AI-drevet ansiktsgjenkjenningsteknologi er et stadig mer populært verktøy for organisasjoner som ønsker å strømlinjeforme tilgangskontroller og forbedre sikkerheten. Men som Serco Leisure fant ut nylig, skiller databeskyttelsesregulatorer ut slike utrullinger for økt gransking. Personvernrisikovurderinger og andre beste praksiser er raskt i ferd med å bli uunnværlige for å sikre at distribusjon holder seg på rett side av loven.
Face / Off
Regulatorer ved Information Commissioner's Office (ICO) straffet Serco Leisure for ikke å tilby et alternativ til å få ansattes ansikter og fingeravtrykk skannet for å klokke inn og ut av jobb. Mindre påtrengende midler som ID-kort eller fobs kunne enkelt vært brukt i stedet, slo ICO fast.
Mer enn 2,000 ansatte ved 38 fritidstilbud var pålagt å levere biometriske data for oppmøtekontroll. Serco Leisure klarte ikke å demonstrere at bruken av biometriske teknologier var "nødvendig og proporsjonal" for å registrere arbeidernes tilstedeværelse.
«Biometriske data er helt unike for en person, så risikoen for skade i tilfelle unøyaktigheter eller sikkerhetsbrudd er mye større – du kan ikke tilbakestille noens ansikt eller fingeravtrykk slik du kan tilbakestille et passord», sa John Edwards, UK Information Commissioner, i en uttalelse. «Serco Leisure vurderte ikke risikoene fullt ut før de introduserte biometrisk teknologi for å overvåke ansattes oppmøte, og prioriterte forretningsinteresser fremfor de ansattes personvern.»
ICO beskyldte Serco videre for å ha unnlatt å gi arbeidere som ikke er komfortable med biometriske kontroller, med noen mekanisme for å velge bort systemet. Serco Leisure, Serco Jersey og syv tilknyttede fellesskapsstiftelser ble beordret til å stoppe behandlingen av biometriske data for å overvåke ansattes tilstedeværelse på jobb. Virksomhetene ble videre pålagt å ødelegge alle biometriske data som de ikke er juridisk forpliktet til å oppbevare.
Sanksjonene falt sammen med publiseringen av ICO av ny veiledning om hvordan organisasjoner kan behandle biometriske data på lovlig vis.
Access Control
Ansiktsgjenkjenningsteknologi blir stadig mer populært i bedrifter for å kontrollere tilgang til sikre steder og autentisere brukere gjennom ID-verifiseringstjenester, blant annet. Men biometriske data, i motsetning til passord, er iboende knyttet til et individ, så virkningen av eksponering i tilfelle et datainnbrudd kan være mer alvorlig og langvarig.
EUs personvernforordning (GDPR) erkjenner den økte personvernbeskyttelsen den fortjener, og setter strengere regler for behandling av biometriske data, inkludert formålsbegrensning som en beskyttelse mot oppdragskryp, åpenhet og samtykkekrav.
Distribusjonshinder
Utrulling av biometriske teknologier på arbeidsplassen kan være forenlig med regulatoriske krav, men bare forutsatt at de introduseres etter en omfattende databeskyttelsesvurdering (DPIA), ifølge eksperter.
Jon Bartley, partner og leder av Data Advisory Group i det internasjonale advokatfirmaet RPC, sier til ISMS.online at det er «kritisk å ha en klar prosess for onboarding-teknologier» som involverer bruk av biometriske data, som fingeravtrykk eller irisskanning.
"Fra databeskyttelseslovens perspektiv, må selskaper være klar over hindringene for distribusjon," forklarer han. "For eksempel, avhengig av brukssaken for teknologien, kan det være vanskelig å etablere et lovlig grunnlag for å behandle de biometriske dataene med mindre berørte individer får et reelt valg om å akseptere teknologien eller velge et alternativ."
Siden den kan brukes til å identifisere enkeltpersoner, faller biometriske data inn i en spesiell kategori, og er derfor underlagt strengere databehandlingsregler.
"Disse dataene er høyere risiko, og en ytterligere betingelse må være oppfylt for å legitimere behandlingen, noe som kan være vanskelig på grunn av det begrensede antallet og omfanget av slike forhold," sier Bartley.
AI øker risikoen
Sarah Pearce, partner hos advokater Hunton Andrews Kurth og ekspert på personvern, hevder ICOs Serco Leisure-avgjørelse viser hvorfor bedrifter bør konsultere juridiske fagfolk om regeloverholdelse. Bortsett fra databeskyttelsesloven, utløser ansiktsgjenkjenning som er underbygget av AI-teknologi krav for å overholde en voksende mengde lovgivning som styrer dette nye teknologiområdet, sier hun til ISMS.online.
Den nylig ratifiserte EUs KI-lov etablerer et risikobasert juridisk rammeverk for KI-styring som karakteriserer bruk av KI i forbindelse med ansiktsgjenkjenningsteknologier som «høy risiko».
Dette vil bety at for å være fullt ut i samsvar med denne loven, må virksomheter "tildele menneskelig tilsyn med AI-systemet, gjennomføre en konsekvensvurdering av grunnleggende rettigheter (ikke ulik en DPIA under GDPR), og informere de ansatte og bedriftsutvalg der det er hensiktsmessig, forklarer hun.
Høyrisikobetegnelsen gjelder både kunderettet og medarbeiderfokusert distribusjon av biometriske teknologier i forbindelse med AI.
RPCs Bartley legger til: "Bruk av ansiktsgjenkjenningsteknologi for å spore ansatte kan klassifiseres som høyrisikobruk av AI under AI-loven, som utløser ulike forpliktelser som menneskelig tilsyn, overvåking, journalføring og konsultasjon av ansatte."
Operasjonelle fordeler
Ashley Avery, partner i det britiske advokatfirmaet Foot Anstey, sier til ISMS.online at hun har registrert en "betydelig økning" i volumet av forespørsler fra klienter som ønsker å implementere biometrisk teknologi. Disse organisasjonene ser forretningsfordelene med det for sikkerhetsformål, eller som en del av et kundetilbud, men er "på vakt" overfor datavernrisikoen, forklarer Avery.
"Veiledningen utstedt av ICO er nyttig ettersom den beskriver punktene som må vurderes før de tar i bruk slik teknologi og hvordan bedrifter kan demonstrere samsvar med personvernlovgivningen," legger hun til.
Rammeverk og standarder – som ISO 27001 – kan hjelpe bedrifter med å posisjonere seg for å oppnå samsvar når de ruller ut ansiktsgjenkjenningsteknologier. ISO 27001 tilbyr en systematisk tilnærming til å håndtere og beskytte sensitiv informasjon, inkludert data som håndteres av ansiktsgjenkjenningsteknologier.
ICOs veiledning setter et sterkt fokus på kravet om å gjennomføre DPIAer.
"I vår erfaring er DPIAer et verdifullt verktøy for å identifisere personvernrelaterte risikoer, noe som betyr at bedrifter kan sette i verk tiltak for å minimere slike risikoer fra begynnelsen - dette er avgjørende når man behandler slike sensitive data," avslutter Avery.
Bedrifter som ønsker å implementere biometriske teknologier bør vurdere følgende:
⦁ Vurder mindre påtrengende autentiserings- eller tilgangskontrollalternativer
⦁ Følg ICOs nye biometriske veiledning
⦁ Gjennomfør en streng DPIA
⦁ Rådfør deg med interessenter (klienter, partnere og ansatte) før distribusjon
⦁ Gi klar og transparent informasjon om hvordan biometriske data vil bli brukt
⦁ Implementere passende tekniske og organisatoriske tiltak for å sikre sikkerheten og integriteten til de biometriske dataene – ved å bruke standarder som ISO 27001 der det er aktuelt
