СТАНОВИЩЕ
НА
КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № НДМСПО-01-274/27.04.2018 г.
гр. София, 25.09.2019 г.
ОТНОСНО: Молба за становище от страна на г-жа Виолина Маринова – Главен изпълнителен директор и г-жа Диана Митева – Изпълнителен директор на банка „ДСК“ относно законосъобразността на обработването на биометрични данни на клиенти с цел идентификация при искания от тяхна страна за съдействие и информация посредством обаждане по телефона
Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и Членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 25.07.2018 г., разгледа постъпили молби за становище от г-жа Виолина Маринова- Главен изпълнителен директор и г-жа Диана Митева – Изпълнителен директор на банка „ДСК“, с вх. № НДМСПО-01-274/27.04.2018 г.
В изпратеното писмо е отбелязано желанието на банка „ДСК“ да въведе система за идентифициране на клиентите чрез гласова биометрия “VoiceBiometrics”, която следва да бъде внедрена в Контактния център за идентификация при:
– нужда от подпомагане на клиентите на банката за продуктите и услугите, които ползват, като ще се използва и телефонното позвъняване в комбинация с разпознаването.
– получаване на информация за салдо и движение по сметката – ще се използва комбинация от три метода за идентификация на клиентите – телефон, Voicebiometrics и последните четири цифри на активна банкова карта.
За целите на изготвяне на становището е предоставена по-подробна информация относно:
1. Характеристиките на Voicebiometrics – проверка на самоличността на потребителя чрез предварително направен гласов отпечатък, който ще зависи от основната физическа конфигурация на устата и гърлото, диафрагмата, скоростта на говорене, паузите при дишане, интонация и т.н., които се изразяват като стойности чрез използвани математически методи.
2. Процесът на заявяване и регистрация по новата система:
2.1. Клиентът ще заявява метода в поделение на банката.
2.2. Клиентът подписва Искане за ползване на метода като възможност за идентификация, както и изрично съгласие за обработване на личните му данни, като банката предоставя информация относно метода на събиране на данни и целите на обработка.
2.3. Ще бъде извършен запис на три референтни съобщения, представляващи една и съща фраза, която клиентът произнася. Съобщенията се записват пред служител на банката, като текстът е един и същ за всички клиенти.
2.4. Записите ще бъдат свързвани със съответния клиентски номер.
2.5. Документът, подписан от клиента, ще се съхранява в банката в законоустановените срокове.
3. Процедурата за промяна и отказ от услугата – заложена е възможност за отказ и промяна чрез подписване на изготвен за целта документ в клон на банката. В случай на отказ събраните данни на клиентите чрез системата за гласово разпознаване ще бъдат изтрити.
4. Начинът за използване на услугата по идентификация чрез гласово разпознаване:
4.1. Идентификация на клиента по телефонен номер и дали той фигурира в базата данни на клиенти, които са регистрирани за услугата Voicebiometrics.
4.2. След разпознаване на клиента по телефон ще се извърши идентификация с глас чрез произнасяне на референтното съобщение. При успешно преминаване на разпознаването, лицето ще може да избере коя от двете опции за обслужване на клиентите да избере.
4.3. В случай, че избере възможността за следене на движение на средствата по неговата сметка, клиентът ще има възможност да въведе последните 4 цифри от номера на активна банкова карта, като се извършва последваща проверка с последните четири цифри на някоя от активните карти на клиента. След това лицето се насочва към получаване на информация за салдо и движение по сметката посредством автоматично меню на телефона на банката или чрез оператор.
5. Срокове за съхраняване на биометричните данни – определени са видовете данните за съхранение:
5.1. Записи на трите референтни съобщения, произнесени от клиента;
5.2. Записи на съобщенията, чрез които се идентифицира физическото лице през автоматичното меню.
5.3. Гласовите отпечатъци, които ще се използват за осъществяване на сравнителния анализ при осъществяване на идентификацията чрез глас.
Целта на съхранение е необходимостта от доказване идентификацията на клиента в случай на предявени претенции.
Съхранението на данните ще бъде в криптиран вид в защитена среда на сървър на банката, със строго ограничен достъп само при необходимост и за конкретен случай. Сроковете за съхранение са до 5 години от прекратяване на договорните взаимоотношения на клиента с банката.
6. Валидност на услуга – от подписването на Искането за ползване на услугата от клиента до нейното прекратяване чрез подписване на Искане за прекратяване на услугата или до прекратяване на договорните взаимоотношения на клиента с банката.
Правен анализ:
Правото на защита на лични данни е основно право, което се защитава от Регламент (ЕС) 2016/679 (Общ регламент за защита на данните). Той е нормативният акт, определящ правилата, свързани със защитата на личните данни на физическите лица при тяхното обработване. Общият регламент надгражда предишния режим за защита на данните, въведен от Директива 95/46, която бе транспонирана в българския Закон за защита на личните данни, като отчита динамиката на развитието на дейностите и технологиите за обработка на лични данни.
Използването на гласово разпознаване като система за идентификация на физически лица не е изрично регламентирано в българското законодателство. При липсата на специално законодателство, то следва да бъде анализирано в контекста на Регламент (ЕС) 2016/679, приложим от 25 май 2018 г. Полезни насоки се съдържат и в Становище 3/2012 относно развитието на биометричните технологии на вече бившата Работна група по чл. 29.
Предложеният от банката метод на идентификация включва използването на гласов отпечатък, който се явява цифрово представяне на уникалните характеристики на гласа на човек и следователно попада в определението за „биометрични данни“ по чл. 4, т. 14 от Регламент (ЕС) 2016/679. Доколкото в конкретния случай биометричните данни ще бъдат използвани от администратора за целите единствено на идентифицирането на физическо лице, тогава те се явяват специална категория лични данни по чл. 9 от Общия регламент и изискват засилена защита на правата и свободите на съответните субекти на данни.
Разпоредбата на чл. 9, пар. 2 от Общия регламент допуска законосъобразна обработка на специални категории лични данни при определени условия. Приложима в случая е хипотезата на чл. 9, пар. 2, б. „а“, а именно „субектът на данни е дал своето изрично съгласие за обработването на тези лични данни за една или повече конкретни цели“. Видно от предоставената информация, банка „ДСК“ правилно е предвидила изричното съгласие като правно основание за обработването на данните.
В чл. 7 от Общия регламент са определени различните условия към съгласието, включително относно отчетността, правото да се оттегли съгласието, както и забраната изпълнението на договор, включително предоставянето на услуга, да е поставено в зависимост от съгласието за обработване на лични данни, което не е необходимо за изпълнението на въпросния договор. Субектът на данните също така следва да бъде информиран за последиците при отказ да даде съгласие за обработване на отделни категории лични данни, в случая гласова биометрия.
За да бъдат спазени посочените по-горе изисквания, администраторът на лични данни следва да предостави на клиента на банката право на избор да се възползва от алтернативни методи за идентификация, които не включват обработване на биометрични данни, съответно възможност за последващ отказ, без това да поражда негативни последици за него. По този начин ще се избегне и евентуалния риск от дискриминация на потребители на банкови услуги, при които поради медицински или други причини не е удачно използването на гласова биометрия.
Друг важен принцип е изискването за добросъвестност и прозрачност, което следва да се реализира чрез предоставянето на кратка и разбираема информация в лесно достъпна форма и на ясен и прост език (аргумент от чл. 12 от Общия регламент). Информацията следва да включва елементите, посочени в чл. 13 от Общия регламент, вкл. сведения относно правата на лицата във връзка с обработката на техните лични данни, сроковете за съхранение на данните, получателите на информация от биометричната система, наличието на евентуално предаване (трансфер) на данните към трети страни и др.
С оглед на завишения риск за субектите на данни, администраторът следва да обърне специално внимание на задължителните изисквания, свързани с „ограничение на целите“, както и „ограничение на съхранението“ (чл. 5, пар. 1, б. „б“ и „д“ от Общия регламент). Опазването на банковата тайна и предотвратяването на опити за измами и други злоупотреби, пряко засягащи финансовите интереси на клиентите на банката, принципно представлява пропорционална цел, която оправдава използването на биометрични данни. Също така предложеният срок на съхранение на данните – до 5 години от прекратяване на договорните правоотношения на лицето с банката, не е прекомерен и е съобразен със срока на общата погасителна давност по чл. 110 от Закона за задълженията и договорите.
Не по-малко съществени в конкретната хипотеза са и принципите на „точност“ и „цялостност и поверителност“ (чл. 5, пар. 1, б. „г“ и „е“ от Общия регламент), доколкото гласовите биометрични данни ще бъдат използвани за сигурна и надеждна проверка на самоличността на физическото лице – потребител на услугите на банката.
Предвид гореспоменатото, администраторът на лични данни следва да предприеме необходимите мерки за спазването на изискванията на Общия регламент за защита на данните с оглед отговорността, който носи при използването на системата и задължението да докаже пред КЗЛД адекватността и ефективността на “Voice biometric”.
Ефективен начин за изпълнение на задълженията на администратора е прилагането на подходящи технически и организационни мерки за защита на данните на етапа на проектирането и по подразбиране по смисъла на чл. 25 от Регламент (ЕС) 2016/679.
Системата за идентифициране на клиентите чрез гласова биометрия “Voice Biometrics” представлява нова технология, която поради своето естество, обхват, контекст и цели на обработването може да породи висок риск за правата и свободите на физическите лица. Поради тази причина и на основание чл. 35 от Регламент (ЕС) 2016/679 администраторът банка „ДСК“ следва задължително да извърши оценка на въздействието на предвидените операции по обработването върху защитата на личните данни.
С оглед на гореизложеното и на основание чл. 58, параграф 3, буква „б“ от Регламент (ЕС) 2016/679, Комисията за защита на лични данни прие следното:
СТАНОВИЩЕ:
1. Внедряването от банка „ДСК“ на системата за гласово разпознаване VoiceBiometrics с оглед обслужване по въпроси и проблеми, изискващи удостоверяване на самоличността на клиента във връзка с управление, използване или заявяване на банкови продукти, както и като възможност за получаване на информация относно салдото и движението по сметка, може да бъде осъществено при следните условия:
а) Наличие на изрично съгласие на клиентите на банката в писмена форма, след като същите са били подробно информирани за целите, начините и рисковете при обработката на личните им данните с въведената система;
б) Осигуряване на право на избор на алтернативни методи за идентификация, които не включват обработване на биометрични данни, съответно възможност за отказ от услугата, без това да поражда негативни последици за физическите лица – клиенти на банката.
2. Администраторът банка „ДСК“ следва задължително да извърши оценка на въздействието на предвидените операции по обработването върху защитата на личните данни по чл. 35 от Регламент (ЕС) 2016/679 при въвеждането на Системата за идентифициране на клиентите чрез гласова биометрия “Voice Biometrics”, доколкото същата представлява нова технология, която поради своето естество, обхват, контекст и цели на обработването може да породи висок риск за правата и свободите на физическите лица.
3. При внедряването на системата за гласово разпознаване “Voice biometrics”, банката следва да спазва изискванията на специалната нормативна и подзаконова уредба за извършване на банкова дейност.
Източник: https://www.cpdp.bg