Kan nye krypteringsløsninger og innovativ teknologi åpne for å bruke biometriske opplysninger på måter og bruksområder Datatilsynet tidligere har vært skeptisk til? I dette sandkasseprosjektet så vi på Mobai sin løsning kalt "SALT" ("Secure privacy preserving authentication using facial biometrics to protect your identity"). Rapporten er på engelsk.
Digitale tjenester er en integrert del av våre liv. For at vi skal bruke og ha tillit til disse tjenestene, er det avgjørende at de er sikre og effektive.
Digitale tjenester tilbyr vanligvis flere måter for en person å verifisere sin identitet på, som regel med krav om flere faktorer. Dette kan inkludere informasjon om noe du vet (passord eller PIN-koder), noe du har (en spesifikk enhet eller en fysisk nøkkel) eller noe du er (biometri).
Vi ser en dreining hos virksomheter mot mer bruk av biometri for å øke sikkerheten ved identitetsverifisering. Biometriske opplysninger omfatter unik informasjon om våre fysiske, fysiologiske eller atferdsmessige egenskaper – oftest med henvisning til våre fingeravtrykk eller ansiktsbilder.
Biometriske opplysninger er unike for hver enkeltperson, og det kan ha store negative konsekvenser hvis de blir stjålet. Samtidig må risikoen ved å bruke biometriske opplysninger sees i lys av at sosial manipulering har blitt mer vanlig, hvor ondsinnede aktører lurer brukere til å gi fra seg informasjonen som trengs for å få tilgang til nettbaserte tjenester. Derfor er slike opplysninger underlagt strenge personvernregler, som skal begrense innsamling, lagring og bruk av slike opplysninger.
Mobai ønsker med SALT-løsningen sin å redusere risikoen forbundet med behandling av biometriske opplysninger. De tar sikte på å gjøre dette ved å utnytte kunstig intelligens og innovative maskinlæringsmetoder. Slik ønsker de å redusere personvernrisikoen for brukeren samtidig som de utvider hvordan biometrisk informasjon kan bli brukt til digital verifisering.
I denne rapporten tar Datatilsynet for seg sentrale juridiske utfordringer knyttet til "SALT" – inkludert om løsningen kan utvide hvordan biometrisk informasjon kan brukes for verifiseringsformål.
Vårt mål med denne sluttrapporten er å gi verdifulle og generaliserbare juridiske innsikter som kan være til nytte for Mobai og deres samarbeidspartnere, samt andre aktører som jobber med lignende problemstillinger.
I dette sandkasseprosjektet tok vi tak i noen sentrale juridiske utfordringer knyttet til hvordan SALT-løsningen fungerer. De er også er relevante for andre selskaper på lignende felt og med lignende juridiske problemstillinger.
Våre vurderinger av disse utfordringene:
Datatilsynet har diskutert med Mobai om biometriske beskyttede maler – laget ved homomorfisk kryptering – kan anses som anonyme, eller om de fortsatt er ansett som personopplysninger.
Selv om homomorfisk kryptering og beskyttede maler gjør informasjonen uforståelig for parter som ikke har krypteringsnøkkelen, garanterer dette ikke nødvendigvis anonymitet. Så lenge krypteringsnøkkelen kan brukes til å koble malen til en fysisk person, omfattes den etter vår vurdering av personvernforordningens definisjon av personopplysninger.
Mobais tilnærming til lagring og behandling av biometriske opplysninger krever sentralisert lagring. Dette er fordi de anser det som nødvendig for å forbedre sikkerheten.
Sentralisert lagring muliggjør avansert kryptering, tilgangskontroll og robuste sikkerhetstiltak, men reiser også bekymringer rundt storskala innsamling av biometriske opplysninger – og andre type opplysninger – som kan brukes til verifisering av digitale identiteter.
Mobai hevder at de kan balansere sikkerhet og personvern ved å bruke innovativ teknologi for å generere biometriske, beskyttede maler som gjør det mulig å kombinere egenskapene til desentraliserte enheter med sentral lagring og behandling.
I tillegg lagrer Mobai krypterte bilder sentralt for trening av KI-modellene, mens de har på plass strenge dataminimeringspraksiser. Formålet med dette er å balansere sikkerhet og regelverksetterlevelse ved håndteringen av sensitive opplysninger.
I dette prosjektet har Datatilsynet vurdert at Mobais løsning kan gjøre det mulig med sentral lagring og behandling av biometriske opplysninger i tilfeller hvor det tidligere ikke ble ansett som sikkert nok til å adressere de betydelige bekymringene forbundet knyttet til sentral lagring.
SALT (Mobai m.fl.), sluttrapport - Securing Digital Identities (engelsk, pdf)