Artikkel 29-gruppen, en EU-arbeidsgruppe som er satt til å ha en rådgivende funksjon i personvernsaker, kom i månedsskiftet september/oktober med en uttalelse om biometriske pass. Arbeidsgruppen peker der spesielt på et behov for samordning av europeiske land slik at man får ens beskyttelse av personvernet til enkeltpersoner.
Bakgrunn for saken
13 desember 2004 ble det vedtatt en rådsforordning om biometriske reisedokumenter. Forordningen innebærer at medlemslandene og EØS-landene må ha pass der biometriske data om ansiktsform, i første omgang, er digitalt lagret. Også fingeravtrykk skal lagres, men først på et senere tidspunkt.
De biometriske dataene lagres på en elektronisk brikke som kan leses av”kontaktløst”. For å få til dette, bruker man en RFID-løsning som er i stand til å kommunisere med en leser over en gitt radiofrekvens.
I følge arbeidsgruppen innebærer implementeringen av biometri i pass en mengde etiske, lovmessige og tekniske spørsmål. De peker spesielt på disse punktene.
Debatt
Før man innfører biometri i pass, må det være en uttømmende diskusjon i samfunnet. For å få fakta på bordet anser arbeidsgruppen at det er nødvendig å avvente ferdigstillelsen av pågående forskning og utredning på feltet. Blant annet peker arbeidsgruppen på BITE-prosjektet som ferdigstilles i 2006 (Biometric Identification Technology Ethics). BITE-prosjektet er en del av EUs sjette rammeprogram for forskning og teknologisk utvikling.
Sikkerhetsmekanismer
For å begrense risikoen som følger med biometriske metoder, må man innføre effektive sikkerhetsmekanismer. Man må derfor blant annet utvikle felles sikkerhetskriterier i henhold til ISO-standarden 15408. Som et ledd i dette må man foreta en risikovurdering, noe som ennå ikke er gjort på europeisk nivå.
Bare til verifikasjon
Biometri i pass må begrenses teknisk til å oppfylle rene verifikasjons- og identifikasjonsformål, der opplysningene i dokumentet blir sammenliknet med bæreren i forbindelse med forevisningen av dokumentet.
Sikkerhet mot urettmessig utlevering
Kommisjonen og medlemslandene bør etter arbeidsgruppens mening garantere at passene til europeiske borgere ikke kan leses av i lesere som ikke støtter Extended Axess Control, det vil si at innholdet i brikken gis en ekstra beskyttelse ved kryptering. Dette har, så langt Datatilsynet vet, ikke Norge og Sverige planlagt å benytte seg av.
Det bør garanteres at kun kompetente myndigheter får tilgang til data som er lagret på brikken. Medlemslandene skal lage et register over kompetente myndigheter.
Les uttalelsen her (pdf, engelsk, nytt vindu)
Les også: Datatilsynet drar på tilsyn til passmyndighetene.