Tag-arkiv: EU’s persondatadirektiv

mar 2 2010

Ajourføring af artikel 29-arbejdsgruppens dokument om biometri

EU´s artikel 29-arbejdsgruppe vedrørende databeskyttelse og privacy har netop offentliggjort sit arbejdsprogram for 2010 og 2011.

Arbejdsgruppen er nedsat i henhold til artikel 29 i direktiv 95/46/EF (EU´s persondatadirektiv). Det er et uafhængigt EU-rådgivningsorgan for databeskyttelse og privacy og består af de 27 EU-landes respektive datatilsyn samt Den Europæiske Tilsynsførende for Databeskyttelse. Dets opgave er beskrevet i artikel 30 i direktiv 95/46/EF og artikel 15 i direktiv 2002/58/EF.

I arbejdsprogrammet fremhæves det, at WG29 har til hensigt at opdatere WP80 on biometrics, som blev vedtaget 1. august 2003 og som har haft til formål at bidrage til en effektiv og ensartet anvendelse af de nationale regler om persondatabeskyttelse i henhold til Direktiv 95/46/EF for så vidt angår biometriske systemer.

Selvom dokumentet har mere end 6 år på bagen indeholder det alligevel en lang række almengyldige grundholdninger. Et af de vigtigste pointer, der støttes af adskillige datatilsynsmyndigheder er, at biometri “helst ikke bør gemmes i en database, men kun i en enhed, som udelukkende er til rådighed for brugeren, som f.eks. et mikrochipkort, en mobiltelefon eller et bankkort. Med andre ord, programmer til autentifikation/verifikation, der kan gennemføres uden en central lagring af biometriske data bør ikke omfatte overdreven brug af identifikationsteknikker”.

Synspunktet baseres på en fortolkning af direktivets formålsprincip, herunder især en evaluering af, at det samme formål ikke må kunne opnås med et mindre indgribende middel. WG29 anfører endvidere at den centraliserede lagring øger risikoen for brug af de biometriske data som nøgle til at forbinde forskellige databaser (function creep).

WG29 pointerer endvidere, at det bør undgås at systemer indsamler biometriske data uden datasubjektets (brugerens) viden og dette legitimitetsprincip indgår således også i evalueringen af behandlingen af biometriske data. Et samtykke defineres, således også i overensstemmelse med persondataloven, som en enhver frivillig, specifik og informeret tilkendegivelse, hvorved datasubjektet indvilger i, at oplysninger, der vedrører den pågældende selv, gøres til genstand for behandling (videregivelse).

Det noteres i dokumentet, at det såkaldte proportionalitetsprincip imidlertid har været hovedkriteriet i næsten alle afgørelser truffet af de respektive datatilsynsmyndigheder til dato vedrørende behandling af biometriske data.

WG29 konkluderer, at de fleste biometriske data indebærer behandling af persondata og at det derfor er nødvendigt fuldt ud at respektere principperne om databeskyttelse. selvom arbejdsgruppen nævner, at det fortsat påhviler industrien, at udvikle biometriske systemer, der er i overensstemmelse med databeskyttelsesregelsættet, så fremhæves det afslutningsvis, at en adfærdskodeks baseret på en dialog med alle involverede parter, vil være en perspektivrig måde at fremme databeskyttelse på.

Så vidt WG29´s dokument.

Selvom mange af de principielle synspunkter stadig er valide i dag og vil være det i en rum tid fremover, så udelukker det imidlertid ikke at der kunne være behov for en justering af artikel 29-arbejdsgruppens anbefalinger fra 2003. Man kan sige meget godt om det såkaldte proportionalitetsprincip, der som et knæsat juridisk begreb i EU-retten kræver, at et indgreb ikke er mere vidtgående end hvad formålet tilsiger. Problemet er imidlertid, at hele regimet hviler på en skønsmæssig vurdering af ukonkrete principper i forhold til meget konkrete sager. Det skaber usikkerhed for brugeren, såfremt forvaltningspraksis opleves som inkonsekvent ikke alene på nationalt plan, men også at eksempelvis det spanske datatilsyn vurderes til at have en mere lempelig fortolkning end det franske datatilsyn. Det er også uomtvisteligt, at branchen foretrækker ensartede konkurrence- og markedsvilkår på europæisk plan. Man kan fremføre, at sådan må det nødvendigvis være, især når der er tale om anvendelse af teknologi, der er i en rivende udvikling. Men det udelukker ikke, at det kan overvejes at indføre visse minimumsgarantier for brugeren, som også branchen herefter kan indrette sig efter.

I et tidligere blogindlæg har jeg stillet spørgsmålet om der er behov for en Lex Biometricus? og har fremført en række af de problemstillinger om biometri, som også fremgår af WG29´s dokument. Et af de punkter jeg her vil fremhæve, er det – efter min opfattelse – indlysende behov for at opstille ufravigelige specifikke privacy principper om f.eks. dataminimering, gennemsigtighed, optimal bruger kontrol og forbedret sikkerhed. Et sådant regelsæt på EU niveau vil have den helt afgørende konsekvens, at centrale databaser med biometriske data ikke vil kunne oprettes og hermed vil en af artikel 29-arbejdsgruppens væsentligste anbefalinger blive ophøjet til lov og der vil i manges øjne blive skabt en tiltrængt retssikerhedsmæssig klarhed.

Den opdatering af WP80, som WG29 selv lægger op til vil efter alt at dømme indgå i den igangværende revision af persondatadirektivet og der vil helt sikkert blive lejlighed til en konstruktiv dialog med WP29 og Datatilsynet om de berørte emner.

dec 30 2009

Er der behov for en Lex Biometricus ?

I den løbende debat om biometri rejses spørgsmålet om lovgivningen er tilstrækkelig til dels at beskytte brugeren dels at udnytte teknologiens fulde udviklingspotentiale.

Biometri er ligesom andre teknologier ikke direkte omtalt i hverken persondatadirektivet eller persondataloven, men kun indirekte med reference til en række (teknologineutrale) principper om proportionalitet, personfølsomme data, gennemsigtighed samt tekniske forholdsregler. 

Udgangspunktet er, at biometri  betragtes som personfølsomme oplysninger, der er omfattet af persondatalovens bestemmelser både så vidt der er tale om det rå eksemplar (eksempelvis selve fingeraftrykket) og den digitaliserede udgave (minutiae data).  I de tilfælde hvor de biometriske data foreligger i krypteret form (anonymiseret) rejser der sig det interessante spørgsmål om der juridisk set stadig vil være tale om personhenførbare oplysninger, der falder ind under loven ? Det vil umiddelbart være rimeligt at antage, at den dataansvarlige skal overholde loven, eftersom der under alle omstændigheder vil være tale om en behandling af ”data”, selvom disse ikke teknisk set kan tilbageføres til datasubjektet. Men er der risiko for, at persondatabegrebet bliver for diffust ?  Spørgsmålet kan i øvrigt indgå i en diskussion om man generelt kan fastholde den gængse opfattelse, at privacy-beskyttelse kan opnås, blot man fjerner PII fra databaserne (anonymisering contra reidentifikation)? 

Et andet spørgsmål er imidlertid om betegnelsen, at ”biometri er noget du er” stadig vil være dækkende, når ny teknologisk forskning og udvikling (biometrisk kryptering) så at sige erstatter biometri med såkaldte ”pseudoidentiteter”, der gemmes på smart cards eller andre devices i brugerens besiddelse og kontrol ?

Teknologien (så vel som vore sociale normer) udfordrer hele tiden lovgivningen og lovgiverne er godt klar over, at loven altid vil halte efter med flere år. For at imødegå en ufuldstændig lovgivning har EU derfor tilpasset datadirektivet, som persondataloven hviler på, med en bestemmelse (artikel 17) om, at:

“Member States shall provide that the controller must implement appropriate technical and organizational measures to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorized disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.

Having regard to the state of the art and the cost of their implementation, such measures shall ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected.”

Artikel 17 er gengivet i persondatalovens § 41 stk. 3. som følger: ”Den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven. Tilsvarende gælder for databehandlere.” Som det fremgår er  formuleringen “state of the art” gledet ud af den danske lovtekst.  Kort sagt, så skal den dataansvarlige træffe fornødne, men ikke nødvendigvis de nyeste eller mest avancerede tekniske sikkerhedsforanstaltninger. Ansvaret ligger dog stadig hos den dataansvarlige, men formålet er altid at undgå at selve databruddet faktisk finder sted. Det daværende IT-Sikkerhedspanel har tilbage i 2006 gjort opmærksom på dette problem og anbefalet en opstramning. Men er det desuagtet tilstrækkeligt at basere en løsning på et skøn i henhold til stadigvæk relativt ukonkrete kriterier, når man har at gøre med ny, hurtigt udviklende og kompliceret teknologi ? 

Artikel 17 er iøvrigt interessant, fordi den faktisk indirekte understøtter PET´s (privacy enhancing technologies), idet det i bemærkning 46 til direktivet klart fremgår, at de nødvendige tekniske forholdsregler fra start skal integreres i designet af selve databehandlingssystenet. Iagttager man nogle grundlæggende designprincipper, kan biometri indgå i en løsning, som opfylder de højeste krav til privacy- og persondatabeskyttelse i stedet for en anvendelse af teknologien til ukontrolleret biometrisk overvågning og personprofilering (function creep). Med hensyn til beskyttelse af individet i forbindelse med den automatiske behandling af persondata, henvises til en række anbefalinger, som Europarådet har offentliggjort 2. oktober 2009. Er der behov for et normsæt  af mandatoriske specifikke privacy principper som f.eks. dataminimering, gennemsigtighed, optimal bruger kontrol og forbedret sikkerhed ?

I relation til persondataloven kan en teknologiløsning med biometri approberes enten ud fra en almindelig proportionalitets/interesseafvejning eller i henhold til et samtykke af den registrerede.  Vurderes det, at den dataansvarliges interesse vejer tungere end hensynet til den registrerede, er sidstnævntes manglende samtykke uden betydning. Giver det anledning til at overveje om brugersamtykke skal være obligatorisk  og desforuden nærmere præciseres?

En væsentlig problemstilling er om opbevaring af biometriske data kan finde sted i en central database, i en decentral aflæsningsenhed eller på  et smart card. Skal de to første optioner overhovedet være mulig og i bekræftende fald kun i henhold til lov ? I den forbindelse er det relevant at stille sig det spørgsmål om det i det hele taget skal være muligt at identificere en person ved hjælp af biometri eller om det fuldt ud er tilstrækkeligt med en autentificering ? Skal det eksempelvis ved lov bestemmes, at biometri alene kan anvendes som verifikationsmetode baseret på et af to formål:  

  1. At bevise at du er den du siger du er (positiv verifikation) eller
  2. At bevise at du ikke er den du siger du ikke er (negativ verifikation) 

I forlængelse heraf kan det anføres, at flere eksperter har rekommanderet, at biometri i e-pas alene skal tjene et verifikationsformål, hvorefter de data, der er gemt i dokumentet sammenholdes med de data, som præsenteres af dokumentets indehaver. Bør det være en lovanbefaling ?

Imidlertid  skal man være opmærksom på, at brugeren sjældent er klar over hvad der faktisk er gemt på et smart card, hvordan man får adgang til disse data  eller hvem der gør brug af denne information. Det er muligt, at den dataansvarlige har et ejerskab til selve kortet og de persondata, der er gemt på kortet, men det er ikke nødvendigvis det samme som at fastslå, at kortholderen (brugeren) mister sin ret til at have kontrol over sine persondata/pseudoidentiteter.

Spørgsmålet er, hvem der kontrollerer back office og det er derfor nødvendigt at tage stilling til rettigheder og ansvar for kortudsteder, den dataansvarlige og kortholder. 

Endelig kan man stille det spørgsmål om der bør gælde enslydende regler for implementering af biometriske systemer for både private og offentlige organisationer med hensyn til   indsamling, brug, deling, transmission, logning, opbevaring, disposition, grænseoverskridende overførsel og sletning af biometriske data i hele dets livscyklus. Hertil kan suppleres med en vurdering af i hvilket omfang særlige sikkerhedshensyn gør det nødvendigt at undtage staten, således som det i dag er gældende i forhold til persondataloven. 

Der er grund til at gå ud fra, at der vil blive installeret flere og flere biometriske systemer i de kommende år hvilket kan tale for at tiden er moden til at overveje et regelgrundlag, som er fremtidsorienteret. Jeg har forsøgt at stille nogle spørgsmål om biometri,som kunne trænge til en afklaring og jeg mener, at der derfor på den baggrund er belæg for at anbefale, at der nedsættes et af regeringen udpeget udvalg med repræsentanter for relevante myndigheder, eksperter og branche- og interesseorganisationer med det formål at undersøge om en lov om biometri er nødvendig. En sådan evaluering kunne passende indgå i en helt overordnet fastsættelse af statens principper for security og privacy teknologier, forskning og innovation.

En analyse bør ikke kun have en strikt teknologisk tilgang men f.eks. forholde sig til bestemte fremtidige projekter som borgerservicekortet, inddrage retlige aspekter af ID-management og tage højde for hele den IT-infrastruktur som biometri vil kunne være en del af, eventuelle backupsystemer, testningskrav, øvrige organisatoriske virkemidler  samt registreringsprocedurer. Når det sidste punkt nævnes, så er det fordi det ikke kan understreges for meget, at biometri alene ikke kan etablere en “ægte identitet”. Et biometrisk system kan ikke afholde nogen fra at benytte en falsk legitimation på tidspunktet for en registrering. Systemet kan kun afholde dem fra at bruge en andens identitet, når først de er registreret.  

Det er klart at der kan argumenteres både for og imod en mere detaljeret lovgivning i forhold til den nuværende regulering, som for det meste bygger på persondataloven. Derfor bør en undersøgelse naturligvis også overveje formålstjenlige alternativer til en egentlig lov, f.eks. standardisering, branchekodeks, flere fagkompetencer/ressourcer til Datatilsynet, flere øremærkede forskningsmidler til privacy enhancing technologies (PETs), reelle offentlig støttede informationskampagner  mm. Hertil kommer, at eventuel gældende EU lovgivning muligvis kan komplicere processen. Selvfølgelig skal man heller ikke lovgive om hvad som helst uden at der er tungtvejende grunde hertil, jfr. eksempelvis diskussionen om et burkaforbud og et prostitutionsforbud. Men der er efter min personlige opfattelse nogle åbenbare argumenter, som principielt kan tale for en lov. 

For det første er biometri en unik personlig identifikationsmetode, der  i tilfælde af kompromittering kan medføre fatale konsekvenser for den pågældende. For det andet vil det være meget nærliggende at antage, at en regelregulering med henblik på at præcisere en række spørgsmål specifikt i forhold til biometri, herunder at forstærke privacy og persondatabeskyttelsen er nødvendig for at skabe tillid og tryghed for brugeren, men, og det er efter min opfattelse en væsentlig pointe, også i lige så høj grad med det formål at sikre tiltro til selve teknologiens security og privacy.

Det er i den sammenhæng  ikke uvæsentligt at fremføre, at biometri er er en teknologi vi alle, om vi vil det eller ej, før eller siden vil komme til at stifte bekendtskab med.