsak biometrični primer uporabe, vključno z dostopom na delovnem mestu, uvajanjem strank, avtentikacijo naprav, preprečevanjem goljufij in glasovnim preverjanjem.
2. Razvrstite podatke in potrdite, ali se uporabljajo za enolično identifikacijo.
3. Evidentirajte pravno podlago in morebiten pogoj za posebne vrste podatkov v registru obdelave.
4. Izvedite DPIA pred začetkom nove ali bistveno spremenjene obdelave.
5. Potrdite izrecno privolitev in alternative, kjer so zahtevane.
6. Preglejte pogodbe z dobavitelji in podobdelovalce.
7. Opredelite dokazila za šifriranje, dostop, beleženje, spremljanje in izbris.
8. Preslikajte dokazila na pričakovanja ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 in COBIT 19.

Clarysec vam lahko pomaga upravljanje biometričnih podatkov pretvoriti v delovni tok PIMS, pripravljen na presojo. Začnite z Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, potrdite preslikavanje med okviri z Zenith Controls: The Cross-Compliance Guide Zenith Controls in operacionalizirajte dokazila prek nabora politik Clarysec ISO/IEC 27701:2025 PIMS, vključno s Politiko popisa dejavnosti obdelave PII in pravne podlage, Politiko ocenjevanja tveganj za zasebnost in DPIA, Politiko upravljanja privolitev in preferenc, Politiko varnosti PII in nadzora dostopa ter Politiko upravljanja obdelovalcev, podobdelovalcev in zasebnosti tretjih oseb.

Biometrija lahko okrepi varnost in izboljša uporabniško izkušnjo. Trajno zaupanje si zasluži le upravljana biometrija.