Datatilsynet har i den senere tiden mottatt en rekke henvendelser knyttet til bruk av biometriske kjennetegn. Henvendelsene har kommet både fra virksomheter som ønsker å innføre løsninger med biometri, og fra ansatte eller publikum som blir bedt om å avgi sitt fingeravtrykk. Det har særlig vært mange spørsmål knyttet til bruk av fingeravtrykk. Spørsmålene dreier seg om flere problemstillinger – fra bruk av fingeravtrykk i stedet for garderobelapp, via bruk av fingeravtrykk i forbindelse med tidsregistrering på arbeidsplasser, til bruk av fingeravtrykk og irisskanning for å kontrollere adgangen til lufthavner og andre terrorutsatte områder. Datatilsynet har nå fattet vedtak i en rekke av disse sakene.
Etter personopplysningslovens § 12 kan entydige identifikasjonsmidler bare nyttes når det er saklig behov for sikker identifisering og metoden er nødvendig for slik identifisering. Fingeravtrykk, irisskanning og andre biometriske kjennetegn, faller inn under definisjonen av ”entydige identifikasjonsmidler” og bruk av disse må derfor oppfylle de strenge vilkårene. Det har i denne sammenheng ingen betydning om man kun benytter en kode beregnet ut fra punkter i fingeren eller irisen, såfremt denne koden kan knyttes til et enkeltindivid. Det har heller ingen betydning om de biometriske kjennetegnene eller koden som benyttes blir kryptert og dermed vanskelig kan misbrukes. Dette er imidlertid krav til sikkerhet som vil kunne komme inn dersom formålet med bruken oppfyller lovens vilkår.
Datatilsynet har ikke funnet at vilkårene i § 12 ble oppfylt i noen av de sakene som er behandlet inntil nå, og det er derfor gitt beskjed om at bruken av biometriske kjennetegn ikke kan innføres, eventuelt må avsluttes dersom bruken allerede er igangsatt, i alle sakene. I to tilfeller er iverksettelsen av Datatilsynets vedtak utsatt til det foreligger en endelig avgjørelse fra Personvernnnemnda. Begge disse tilfellene gjelder bruk av fingeravtrykk ved pålogging til bærbare datamaskiner.
Datatilsynet er oppmerksom på at biometriske kjennetegn har egenskaper som gjør dem egnet for å bekrefte at en person er den han gir seg ut for å være, for eksempel ved at man sammenligner personens fingeravtrykk mot det som tidligere er lagret. De strenge vilkårene i personopplysningslovens § 12 sperrer imidlertid for en slik bruk av biometriske kjennetegn. Datatilsynet vil gjøre innspill til arbeidsgruppen for revisjon av personopplysningsloven med sikte på å få til en endring av personopplysningslovens § 12, slik at biometriske kjennetegn for fremtiden kan benyttes til slik verifisering der dette er nødvendig. Det er for tidlig å si noe om hva et eventuelt forslag til lovendring vil gå ut på og når eventuelle nye regler vil trå i kraft.
Fem av vedtakene er påklaget til Personvernnemnda, fire av disse kan lastes ned her (pdf, nytt vindu)
Den femte finner du her (pdf, nytt vindu, Datatilsynet beklager dårlig kvalitet i pdf-filen)
Status i saken per 02.01.2007: Personvernnemnda har omgjort Datatilsynets vedtak overfor Tysvær kommune, slik at kommunen kan bruke fingeravtrykk til pålogging på sine datamaskiner.
Les nemndas vedtak her: (pdf, nytt vindu)