A 29. CIKK ALAPJÁN LÉTREHOZOTT MUNKACSOPORT
00727/12/HU WP 192
2/2012. számú vélemény az online és mobil szolgáltatások során történő arcfelismerésről
Elfogadás időpontja: 2012. március 22.
A munkacsoport a 95/46/EK irányelv 29. cikke alapján jött létre. Ez egy független, a személyes adatok és a magánélet védelmével foglalkozó európai tanácsadó testület. Feladatait a 95/46/EK irányelv 30. cikke és a 2002/58/EK irányelv 15. cikke tartalmazza. A titkársági feladatokat az Európai Bizottság C Igazgatósága (Alapvető Jogok és Uniós Állampolgárság) látja el, Jogérvényesülési Főigazgatóság B–1049 Brüsszel, Belgium, iroda sz.: MO-59 02/013. Weboldal: http://ec.europa.eu/justice/data-protection/index_hu.htm
1. Bevezetés Az elmúlt években jelentős előrelépés történt az arcfelismerési technológia elérhetősége és pontossága terén. Ez a technológia továbbá személyazonosság megállapítása, hitelesítés/megerősítés illetve egyének osztályozása céljából beépült az online és mobil szolgáltatásokba. E technológia, mely valaha a sci-fi körébe tartozott, manapság köz- és magánszervezetek számára is elérhető felhasználási célokra. Az online és a mobil szolgáltatások során történő használatra példák a közösségi hálózatok és az okostelefon gyártók. A 29. cikk alapján létrehozott munkacsoport korábban a biometriáról szóló munkadokumentumban (WP80) valamint a nemrég kiadott, a biometrikus technológiák fejleményeiről szóló 3/2012. számú véleményben véleményezte a digitális fotó alapján történő automatikus adatfeldolgozás és arcképfelismerés képességét. Az arcfelismerés a biometria körébe tartozik, mivel számos esetben kellően részletes egy személy egyedi azonosításához. A 3/2012. számú vélemény megjegyzi, hogy: „[a biometria] lehetővé teszi személyek automatikus nyomon követését, felkutatását vagy a róluk történő profilalkotást, és ezért komoly hatással lehet a magánéletre és az egyének adatainak védelmére”. Ez a megállapítás különösen igaz az online és mobil szolgáltatásokba beépült arcfelismerés esetén, amikor az egyénről kép készülhet (annak tudtával, vagy anélkül), és azt továbbíthatják egy távoli szerverre további feldolgozás céljából. Az online szolgáltatások – melyek közül sokan magánszervezetek tulajdonában vannak, és azok működtetik őket – hatalmas gyűjteményekre tettek szert olyan képekből, melyeket maguk az érintettek töltöttek fel. Bizonyos esetekben ezeket a képeket jogellenesen is meg lehet szerezni, például más nyilvános helyek, mint például a keresőmotorok tárhelyeinek lekaparásával. A kisméretű, nagyfelbontású kamerával rendelkező mobileszközök lehetővé teszik a felhasználóknak, hogy fényképeket készítsenek és állandóan aktív adatkapcsolat segítségével valós időben online szolgáltatásokhoz rendeljék azokat. Ennek eredményeképp a felhasználók megoszthatják ezeket a képeket másokkal, vagy személyazonosítást, hitelesítést/megerősítést vagy osztályozást hajthatnak végre annak érdekében, hogy további információkhoz jussanak hozzá az előttük álló ismert vagy ismeretlen személlyel kapcsolatban. Ezért az online és mobil szolgáltatásokba beépült arcfelismerés megkülönböztetett figyelmet igényel a 29. cikk alapján létrehozott munkacsoport részéről, tekintettel arra, hogy e technológia használata számos adatvédelmi kérdést vet fel. E vélemény célja a jogi keretek átgondolása és olyan megfelelő ajánlások megfogalmazása, melyek alkalmazhatóak az online és a mobil szolgáltatások során használt arcfelismerési technológiára. A jelen vélemény címzettjei az európai és nemzeti jogalkotó hatóságok, az adatkezelők és az ilyen technológiák felhasználói. A véleménynek nem célja megismételni a 3/2012. számú véleményben említett elveket, hanem az online és mobil szolgáltatások keretében azokra támaszkodik.
2. Fogalommeghatározások Az arcfelismerési technológia nem új, a terminológiában számos meghatározás és értelmezés létezik. Ezért hasznos világosan meghatározni a jelen véleményben szereplő technológiákat. 1
Digitális kép: A digitális kép egy kétdimenziós kép digitális formában való ábrázolása. Az arcfelismerési technológia terén a közelmúltban bekövetkezett fejlődés miatt azonban szükség van arra, hogy a meghatározás az álló- és mozgóképeken (vagyis fényképek, rögzített és élő videofelvétel) túl a háromdimenziós képekre is kiterjedjen. Arcfelismerés: Az arcfelismerés olyan digitális képek automatikus feldolgozását jelenti, melyeken személyazonosítás, hitelesítés/megerősítés vagy osztályozás1 céljából egyének arca látható. Maga az arcfelismerés folyamata több különálló alfolyamatból áll: a) A kép beszerzése: Egy személy arcának felvétele, és a felvétel digitális formára váltása (a digitális kép). Online és mobil szolgáltatás esetében elképzelhető, hogy a kép más rendszerből származik, pl. a fényképet digitális fényképezőgéppel készítik, majd továbbítják online szolgáltatásba. b) Arc észlelése: A digitális képen az arc jelenlétének észlelése, és az érintett terület megjelölése. c) Normalizálás: Az észlelt arcrégiók változatainak elsimítása, például átváltása standard méretűre, elforgatás, vagy a színeloszlás rendezése. d) Arcvonás kibontás: Egy személy digitális képéből az ismétlődő és megkülönbözető mintázatok elkülönítése és kigyűjtése. Az arcvonás-kibontás lehet holisztikus2, arcvonás alapú3, vagy a két módszer kombinációja4. A legfontosabb vonások egy referencia-mintában5 tárolhatóak későbbi összehasonlítás céljából. e) Bevitel: Amennyiben egy egyén először kerül kapcsolatba arcfelismerő rendszerrel, a kép és/vagy a referencia-sablon későbbi összehasonlítás céljából bejegyzésként eltárolható. f) Összehasonlítás: Egy arcvonáskészlet és egy másik, a rendszerbe már korábban bevitt készlet közötti hasonlóság mérésének folyamata. Az összehasonlítás fő céljai a személyazonosítás és a hitelesítés/megerősítés. Az összehasonlítás harmadik célja az osztályozás, amely valamely egyén képéből az arcvonások kinyerésének folyamata annak érdekében, hogy az egyént be lehessen sorolni egy vagy több átfogó kategóriába (például kor, nem, ruhaszín, stb.). Az osztályozási rendszerben nincs szükség bejegyzési folyamatra.
3. Példák az arcfelismerésre az online és mobil szolgáltatások terén Az arcfelismerést különféle módokon és többféle célra lehet beépíteni az online és mobil szolgáltatásokba. E vélemény kapcsán a 29. cikk alapján létrehozott munkacsoport többféle, különböző példára fókuszál, és ezzel további kontextusba kívánja helyezni a jogi elemzést,
1 2 3 4 5
A személyazonosítás, hitelesítés/megerősítés és osztályozás meghatározásait a 03/2012 tartalmazza. Holisztikus képkibontás: a teljes kép matematikai leképezése, például egy elsődleges összetevő-analízis eredményeképp. Arcvonás-alapú kibontás: egyes arcvonások, mint a szemek, az orr év a száj helyének meghatározása. Hibrid arcvonás-kibontási módszerként is ismert. A minta meghatározása a 3/2012. számú véleményben: „A biometrikus adatok nyers formájából (például egy képből származó arcmérések) kibontott és későbbi feldolgozás céljából a nyers adatok helyett tárolt fő vonások”.
2
valamint ki kíván térni a személyazonosítás, hitelesítés/megerősítés és osztályozás céljára használt arcfelismerésre. 3.1.
Arcfelismerés mint a személyazonosítás módszere
1. példa: Egy közösségi hálózatépítő szolgáltatás6 lehetővé teszi a felhasználók számára, hogy digitális képet csatoljanak profiljukhoz. Ezen túlmenően a felhasználók képeket tölthetnek fel abból a célból, hogy megosszák azokat más regisztrált vagy nem regisztrált felhasználókkal. A regisztrált felhasználók a feltöltött képeken manuálisan azonosíthatnak vagy megjelölhetnek más egyéneket (akik vagy regisztrált felhasználók, vagy nem azok). Az ilyen megjelölések a megjelölő által megtekinthetőek, megoszthatóak egy szélesebb baráti csoporttal vagy minden regisztrált vagy nem regisztrált felhasználóval. A közösségi hálózatépítő szolgáltatás képes a megjelölt fényképeket felhasználni arra, hogy minden regisztrált felhasználó esetében létrehozzon egy referencia-mintát, és az arcfelismerő rendszer használatával az újonnan feltöltött képek esetében automatikusan javasoljon megjelöléseket. Az egyének azon képeit, melyeket a felhasználók publikusan elérhetővé tettek, ezután egy internetes keresőmotor képes hozzáférni és eltárolni. A keresőmotor igyekezhet erősíteni keresési képességét azáltal, hogy lehetővé teszi a felhasználóknak, hogy azok feltöltsék egy egyén képét, és ezután a motor megjeleníti a közeli találatokat, és azok vissza is kapcsolhatóak a közösségi hálózatépítő szolgáltatás profiloldalához. A lekérdezett kép közvetlenül származhat egy okostelefon kamerájából. 3.2.
Arcfelismerés mint a hitelesítés/igazolás módszere
2. példa: Az arcfelismerő rendszer felhasználása a felhasználónév/jelszó helyett egy online vagy mobil szolgáltatás vagy készülék ellenőrzésére. Bejegyzés során a készülékbe épített kamera segítségével felvétel készül a készülék engedélyezett felhasználójáról, és létrejön egy referencia-minta, amely eltárolható a készüléken vagy „távol” az online szolgáltatónál. Ahhoz, hogy hozzáférhessen egy szolgáltatáshoz vagy készülékhez, új felvétel készül a hozzáférést megkísérlő egyénről, ami összehasonlításra kerül a referenciaképpel. A hozzáférés akkor lesz engedélyezve, ha a rendszer pozitív egyezést állapít meg. 3.3.
Arcfelismerés mint az osztályozás módszere
3. példa: Az 1. példában leírt közösségi hálózatépítő szolgáltatás engedélyezheti a hozzáférést a képkönyvtárhoz olyan harmadik félnek, amely online arcfelismerő szolgáltatást működtet. A szolgáltatás lehetővé teszi a harmadik fél ügyfelei számára, hogy beépítsék az arcfelismerő technológiát más termékekbe. A funkcionalitás lehetővé teszi ezeknek a más termékeknek, hogy az egyének fényképeit felhasználják abból a célból, hogy az arcokat észleljék és előre meghatározott szempontok szerint osztályozzák; például feltehető életkor, nem és hangulat.
6
Az online közösségi hálózatépítésről szóló 05/2009 vélemény nagy vonalakban meghatározza a közösségi hálózatépítő szolgáltatást, mint „olyan online kommunikációs platform, amely lehetővé teszi az egyének számára, hogy hasonló gondolkodású felhasználókkal hálózatokat hozzanak létre, vagy azokhoz csatlakozzanak”
3
4. példa: Egy játékkonzol mozgásirányító rendszert használ, amely észleli a felhasználó mozgását, aki ezáltal irányítja a játékot. A mozgásirányító rendszerhez használt kamera megosztja az egyének képekeit egy arcfelismerő rendszerrel, amely kikövetkezteti játék játékosainak a várható életkorát, nemét és hangulatát. Az adatok, ideértve a multimoduláris tényezőket is, ezt követően megváltoztathatják a játékmenetet annak érdekében, hogy fokozzák a felhasználó élményét, vagy hogy a környezetet a felhasználó kikövetkeztetett profiljához igazítsák. A rendszer hasonlóképpen osztályozhatja a felhasználókat, és ez alapján engedélyezheti vagy tagadhatja meg a hozzáférést az életkorhoz kötött tartalmakhoz, illetve mutathat a játékon belül célzott hirdetéseket.
4. Jogi keret Az arcfelismerés esetében a jogi keretet az adatvédelmi irányelv (95/46/EK) jelenti, amelyet e tekintetben a 3/2012. számú vélemény értelmezett. E rész célja az online és mobil szolgáltatásokba épült arcfelismerés kapcsán a jogi keretek összegzése, a 3. részben szereplő példák alapján. A 3/2012 vélemény további példákat is tárgyal az arcfelismerésre. 4.1. Személyes adatnak minősülő digitális képek Ha egy digitális kép valamely egyén arcát tisztán felismerhető és azonosítható módon tartalmazza, személyes adatnak minősül. Ez függ olyan más paraméterektől, mint a kép minősége, vagy a konkrét nézőpont. A legtöbb esetben nem minősülnek személyes adatnak a helyszínt ábrázoló olyan képek, ahol az egyének a messzeségben vannak, vagy az arcuk elhomályosult. Ugyanakkor fontos megjegyezni, hogy a digitális képek tartalmazhatják egynél több egyén személyes adatait (például a 4. példában több játékos is lehet a keretben), és a többiek jelenléte a fényképen kapcsolat létére utalhat. A személyes adat fogalmáról szóló 4/2007. számú vélemény megismétli azon megállapítást, hogy egyénre vonatkozik az adat, „ha az egyén azonosságára, tulajdonságaira vagy viselkedésére utal, vagy ha az ilyen információt annak meghatározására vagy befolyásolására használják, ahogyan az adott személyt kezelik vagy értékelik”, és ebben az esetben személyes adatnak minősül. Valamely egyén képe alapján készített referencia-minta definíció szerint személyes adatnak is minősül, mivel tartalmazza az egyén arca meghatározó vonásainak készletét, amely egy meghatározott egyénhez kapcsolódik, és későbbi, személyazonosítás vagy hitelesítés/megerősítés céljából történő összehasonlítás érdekében referenciaként tárolódik. Egy kizárólag osztályozási rendszerben használt minta vagy meghatározó arcvonás-készlet általában nem tartalmazna elegendő információt valamely egyén azonosításához. Nem tartalmazhat annyi információt, ami lehetővé tenné az osztályozást (például hogy férfi vagy nő). Ebben az esetben nem minősülne személyes adatnak, feltéve, hogy a minta (vagy az eredmény) nem kapcsolódik az egyénről nyilvántartottakhoz, profiljához vagy eredeti képéhez (melyek továbbra is személyes adatnak minősülnek). Továbbá, mivel az egyének digitális képei és a minták kapcsolódnak „digitális tulajdonságokhoz, viselkedési formákhoz, pszichológiai vonásokhoz, életmódbeli jellemzőkhöz vagy ismétlődő cselekvésekhez, amennyiben ezek a vonások és/vagy cselekvések egyaránt sajátosan az adott egyénre jellemzőek és mérhetőek7”, biometrikus adatoknak kell tekinteni őket.
7
A biometrikus adatok meghatározása a 3/2012. számú véleményben
4
4.2. Digitális képek, mint a személyes adatok speciális kategóriája Az egyének digitális képei bizonyos esetekben a személyes adatok speciális kategóriájának8 minősülnek. Különösen abban az esetben minősülnének ebben a kategóriába tartozónak, ha az egyének digitális képeit vagy a sablonokat feldolgozzák speciális kategóriába tartozó adatokhoz jutás érdekében. Például amennyiben arra használják őket, hogy etnikai származással, vallással vagy egészségi állapottal kapcsolatos információkat nyerjenek. 4.3. Személyes adatok feldolgozásának kérdése az arcfelismerő rendszerek esetében Amint az fentebb szerepelt, az arcfelismerés egy sor automatikus feldolgozási szakaszra támaszkodik. Ezért az arcfelismerés a személyes adatok – köztük a biometrikus adatok – automatikus feldolgozásának minősül. A biometrikus adatok használata miatt az arcfelismerő rendszerek egyes tagállamokban további ellenőrzés vagy szabályozás tárgyává válhatnak, pl. előzetes engedélyezés vagy a munkajog vonatkozhat rájuk. A 3/2012. számú vélemény részletesebben tárgyalja a biometria alkalmazását munkaügyek esetében. 4.4. Az adatkezelők A felsorolt példákból kiindulva az adatkezelők tipikusan weboldalak tulajdonosai és/vagy online szolgáltatók, valamint mobil alkalmazás szolgáltatók, akik az arcfelismeréssel foglalkoznak annyiban, hogy meghatározzák a feldolgozás célját és/vagy módszerét9. Idetartozik az az internetes ismeretségi hálózatokról szóló 5/2009. számú véleményben levont következtetés, amely kimondja, hogy „az ismeretségi hálózatok szolgáltatói az adatvédelmi irányelv alapján adatkezelőknek minősülnek.”. 4.5. Jogalap A 95/46/EK irányelv megállapítja azokat a feltételeket, amelyeknek a személyes adatok feldolgozása meg kell, hogy feleljen. Ennek értelmében a feldolgozásnak meg kell felelnie az adatok minőségére vonatkozó követelményeknek (6. cikk). Ebben az esetben az egyének digitális képei és az azoknak megfelelő sablonoknak „relevánsnak” és „nem túlzott mértékűeknek” kell lenniük. A feldolgozásra továbbá csak akkor kerülhet sor, ha a 7. cikkben meghatározott feltételek legalább egyike fennáll. A biometrikus adatokhoz kapcsolódó különös kockázatok miatt a digitális képek arcfelismerési célú feldolgozásának megkezdése előtt szükség van az egyén tájékoztatáson alapuló beleegyezésére. Egyes esetekben azonban előfordulhat, hogy az adatkezelőnek ideiglenesen végre kell hajtania az arcfelismerés egyes részfolyamatait pontosan annak megállapítása érdekében, hogy a felhasználó beleegyezését adta-e jogalapként a feldolgozáshoz. Ebben az esetekben ennek a kezdeti feldolgozásnak (vagyis kép beszerzés, arc észlelés, összehasonlítás, stb.) külön jogalapja lehet, mégpedig az adatkezelőnek az adatvédelmi szabályoknak való megfeleléshez fűződő jogos érdeke. Az e szakaszokban feldolgozott adatokat kizárólag a felhasználó beleegyezése megléte megállapításának céljára szabad felhasználni, majd ezt követően azonnal törölni kell őket. Az 1. példában az adatkezelő úgy határozott, hogy a közösségi hálózatépítő szolgáltatás regisztrált felhasználói által feltöltött valamennyi új kép esetében megtörténik az arc észlelés, a vonások kibontása és összehasonlítása. Csak azokat a regisztrált felhasználókat hasonlítják össze ezekkel az új képekkel, akiknek az azonosítási adatbázisban van referencia-sablonjuk, így csak ezen felhasználóak esetében lehet automatikus javasolva a megjelölés. Amennyiben 8 9
Egyes országok esetjoga a digitális arcképeket speciális adatkategóriaként sorolta be – LJN BK6331holland felsőbíróság 2010. március 23. Lásd az 1/2010. számú véleményt az „adatkezelő” és a „feldolgozó” fogalmáról.
5
az egyén hozzájárulását tekintetnénk mindenfajta feldolgozás egyetlen lehetséges jogalapjának, az az egész szolgáltatást ellehetetlenítené, mivel például nem lehetséges olyan nem regisztrált felhasználók beleegyezését kérni, akiknek a személyes adatai az arcfelismerés és az arcvonás kibontás során feldolgozásra kerülnek. Továbbá előzetes arcfelismerés nélkül nem lehetne megkülönböztetni a hozzájárulásukat adó regisztrált felhasználók arcát az azt megtagadókétól. Csak az azonosítás megtörténte (vagy annak kudarca) után lesz az adatkezelő képes megállapítani, hogy megkapta-e a megfelelő hozzájárulást a konkrét feldolgozáshoz. A közösségi hálózatépítő szolgáltatások regisztrált felhasználóit képek feltöltése előtt tájékoztatni kell arról, hogy ezeket az arcfelismerő rendszer felhasználja. Ennél is fontosabb, hogy a regisztrált felhasználó külön dönthessenek arról is, hogy hozzájárulnak-e referenciamintáiknak az azonosítási adatbázisban való szerepeltetéséhez. A nem regisztrált felhasználók és azok a regisztrált felhasználók, akik nem adták hozzájárulásukat a feldolgozáshoz, neve kapcsán így nem fog automatikusan megjelölési javaslat megjelenni, mivel azon képek esetében, melyeken szerepelnek, a feldolgozáskor „nincs találat” lesz az eredmény. A kép feltöltője által adott hozzájárulás nem keverhető össze a képen feltűnő más egyének személyes adatai feldolgozásához szükséges jogalappal. Ezért az adatkezelő dönthet úgy, hogy más jogalapot alkalmaz a közbenső feldolgozási fázisok (arc észlelés, normalizálás és összehasonlítás) esetében, például, hogy az adatkezelőnek jogos érdeke fűződik ezekhez, feltéve, hogy megfelelő korlátozások és biztosítékok védik azon érintettek emberi jogait és alapvető szabadságait, akik maguk nem a kép feltöltői. Az ilyen biztosítékok körébe tartozna annak biztosítása, hogy a „nincs találat” eredmény után semmilyen, a feldolgozásból származó adatot nem őriznének meg (vagyis minden mintát és kapcsolódó adatot biztonságosan törölnének). Az adatkezelő dönthet úgy is, hogy olyan eszközöket biztosít a felhasználóknak, melyek lehetővé teszik a képeket feltöltőknek, hogy elhomályosítsák azok arcát, akik esetében a referencia adatbázisban szereplő sablonnal összevetve nincs találat. Valamely egyén sablonjának az azonosítási adatbázisba való bevitele (ami lehetővé teszi a sikeres összehasonlítást és az azt követő megjelölési javaslatokat) csak az érintett tájékoztatáson alapuló beleegyezésével lenne lehetséges. A 2. példában a bejelentkezési folyamat során egyértelműen lehetőség van a készülék használatára jogosult egyén hozzájárulásának kikérésére. Ahhoz, hogy a hozzájárulás érvényes legyen, szükség van egy alternatív, ugyanolyan biztonságos hozzáférés-ellenőrző rendszerre (amilyen például az erős jelszó). Az alapbeállításnak ennek az alternatív, a magánélet védelmét tiszteletben tartó megoldásnak kell lennie. Amennyiben az egyéni felhasználó kifejezetten hozzáférési célból megjelenik a készülékhez csatlakoztatott kamera látóterében, tekinthetjük úgy, hogy az illető hozzájárulását adta az e cselekmény folyományaként meginduló, a hozzáférést engedélyező arcfelismerési folyamathoz, még akkor is, ha nem ő a készülék jogosult felhasználója. A információnak ugyanakkor elégségesnek kell lennie annak biztosításához, hogy a hozzájárulás érvényes legyen. A közösségépítő hálózati szolgáltatás fotókönyvtárának a 3. példában bemutatott továbbfejlesztése egyértelműen túllép a korlátozott cél elvén, ezért az egyénnek egy ilyen funkció bevezetése előtt érvényes hozzájárulását kellene adnia, amelyből egyértelműen kitűnik, hogy a képek ilyen jellegű feldolgozására fog sor kerülni. Ugyanez a helyzet az 1. példában leírt keresőmotor esetében. A keresőmotor által megszerzett képek megnézés céljából kerültek megjelenítésre, és nem azért, hogy az arcfelismerő rendszer megszerezze őket. A keresőmotor szolgáltatójának be kellene szereznie az érintett hozzájárulását ahhoz, hogy annak adatai bekerüljenek a második arcfelismerő rendszerbe. 6
Ugyanez lenne a helyzet a 4. példában, mivel a felhasználó nem tudhatja, hogy a mozgásirányítást szolgáló képek további feldolgozásra kerülnek. Amennyiben az adatkezelő hosszabb távú feldolgozáshoz kér hozzájárulást (vagyis hosszabb időre vagy több játékhoz), akkor rendszeresen emlékeztetnie kell a felhasználót, hogy a rendszer működésben van, és alapbeállításként ki van kapcsolva. A hozzájárulás meghatározásáról szóló 15/2011. számú vélemény a személyes adatok feldolgozásával kapcsolatban tárgyalja az információ minőségét, hozzáférhetőségét és láthatóságát. A vélemény megállapítja, hogy: „az információt közvetlenül az egyéneknek kell szolgáltatni. Nem elegendő, ha az információ valahol „elérhető”. Ezért az online vagy mobil szolgáltatás arcfelismerő funkciójához kapcsolódó információk nem lehetnek rejtettek, hanem könnyen hozzáférhető és megérthető módon elérhetőnek kell lenniük. Ide tartozik az is, hogy maguk a kamerák nem működhetnek rejtetten. Az adatkezelőknek az arcfelismerő technológia alkalmazása során figyelembe kell venniük az embereknek a magánélet védelmével kapcsolatos ésszerű elvárásait, és megfelelően kezelniük kell az aggodalmakat. Ebben az összefüggésben a bevitelhez adott hozzájárulás nem lehet pusztán az alapszolgáltatás tekintetében az általános szerződési feltételek felhasználó általi elfogadás része, kivéve, ha a szolgáltatás elsődleges célja várhatóan magába foglal arcfelismerést. Ez abból a tényből következik, hogy a legtöbb esetben a bevitel egy kiegészítő funkció, és nem kapcsolódik közvetlenül az online vagy mobil szolgáltatás működéséhez. A felhasználóknak nem feltétlenül kell tudniuk arról, hogy a szolgáltatás használatakor egy ilyen funkció aktiválódik. Ezért a felhasználóknak attól függően, hogy a funkciót mikortól alkalmazzák, a regisztráció során vagy később külön lehetőséget kell, hogy kapjanak a hozzájárulásra. Az adatfeldolgozásról megfelelő tájékoztatást kell nyújtani ahhoz, hogy a hozzájárulást érvényesnek lehessen tekinteni. A felhasználóknak mindig lehetőségük kell, hogy legyen arra, hogy egyszerű módon visszavonják hozzájárulásukat. A hozzájárulás visszavonása esetén azonnal be kell fejezni az arcfelismerési célú feldolgozást.
5. Konkrét kockázatok és ajánlások Az arcfelismerő rendszerekből a magánélet védelme tekintetében fakadó kockázatok teljes mértékben a feldolgozás fajtájától és céljától vagy céljaitól függenek. Bizonyos kockázatok azonban lényegesebbek az arcfelismerési folyamat egyes szakaszaiban. Az alábbi rész rávilágít a főbb kockázatokra, és ajánlásokat tartalmaz a legjobb gyakorlattal kapcsolatban. 5.1. Jogtalan arcfelismerési célú feldolgozás Online körülmények között az adatkezelő sokféle forrásból hozzáférhet képekhez, például az online vagy mobil szolgáltatás felhasználóitól, barátaiktól, kollégáiktól, vagy harmadik féltől. A fényképeken rajta lehetnek maguk a felhasználók az arca és/vagy az érintett tudta nélkül szerzett más regisztrált vagy nem regisztrált felhasználóké. Függetlenül attól, hogy a képeket milyen módon szerezték, a feldolgozáshoz jogalapra van szükség. 1. ajánlás: Ha az adatkezelő közvetlenül szerzi be a képet (mint például a 2. vagy 4. példák esetében), a beszerzés előtt gondoskodnia kell az érintettek érvényes 7
hozzájárulásának megszerzéséről, és megfelelő tájékoztatást kell nyújtania azzal kapcsolatban, hogy mikor van működésben arcfelismerés céljából kamera. 2. ajánlás: Amennyiben egyének szereznek be képeket, és arcfelismerés céljából töltik fel azokat online vagy mobil szolgáltatásokba, az adatkezelőknek gondoskodniuk kell arról, hogy a feltöltők hozzájárulásukat adták a képek potenciálisan arcfelismerési célú feldolgozásához. 3. ajánlás: Amennyiben az adatkezelők harmadik felektől szereznek be egyénekről digitális képeket (például weboldalról másolják, vagy másik adatkezelőtől szerzik be őket), gondosan vizsgálniuk kell a forrást és az eredeti képek beszerzésének körülményeit, és csak akkor szabad a képeket feldolgozniuk, ha az érintettek ehhez hozzájárultak. 4. ajánlás: Az adatkezelőknek gondoskodniuk kell arról, hogy a digitális képeket és mintákat csak arra a konkrét célra használják fel, amelyre rendelkezésre bocsátották őket. Az adatkezelőknek technikai biztosítékokat kell alkalmazniuk a digitális képek harmadik fél általi, a felhasználó hozzájárulása nélküli célt szolgáló további feldolgozása veszélyének csökkentése érdekében. Az adatkezelőknek eszközöket kell biztosítaniuk a felhasználóknak, hogy azok maguk határozhassák meg feltöltött képeik láthatóságát, és az alapbeállításnak olyannak kell lennie, hogy harmadik fél ne férhessen hozzá képekhez. 5. ajánlás: Az adatkezelőknek gondoskodniuk kell arról, hogy olyan egyének digitális képei, akik nem regisztrált felhasználók, vagy nem adták hozzájárulásukat feldolgozáshoz, csak olyan mértékben kerüljenek feldolgozásra, amilyenhez az adatkezelőnek jogos érdeke fűződik. Például az 1. példában meg kell szakítani a feldolgozást, és törölni kell az adatokat, ha nincs találat. A biztonsági szabályok megsértése a továbbítás során Az online és mobil szolgáltatások esetében valószínű, hogy adattovábbításra kerül sor a kép megszerzése és a folyamat hátralevő szakaszai között (például a kép arcvonás kibontási és összehasonlítási célú feltöltése weboldalra kameráról). 6. ajánlás: Az adatkezelőnek megfelelő lépéseket kell tennie az adattovábbítás biztonságának garantálása érdekében. Ide tartozhat titkosított kommunikációs csatornák használta, vagy magának a megszerzett képnek a tikosítása. Amennyiben erre lehetőség van, és különösen a hitelesítés/megerősítés esetében előnyben részesítendő a helyi feldolgozás. 5.2. Arc észlelés, normalizáció, arcvonás kibontás Adatminimalizálás: Előfordulhat, hogy az arcfelismerő rendszer által készített minták több adatot tartalmaznak, mint amire a konkrét cél(ok)hoz szükség van. 7. ajánlás: Az adatfeldolgozóknak biztosítaniuk kell, hogy a digitális képből mintakészítés céljára nyert adatmennyiség ne legyen túlzott, és csak azokat az információkat tartalmazza, melyekre a konkrét célhoz szükség van, és így ne kerülhessen sor további feldolgozásra. A minták ne legyenek továbbíthatók különböző arcfelismerő rendszerek között. 8
A biztonsági szabályok megsértése az adattárolás során A személyazonosság megállapításához és a hitelesítéshez/megerősítéshez várhatóan későbbi összehasonlítás céljára mintákat kell tárolni. 8. ajánlás: Az adatkezelőnek meg kell keresnie a legmegfelelőbb helyet az adat tárolásához. Ez lehet a felhasználó készüléke az adatfeldolgozó rendszerén belül. Az adatkezelőnek megfelelő lépéseket kell tennie az adattárolás biztonságának garantálása érdekében. Ez történhet a minta titkosításával. A tárolást úgy kell kialakítani, hogy ne lehessen engedély nélkül hozzáférni a mintához vagy a tárolás helyéhez. Biometrikus titkosítási technika különösen megerősítési célú arcfelismerés esetében használható; ilyen esetben a titkosítási kulcs közvetlenül a biometrikus adatokhoz kapcsolódik, és csak akkor jön újra létre, ha a megerősítés során a helyes élő biometrikus sablon kerül bemutatásra, mivel semmilyen kép vagy sablon nem tárolódik (így ez egyfajta „nyomonkövethetetlen biometria” típus). Az érintett hozzáférése 9. ajánlás: Az adatkezelőnek megfelelő módot kell biztosítania az érintettek számára hozzáférési jogaik gyakorlásához, adott esetben mind az eredeti képhez, mind az arcfelismerés kapcsán készült sablonokhoz.
Kelt Brüsszelben, 2012. március 22-én.
a munkacsoport részéről az elnök Jacob KOHNSTAMM
9
