Å betale med ansiktet: hva som endrer seg når nøkkelen er deg

Det er fristende å lese dette som en produktnyhet. Det er det ikke. Et ansikt som brukes til å gjenkjenne en bestemt person er ikke et fotografi: det er en biometrisk opplysning med sikte på entydig identifisering av en fysisk person, og GDPR plasserer den blant de særlige kategoriene i artikkel 9 nr. 1. Den praktiske følgen er at et grunnlag etter artikkel 6 ikke holder: det trengs også et vilkår etter artikkel 9 nr. 2, og i varehandelen er det realistisk bare ett tilgjengelig, det uttrykkelige samtykket i bokstav a.

Da åpner det virkelige spørsmålet seg, som ikke gjelder Revolut, men enhver som vil kopiere modellen. Samtykket gjelder hvis det er frivillig, og frivillig betyr at den som sier nei ikke taper noe. Så lenge det står en vanlig kasse ved siden av den biometriske, holder vilkåret. I det øyeblikket ansiktet blir den eneste måten å betale på, eller måten som går forbi køen mens den andre ikke gjør det, slutter samtykket å være et rettslig grunnlag og blir en formalitet innhentet under press.

• En kompromittert identifikator kan ikke byttes. Et kort sperres, et passord skrives om, et ansikt ikke. Derfor behandler artikkel 9 disse opplysningene annerledes, og det er ikke overdreven forsiktighet.
• Konsekvensvurderingen er ikke valgfri: behandling i stor skala av særlige kategorier, artikkel 35 nr. 3 bokstav b.
• Å trekke seg må være like enkelt som å melde seg på, og tilbaketrekkingen må gi en etterprøvbar virkning, ikke bare en avkrysning som skifter tilstand.
• Det må alltid finnes et reelt alternativ til samme pris og med samme bekvemmelighet, ellers er samtykket ikke frivillig.

For personvernombudet i en butikk som får tilbudt et slikt system, er det første spørsmålet til leverandøren hvem som bestemmer hva. Fastsetter leverandøren formål og midler, og butikken bare huser terminalen, er butikken ikke behandlingsansvarlig for den behandlingen; men den er fortsatt ansvarlig for valget om å sette den opp i egne lokaler, og den må informere dem som kommer inn, sikre alternativet og vite hvor bildene havner. «Det er ikke vi som lagrer opplysningene» svarer på hvor, ikke på hvem, og de to forveksles stadig.

På europeisk side legges rammene oppå hverandre, de erstatter ikke hverandre. KI-forordningen forbyr ikke én-til-én-verifisering gjort med den registrertes samtykke — forbudet gjelder biometrisk fjernidentifisering i sanntid i offentlig tilgjengelige rom for rettshåndhevelse — men plasserer likevel biometriske systemer blant de regulerte, med egne plikter som kommer i tillegg til GDPR og ikke oppslukes av den. Lignende forsøk har allerede funnet sted i Unionen: Mastercard og PayEye testet biometrisk betaling i fem Empik-butikker i Polen i juni 2024.

Hva man tar med seg, konkret. Spør en klient om en vurdering av en kasse som kjenner igjen ansikter, må fire ting skrives ned før alt annet: vilkåret etter artikkel 9 nr. 2 som påberopes; konsekvensvurderingen, gjennomført før og ikke etter installasjonen; de atskilte lagringstidene for den biometriske malen og for ethvert bilde som beholdes som reserve; og det ikke-biometriske alternativet, beskrevet slik at det synes at ingen kommer dårligere ut av å velge det. Uten disse fire beskriver den fineste erklæring i verden en behandling uten solid grunnlag.