Biometriske data og personvern
Biometriske data er personopplysninger som bygger på fysiske eller atferdsmessige kjennetegn, for eksempel fingeravtrykk, ansiktsgjenkjenning, irisdata eller stemmemønstre. Slike opplysninger kan være svært nyttige for identifikasjon, men de kan også være svært inngripende.
Når er biometriske data særlig beskyttet?
I GDPR regnes biometriske opplysninger som en del av særlige kategorier av personopplysninger når de behandles med formål om å entydig identifisere en person. Da gjelder det som utgangspunkt et forbud mot behandling, med mindre virksomheten både har et lovlig behandlingsgrunnlag og et særskilt unntak.
Hvorfor krever dette ekstra vurderinger?
Biometriske kjennetegn er tett knyttet til identiteten til den enkelte og kan være vanskelige eller umulige å bytte ut dersom de kommer på avveie. Derfor bør virksomheten stille strenge spørsmål om nødvendighet, forholdsmessighet, sikkerhet og om samme formål kan oppnås på en mindre inngripende måte.
Hva bør virksomheten gjøre før bruk?
Vurder om løsningen faktisk trenger biometrisk identifikasjon, eller om det finnes et mindre inngripende alternativ. Gjør en risikovurdering, vurder behovet for DPIA, og sørg for gode tiltak for informasjonssikkerhet, tilgangsstyring og logging. Dersom data skal deles eller lagres hos leverandører, må også kontrakter og tekniske kontroller være på plass.
Biometri er ikke bare et teknisk valg
Ansiktsgjenkjenning og andre biometriske løsninger påvirker forholdet mellom virksomhet og bruker eller ansatt. Derfor bør slike tiltak forankres tydelig, beskrives åpent og vurderes opp mot registrertes forventninger, rettigheter og mulighet til å protestere eller velge andre løsninger.
Relaterte sider
- Les også: Sensitive personopplysninger
- Les også: Personvernkonsekvenser
- Les også: Informasjonssikkerhet
- Les også: Lovlig grunnlag for behandling