Biometria głosowa a RODO: kiedy głos służy do potwierdzania tożsamości

Biometria głosowa podlega szczególnej ochronie RODO, gdy technicznie przetworzone cechy głosu służą jednoznacznemu ustalaniu lub potwierdzaniu tożsamości człowieka. Samo zapisanie rozmowy telefonicznej nie oznacza jeszcze takiej operacji. Firma planująca weryfikację głosem musi ustalić podstawę przetwarzania, spełnić odpowiedni warunek dotyczący danych biometrycznych oraz ocenić ryzyko dla rozmówców. Zwykła informacja o nagrywaniu połączenia tego nie zastępuje.

Nagranie rozmowy a wzorzec biometryczny

Nagranie zawierające głos rozpoznawalnej osoby może być daną osobową, podobnie jak zapis jej wypowiedzi połączony z numerem klienta. O biometrii rozstrzyga jednak dodatkowy element. Według art. 4 pkt 14 RODO dane biometryczne powstają wskutek specjalnego przetwarzania technicznego cech człowieka i pozwalają go jednoznacznie rozpoznać albo potwierdzić jego tożsamość.

Można to pokazać na przykładzie infolinii. Zapis rozmowy przechowywany do wyjaśnienia przebiegu obsługi jest czymś innym niż wyodrębnienie cech głosu i utworzenie wzorca przypisanego klientowi. W drugim przypadku kolejną próbkę można porównać z wzorcem, aby ocenić zgodność tożsamości. Wzorzec nie musi być plikiem nadającym się do odsłuchania. Zapis matematyczny nie staje się przez to anonimowy.

Przepis obejmuje również potwierdzanie zadeklarowanej tożsamości. Porównanie głosu rozmówcy tylko z jego własnym wzorcem nadal może więc stanowić przetwarzanie danych biometrycznych. Nie trzeba przeszukiwać całej bazy klientów, aby pojawiły się wymagania dotyczące tej kategorii danych.

Transkrypcja słów, wyszukiwanie tematu rozmowy czy pomiar długości ciszy nie stają się automatycznie biometrią identyfikacyjną. Trzeba sprawdzić rzeczywiste działanie narzędzia: jakie cechy wyodrębnia, jakie wyniki wytwarza i do czego administrator je wykorzystuje. Nawet gdy nie jest to biometria, nadal mogą obowiązywać zasady ochrony danych osobowych.

Dwie podstawy oceny: art. 6 i art. 9 RODO

Dla danych biometrycznych używanych do jednoznacznego zidentyfikowania osoby art. 9 ust. 1 RODO ustanawia zasadniczy zakaz przetwarzania. Wyjątki określa art. 9 ust. 2 RODO. Administrator musi wskazać pasujący wyjątek, a obok niego podstawę zgodności przetwarzania z prawem wynikającą z art. 6 ust. 1 RODO. Są to dwa wymagania, które trzeba rozpatrzyć łącznie.

Jeśli weryfikacja głosem w banku lub na innej infolinii opiera się na zgodzie, znaczenie mają art. 6 ust. 1 lit. a RODO oraz art. 9 ust. 2 lit. a RODO. Ten drugi przepis wymaga zgody wyraźnej, odnoszącej się do określonego celu przetwarzania szczególnych kategorii danych. Nie wystarcza domniemanie, że klient zaakceptował biometrię, ponieważ kontynuuje rozmowę po komunikacie o jej nagrywaniu.

Zgoda nie jest jednak jedyną przesłanką wymienioną w art. 9 ust. 2 RODO. Przepis przewiduje także między innymi niezbędność przetwarzania dla ustalenia, dochodzenia lub obrony roszczeń oraz ważny interes publiczny oparty na odpowiednich przepisach prawa. Każda przesłanka ma własne warunki. Sam zamiar ograniczenia oszustw lub usprawnienia obsługi nie dowodzi, że wybrany wyjątek pozwala utworzyć bazę wzorców wszystkich klientów.

Także prawnie uzasadniony interes nie wystarcza do uchylenia zakazu dotyczącego biometrii: art. 6 ust. 1 lit. f RODO trzeba rozpatrywać łącznie z art. 9 ust. 1 RODO. W dokumentacji należy wyjaśnić osobno, dlaczego wolno przetwarzać dane w określonym celu i dlaczego dopuszczalne jest użycie do tego danych biometrycznych.

Zgoda na biometrię głosową musi dawać rzeczywisty wybór

Art. 4 pkt 11 RODO wiąże zgodę z dobrowolną, świadomą i konkretną decyzją. Art. 7 ust. 4 RODO nakazuje przy ocenie dobrowolności uwzględniać uzależnienie usługi od zgody na przetwarzanie, które nie jest niezbędne do wykonania umowy. Jeśli biometria jest dodatkową metodą weryfikacji, rzeczywiście dostępna metoda alternatywna pomaga zapewnić klientowi wybór.

Nie wystarczy umieścić alternatywy w regulaminie, jeśli w praktyce nie można z niej skorzystać. Przy projektowaniu obsługi trzeba ustalić, jak klient odmówi utworzenia wzorca, jak zostanie zweryfikowany w inny sposób oraz co stanie się po nieudanym dopasowaniu głosu. Konkretna metoda zastępcza zależy od usługi i jej wymagań bezpieczeństwa.

Art. 7 ust. 1 RODO wymaga od administratora możliwości wykazania uzyskanej zgody. Klient może w każdej chwili cofnąć swoją zgodę, a procedura nie może być trudniejsza od jej wyrażenia – wynika to z art. 7 ust. 3 RODO. Wycofanie nie przekreśla zgodności wcześniejszego przetwarzania z prawem, lecz wymaga zakończenia operacji opartych na tej zgodzie.

Informacja przekazywana przy zbieraniu danych powinna spełniać art. 13 RODO. Klient powinien rozumieć między innymi, kto odpowiada za wzorzec głosu, w jakim celu go wykorzystuje, na jakiej podstawie, komu udostępnia dane oraz jak długo je przechowuje lub według jakich kryteriów ustala ten okres. Informacja o nagrywaniu i wyjaśnienie działania biometrii dotyczą różnych operacji, nawet jeśli padają podczas jednego połączenia.

Wzorzec głosu: bezpieczeństwo i czas przechowywania

Zgodnie z art. 5 ust. 1 lit. c i e RODO administrator ma ograniczać zakres danych oraz czas ich przechowywania do potrzeb określonego celu. Nie wynika z tego jeden termin ważności wszystkich wzorców głosu. Trzeba osobno uzasadnić przechowywanie wzorca, nagrania użytego do jego utworzenia i zapisów kolejnych weryfikacji. Potrzeba zachowania jednego z tych elementów nie uzasadnia automatycznie zatrzymania pozostałych.

Gdy zgoda zostaje cofnięta i nie istnieje inna podstawa przetwarzania, art. 17 ust. 1 lit. b RODO przewiduje usunięcie danych bez zbędnej zwłoki, z uwzględnieniem wyjątków z ust. 3. W praktyce trzeba sprawdzić także dane znajdujące się u podmiotu obsługującego rozwiązanie. Wyłączenie funkcji w panelu klienta nie jest samo w sobie potwierdzeniem usunięcia wzorca.

Art. 32 RODO wymaga zabezpieczeń odpowiadających ryzyku, a w stosownych przypadkach wskazuje szyfrowanie i pseudonimizację. Wymaga też regularnego sprawdzania skuteczności środków ochrony. Dla projektu weryfikacji głosem oznacza to potrzebę oceny zarówno dostępu do wzorców, jak i możliwości błędnego dopuszczenia osoby podszywającej się pod klienta.

• Czy wzorce są dostępne wyłącznie osobom i systemom, które potrzebują ich do określonego zadania?
• Jak sprawdzana jest odporność weryfikacji na odtworzenie nagrania lub użycie sztucznie wygenerowanego głosu?
• Jakie są skutki błędnego dopasowania oraz odrzucenia prawidłowego klienta?
• Jak wygląda obsługa sytuacji, w której wynik porównania jest niepewny?
• Jak administrator sprawdza wykonanie ustalonych zasad usuwania danych?

To pytania do oceny konkretnego rozwiązania, a nie twierdzenie, że każdy produkt zapewnia takie same mechanizmy. Deklaracja dostawcy o wysokiej skuteczności nie zastępuje ustalenia warunków pomiaru ani sprawdzenia zabezpieczeń w planowanym zastosowaniu.

Kiedy potrzebna jest ocena skutków dla ochrony danych

DPIA, czyli ocena skutków dla ochrony danych, jest wymagana na podstawie art. 35 ust. 1 RODO, jeśli planowane przetwarzanie z dużym prawdopodobieństwem może powodować wysokie ryzyko dla praw lub wolności ludzi. Przeprowadza się ją przed rozpoczęciem operacji. Sama zgoda klientów nie zwalnia z tego obowiązku.

Art. 35 ust. 3 lit. b RODO wskazuje wprost przetwarzanie szczególnych kategorii danych na dużą skalę. Projekt obejmujący rozbudowaną bazę biometryczną klientów wymaga więc szczególnej uwagi. Mniejsza liczba osób nie oznacza automatycznie braku obowiązku: pozostaje ocena ogólnego ryzyka, kontekstu i skutków działania systemu. Art. 35 ust. 4 RODO przewiduje ponadto wykazy operacji wymagających oceny, publikowane przez organ nadzorczy.

Według art. 35 ust. 7 RODO ocena ma opisywać operacje i ich cele, analizować niezbędność oraz proporcjonalność, rozpoznawać ryzyko i wskazywać środki zaradcze. W projekcie głosowym pozwala to uporządkować pytania o alternatywną weryfikację, skutki podszycia, dostęp do danych i retencję. Administrator konsultuje ocenę z inspektorem ochrony danych, jeśli go wyznaczył, zgodnie z art. 35 ust. 2 RODO.

Potwierdzanie tożsamości a rozpoznawanie emocji

Rozpoznanie klienta po głosie i przypisanie mu zdenerwowania to różne zadania. Definicja zawarta w art. 3 pkt 39 AI Act obejmuje systemy AI, które wykorzystują dane biometryczne do ustalania emocji lub zamiarów człowieka. Sam pomiar przerw w wypowiedzi czy zapisanie słów nie przesądza, że narzędzie jest takim systemem. Znaczenie mają sposób jego działania i przeznaczenie.

W miejscu pracy oraz w instytucjach edukacyjnych użycie AI do wnioskowania o ludzkich emocjach podlega zakazowi, który przewiduje art. 5 ust. 1 lit. f AI Act. Przepis dopuszcza wyjątki związane z zastosowaniami medycznymi albo bezpieczeństwem. Ten zakaz jest stosowany od 2 lutego 2025 r. na podstawie art. 113 lit. a AI Act; nie oznacza zakazu wszelkiej analizy emocji w każdym otoczeniu.

Dla firmy wdrażającej uwierzytelnianie ważna jest granica celu: uzasadnienie porównywania głosu z wzorcem nie daje automatycznej podstawy do oceniania samopoczucia rozmówcy. Jeżeli dostawca łączy te funkcje w jednym narzędziu, każda wymaga osobnego rozpoznania przetwarzanych danych, celu i właściwych wymagań prawnych.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), Dz.U. UE L 119 z 4.5.2016, s. 1 – art. 4, 6, 7, 9 i 13: definicje, podstawy przetwarzania, zgoda i informowanie.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), Dz.U. UE L 119 z 4.5.2016, s. 1 – art. 5, 17, 32 i 35: ograniczenie danych, usuwanie, bezpieczeństwo i ocena skutków.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. (akt w sprawie sztucznej inteligencji), Dz.U. UE L, 2024/1689 z 12.7.2024 – art. 3 pkt 39, art. 5 ust. 1 lit. f oraz art. 113 lit. a: definicja rozpoznawania emocji, zakres zakazu i początek jego stosowania.

Zdjęcie: Bizzarle, CC BY-SA 4.0 (creativecommons.org/licenses/by-sa/4.0/), Wikimedia Commons, commons.wikimedia.org/wiki/File:Aston_Origin_large_diaphragm_condenser_microphone.jpg