Wykorzystanie technologii rozpoznawania twarzy na lotniskach do weryfikacji tożsamości w celu usprawnienia przepływu pasażerów można uznać za zgodne z zasadami integralności i poufności danych osobowych, pod warunkiem odpowiedniego przechowywania danych biometrycznych.

W opinii 11/2024[1] Europejska Rada Ochrony Danych (EROD) wskazała, że w UE nie ma jednolitego wymogu prawnego identyfikacji pasażerów we wszystkich punktach kontrolnych na lotnisku ani weryfikacji, czy imię i nazwisko na karcie pokładowej pasażera zgadza się z imieniem i nazwiskiem w dokumencie tożsamości. W niektórych państwach członkowskich UE weryfikacja może być wymagana w określonych punktach kontrolnych – przy zdawaniu bagażu lub wchodzeniu na pokład, podczas gdy w innych taka kontrola nie jest wymagana.

W związku z tym w państwach członkowskich UE, w których nie jest wymagana weryfikacja tożsamości pasażerów za pomocą oficjalnego dokumentu tożsamości, nie należy przeprowadzać weryfikacji z wykorzystaniem danych biometrycznych, ponieważ skutkowałoby to nadmiernym przetwarzaniem danych i wykraczałoby poza to, co jest konieczne do realizacji odpowiedniego celu, a więc stanowiłoby naruszenie zasady minimalizacji danych.

Podmioty zaangażowane w przetwarzanie danych osobowych we wskazany sposób, czyli:

• operatorzy lotnisk, działający jako kontrolerzy w odniesieniu do przetwarzania danych osobowych w punktach kontroli bezpieczeństwa,
• linie lotnicze, działające jako kontrolerzy w odniesieniu do przetwarzania danych osobowych podczas odprawy bagażu, dostępu do poczekalni dla pasażerów, przy wejściu na pokład,

powinny być zidentyfikowane, a ich obowiązki wyraźnie określone i przypisane.

Dane biometryczne

Wykorzystanie technologii rozpoznawania twarzy wymaga przetwarzania danych biometrycznych, które zgodnie z RODO są objęte szczególną ochroną.

Dane biometryczne to: „dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne.”[2]

Ich przetwarzanie w celu jednoznacznego zidentyfikowania osoby fizycznej co do zasady jest zakazane, a dopuszczalne tylko wyjątkowo, w przypadkach przewidzianych w przepisach prawa – RODO lub przepisach krajowych, w tym między innymi:

• na podstawie zgody osoby, której dane dotyczą (podmiot danych),
• gdy przetwarzanie jest niezbędne do ochrony żywotnych interesów podmiotu danych lub innej osoby fizycznej, a podmiot danych jest fizycznie lub prawnie niezdolny do wyrażenia zgody,
• gdy przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez podmiot danych.

Zgoda podmiotu danych

EROD podkreśliła, że we wszystkich przypadkach przetwarzane powinny być tylko dane biometryczne pasażerów, którzy aktywnie rejestrują się w systemie stosowanym przez Administratora Danych Osobowych (ADO) i wyrażają zgodę na przetwarzanie danych osobowych.

Zgoda powinna być dobrowolna, konkretna i świadoma. Podmioty danych muszą mieć możliwość łatwego wycofania zgody w dowolnym momencie i bez żadnej szkody. Twarze pasażerów, którzy nie wyrazili wyraźnej zgody na rozpoznawanie twarzy w zamierzonym celu, nie mogą być skanowane przez kamery, co można osiągnąć na przykład poprzez wyznaczenie określonych pasów (ciągów komunikacyjnych), w których zastosowano technologię rozpoznawania twarzy i zapewnienie odpowiedniego oznakowania i fizycznego oddzielenia od przepływów pasażerów poddawanych kontroli niebiometrycznej, aby umożliwić wyraźną identyfikację takich pasów.

Ryzyko

Wykorzystanie technologii rozpoznawania twarzy może prowadzić do ryzyka związanego z fałszywymi wynikami negatywnymi, stronniczością i dyskryminacją, a potencjalne niewłaściwe wykorzystanie danych biometrycznych może mieć poważne konsekwencje dla podmiotu danych, takie jak oszustwo dotyczące tożsamości lub podszywanie się. Ryzyko powstania szkód wynikających ze scentralizowanego przechowywania danych biometrycznych, wymaga od ADO szczególnie precyzyjnego uzasadnienia konieczności stosowania technologii rozpoznawania twarzy.

Przechowywanie danych biometrycznych

W opinii uwzględniono cztery rodzaje rozwiązań – przechorowywanie danych biometrycznych:

1. w przedmiocie lub urządzeniu, które jest własnością pasażera i znajduje się pod jego wyłączną kontrolą,
2. na scentralizowanym serwerze na lotnisku, podczas gdy klucz dostępu znajduje się wyłącznie w rękach podmiotu danych,

w obu przypadkach środki stosowane przez ADO mogą spełniać zasadę konieczności, wynikającą z RODO, jeśli ADO będzie w stanie wykazać, że nie istnieją mniej inwazyjne rozwiązania alternatywne, za pomocą których ADO mógłby osiągnąć cel usprawnienia przepływu pasażerów równie skutecznie.

• na scentralizowanym serwerze na lotnisku, do którego dostęp mają pracownicy lotniska,
• w chmurze w postaci zaszyfrowanej, pod kontrolą linii lotniczej lub jej dostawcy usług w chmurze.

w obu przypadkach, biorąc pod uwagę ryzyko nieuprawnionej lub niezgodnej z prawem identyfikacji pasażerów oraz utratę kontroli nad danymi przez podmiot danych, EROD uznała środki stosowane przez ADO za niezgodne z zasadą ochrony danych w fazie projektowania, wynikającą z RODO, zwłaszcza że dostępne są mniej inwazyjne środki.

Zatem, w ocenie EROD jedynymi rozwiązaniami w zakresie przechowywania danych biometrycznych, które mogą być zgodne z zasadą integralności i poufności danych, pozwalają na uwzględnianie ochrony danych w fazie projektowania i domyślną ochrone danych oraz bezpieczeństwo przetwarzania, są rozwiązania, w których dane biometryczne są przechowywane przez pasażera, lub w centralnej bazie danych, jeśli klucz szyfrowania posiada wyłącznie pasażer. 

Wskazane rozwiązania w zakresie przechowywania, jeśli są wdrażane wraz z listą zalecanych minimalnych zabezpieczeń, są jedynymi sposobami, które odpowiednio równoważą inwazyjność przetwarzania, oferując osobom fizycznym największą kontrolę.

EROD stwierdziła, że rozwiązania oparte na przechowywaniu danych w scentralizowanej bazie danych w porcie lotniczym lub w chmurze, bez kluczy szyfrujących znajdujących się w posiadaniu pasażera, nie mogą być zgodne z wymogami ochrony danych już w fazie projektowania i domyślnej ochrony danych.

---

[1] Opinia 11/2024 Europejskiej Rady Ochrony Danych z 23 maja 2024 r. w sprawie wykorzystywania rozpoznawania twarzy w celu usprawnienia przepływu pasażerów na lotniskach (zgodność z art. 5 ust. 1 lit. e) i f), art. 25 i 32 RODO), dostęp:

https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-112024-use-facial-recognition-streamline_pl

[2] Art. 4 pkt 14 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U.UE.L.2016.119.89).

Treść niniejszego materiału ma wyłącznie charakter informacyjny i nie może być traktowana, jako porada prawna. Zawarte w materiale treści mogą nie wyczerpywać w pełni problemów lub zagadnień prawnych związanych z nowelizowanymi przepisami, orzeczeniami, interpretacjami. Każda sprawa wymagająca wiedzy prawniczej ma swój indywidualny wymiar, co uzasadnia jej indywidualną analizę. Zaleca się uprzednią konsultację konkretnej sprawy z radcą prawnym, adwokatem lub innym wykwalifikowanym prawnikiem. W przypadku jakichkolwiek pytań związanych z przedstawionymi powyżej zagadnieniami prawnymi oraz ich możliwym wpływem na działalność Użytkownika prosimy o kontakt drogą elektroniczną na adres e-mail: kontakt@fibi.com.pl lub pisemnie na adres: ul. Chłodna 64/315, 00-872 Warszawa.