Dit ansigt er en særlig kategori af oplysninger. Det betyder artikel 9 i GDPR for dig

De fleste personoplysninger efter GDPR (dit navn, din e-mail, din adresse, din browserhistorik) er omfattet af generelle regler. Biometriske oplysninger er anderledes. Efter artikel 9 er de ”særlige kategorier” af oplysninger, ligesom helbredsoplysninger, politiske holdninger og religiøs overbevisning. Beskyttelsen er væsentligt stærkere, og forpligtelserne for virksomheder, der behandler dem, er tilsvarende større.

Hvad der tæller som biometriske oplysninger

Artikel 9 beskytter udtrykkeligt ”biometriske data med henblik på entydig identifikation af en fysisk person”. Det omfatter ansigtsaftryk, stemmeaftryk, fingeraftryk, irisscanninger og enhver teknisk behandling, der gør fysiske kendetegn til en unik identifikator.

Bemærk forbeholdet: ”med henblik på entydig identifikation”. Et almindeligt foto på sociale medier er ikke en biometrisk oplysning efter artikel 9. Det samme foto kørt gennem ansigtsgenkendelse for at skabe en identifikator: det er en biometrisk oplysning.

Dine rettigheder

• Ret til udtrykkeligt samtykke. Virksomheder må ikke behandle dine biometriske oplysninger på grundlag af legitime interesser. De skal have dit udtrykkelige, specifikke og informerede samtykke, og du kan tilbagekalde det når som helst.
• Ret til sletning. Du kan kræve dine biometriske oplysninger slettet, og virksomheder skal efterkomme det uden unødig forsinkelse (typisk inden for 30 dage).
• Ret til indsigt. Du kan få en kopi af alle de biometriske oplysninger, en virksomhed har om dig.
• Ret til dataportabilitet. Du kan få dine oplysninger i et struktureret, maskinlæsbart format.
• Ret til begrænsning. Du kan kræve, at en virksomhed stopper med at behandle dine oplysninger, mens en tvist bliver løst.

Hvad virksomheder skal gøre

Virksomheder, der behandler biometriske oplysninger, har skærpede forpligtelser: en konsekvensanalyse vedrørende databeskyttelse (DPIA), før behandlingen begynder, i de fleste tilfælde en databeskyttelsesrådgiver (DPO), strengere sikkerhedsforanstaltninger og anmeldelse af brud på persondatasikkerheden til myndighederne og de berørte inden for 72 timer.

Hvor oplysningerne opbevares, har betydning. Behandling i EU holder dine oplysninger under GDPR's stærkeste beskyttelse. Overførsel til lande uden for EU kræver særlige garantier (standardkontraktbestemmelser, afgørelser om tilstrækkeligt beskyttelsesniveau) og har gentagne gange været prøvet ved domstolene (Schrems I, Schrems II).

Sådan udøver du dine rettigheder

Enhver virksomhed, der behandler dine biometriske oplysninger, bør tilbyde en klar måde at udøve disse rettigheder på, typisk via en privacy@-adresse eller et eget kontrolpanel. Hvis de ikke svarer inden for 30 dage, kan du klage til din nationale databeskyttelsesmyndighed. I Danmark er det Datatilsynet. I Rumænien ANSPDCP, i Frankrig CNIL og i Tyskland databeskyttelsesmyndigheden i din delstat.

Konklusionen

Dit ansigt er ikke bare data. Efter europæisk ret er det beskyttet med samme alvor som din sygehistorie. Virksomheder, der behandler det lemfældigt, overtræder loven, og du har konkrete rettigheder, der kan håndhæves, så de stopper.