Płacenie twarzą: co się zmienia, gdy kluczem jesteś ty

Kusi, by czytać to jako wiadomość o produkcie. Nią nie jest. Twarz użyta do rozpoznania konkretnej osoby nie jest fotografią: to dane biometryczne służące do jednoznacznego zidentyfikowania osoby fizycznej, a RODO umieszcza je wśród szczególnych kategorii z art. 9 ust. 1. Praktyczny skutek: podstawa z art. 6 nie wystarcza, potrzebny jest także warunek z art. 9 ust. 2, a w handlu detalicznym realnie dostępny jest jeden, wyraźna zgoda z lit. a.

Tu pojawia się prawdziwe pytanie, które nie dotyczy Revoluta, lecz każdego, kto zechce skopiować ten model. Zgoda liczy się, jeśli jest dobrowolna, a dobrowolna znaczy, że kto odmawia, nic nie traci. Dopóki obok kasy biometrycznej stoi zwykła kasa, warunek się broni. Z chwilą gdy twarz staje się jedynym sposobem zapłaty albo sposobem omijającym kolejkę, podczas gdy drugi jej nie omija, zgoda przestaje być podstawą prawną i staje się formalnością zbieraną pod presją.

• Skompromitowanego identyfikatora się nie zmienia. Kartę się blokuje, hasło pisze na nowo, twarzy nie. Dlatego art. 9 traktuje te dane inaczej, i nie jest to nadmierna ostrożność.
• Ocena skutków nie jest fakultatywna: przetwarzanie na dużą skalę szczególnych kategorii, art. 35 ust. 3 lit. b.
• Cofnięcie musi być tak łatwe jak przystąpienie i musi wywołać sprawdzalny skutek, a nie tylko zmienić status pola.
• Zawsze musi istnieć realna alternatywa w tej samej cenie i o tej samej wygodzie, inaczej zgoda nie jest dobrowolna.

Dla IOD sklepu, któremu proponuje się taki system, pierwszym pytaniem do dostawcy jest, kto o czym decyduje. Jeśli dostawca ustala cele i sposoby, a sklep jedynie udostępnia miejsce terminalowi, sklep nie jest administratorem tego przetwarzania; pozostaje jednak administratorem decyzji o zainstalowaniu go we własnym lokalu i musi informować wchodzących, zapewnić alternatywę i wiedzieć, gdzie trafiają obrazy. «To nie my przechowujemy dane» odpowiada na pytanie gdzie, nie kto, a te dwie rzeczy myli się nieustannie.

Po stronie europejskiej ramy się sumują, a nie zastępują. Rozporządzenie o sztucznej inteligencji nie zakazuje weryfikacji jeden do jednego prowadzonej za zgodą osoby — zakaz dotyczy zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej do celów ścigania — ale i tak zalicza systemy biometryczne do regulowanych, z własnymi obowiązkami, które dochodzą do RODO, a nie je pochłaniają. Podobne próby w Unii już były: Mastercard i PayEye testowały płatność biometryczną w pięciu sklepach Empik w Polsce w czerwcu 2024 r.

Co z tego wynika praktycznie. Gdy klient prosi o opinię o kasie rozpoznającej twarze, przed wszystkim innym trzeba spisać cztery rzeczy: warunek z art. 9 ust. 2, na którym się opieramy; ocenę skutków, przeprowadzoną przed, a nie po instalacji; odrębne okresy przechowywania szablonu biometrycznego i każdego obrazu zachowanego jako zabezpieczenie; oraz alternatywę niebiometryczną, opisaną tak, by było widać, że nikt nie traci, wybierając ją. Bez tych czterech najpiękniejsza klauzula opisuje przetwarzanie bez solidnej podstawy.