Ditt ansikte är en särskild kategori av uppgifter. Det här betyder artikel 9 i GDPR för dig

De flesta personuppgifter enligt GDPR (ditt namn, din e-postadress, din adress, din webbhistorik) omfattas av allmänna regler. Biometriska uppgifter är annorlunda. Enligt artikel 9 räknas de som en ”särskild kategori” av uppgifter, tillsammans med uppgifter om hälsa, politiska åsikter och religiös övertygelse. Skyddet är betydligt starkare, och skyldigheterna för företag som behandlar dem är lika mycket högre.

Vad som räknas som biometriska uppgifter

Artikel 9 skyddar uttryckligen ”biometriska uppgifter för att entydigt identifiera en fysisk person”. Det omfattar ansiktsavtryck, röstavtryck, fingeravtryck, irisskanningar och all teknisk behandling som omvandlar fysiska kännetecken till en unik identifierare.

Lägg märke till förbehållet: ”för att entydigt identifiera”. Ett vardagligt foto i sociala medier är inte en biometrisk uppgift enligt artikel 9. Samma foto som körs genom ansiktsigenkänning för att skapa en identifierare: det är en biometrisk uppgift.

Dina rättigheter

• Rätt till uttryckligt samtycke. Företag får inte behandla dina biometriska uppgifter med stöd av berättigat intresse. De behöver ditt uttryckliga, specifika och informerade samtycke, och du kan återkalla det när som helst.
• Rätt till radering. Du kan kräva att dina biometriska uppgifter raderas, och företag måste följa det utan onödigt dröjsmål (normalt inom 30 dagar).
• Rätt till tillgång. Du kan begära en kopia av alla biometriska uppgifter som ett företag har om dig.
• Rätt till dataportabilitet. Du kan begära dina uppgifter i ett strukturerat, maskinläsbart format.
• Rätt till begränsning. Du kan kräva att ett företag slutar behandla dina uppgifter medan en tvist löses.

Vad företag måste göra

Företag som behandlar biometriska uppgifter har skärpta skyldigheter: en konsekvensbedömning avseende dataskydd (DPIA) innan behandlingen börjar, i de flesta fall ett dataskyddsombud (DPO), strängare säkerhetsåtgärder och anmälan av personuppgiftsincidenter till myndigheter och berörda personer inom 72 timmar.

Var uppgifterna lagras spelar roll. Behandling inom EU håller dina uppgifter under GDPR:s starkaste skydd. Överföring till länder utanför EU kräver särskilda skyddsåtgärder (standardavtalsklausuler, beslut om adekvat skyddsnivå) och har upprepade gånger prövats i domstol (Schrems I, Schrems II).

Så utövar du dina rättigheter

Varje företag som behandlar dina biometriska uppgifter ska erbjuda ett tydligt sätt att utöva de här rättigheterna, oftast via en privacy@-adress eller en egen kontrollpanel. Om de inte svarar inom 30 dagar kan du lämna in ett klagomål till din nationella dataskyddsmyndighet. I Sverige är det Integritetsskyddsmyndigheten (IMY). I Rumänien ANSPDCP, i Frankrike CNIL och i Tyskland dataskyddsmyndigheten i din delstat.

Slutsatsen

Ditt ansikte är inte bara data. Enligt europeisk rätt skyddas det lika allvarligt som din sjukdomshistoria. Företag som behandlar det lättvindigt bryter mot lagen, och du har specifika rättigheter som går att genomdriva för att få dem att sluta.