Styrning av biometriska uppgifter enligt GDPR och ISO 27701

Begäran om ett akut möte landade med tyngd i inkorgen hos CISO Maria Petrova. Ämnesraden löd: ”AKUT: Biometrisk autentisering – beslut om lansering i Q3.”

Maria visste vad som låg bakom. Hennes företag, ett snabbväxande FinTech-bolag vid namn Finura, förberedde lansering av betalningsverifiering i appen med ansikts- och fingeravtrycksigenkänning. Produktteamet såg en marknadsdefinierande funktion. Styrelsen såg snabbare införande. Bedrägeriteamen såg färre falska konton. COO såg mindre friktion. Maria såg en annan bild: särskilda kategorier av personuppgifter, DPIA-utlösare, leverantörsberoenden, bevaranderisk, återkallelse av samtycke, operativ resiliens och ett incidentscenario som inte kunde lösas genom att utfärda ett nytt lösenord.

Under samtalet kom pressen direkt. ”Konkurrenterna ligger månader efter oss”, argumenterade produktchefen. ”Vi har inte råd att försena detta.”

Sedan började frågorna.

Hade uttryckligt samtycke utformats och registrerats? Fanns det en giltig rättslig grund enligt GDPR Article 6 och ett villkor enligt Article 9? Hade den biometriska leverantören granskats som IKT-tredjepartsleverantör enligt förväntningarna i DORA? Hade någon genomfört en konsekvensbedömning avseende dataskydd innan utvecklingen startade? Kunde Finura visa att en återkallad ansiktsmall skulle raderas från produktionssystem, säkerhetskopior och leverantörsmiljöer?

Tystnaden sade allt.

Styrning av biometriska uppgifter skiljer sig från annan styrning eftersom identifieraren är personen själv. Ett lösenord kan roteras. Ett kort kan ersättas. En komprometterad ansiktsmall, ett fingeravtrycksmönster, ett röstavtryck, en handvenemall eller en irisbaserad identifierare kan inte ändras på ett meningsfullt sätt. När biometriska uppgifter används för unik identifiering behandlar GDPR dem som särskilda kategorier av personuppgifter. ISO/IEC 27701:2025 förutsätter ett ledningssystem för hantering av integritetsinformation, PIMS, som kan visa varför behandlingen är nödvändig, hur den kontrolleras, vem som har godkänt den, hur länge uppgifterna bevaras, vilka leverantörer som hanterar dem och hur begäranden om registrerades rättigheter och incidenter hanteras.

Problemet är att många organisationer köper en biometrisk identitetsprodukt, fyller i ett säkerhetsfrågeformulär, lägger till ett generiskt integritetsmeddelande och utgår från att kryptering löser frågan. Det gör den inte. Kryptering är nödvändig, men biometrisk styrning kräver en sammanhängande operativ modell.

Clarysecs arbetssätt kombinerar PIMS-styrning enligt ISO/IEC 27701:2025, kontrollunderlag enligt ISO/IEC 27001:2022, ansvarsskyldighet enligt GDPR och mappning mellan efterlevnadskrav genom Zenith Controls: The Cross-Compliance Guide Zenith Controls. I Zenith Controls är klustret för biometrisk styrning förankrat i ISO/IEC 27002:2022 kontroll 5.34, Privacy and Protection of PII, med stöd av 5.17, Authentication Information, 8.5, Secure Authentication, 8.10, Information Deletion, 8.24, Use of Cryptography, samt leverantörskontroller såsom 5.20, Addressing Information Security Within Supplier Agreements.

Målet är inte att bromsa innovation. Målet är att göra biometrisk autentisering, identitetskontroll, arbetsplatstillträde och bedrägeriprevention försvarbara, proportionerliga, säkra och revisionsklara.

Varför biometrisk styrning misslyckas i mogna företag

Ett företag kan ha ett starkt säkerhetsprogram och ändå ha svag biometrisk styrning.

Tänk på en SaaS-leverantör som lanserar ansiktsverifiering för kundintroduktion. Säkerhetsteamet kräver TLS, krypterad lagring, administratörs-MFA, åtkomstkontroller och loggning. Leverantören säger att biometriska mallar är ”irreversibla”. Produktteamet dokumenterar minskning av bedrägerier som verksamhetsmässig motivering. Juridik granskar personuppgiftsbiträdesavtalet. Upphandling bockar av leverantören.

Sedan ställer revisorn fem frågor:

1. Var är den biometriska behandlingsaktiviteten registrerad?
2. Vilken är den rättsliga grunden enligt GDPR Article 6 och, i förekommande fall, villkoret för särskilda kategorier enligt Article 9?
3. Genomfördes en DPIA innan behandlingen inleddes?
4. Kan ni visa att biometriska mallar raderas när ändamålet upphör?
5. Vad händer om den biometriska leverantören drabbas av en personuppgiftsincident eller ändrar underbiträden?

Om svaren är utspridda i e-posttrådar, upphandlingsärenden, produktanteckningar och en leverantörsportal är programmet inte revisionsklart.

GDPR Article 5 kräver laglighet, korrekthet, öppenhet, ändamålsbegränsning, uppgiftsminimering, riktighet, lagringsminimering, integritet, konfidentialitet och ansvarsskyldighet. Article 6 kräver en rättslig grund. Article 9 lägger till ett strängare villkor när biometriska uppgifter behandlas i syfte att unikt identifiera en person. Definitionerna i Article 4 är viktiga eftersom behandling omfattar insamling, lagring, användning, utlämnande, radering och förstöring. Pseudonymisering hjälper bara när ytterligare identifierande information skyddas separat med lämpliga tekniska och organisatoriska åtgärder.

För företag utanför EU kan GDPR fortfarande vara tillämplig när de erbjuder varor eller tjänster till personer i EU eller övervakar beteende som sker i EU. Det gör biometrisk kundintroduktion, poängsättning av bedrägeririsk, fjärråtkomst för personal, röstverifiering i kontaktcenter och kundidentitetskontroll relevanta långt utanför Europa.

Styrningsbristen handlar sällan om en enskild saknad kontroll. Den handlar oftast om avsaknaden av en sammanhängande underlagskedja.

Clarysecs underlagskedja för biometrisk PIMS

Clarysec behandlar biometriska användningsfall som livscykelstyrd behandling av personuppgifter, inte som fristående autentiseringsfunktioner. Underlagskedjan börjar innan systemet köps in, konfigureras eller driftsätts.

I Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, fasen Controls in Action, Step 23, beskrivs ISO/IEC 27002:2022 kontroll 5.34 så här:

Namn, adresser, ID-handlingar, hälsouppgifter och finansiella uppgifter berättar en historia om verkliga människor. När dessa uppgifter hanteras fel, stjäls eller missbrukas går konsekvenserna långt utöver brister i efterlevnad. Det blir en fråga om personlig kränkning, anseendeskada och rättslig exponering.

Det budskapet blir ännu tydligare för biometriska identifierare. En biometrisk mall är inte bara inloggningsdata. Den är kopplad till en persons fysiska eller beteendemässiga egenskaper och kan användas för att unikt identifiera personen.

Ett försvarbart arbetsflöde för biometrisk styrning kopplar sju beslut till sju typer av underlag:

Detta är skillnaden mellan ”vi använder biometri säkert” och ”vi kan visa styrning av biometriska uppgifter enligt GDPR och ISO/IEC 27701:2025”.

Rättslig grund är inte en kryssruta

Biometriska projekt misslyckas ofta vid fastställandet av rättslig grund eftersom team blandar ihop säkerhetsnytta med rättslig tillåtlighet.

GDPR Article 6 kräver en rättslig grund såsom samtycke, nödvändighet för avtal, rättslig förpliktelse, grundläggande intressen, uppgift av allmänt intresse eller berättigade intressen där det är tillämpligt. Article 9 förbjuder generellt behandling av biometriska uppgifter för unik identifiering om inte ett särskilt undantag gäller, såsom uttryckligt samtycke, skyldigheter enligt arbetsrätt och social trygghet enligt lag, grundläggande intressen, viktigt allmänt intresse, hälso- och sjukvård, folkhälsa, rättsliga anspråk eller forskning och arkivering med skyddsåtgärder.

En biometrisk stämpelklocka för anställda, fingeravtrycksbaserat dörrtillträde, ansiktsbaserad kundintroduktion och röstautentisering kan kräva olika analyser. Samma teknik kan ge olika utfall för rättslig grund beroende på ändamål, användarens valmöjlighet, maktobalans, lokal lagstiftning, proportionalitet och tillgång till icke-biometriska alternativ.

Clarysecs Enterprise Data Protection and Privacy Policy Data Protection and Privacy Policy gör baslinjen tydlig:

All behandling ska baseras på en giltig rättslig grund, till exempel samtycke, avtal eller rättslig förpliktelse.

Från avsnittet ”Policy Implementation Requirements”, policyklausul 6.1.1.

För särskilda kategorier av uppgifter skärper Clarysecs PII Processing Inventory and Lawful Basis Policy PII Processing Inventory and Lawful Basis Policy kravet på underlag:

[Villkorligt] Processägaren / verksamhetsägaren SKA registrera villkoret för behandling av särskilda kategorier i REG02 innan behandling av särskilda kategorier av personuppgifter påbörjas.

Från avsnittet ”Controller purpose and lawful basis records”, policyklausul 4.2.6.

För små och medelstora företag tillämpar Clarysec samma disciplin i en enklare operativ modell. SME Data Protection and Privacy Policy-sme Data Protection and Privacy Policy - SME anger:

Integritetssamordnaren ska upprätthålla ett register över alla behandlingsaktiviteter för personuppgifter, inklusive datakategorier, ändamål, rättslig grund och bevarandetider

Från avsnittet ”Governance Requirements”, policyklausul 5.2.1.

Och den tillägger:

Den rättsliga grunden, till exempel samtycke, avtal eller rättslig förpliktelse, ska dokumenteras i behandlingsregistret

Från avsnittet ”Policy Implementation Requirements”, policyklausul 6.1.2.

För styrning av biometriska uppgifter är behandlingsregistret inte administrativ städning. Det är kontrollpunkten där organisationen visar att det biometriska användningsfallet är känt, klassificerat, motiverat och avgränsat.

DPIA först, utrullning sedan

Om det finns en operativ regel för biometriska system är den enkel: låt inte upphandling gå före DPIA.

Biometriska tekniker omfattar ofta särskilda kategorier av personuppgifter, unik identifiering, systematisk övervakning, bedrägeriprofilering, sårbara registrerade, maktobalans på arbetsplatsen, innovativ teknik eller automatiserat beslutsstöd. Detta är klassiska DPIA-utlösare. En DPIA är inte bara ett dataskyddsformulär. Det är där organisationen prövar nödvändighet, proportionalitet, alternativ, kvarstående risk, skyddsåtgärder, öppenhet, bevarande, leverantörsberoende och incidentpåverkan.

Enterprise Data Protection and Privacy Policy kräver formell analys för högrisksystem:

Hotmodellering och konsekvensbedömningar avseende dataskydd (DPIA) är obligatoriska för högriskbehandlingssystem.

Från avsnittet ”Policy Implementation Requirements”, policyklausul 6.3.4.

Den PIMS-specifika Privacy Risk Assessment and DPIA Policy Privacy Risk Assessment and DPIA Policy är mer direkt:

[Personuppgiftsansvarig] Processägaren / verksamhetsägaren SKA hänskjuta behandling som omfattar storskalig behandling, systematisk övervakning, profilering, automatiserade beslut, särskilda kategorier av personuppgifter, uppgifter om fällande domar eller lagöverträdelser, sårbara registrerade, innovativ teknik eller väsentligt ändrad behandling till dataskyddsombudet / PIMS-ansvarig i REG04 innan behandlingen påbörjas.

Från avsnittet ”DPIA triggers and requirement determination”, policyklausul 4.2.2.

En biometrisk DPIA bör minst besvara följande frågor:

• Vilken biometrisk modalitet behandlas, till exempel ansikte, fingeravtryck, röst, iris, handflata eller beteendemönster?
• Används biometriska uppgifter för unik identifiering eller endast för lokal verifiering på enhet?
• Är organisationen personuppgiftsansvarig, personuppgiftsbiträde, gemensamt personuppgiftsansvarig eller underbiträde?
• Vilket icke-biometriskt alternativ finns och är det lika tillgängligt?
• Krävs uttryckligt samtycke, och kan det lämnas frivilligt och återkallas?
• Lagras råa biometriska bilder, ljudfiler eller mallar?
• Var lagras mallarna, till exempel i enhetens säkra enklav, i ett centralt system eller i en leverantörs molntjänst?
• Vem kan få åtkomst till mallar, matchningspoäng och biometriska loggar?
• Vilket bevarande gäller för registrerade användare, avslagna sökande, inaktiva konton och avslutade anställningar?
• Hur visas radering och utgång av säkerhetskopior?
• Vad händer efter falska positiva träffar, falska avslag eller fel i automatiserade beslut?
• Vilka underbiträden används och var behandlas uppgifterna?

På Finura blev DPIA:n det centrala styrningsdokumentet. Den stoppade inte lanseringen. Den gjorde en riskfylld idé till en kontrollerad genomförandeplan.

Uttryckligt samtycke och problemet med påtvingad bekvämlighet

Biometriska program förlitar sig ofta på samtycke eftersom det känns intuitivt. En person registrerar sitt ansikte, sin röst eller sitt fingeravtryck och antas därför ha samtyckt. Samtycke på GDPR-nivå ska vara specifikt, informerat, otvetydigt och frivilligt. När uttryckligt samtycke enligt Article 9 krävs är kravet högre.

I anställningsförhållanden, eller där åtkomst till en nödvändig tjänst är beroende av biometrisk registrering, kan samtycke vara svårt att försvara om det inte finns ett verkligt alternativ. Ett ”bekvämt” biometriskt alternativ blir problematiskt om alternativet är dolt, långsammare, bestraffande eller otillgängligt.

Clarysecs Consent and Preference Management Policy Consent and Preference Management Policy anger den operativa regeln:

[Villkorligt] Dataskyddsombudet / PIMS-ansvarig SKA markera samtycket som uttryckligt i REG05 innan behandlingen påbörjas när uttryckligt samtycke krävs för det valda ändamålet.

Från avsnittet ”Consent Request and Capture”, policyklausul 4.2.5.

För biometriska system bör REG05 visa:

• Den exakta samtyckestexten.
• Det biometriska ändamålet, till exempel autentisering, bedrägeriprevention, åtkomstkontroll eller identitetskontroll.
• Om samtycket är uttryckligt.
• Datum, kanal och version av integritetsmeddelandet.
• Metoden för återkallelse.
• Det icke-biometriska alternativet.
• Om vägran påverkar åtkomst till en tjänst.
• Den systemutlösare som stoppar behandlingen efter återkallelse.

SME Data Protection and Privacy Policy-sme anger:

Inbyggt dataskydd och dataskydd som standard ska tillämpas i alla nya system och tjänster

Från avsnittet ”Governance Requirements”, policyklausul 5.3.1.

I biometriska system innebär dataskydd som standard att användare inte registreras i tysthet, att råbilder inte bevaras utan motivering, att biometrisk matchning inte återanvänds för analys utan omprövning och att alternativen inte döljs bakom supportärenden.

Klassificera hela den biometriska datamängden

Ett biometriskt system kan inte styras om de biometriska uppgifterna är osynliga i tillgångsförteckningen.

Clarysecs Enterprise Data Classification and Labeling Policy Data Classification and Labeling Policy anger:

Säkerställer att personuppgifter som omfattas av GDPR, DORA eller andra dataskyddslagar klassificeras korrekt, till exempel taggas som ”Konfidentiell” eller ”Begränsad”.

Från avsnittet ”Roles and Responsibilities”, policyklausul 4.6.1.

För små och medelstora företag fastställer Data Classification and Labeling Policy-sme Data Classification and Labeling Policy - SME skyddsförväntningen:

Alla data som klassificeras som ”Konfidentiell” ska få den högsta skyddsnivån:

Från avsnittet ”Governance Requirements”, policyklausul 5.2.

Klassificeringen bör omfatta mer än malldatabasen:

ISO/IEC 27001:2022 förstärker denna disciplin. Klausulerna 4.1 till 4.4 kräver att organisationen fastställer kontext, krav från intressenter, ISMS-omfattning och beroenden. Klausulerna 6.1.1 till 6.1.3 kräver riskbedömning, riskbehandling, Statement of Applicability och godkännande av riskägare. Om biometriska system påverkar konfidentialitet, riktighet, tillgänglighet eller dataskydd hör de hemma inom omfattningen.

Säkerhetskontroller: kryptering är bara ett lager

Biometrisk säkerhet kräver kontroller i flera lager. Kryptering är viktig, men den kan inte åtgärda svag rättslig grund, överdrivet bevarande, okontrollerad leverantörsåtkomst eller saknat raderingsunderlag.

I fasen Controls in Action, Step 20, förklarar Zenith Blueprint ISO/IEC 27002:2022 kontroll 8.24, Use of Cryptography:

Denna kontroll handlar inte bara om att ”slå på kryptering”; den handlar om att bädda in kryptografi i organisationens design, policy och livscykelhantering.

Clarysecs PII Security and Access Control Policy PII Security and Access Control Policy anger PIMS-regeln för känsliga personuppgifter:

[Båda] Ansvarig för informationssäkerhet SKA definiera krav på kryptering eller godkända kompenserande skyddsåtgärder i REG12 innan personuppgifter med hög påverkan, känsliga personuppgifter eller externt överförda personuppgifter lagras, överförs eller görs åtkomliga.

Från avsnittet ”Encryption and secure storage”, policyklausul 4.5.1.

REG12 bör definiera biometriska skyddsåtgärder såsom kryptering i vila, kryptering under överföring, nyckelägarskap, nyckelrotation, administratörs-MFA, åtkomstgodkännande, separation mellan identitetsdata och biometriska mallar, loggning av registrering, matchning, export och radering, övervakning av ovanlig mallåtkomst, säker radering och incidentutlösare vid kompromettering av mallar.

I Zenith Controls är ISO/IEC 27002:2022 kontroll 5.17, Authentication Information, och 8.5, Secure Authentication, särskilt viktiga eftersom biometri ofta är inbyggd i autentiseringsflöden. Frågan är inte bara om biometrisk inloggning är säker. Frågan är också om alternativa inloggningsmetoder, återställningsflöden, liveness-detektering, privilegierad åtkomst och vägar för biometriskt kringgående också är kontrollerade.

Bevarande, radering och den biometriska kyrkogården

Biometriska system bevarar ofta mer data än teamen inser: misslyckade registreringar, gamla mallar, inaktiva användare, supportpaket, arkiverade databaser, ögonblicksbilder och säkerhetskopior. Detta skapar problemet med den biometriska kyrkogården. Uppgifterna har inte längre något operativt värde, men de är fortfarande mycket känsliga.

Enterprise Data Protection and Privacy Policy anger:

Personuppgifter ska inte bevaras längre än nödvändigt.

Från avsnittet ”Policy Implementation Requirements”, policyklausul 6.5.1.

I fasen Controls in Action, Step 19, förklarar Zenith Blueprint ISO/IEC 27002:2022 kontroll 8.10, Information Deletion:

Denna kontroll säkerställer att data inte bevaras längre än nödvändigt och att de, när de inte längre behövs, raderas på ett säkert och tillförlitligt sätt.

För biometriska uppgifter måste radering byggas in i systemet. Regler bör omfatta återkallelse av samtycke, kontostängning, avslut av anställning, misslyckad kundintroduktion efter överklagandefrister, inaktiva konton, enhetsbyte, uppsägning av leverantörsavtal, juridiskt bevarande, utgång av säkerhetskopior och kryptografisk radering där det är lämpligt.

Revisorer accepterar inte ”leverantören hanterar radering” om ni inte kan visa hur, när, enligt vilken utlösare och med vilket underlag.

Leverantörsstyrning: leverantören är en del av kontrollmiljön

De flesta organisationer bygger inte biometriska motorer från grunden. De förlitar sig på leverantörer för ansiktsmatchning, röstverifiering, liveness-detektering, hårdvara för åtkomstkontroll, SDK:er, poängsättning av bedrägeririsk, molnlagring eller supportanalys. Därför är leverantörsstyrning central.

Enterprise Data Protection and Privacy Policy kräver omprövning av leverantörer:

Upphandling samt juridik- och regelefterlevnadsteam ska verifiera efterlevnad av Article 28 i GDPR och kräva årlig omprövning av alla högriskleverantörer.

Från avsnittet ”Enforcement and Compliance”, policyklausul 8.5.2.

Processor, Subprocessor and Third-Party Privacy Management Policy Processor, Subprocessor and Third-Party Privacy Management Policy lägger till en PIMS-godkännandegrind:

[Villkorligt] Dataskyddsombudet / integritetsrådgivaren SKA ge råd i REG04 eller REG12 innan godkännande av en relation som omfattar hög kvarstående integritetsrisk, särskilda kategorier av personuppgifter, storskalig behandling, systematisk övervakning eller olöst rollklassificering.

Från avsnittet ”Due diligence and risk assessment”, policyklausul 4.2.4.

SME Third-Party and Supplier Security Policy-sme Third-Party and Supplier Security Policy - SME påminner mindre företag om att avtal är en kontrollyta:

Avtal ska innehålla obligatoriska klausuler som omfattar:

Från avsnittet ”Governance Requirements”, policyklausul 5.3.

I fasen Controls in Action, Step 23, beskriver Zenith Blueprint ISO/IEC 27002:2022 kontroll 5.20, Addressing Information Security Within Supplier Agreements:

Förtroende, när det gäller leverantörer, kan inte bygga på antaganden. Det måste kodifieras.

Biometriska avtal bör omfatta biträdesroll, ändamålsbegränsning, godkännande av underbiträden, behandlingsplats, kryptering, åtkomstkontroller, incidentavisering, revisionsrätt, radering, återlämnande av data, supportåtkomst, samarbete vid personuppgiftsincidenter, begränsningar för modellträning och exitstöd.

För finansiella entiteter som omfattas av DORA kan biometriska identitetsleverantörer vara IKT-tredjepartstjänsteleverantörer. DORA gäller från den 17 januari 2025 och förutsätter att finansiella entiteter hanterar IKT-risk, incidentrapportering, testning av operativ resiliens och IKT-tredjepartsrisk. Om biometrisk kundintroduktion stödjer en kritisk eller viktig funktion blir leverantörsavtal, incidenteskalering, resiliensövningar och exitplaner underlag för operativ resiliens såväl som dataskyddsunderlag.

NIS2 är också relevant för många leverantörer av molntjänster, SaaS, hanterade tjänster, hanterad säkerhet, digital infrastruktur och IKT-tjänstehantering. Dess förväntningar på riskhantering överlappar starkt med ISO/IEC 27001:2022 och underlagskedjan för biometrisk PIMS.

Mappning mellan efterlevnadskrav för styrning av biometriska uppgifter

Biometrisk styrning bör inte skapa separata silor för GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 och COBIT 19. En underlagsmodell kan stödja många krav.

För NIS2-entiteter kan betydande incidenter kräva tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och en slutrapport inom en månad. Om en biometrisk identitetsplattform störs eller komprometteras kan arbetsflöden för säkerhets-, dataskydds- och operativ rapportering utlösas samtidigt.

Revisionsperspektiv: vad granskarna kommer att fråga

Olika revisorer testar biometrisk styrning från olika vinklar. Clarysec använder Zenith Controls för att koppla samman kontroller i ISO/IEC 27002:2022 med dataskydds-, autentiserings-, leverantörs-, krypterings-, raderings-, incident- och revisionsunderlag.

Vanliga revisionsiakttagelser är tekniska kontroller utan styrningsbeslut, rättslig grund enligt Article 6 utan villkor enligt Article 9, DPIA:er som genomförts efter produktionssättning, samtyckesposter utan raderingsutlösare, leverantörsavtal utan biometrispecifika klausuler och incidenthanteringsplaner som behandlar kompromettering av biometriska mallar som vanlig kompromettering av autentiseringsuppgifter.

Ett praktiskt godkännandearbetsflöde för biometrisk kundintroduktion

En organisation som vägleds av Clarysec och hanterar ansiktsverifiering för kundintroduktion skulle följa en strukturerad väg:

1. Skapa en behandlingspost i REG02.
2. Identifiera roller som personuppgiftsansvarig, personuppgiftsbiträde och underbiträde.
3. Registrera den rättsliga grunden enligt Article 6 och villkoret enligt Article 9 när biometriska uppgifter används för unik identifiering.
4. Registrera datakategorier såsom selfie, dokumentbild, biometrisk mall, liveness-resultat, matchningspoäng, revisionsloggar och supportexporter.
5. Utlös REG04 DPIA före införande.
6. Bedöm nödvändighet, proportionalitet och icke-biometriska alternativ.
7. Definiera uttryckligt samtycke i REG05 där det krävs.
8. Klassificera råbilder och mallar som Begränsad eller högsta känslighetsnivå.
9. Definiera säkerhetskrav i REG12 för kryptering, nyckelhantering, åtkomst, loggning, övervakning, exportbegränsningar och radering.
10. Granska leverantörens due diligence, underbiträdeslista, driftplats, incidentavisering, revisionsrätt och process för raderingsintyg.
11. Lägg till bevaranderegler för lyckad kundintroduktion, misslyckad kundintroduktion, återkallat samtycke, överklaganden, bedrägeriutredningar och säkerhetskopior.
12. Godkänn kvarstående risk med namngivna ägare.
13. Lagra revisionsunderlag i PIMS-underlagsarkivet.
14. Granska effektiviteten efter lansering och efter leverantörsändringar.

Detta ger CISO tekniskt kontrollunderlag, DPO ansvarsskyldighet för dataskydd, upphandling avtalsmässiga grindar, produktteamet en lanseringsväg och revisorer en spårbar berättelse.

Omvandla biometrisk risk till förtroende

Tillbaka på Finura stoppade Maria inte den biometriska funktionen. Hon styrde om den. Produkt och utveckling integrerade PIMS-krav i utvecklingslivscykeln. Samtyckesflödet blev uttryckligt och separat. Leverantörsavtalet fick starkare åtaganden om radering, revision, personuppgiftsincidenter och underbiträden. REG02, REG04, REG05 och REG12 blev ryggraden för underlag. Kryptografisk radering infördes för återkallade data. Lanseringen flyttades fram ett kvartal, men den gick i produktion på en grund av förtroende.

Det är poängen med styrning av biometriska uppgifter. Den förbjuder inte innovation. Den gör innovation försvarbar.

Dina nästa steg är tydliga:

1. Inventera varje biometriskt användningsfall, inklusive arbetsplatstillträde, kundintroduktion, enhetsautentisering, bedrägeriprevention och röstverifiering.
2. Klassificera uppgifterna och bekräfta om de används för unik identifiering.
3. Registrera rättslig grund och eventuellt villkor för särskilda kategorier i behandlingsregistret.
4. Genomför en DPIA innan ny eller väsentligt ändrad behandling påbörjas.
5. Validera uttryckligt samtycke och alternativ där det krävs.
6. Granska leverantörsavtal och underbiträden.
7. Definiera underlag för kryptering, åtkomst, loggning, övervakning och radering.
8. Mappa underlaget mot förväntningarna i ISO/IEC 27701:2025, GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 och COBIT 19.

Clarysec kan hjälpa dig att omvandla styrning av biometriska uppgifter till ett revisionsklart PIMS-arbetsflöde. Börja med Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, validera din mappning mellan ramverk med Zenith Controls: The Cross-Compliance Guide Zenith Controls, och operationalisera underlaget genom Clarysecs ISO/IEC 27701:2025 PIMS-policyuppsättning, inklusive PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Consent and Preference Management Policy, PII Security and Access Control Policy och Processor, Subprocessor and Third-Party Privacy Management Policy.

Biometri kan stärka säkerheten och förbättra användarupplevelsen. Endast styrd biometri förtjänar varaktigt förtroende.