Technologia, która Cię zna. Czy wdrażanie biometrii to nowy standard?

Sprawdzenie salda w aplikacji bankowej, szybkie logowanie do laptopa, potwierdzenie płatności — wystarczy odcisk palca, skan twarzy albo nawet sam sposób, w jaki trzymasz telefon. Biometria działa w tle, a użytkownicy chętnie jej używają. I nic dziwnego — jest wygodna i świetnie dopasowuje się do codziennych zachowań. Nie brakuje jednak pytań o tę technologię.

• Czy dane biometryczne naprawdę są bezpiecznie przetwarzane? 
• Jak firmy powinny wdrażać biometrię, by nie stracić przy tym zaufania użytkowników? 
• I jak zapowiada się dalszy rozwój tego sposobu ochrony danych?

Odpowiemy na nie — uwzględniając perspektywę użytkowników, ale i firm, które muszą nadążać za ciągłą technologiczną rewolucją.

Biometria zyskuje na popularności

Opcja skorzystania z biometrii daje przewagę tam, gdzie liczy się szybkość i wygoda. Zamiast zapamiętywać i wpisywać skomplikowane ciągi znaków, wystarczy to, kim jesteś — dosłownie. Dla użytkowników oznacza to mniej frustracji, dla firm: mniej porzuconych procesów logowania i mniej błędów.

Warto jednak pamiętać, że ta wygoda działa tylko wtedy, gdy technologia rzeczywiście spełnia swoje zadanie — jest niezawodna, szybka i dobrze zintegrowana z resztą doświadczenia. Bo jeśli rozpoznawanie twarzy zawiedzie w kluczowym momencie, niejasna jest kwestia przetwarzania danych albo system poprosi o alternatywną metodę w nieskończoność — zaufanie do rozwiązania szybko spadnie.

Dane szczególnej kategorii

Linie papilarne, rysy twarzy, głos, sposób chodzenia czy nacisk palców na klawiaturze — wszystko to jest unikalne, a przy tym praktycznie niemożliwe do zmiany. Dlatego zgodnie z RODO dane biometryczne są objęte szczególną ochroną — artykuł 9 tego rozporządzenia zalicza je do tzw. danych wrażliwych. To oznacza, że podlegają ostrzejszym regulacjom niż te wynikające z ogólnej podstawy przetwarzania z art. 6 RODO. Przetwarzanie danych szczególnej kategorii jest dopuszczalne m.in. wtedy, gdy:

• użytkownik wyrazi na to wyraźną i świadomą zgodę przez jednoznaczne działanie (np. zaznaczenie checkboxa, podpisanie dokumentu),
• jest niezbędne do wypełnienia obowiązków pracodawcy w zakresie prawa pracy (ale z uwzględnieniem prawa krajowego lub UE i tylko, gdy zabezpiecza to prawa pracownika),
• dane są niezbędne do ustalenia, dochodzenia lub obrony roszczeń,
• lub gdy osoba, której dane dotyczą, upubliczniła je z własnej woli.

To bardzo ograniczony katalog wyjątków, dlatego każdy przypadek trzeba analizować indywidualnie — i odpowiednio udokumentować. W praktyce oznacza to, że:

• żadna firma nie może gromadzić danych użytkownika, zanim są one faktycznie potrzebne, albo bez konkretnego i jasno określonego celu (Przykład? Kiedy rejestracja wymaga podania odcisku palca lub skanu twarzy, mimo że nie jest to konieczne do korzystania z podstawowych funkcji.),
• firmy muszą upewnić się, czy dane nie są przekazywane do państw trzecich, np. USA czy Chin, gdzie obowiązują inne regulacje (CCPA w Kalifornii, PIPL w Chinach),
• cel przetwarzania i jego podstawa prawna muszą być precyzyjnie wskazane,

• a jeśli dane przetwarzane są przez podmioty zewnętrzne, warunki współpracy i ochrony danych muszą być jasno określone.

Dane biometryczne to ogromna wygoda, ale też duża odpowiedzialność ze strony podmiotów, które wdrażają technologię biometryki.

Przejrzystość przede wszystkim

Przetwarzanie danych biometrycznych wymaga wyraźnej, świadomej zgody użytkownika. Ale w praktyce — co to tak naprawdę oznacza? Jak projektować taką zgodę zgodnie z RODO?

1. Użytkownik potrzebuje jasnych informacji. Co dokładnie będzie przetwarzane (np. odcisk palca, skan twarzy), w jakim celu, przez kogo i na jak długo. Trzeba też wyjaśnić, czy dane trafią do zewnętrznych dostawców i czy będą przekazywane poza EOG.
2. Komunikat musi być zrozumiały. Bez skomplikowanego żargonu. Warto stosować prosty język, piktogramy, rozbite akapity — wszystko, co pomaga użytkownikowi zrozumieć, na co się godzi.
3. Unikaj dark patterns. Czyli manipulacyjnych interfejsów, które podsuwają zgodę jako jedyną (albo najłatwiejszą) opcję. Ukrywanie alternatyw, domyślne zaznaczanie checkboxów czy zmuszanie do zgody, żeby przejść dalej, może być uznane za niezgodne z prawem.
4. Zawsze dawaj alternatywę. Jak podkreśla dr Wojciech Wodo, biometria nie zawsze musi być domyślnym rozwiązaniem.

— Czasem to właśnie „tradycyjne” metody — jak silne hasło czy klucz sprzętowy — są bezpieczniejsze, mniej inwazyjne i wystarczające. Użytkownik powinien mieć wybór — i możliwość jego zmiany, nawet jeśli początkowo zgodził się na biometrię.

Wdrażanie biometrii — nie tylko kwestia technologii

Z punktu widzenia organizacji wdrożenie biometrii to nie tylko wybór dostawcy rozwiązania, ale przede wszystkim proces projektowy i strategiczny. Technologia musi być bezpieczna, skalowalna i zgodna z przepisami, ale też dobrze dopasowana do konkretnego kontekstu, w którym będzie używana. Częstym błędem jest traktowanie biometrii jako dodatku do istniejącego systemu — bez analizy, jak wpłynie na doświadczenie użytkownika i infrastrukturę IT. Tymczasem skuteczne wdrożenie wymaga:

• przemyślenia scenariuszy użycia — gdzie biometria rzeczywiście przynosi wartość, a gdzie będzie tylko zbędnym utrudnieniem,
• oceny ryzyka — zarówno technologicznego (np. awarie, błędy rozpoznawania), jak i prawnego (czy mamy odpowiednią podstawę prawną i dokumentację?),
• testów z użytkownikami — nawet najlepszy algorytm nie sprawdzi się, jeśli użytkownicy nie będą rozumieć, jak działa i czemu warto go używać,
• szkoleń i procedur wewnętrznych — osoby odpowiedzialne za wdrożenie, utrzymanie i obsługę technologii muszą znać zasady przetwarzania danych biometrycznych i reagowania na incydenty.

Dobrą praktyką jest też podejście etapowe: zacząć od niewielkiego wdrożenia pilotażowego, sprawdzić reakcję użytkowników, przeanalizować dane i dopiero potem skalować rozwiązanie na szerszą grupę. Technologia biometryczna może być ogromnym ułatwieniem — ale tylko wtedy, gdy wdrażana jest odpowiedzialnie, z myślą zarówno o bezpieczeństwie, jak i o zaufaniu użytkowników.

W jakim kierunku zmierza technologia biometryczna?

W najbliższych latach biometria ma szansę wyjść poza znane dziś schematy i wkroczyć na kolejny poziom interakcji z użytkownikiem. Zamiast jedynie odblokowywać dostęp — będzie przewidywać, wspierać i dopasowywać się do kontekstu. Coraz więcej mówi się choćby o biometrii behawioralnej, ale nie tylko. To kierunki, które będą rewolucjonizować projektowanie usług cyfrowych

Rozpoznawanie emocji i zachowań

Systemy oparte na biometrii mogą analizować mimikę, ton głosu czy sposób pisania, by w czasie rzeczywistym reagować na nastrój użytkownika. Przykład? Aplikacja, która obniży poziom trudności albo zaproponuje wsparcie, jeśli wykryje frustrację.

Systemy predykcyjne

Technologia zacznie wykrywać nietypowe zachowania, zanim dojdzie do naruszenia. Zamiast reagować po fakcie, systemy będą w stanie zapobiegać — np. blokując podejrzaną transakcję, zanim użytkownik sam ją zgłosi.

Hiperpersonalizacja usług

Dzięki analizie unikalnych wzorców zachowań możliwe będzie dostosowanie interfejsu, języka komunikacji czy nawet proponowanych funkcji do indywidualnych preferencji i stylu użytkownika.

Użytkownik w centrum — niezależnie od rozwiązania

Użytkownicy chcą korzystać z rozwiązań, które są jednocześnie wygodne i bezpieczne. Biometria — dobrze wdrożona, przejrzyście zakomunikowana i zgodna z przepisami — może spełniać oba te warunki. Ale nie zawsze musi być pierwszym wyborem. Czasem to tradycyjne metody, wsparte nowoczesnymi mechanizmami logowania, będą lepiej dopasowane do kontekstu i oczekiwań użytkowników.

Tak czy inaczej — niezależnie od tego czy wdrażasz właśnie nowy produkt, projektujesz, czy po prostu chcesz upewnić się, że Twoje dane logowania są bezpieczne — warto być na bieżąco z rozwojem biometrii.

W ostatnim artykule przyjrzeliśmy się bliżej temu, co dzieje się w momencie logowania — kiedy technologia powinna działać bezbłędnie. Jak zaprojektować proces logowania, który jest jednocześnie bezpieczny i bezproblemowy? Dowiedz się więcej: Koniec z zapamiętywaniem haseł. Jak technologia wpływa na bezpieczne logowanie?