Bár a biometrikus beléptető rendszerek a technológia fejlődésével egyre népszerűbbek, a használatukra vonatkozó törvényi szabályozás még várat magára – mondta a Rádió Orientnek Buzás Péter, a Nemzeti Adatvédelmi és Információszabadság Hatóság vizsgálója. Kiemelte, minden esetben a szükségesség-arányosság követelményének kell megfelelni, de mindenkinek azt tanácsolja, – megelőzendő az esetleges jogsértéseket – telepítés előtt kérjék ki a hatóság véleményét.

Mi tekinthető biometrikus adatnak?

Bármely biológiai jellegzetesség, pszichológiai sajátosság, életvitel vagy ismétlődő tevékenység, amely adott egyénre vonatkoztatható és mérhető, biometrikus adatnak tekinthető – mondta el a vizsgáló, aki példaként az emberi képmást, az ujjlenyomatot, a DNS-t és az íriszmintát említette. Hozzátette: ezek közül az első kettő nem új keletű, hiszen a képmás gyakorlatilag a legősibb formája a biometrikus adatoknak, amelyet a mindennapi életünk során a másik egyén felismerése, azonosítása céljából alkalmazunk. Emellett az ujjlenyomatot is már a 19. század óta használják a bűnügyi hatóságok. „Jelenleg – talán a DNS kivételével – ezek nem tartoznak a különleges adatok közé, de remélhetőleg hamarosan nemzetközi szinten beemelik őket ebbe a kategóriába és így nagyobb védelmet élvezhetnek” – mondta Buzás Péter.

A biometrikus adatok használata azért is terjedt el, mert rendkívül megbízhatóak. Egyrészt egyetemesek, ami azt jelenti, hogy minden ember rendelkezik ilyen adatokkal. Másrészt pedig egyediek és állandóak, vagyis személyre szabottak és az élet során nem változnak. Népszerűségüket és elterjedésüket továbbá az tette lehetővé, hogy a fejlett technológiának köszönhetően a biometrikus rendszerek nemcsak nagyon gyorsak és megbízhatóak, de költséghatékonyak is.

A biometrikus adatok típusai

Mint azt a vizsgáló kifejtette, a biometrikus rendszereknek alapvetően két típusát lehet megkülönböztetni. A hagyományos – amely már kezd kimenni a divatból – alkalmazás során az érintett biometrikus adatát lefényképezik és egy központi adatbázisban tárolják, amellyel a későbbiekben összevetik a rendszer üzemelésekor – például beléptetéskor – rögzített adat képét. A fejlettebb rendszerek azonban már nem lefényképezik, hanem felveszik az ujjlenyomatot, amit egy logikai művelettel digitális adatcsomaggá, más néven biometrikus sablonná alakítanak át. E technológia révén a rendszer tehát magát a biometrikus adatot nem tárolja. „Ez egy egyirányú folyamat, tehát a biometrikus sablont nem lehet felhasználni az adat újbóli előállítására, visszafelé nem alkalmas önmagában az egyén azonosításra” – tette hozzá a vizsgáló.

A biometrikus sablon csak akkor fog személyes adatnak minősülni, hogyha azt megszemélyesítik, hiszen az adott technikai számsort további azonosító adatok nélkül nem lehet egyénhez kötni. Buzás Péter ugyanakkor hozzátette: az adatkezelők általában hozzárendelnek adatokat a sablonokhoz, minimálisan a nevet, illetve a belépés időpontját és helyét.

Meddig tárolhatók az adatok?

Szigorú szabályok vonatkoznak viszont a biometrikus adatok tárolásának idejére vonatkozóan attól függően, hogy milyen célt szolgálnak. „Egy munkavállaló esetében addig lehet tárolni az adatokat, amíg fennáll a munkaviszony, viszont egy alkalmi belépés esetén 24 órával a belépést követően törölni kell azokat” – hívta fel a figyelmet a vizsgáló. Hozzátette: az adatok kezelésére vonatkozóan a vagyonvédelmi törvény előírásait kell figyelembe venni, amely kimondja, hogy ezekhez az adatokhoz kizárólag a rendszer üzemeltetője férhet hozzá, illetve ha valamilyen bűncselekmény történik, akkor az érintett hatóságoknak átadhatóak.

Törvényi szabályozás hiányában…

A hatóság eddigi tapasztalataival kapcsolatban Buzás Péter pozitívumként értékelte, hogy a legtöbb esetben konzultációs megkereséssel és nem pedig bejelentéssel fordulnak hozzájuk. „Ezzel számos jogsértés megelőzhető, hiszen minden esetben a szükségesség-arányosság követelményének való megfelelést kell figyelembe venni” – szögezte le a vizsgáló. Hozzátette: a biometrikus rendszerek telepítésén gondolkodók sokszor érvelnek azzal, hogy kényelmesebbé tehetik a saját és a fogyasztók/felhasználók életét, ameddig azonban van alternatívája e technológiának, addig nem indokolt a beszerelésük.

Egyelőre hazánkban nincs egységes szabályozás a biometrikus adatkezelésre vonatkozóan, bár a hatóság már tett erre vonatkozóan javaslatot a jogalkotónál. Addig is Buzás Péter arra biztatja a rendszer bevezetésén gondolkodókat, hogy az esetleges jogsértések megelőzése érdekében előbb kérjék ki a Nemzeti Adatvédelmi és Információszabadság véleményét.