Új kivétel szűkítheti a biometrikus adatok jogi védelmét az USA-ban

A biometrikus adatok jellemzően érzékeny adatnak számítanak

A biometrikus adatok régóta központi szerepet töltenek be az amerikai adatvédelmi vitákban. Illinois, Texas és Washington önálló biometrikus adatvédelmi törvényt fogadott el, emellett több mint 20 állam átfogó adatvédelmi jogszabálya is fokozott védelmet biztosít a biometrikus adatoknak mint érzékeny adatkategóriának.

Az állami adatvédelmi törvények jellemzően olyan adatként határozzák meg a biometrikus adatot, amely egy személy biológiai jellemzőinek automatikus méréséből származik, és egy konkrét személy azonosítására használják. Ide tartozhat például az ujjlenyomat, a hanglenyomat, a retina vagy a szivárványhártya adata, illetve más egyedi biológiai minta.

A Future of Privacy Forum szerint az államok meghatározásai között vannak eltérések. Nem minden jogszabály kezeli ugyanúgy a fényképből, videóból vagy hangfelvételből létrehozott adatokat, és az sem egységes, hogy az azonosításra ténylegesen használt, az arra szánt, illetve az arra alkalmas adatokat tekintik biometrikusnak.

Matematikai reprezentációval kerülnék meg a besorolást

Az újabb törvényjavaslatok egy olyan kivételt vezetnének be, amely az egyébként biometrikus adatnak minősülő információt kivonná a szabályozás alól, ha azt matematikai reprezentációvá alakították, és az eredményből nem lehet újra létrehozni az egyén biológiai jellemzőinek automatikus mérésével előállított adatot.

A javaslatok elsősorban olyan biometrikus azonosítási rendszerekre irányulhatnak, amelyek egyirányú matematikai eljárással alakítják át a nyers adatot. A létrejövő formátum állítólag nem fordítható vissza az eredeti biometrikus adatra, miközben az azonosítás vagy az ellenőrzés továbbra is lehetséges.

A 2026-os mississippi törvényhozási ülésszak egyik fogyasztói adatvédelmi javaslata, a HB 1051 például olyan információt zárna ki a biometrikus adatok köréből, amelyet matematikai reprezentációvá, például számsorrá alakítottak, és amelyből nem lehet újra létrehozni az azonosításhoz használt biológiai mérési adatot.

Hasonló kivétel jelent meg pennsylvaniai és georgiai átfogó adatvédelmi javaslatokban, valamint az Illinois állambeli BIPA törvényhez benyújtott több módosításban is. A Future of Privacy Forum szerint ilyen kivételt eddig egyetlen állami átfogó adatvédelmi törvény sem fogadott el, több javaslat azonban közel került a törvényhozási elfogadáshoz.

A visszafordíthatatlanság fogalma vitákat okozhat

A szervezet szerint a javasolt kivételek a korábbi vitáktól eltérő kérdésre helyezik a hangsúlyt. A vita eddig gyakran arról szólt, hogy az adat azonosíthatóvá tesz-e egy személyt. Az új megközelítés ezzel szemben azt vizsgálná, hogy az adatot technikai eljárással matematikai reprezentációvá alakították-e, és a reprezentációból visszaállítható-e az eredeti mérési adat.

A kivétel központi eleme, a visszafordíthatóság azonban nincs meghatározva. Emiatt eltérő biztonsági szintű és eltérő módon működő biometrikus átalakításokra is alkalmazható lehet. A Future of Privacy Forum szerint kérdéses, hogy a szabály szándéka kiterjedne-e olyan hétköznapi matematikai átalakításokra, mint a biometrikus sablonok titkosítása, illetve az adatvédelmet erősítő technológiákra, például a megváltoztatható biometrikus azonosítókra.

A szervezet szerint lehetséges köztes megoldás lenne, ha a kivételt csak olyan konkrét, alacsony kockázatú felhasználásoknál engedélyeznék, amelyek nem vetnek fel szélesebb körű megfigyelési aggályokat. Ez azért lehet fontos, mert a biometrikus adatvédelmi szabályok céljai között a biztonsági kockázatok mérséklése mellett az azonosítással járó megfigyelési kockázatok, így az autonómia, a névtelenség és a nyilvános mozgás szabadságának védelme is szerepelhet.