Behandling av særlige kategorier personopplysninger

Videoovervåkingssystemer samler vanligvis inn massive mengder personopplysninger, noe som kan avsløre opplysninger av svært personlig art og særlige kategorier av personopplysninger. Tilsynelatende uvesentlige personopplysninger som samles inn via video, kan brukes til å avdekke annen informasjon for å oppnå et annet formål (for eksempel å kartlegge en enkeltpersons vaner). Videoovervåking anses likevel ikke alltid som behandling av særlige kategorier av personopplysninger.

Men hvis videoopptakene behandles for å utlede særlige kategorier av personopplysninger, kommer artikkel 9 til anvendelse.

Generelt sett skal prinsippet om dataminimering alltid vurderes nøye når det er snakk om å installere et videoovervåkingssystem. Derfor må den behandlingsansvarlige, selv i saker der artikkel 9 nr. 1 ikke kommer til anvendelse, alltid forsøke å minimere risikoen forbundet med å gjøre opptak som avslører andre sensitive personopplysninger (utover artikkel 9), uavhengig av formålet med behandlingen.

Hvis et videoovervåkingssystem brukes til å behandle særlige kategorier av personopplysninger, må den behandlingsansvarlige både finne et unntak for behandling av slike opplysninger i henhold til artikkel 9 (det vil si et unntak fra den generelle regelen om at særlige kategorier av personopplysninger ikke skal behandles), og et rettslig grunnlag i henhold til artikkel 6.

For eksempel kan artikkel 9 nr. 2 bokstav c («[…] behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser […]») – i teorien og i unntakstilfeller – brukes, men den behandlingsansvarlige må da kunne begrunne at det er en absolutt nødvendighet for å kunne verne en persons vitale interesser, og bevise at den registrerte «[…] fysisk eller juridisk ikke er i stand til å gi samtykke». Den behandlingsansvarlige vil heller ikke kunne bruke systemet til et annet formål enn dette.

Her er det viktig å merke seg at alle unntakene som står oppført i artikkel 9 sannsynligvis ikke vil kunne brukes til å begrunne behandlinger av særlige kategorier av personopplysninger ved bruk av videoovervåking. Nærmere bestemt kan ikke behandlingsansvarlige som behandler slike opplysninger via videoovervåking, støtte seg på artikkel 9 nr. 2 bokstav e som gjelder behandling av personopplysninger som det er åpenbart at den registrerte har offentliggjort. Det å bevege seg innenfor et kameras rekkevidde betyr ikke at den registrerte har planer om å offentliggjøre særlige kategorier av personopplysninger om seg selv.

Behandling av særlige kategorier av personopplysninger krever i tillegg at  man til enhver tid er ekstra oppmerksom på å oppfylle visse plikter, for eksempel høy grad av sikkerhet og vurdering av personvernkonsekvenser (DPIA) der det er nødvendig.

Generelle hensyn ved behandling av biometriske opplysninger

Bruken av biometriske opplysninger, og spesielt ansiktsgjenkjenning, medfører forhøyet risiko for de registrertes rettigheter. Det er viktig at bruk av slik teknologi behørig respekterer prinsippene om lovlighet, nødvendighet, forholdsmessighet og dataminimering som angitt i personvernforordningen. Selv om det kan oppfattes som spesielt effektivt å bruke slik teknologi, må den behandlingsansvarlige først og fremst vurdere konsekvensene for grunnleggende rettigheter og friheter og vurdere mindre inngripende tiltak for å oppnå sine berettigede formål med behandlingen.

For å kvalifisere som biometriske opplysninger slik det er definert i personvernforordningen, må behandlingen av rådata (for eksempel en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper) innebære en måling av disse egenskapene. Siden biometriske opplysninger er et resultat av slike målinger, fastslås det i artikkel 4 nr. 14 at de «[…] stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person […]».

Videoopptak av en person kan likevel ikke i seg selv anses som biometriske opplysninger i henhold til artikkel 9, så lenge opptaket ikke har gjennomgått særskilt teknisk behandling for å bidra til å identifisere en person.(Personvernforordningens fortalepunkt 51 støtter denne analysen og fastslår at «[…] Behandling av fotografier bør ikke systematisk anses som behandling av særlige kategorier av personopplysninger, ettersom fotografier omfattes av definisjonen av biometriske opplysninger bare når de behandles ved hjelp av et særskilt teknisk middel som gjør det mulig entydig å identifisere eller autentisere en fysisk person […]»). 

For at det skal kunne anses som behandling av særlige kategorier av personopplysninger, må de biometriske opplysningene behandles «med det formål å entydig identifisere en fysisk person».

For å oppsummere, i lys av artikkel 4 nr. 14 og artikkel 9, er det tre kriterier som må vurderes:

• Opplysningenes art: Opplysninger som er knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper.
• Hvordan og med hvilke midler behandlingen gjennomføres: Opplysninger «som stammer fra en særskilt teknisk behandling».
• Formålet med behandlingen: Opplysningene må behandles «med det formål å entydig identifisere en fysisk person».

Bruk av videoovervåking med biometrisk gjenkjenningsteknologi i regi av private virksomheter for egne formål (for eksempel markedsføring, statistikk eller sikkerhet) vil, i de fleste tilfeller, kreve uttrykkelig samtykke fra alle registrerte (artikkel 9 nr. 2 bokstav a), men et annet egnet unntak i artikkel 9 kan eventuelt også komme til anvendelse.

I denne typen saker hvor det genereres biometriske maler, må den behandlingsansvarlige sørge for at så snart det er avgjort om ansiktet gir et treff eller ikke, må alle midlertidige maler som lages der og da (med uttrykkelig og informert samtykke fra den registrerte) for å sammenlignes med de malene som ble opprettet da enkeltpersonene registrerte seg, umiddelbart bli slettet på en sikker måte. Malene som opprettes under registreringen, skal bare beholdes for å kunne oppfylle formålet med behandlingen, og skal ikke lagres eller arkiveres.

Dersom formålet med behandlingen derimot er å skjelne mellom to kategorier av mennesker, men uten å entydig identifisere enkeltpersoner, faller behandlingen utenfor artikkel 9.

Artikkel 9 får likevel anvendelse hvis den behandlingsansvarlige lagrer biometriske opplysninger (vanligvis gjennom maler som opprettes ved å hente ut hovedtrekk fra biometriske rådata, for eksempel ansiktsmålinger fra et bilde) for å entydig identifisere en person.

Hvis den behandlingsansvarlige ønsker å avdekke om en registrert kommer tilbake til området eller beveger seg inn på et annet område (for eksempel som ledd i kontinuerlig tilpasning av reklame), vil formålet være entydig identifisering av en fysisk person, noe som betyr at hele prosessen faller inn under artikkel 9. Dette kan være tilfellet hvis en behandlingsansvarlig lagrer genererte maler for å kunne vise skreddersydde annonser på flere skjermer rundt om i butikken. Siden systemet bruker fysiske egenskaper til å spore og kjenne igjen spesifikke personer når de kommer innenfor kameraets rekkevidde igjen (slik som besøkende på et kjøpesenter), er det å anse som biometrisk identifisering, da det er rettet mot gjenkjenning ved bruk av særskilt teknisk behandling.

Personvernrådet noterer seg at enkelte biometriske systemer installeres i ukontrollerte omgivelser (dette innebærer at det biometriske systemet befinner seg på et offentlig tilgjengelig område og kan fungere på alle som passerer det, i motsetning til biometriske systemer i kontrollerte omgivelser, som bare kan brukes av personer som har gitt samtykke til det), noe som betyr at systemet omfatter opptak av ansiktene til alle personer som passerer innenfor kameraets rekkevidde, inkludert personer som ikke har samtykket til det biometriske systemet og dermed heller ikke til opprettelse av biometriske maler.

Disse malene sammenlignes med de som opprettes av registrerte som har gitt forutgående samtykke i løpet av en registreringsprosess (det vil si en bruker av det biometriske systemet), slik at den behandlingsansvarlige kan se om personen bruker det biometriske systemet eller ikke. I slike tilfeller er systemet ofte utformet slik at det differensierer mellom de personene det ønsker å gjenkjenne fra en database, og de som ikke er registrert. Siden formålet er entydig identifisering av fysiske personer, er det fortsatt nødvendig med et unntak i henhold til artikkel 9 nr. 2 i personvernforordningen for alle som fanges opp av kameraet.

Når samtykke er påkrevd i henhold til artikkel 9, kan ikke den behandlingsansvarlige gjøre samtykket til biometrisk behandling til en betingelse for tilgang til tjenestene. Den behandlingsansvarlige må med andre ord, og spesielt når den biometriske behandlingen brukes med autentisering som formål, tilby en alternativ løsning som ikke involverer biometrisk behandling – uten begrensninger eller ekstrakostnader for den registrerte. Denne alternative løsningen er også nødvendig for personer som ikke har mulighet til å bruke det biometriske systemet (umulig å registrere eller lese av de biometriske opplysningene, nedsatt funksjonsevne vanskeliggjør bruken, og så videre), og i tilfelle det biometriske systemet skulle være utilgjengelig (for eksempel som følge av en funksjonsfeil på systemet), må det foreligge en «reserveløsning» som kan holde den aktuelle tjenesten tilgjengelig uten avbrudd, men som bare skal brukes unntaksvis. I unntakstilfeller kan det oppstå situasjoner der behandlingen av biometriske opplysninger er kjerneaktiviteten til en tjeneste som tilbys på bakgrunn av en avtale.

Anbefalte tiltak for å minimere risiko ved behandling av biometriske opplysninger

I samsvar med prinsippet om dataminimering må den behandlingsansvarlige sørge for at opplysningene som hentes ut fra et digitalt bilde med tanke på å bygge en mal, ikke er for omfattende og bare inneholder informasjon som er nødvendig for det angitte formålet, slik at eventuell annen behandling unngås. Det skal treffes tiltak for å garantere at malene ikke kan overføres mellom biometriske systemer.

Identifisering og autentifisering/verifisering vil mest sannsynlig kreve at malen lagres for bruk i senere sammenligninger. Den behandlingsansvarlige må vurdere hva som er det mest egnede stedet for lagring av opplysningene. I kontrollerte omgivelser (avgrensede ganger eller kontrollpunkter) skal maler lagres på en separat enhet som den registrerte har full kontroll over (på en smarttelefon eller et ID-kort), eller – når det er nødvendig for bestemte formål og i tilfelle det objektivt sett er behov for det – lagres i en sentralisert database i kryptert form, med nøkkel/passord som kun den registrerte har tilgang til, for å forhindre at uvedkommende får tilgang til malen eller lagringsstedet. Hvis den behandlingsansvarlige ikke kan forhindre at han selv har tilgang til malene, må han treffe egnede tiltak for å sikre informasjonssikkerheten til de lagrede opplysningene. Dette kan omfatte å kryptere malen ved hjelp av en kryptografisk algoritme.

I alle tilfeller må den behandlingsansvarlige ta alle nødvendige forholdsregler for å sikre de behandlede opplysningenes tilgjengelighet, integritet og konfidensialitet. For å oppnå dette må den behandlingsansvarlige treffe følgende tiltak:

• kategorisere opplysningene under overføring og lagring,
• lagre biometriske maler og rådata eller identitetsopplysninger i separate databaser,
• kryptere biometriske opplysninger, spesielt biometriske maler, og definere retningslinjer for kryptering og nøkkeladministrasjon,
• treffe et teknisk og organisatorisk tiltak for å avdekke svindel,
• knytte en integritetskode til opplysningene (for eksempel signatur eller avtrykk) og
• forhindre all ekstern tilgang til de biometriske opplysningene.

Slike tiltak må kunne tilpasses den teknologiske utviklingen.

I tillegg må behandlingsansvarlige iverksette sletting av rådata (ansiktsbilder, talesignaler, ganglag og så videre) og sørge for at slettingen fungerer som den skal. Foreligger det ikke lenger noe rettslig grunnlag for behandlingen, må rådataene slettes. Ettersom biometriske maler stammer fra slike opplysninger, kan det antas at databaser i seg selv kan representere en like stor, om ikke større, trussel (fordi det ikke alltid vil være lett å lese en biometrisk mal uten kunnskap om hvordan den ble programmert, mens rådata danner utgangspunkt for enhver mal). I tilfelle den behandlingsansvarlige har behov for å oppbevare slike opplysninger, må det vurderes bruk av «støy» (for eksempel i form av vannmerking) for å forhindre at det kan opprettes maler basert på opplysningene.

Den behandlingsansvarlige må også slette biometriske opplysninger og maler hvis uvedkommede skulle få tilgang til terminalen for sammenligning av maler eller serveren opplysningene er lagret på, samt slette eventuelle opplysninger som ikke lenger er nødvendige for videre behandling, ved slutten av den biometriske enhetens levetid.