Pomimo zastosowania w smartfonach różnych systemów i metod weryfikacji, Apple i konkurencja wykorzystująca dane biometryczne muszą zmierzyć się z niełatwym zadaniem nałożonym przez obowiązujące prawo. Chodzi oczywiście o ochronę danych osobowych (a takimi są również dane biometryczne) przed nieuprawnionym pozyskaniem lub użyciem przez osoby niepowołane.
Materiał przygotowali:
12 września 2017 roku był datą szczególną i długo wyczekiwaną przez wszystkich miłośników sprzętu marki Apple. Na dzień ten wyznaczono prezentację nowego iPhone’a. Tym razem Apple odszedł od utartego schematu i wypuścił jednocześnie nie jeden, a dwa modele tej serii – iPhone’a 8 (będącego de facto ulepszoną wersją poprzedniej siódemki, w wersji standardowej oraz Plus) a także iPhone’a X („dziesiątkę”). Poza wieloma technicznymi udogodnieniami, które oferuje nowy iPhone X, z prawniczej perspektywy istotny jest sposób, w jaki telefon udziela użytkownikowi dostępu do danych w nim zawartych.
Nowego iPhone’a można odblokować poprzez zeskanowanie swojej twarzy (oczywiście po uprzednim zapisaniu tej twarzy w bazie telefonu), czyli dzięki mechanizmowi nazwanemu przez producenta „Face ID”. Jak wynika z informacji udostępnianych przez Apple, Face ID bazuje przede wszystkim na „geometrii twarzy”. Dzięki wykorzystaniu tzw. systemu neuronowego, aparat True Depth dokonuje analizy twarzy. Wykorzystując światło podczerwone i układ ok. 30 tysięcy punktów sprzęt odwzorowuje ją wraz z jej najważniejszymi cechami, takimi jak rysy i wgłębienia. Tak uzyskany obraz („mapa twarzy”) przekształcany jest w dane matematyczne. Prowadzi to do wniosku, że nazwa „Face ID” jest bardzo trafna, ponieważ w następstwie całej procedury dochodzi do powstania zabezpieczenia w postaci kodu. Dla porównania, Samsung oraz Microsoft w swoich najnowszych smartfonach używają do identyfikacji użytkownika skanerów tęczówek.
Mimo różnych metod Apple i konkurencja muszą zmierzyć się z tym samym problemem – odpowiednią ochroną danych osobowych, bo dane biometryczne również zaliczają się do tej kategorii. Używając własnej twarzy, można przecież - także za pośrednictwem telefonu - autoryzować różne operacje (np. dokonywać płatności), w pewien sposób „podpisywać się” pod swoimi elektronicznymi działaniami.
Używanie wizerunku do autoryzacji jest kolejnym – po np. odcisku palca rozpowszechnionym już w wielu urządzeniach – przejawem wykorzystania naszych danych biometrycznych do potwierdzania dokonywania przez nas czynności (w tym też czynności prawnych!). Na Zachodzie poprzez rozpoznawanie twarzy można skutecznie zawrzeć umowę o produkty bankowe, używając wyłącznie połączenia video, będąc w zupełnie innym miejscu niż przedstawiciel banku. Upraszczając można stwierdzić, że – w zależności od sytuacji – odwzorowane i przechowywane w postaci cyfrowej kształt oraz cechy wyróżniające twarzy stanowią swego rodzaju „zamek” otwierający drzwi do możliwości dokonywania transakcji, dostępu do kont i do samego iPhone’a. „Kluczem” natomiast jest obraz nakładany ze świata rzeczywistego i pasujący do „zamka”. Jak łatwo się domyślić, osoba niepowołana, która wejdzie w posiadanie „zamka”, będzie w stanie odtworzyć ów unikalny „klucz”. Stąd też dane biometryczne, nie tylko z powodu rozwoju technologii, zaczynają obecnie stanowić coraz cenniejsze dobro każdej osoby, wobec czego aktualna jest potrzeba ich szczególnej ochrony.
Instytucje unijne, dostrzegając ten problem, przygotowały nowe regulacje zawarte w RODO – rozporządzeniu o ochronie danych osobowych. Rozporządzenie to zacznie obowiązywać 25 maja 2018 roku, bezpośrednio w każdym z krajów UE, bez konieczności jego implementacji poprzez krajowe przepisy. Dane biometryczne zdefiniowano w tym akcie jako dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby. Jako przykłady podano wizerunek twarzy lub dane daktyloskopijne.
Systemowo dane biometryczne zostały w rozporządzeniu postawione na równi z tak zwanymi danymi wrażliwymi (czyli m.in. danymi dotyczącymi zdrowia, pochodzenia etnicznego czy rasowego, o przekonaniach religijnych), a więc zostały objęte szczególną prawną ochroną. Jest to spowodowane przede wszystkim tym, że na ich podstawie da się w stu procentach zidentyfikować daną osobę. Biorąc to pod uwagę, ustawodawca europejski zdecydował, że co do zasady danych biometrycznych nie wolno przetwarzać (tj. zbierać, utrwalać, organizować, przechowywać, modyfikować) żadnym podmiotom. Jest to dopuszczone wyłącznie w szczególnych, wskazanych w rozporządzeniu przypadkach. Do tych wyjątków należą działania osoby, której dane dotyczą, tj. wyrażenie przez taką osobę wyraźnej zgody lub oczywiste upublicznienie tych danych przez tę osobę (pozostałe przypadki są niezależne od osoby, której dane dotyczą, ale są one „wyjątkowe”, jak na przykład sprawowanie wymiaru sprawiedliwości przez sądy czy względy związane z interesem publicznym w dziedzinie zdrowia publicznego).
Te zapisy w sposób jednoznaczny wskazują, że w znacznej mierze jesteśmy dysponentami dobra, jakim są nasze dane biometryczne. RODO pozostawia ustawodawcom państw członkowskich możliwość zachowania lub wprowadzenia dalszych warunków, w tym ograniczeń przetwarzania danych biometrycznych, przy czym jednak powinno się uwzględnić swobodę przepływu danych osobowych w Unii, jeżeli w rachubę wchodzi ich transgraniczne przetwarzanie. Nie można zatem w tym momencie jednoznacznie stwierdzić, jakie będą szczegółowe zasady przetwarzania danych biometrycznych, ani jakie obowiązki zostaną dołożone producentom smartfonów w zakresie zapewnienia bezpieczeństwa tych danych. W każdym razie, udostępnienie ich w nowym telefonie wiąże się z niewielkim ryzykiem ich upublicznienia.
Apple przywiązuje dużą wagę do zabezpieczeń, ponieważ ma świadomość, że każdy przypadek nieautoryzowanego wycieku danych naraziłby firmę na wielkie straty. Gwarancją bezpieczeństwa danych matematycznych powstałych w wyniku przetworzenia „mapy twarzy” ma być Secure Enclave – architektura szyfrująca stosowana przez Apple, którą w przeszłości wykorzystywano już do przechowywania matematycznego transkryptu odcisków palca w ramach technologii Touch ID. Każda jednak sytuacja, w której istnieje potrzeba czy możliwość podania i zapisania danych biometrycznych powinna wiązać się z zastanowieniem, czy rzeczywiście jest to zasadne w odniesieniu do ryzyka, które może za sobą pociągać.
Hej, jesteśmy na Google News - Obserwuj to, co ważne w techu
