Uruchomienie przez Alior Bank wideoweryfikacji narobiło niemałego zamieszania w branży. Okazuje się, że wątpliwości mają nie tylko Ministerstwo Cyfryzacji czy Ministerstwo Rodziny, Pracy i Polityki Społecznej. Generalny Inspektor Ochrony Danych Osobowych postanowił zająć się sprawą wideoweryfikacji z urzędu. W jego ocenie rozwiązanie może budzić obawy nadmiernego przetwarzania danych osobowych klientów.
Jak być może pamiętacie z moich poprzednich publikacji, sprawa wideoweryfikacji narobiła niemałego zamieszania w branży. Wdrożenia nie chciała skomentować Komisja Nadzoru Finansowego oraz działający przy Ministerstwie Finansów Generalny Inspektor Informacji Finansowej. Po komentarz zostałem odesłany do Ministerstwa Cyfryzacji i Ministerstwa Rodziny, Pracy i Polityki Społecznej. Pierwsze z nich stwierdziło, że rachunkiem założonym w procesie wideoweryfikacji nie będzie można aktywować Profilu Zaufanego. Drugi resort dodał, że nie będzie również można zalogować się do Platformy Usług Elektronicznych ZUS. Wideoweryfikacja nie jest bowiem tożsama z fizyczną weryfikacją klienta przez pracownika banku.
O opinię poprosiłem również Generalnego Inspektora Ochrony Danych Osobowych (GIODO). Z obszernego komentarza nadesłanego przez biuro prasowe Urzędu płynie kilka ciekawych wniosków. Jak się okazuje, kwestia wideoweryfikacji nie była wcześniej konsultowana przez banki z GIODO i informacje na temat tego rozwiązania Inspektor oparł na bazie doniesień medialnych – nie mając dokładnych informacji dotyczących zarówno aspektów prawnych, jak i technologicznych tego działania. Uznał jednak, że sprawa jest na tyle istotna, że zajmie się sprawą wideoweryfikacji klientów przez banki z urzędu.
Co bank zrobi z nagraniem?
W ocenie GIODO, stosowana przez banki widoweryfikacja może budzić słuszne obawy nadmiernego przetwarzania danych osobowych klientów lub potencjalnych klientów. Urząd wylicza swoje wątpliwości: nie wiadomo „jak długo będzie przechowywane nagranie zawierające dane osobowe i czy będzie przechowywane również w przypadku, gdy umowa rachunku bankowego czy też kredytowego nie zostanie jednak po weryfikacji zawarta. Nie jest jasne, w jakich bazach weryfikowany będzie taki klient i co stanie się z nagraniem, gdy klient nie przejdzie pozytywnie weryfikacji.
Czy banki umożliwiające taką weryfikację będą posiadać również takie rozwiązania techniczne, systemowe, które umożliwią wyodrębnienie z nagrania i dalsze przetwarzanie danych osobowych biometrycznych, takich jak głos, linie papilarne, zachowanie się człowieka i czy tak pozyskane i zachowane dane będą stanowiły kryterium automatycznej weryfikacji klienta w przyszłości, na potrzeby np. zawierania kolejnych umów. Jakie zabezpieczenia będą zastosowane w celu uniemożliwienia osobom nieuprawnionym dostępu do takich danych.” – pisze Agnieszka Świątek-Druś, rzecznik prasowy GIODO.
Pani rzecznik zwraca uwagę na potencjalne zagrożenia płynące z wykorzystania biometrii. „Rozwiązanie zaprojektowane jako ułatwiające kontakt banku z klientem powinno uwzględniać zastosowanie odpowiednich zabezpieczeń. Gdy bowiem raz udostępnimy dane biometryczne będzie można nas zawsze automatycznie identyfikować, bez konieczności jakichkolwiek, dodatkowych działań z naszej strony. Gdy dostaną się one w ręce osób niepowołanych, umożliwią kradzież naszej tożsamości, co może rodzić bardzo poważne i trudne do odwrócenia konsekwencje. Przykład konieczności spłacania niezaciągniętego kredytu bez wątpienia przemawia do wyobraźni.
GIODO nie popiera bezrefleksyjnego wykorzystywania danych biometrycznych w sytuacjach, w których dla osiągnięcia zamierzonego celu wystarczy wykorzystać inne dane bądź rozwiązania, mniej ingerujące w naszą prywatność, gdyż do stopniowej jej utraty może się właśnie przyczynić powszechne i nieograniczone stosowanie biometrii.”.
Od przyszłego roku bardziej restrykcyjne przepisy o ochronie danych
Agnieszka Świątek-Druś przypomina też, że obecnie dane biometryczne klientów zaliczane są do tzw. danych zwykłych. Od maja przyszłego roku, gdy bezpośrednio zaczną być stosowane przepisy unijnego, ogólnego rozporządzenia o ochronie danych osobowych, dane te będą zaliczane do danych szczególnie chronionych. Przesłanki legalizujące przetwarzanie tych danych będą w związku z tym bardziej rygorystyczne niż obecnie.
Rozporządzenie wprowadzi podstawy prawne dla przetwarzania danych biometrycznych. Art. 9 ust. 1 ustanawia generalny zakaz przetwarzania danych wrażliwych (w tym biometrycznych), z wyjątkiem przepisów szczególnych, które wskazują przesłanki dopuszczające przetwarzanie takich danych. Wśród przesłanek zezwalających na przetwarzanie danych biometrycznych brak jest przesłanki pozwalającej na przetwarzanie danych w związku z zawarciem umowy.
Można znaleźć lepsze sposoby na potwierdzanie tożsamości
– Wydaje się, że w interesującym Pana przypadku można znaleźć inny, mniej ingerujący w naszą prywatność, sposób weryfikowania tożsamości – napisała w komentarzu Agnieszka Świątek-Druś. – GIODO w najbliższym czasie do Ministra Cyfryzacji skieruje wystąpienie z wnioskiem o kompleksowe przeanalizowanie sytuacji i wypracowanie rozwiązania, które umożliwi potwierdzanie naszej tożsamości za pośrednictwem środków komunikacji elektronicznej, przy jednoczesnym poszanowaniu naszych praw do prywatności i ochrony danych osobowych – dodała.
Tymczasem wprowadzenie wideoweryfikacji zapowiadają kolejne banki. Wkrótce usługa pojawi się w Banku Zachodnim WBK. Pracuje nad nią także PKO Bank Polski. – Traktujemy to zagadnienie szerzej niż tylko wideoweryfikacja – chcemy dać klientom możliwość zdalnej, wygodnej i kompleksowej autoryzacji poprzez wideo, zdjęcie czy skany dokumentów w połączeniu z polskimi rozwiązaniami eID. Wychodzimy z założenia, że nasz proces ma spełniać wymagania GIIF co do przeciwdziałania praniu brudnych pieniędzy – mówi Joanna Fatek z biura prasowego PKO BP.