Kas ir biometriskie dati
Vispārīgās datu aizsardzības regulas 4. panta 14. punktā noteikts, ka “biometriskie dati” ir personas dati pēc specifiskas tehniskas apstrādes, kuri attiecas uz fiziskas personas fiziskajām, fizioloģiskajām vai uzvedības pazīmēm, kas ļauj veikt vai apstiprina unikālu minētās fiziskās personas identifikāciju, piemēram, sejas attēli vai daktiloskopijas (pirkstu nospiedumu) dati.
Piemēram, ar mērķi pielāgot reklāmu konkrēta apmeklētāja rīcībai, pārzinis identificē apmeklētāju, gan lai novērotu tā paradumus veikalā, gan arī atpazītu viņu, kad tas atgriežas.
Ja pārzinis (persona, kuras nolūku sasniegšanai veikta personas datu apstrāde) glabā biometriskos datus, lai unikāli identificētu personu (visbiežāk tas tiek darīts, izmantojot veidnes, ko izveido, izgūstot būtiskākās iezīmes no biometriskajiem izejas datiem, piemēram, sejas mērījumus no attēla (šādu veidni sauc par biometrisko matrici)), tad tā būs uzskatāma par biometrisko datu apstrādi. Identifikācija konkrētajā gadījumā var nebūt personas vārda, uzvārda un/vai personas koda noteikšana, bet gan personas unikāla nošķiršana no citām personām un iespēja personu atpazīt atkārtotā saskarsmē.
Savukārt, ja informācijas apstrādes nolūks ir vienas personu kategorijas nodalīšana no citas, bet unikāla fiziskas personas identifikācija šajā procesā veikta netiek, to var neuzskatīt par biometrisko datu apstrādi (kamēr vien netiek apstrādāti citi īpašu kategoriju datu veidi). Piemēram, biometrisko datu apstrāde netiks veikta, ja veikala īpašnieks vēlas pielāgot savu reklāmu, pamatojoties uz videonovērošanas sistēmas nofilmēto personu dzimuma un vecuma pazīmēm, un šāda sistēma neizveido biometriskās veidnes personu unikālai identificēšanai, bet tikai fiksē minētās fiziskās pazīmes, lai klasificētu personu.
Biometrisko datu apstrādes riski
Biometrisko datu un jo īpaši sejas atpazīšanas tehnoloģijas izmantošana ir saistīta ar paaugstinātiem riskiem datu subjektu tiesībām.
Eiropas Datu aizsardzības kolēģijas 2020. gada 29. janvāra pamatnostādnēs Nr. 3/2019 “Par personas datu apstrādi, izmantojot videoierīces” (turpmāk – pamatnostādnes) skaidrots, ka šādu tehnoloģiju izmantošanā svarīgi ievērot regulas noteiktos likumīguma, nepieciešamības, samērīguma un datu minimizācijas principus.
Lai gan šo tehnoloģiju izmantošana var tikt uzskatīta par īpaši efektīvu, pārziņiem vispirms būtu jānovērtē ietekme uz pamattiesībām un pamatbrīvībām un jāapsver mazāk traucējoši veidi, kā sasniegt savu likumīgo apstrādes mērķi.
Izvērtējot riskus personas tiesībām un brīvībām, kas saistīti ar biometrisko datu apstrādi, var noteikt vairākus galvenos virzienus, kas apsverami risku identificēšanā:
- Pats pārzinis (persona, kuras mērķu sasniegšanai apstrādā biometriskos datus) iegūto biometrisko matrici izmanto tādu mērķu sasniegšanai, par kuriem datu subjekts (iedzīvotājs, kura dati tiek apstrādāti) nav informēts. Šāds risks lielākoties materializēsies, ja biometrisko datu apstrāde nebūs nodalīta no citām pārziņa datu plūsmām.
- Veidojot biometrisko matrici, tiek izveidots unikāls personas identifikators, kurš, nonākot citu personu rīcībā, var tikt izmantots, lai iegūtu informāciju par datu subjektu veidā, kādu nebija iespējams paredzēt, matrici veidojot. Izmantojot biometrisko matrici, attēli un ieraksti ar personu var tikt ievietoti dažādos avotos un dažādos datu nesējos, tāpat ar šo matrici ir iespējams atrast citādi neindeksētu informāciju, kas ir attiecināma uz konkrēto personu.
- Pastāv reāli drošības riski personas biometrisko matrici izmantot, lai piekļūtu resursiem, kuri tiek aizsargāti ar biometriskās autentifikācijas metodēm, – piemēram, mobilajiem telefoniem.
Secināms, ka ar biometrisko datu apstrādi saistāmi gan iekšēji (attiecībā uz pārziņa darba organizāciju), gan ārēji (materiāli zaudējumi ļaunprātības dēļ, kontroles zaudēšana pār personas datu apstrādi un citādi neattiecināmas informācijas saistīšana ar datu subjektu) riski.
Tiesiskais pamats biometrisko datu apstrādei
Atbilstoši regulas 9. panta 1. punktam biometriskie dati ir uzskatāmi par īpašās kategorijas personas datiem un to apstrāde, lai veiktu unikālu personas identifikāciju (atpazītu to starp citām līdzīgām personām), ir aizliegta, ja vien nav piemērojams kāds no regulas 9. panta 2. punktā noteiktajiem izņēmumiem.
Tas nozīmē: kad videonovērošanas sistēmu izmanto, lai apstrādātu biometriskos datus, pārzinim ir jāidentificē gan izņēmums īpašu kategoriju datu apstrādei saskaņā ar regulas 9. panta 2. punktu (t. i., izņēmums attiecībā uz vispārējo noteikumu, ka aizliegts apstrādāt īpašu kategoriju datus), gan tiesiskais pamats saskaņā ar regulas 6. pantu.
Datu valsts inspekcija vērš uzmanību uz līdzšinējiem secinājumiem:
- Privātpersonas sejas atpazīšanas tehnoloģijas izmantošanu mārketinga vai drošības nolūkos var pamatot tikai ar regulas 6. panta 1. punkta a) apakšpunktā un attiecīgi regulas 9. panta 2. punkta a) apakšpunktā noteikto tiesisko pamatu – datu subjekta piekrišanu.
Tas, ka pie veikala ir izvietota brīdinājuma zīme par biometrisko datu apstrādi, nenozīmē, ka personas tai ir piekritušas.
- Ja sejas atpazīšanas tehnoloģija tiek izmantota normatīvajā aktā noteikta deleģējuma izpildei, iespējams, apstrādi var pamatot ar regulas 6. panta 1. punkta e) apakšpunktā un attiecīgi regulas 9. panta 2. punkta g) apakšpunktā noteikto tiesisko pamatu – apstrāde nepieciešama sabiedrības interesēs.
- Personas tiesību un brīvības risku novērtējums ir nākamais solis pēc tam, kad ir noteikts biometrisko datu apstrādes nolūks un adekvāts tiesiskais pamats tā sasniegšanai. Pirms biometrisko datu apstrādes uzsākšanas jānovērtē tās ietekme uz datu aizsardzību.
