Att betala med ansiktet: vad som ändras när nyckeln är du

Det är frestande att läsa detta som en produktnyhet. Det är det inte. Ett ansikte som används för att känna igen en bestämd person är inget fotografi: det är en biometrisk uppgift i syfte att entydigt identifiera en fysisk person, och GDPR placerar den bland de särskilda kategorierna i artikel 9.1. Den praktiska följden är att en grund enligt artikel 6 inte räcker: det krävs även ett villkor enligt artikel 9.2, och i detaljhandeln finns realistiskt bara ett tillgängligt, det uttryckliga samtycket i led a.

Här öppnar sig den verkliga frågan, som inte gäller Revolut utan var och en som vill kopiera modellen. Samtycket gäller om det är frivilligt, och frivilligt betyder att den som säger nej inte förlorar något. Så länge det står en vanlig kassa bredvid den biometriska håller villkoret. I det ögonblick ansiktet blir det enda sättet att betala, eller det sätt som hoppar över kön medan det andra inte gör det, upphör samtycket att vara en rättslig grund och blir en formalitet inhämtad under press.

• En komprometterad identifierare byts inte ut. Ett kort spärras, ett lösenord skrivs om, ett ansikte inte. Det är därför artikel 9 behandlar dessa uppgifter annorlunda, och inte av överdriven försiktighet.
• Konsekvensbedömningen är inte frivillig: storskalig behandling av särskilda kategorier, artikel 35.3 b.
• Att återkalla måste vara lika enkelt som att ansluta sig, och återkallelsen måste ge en kontrollerbar verkan, inte bara en kryssruta som byter läge.
• Det måste alltid finnas ett verkligt alternativ till samma pris och med samma bekvämlighet, annars är samtycket inte frivilligt.

För dataskyddsombudet i en butik som erbjuds ett sådant system är den första frågan till leverantören vem som bestämmer vad. Om leverantören fastställer ändamål och medel och butiken bara hyser terminalen är butiken inte personuppgiftsansvarig för den behandlingen; men den är fortfarande ansvarig för valet att ställa upp den i sina lokaler, och den måste informera dem som kommer in, säkerställa alternativet och veta var bilderna hamnar. «Det är inte vi som lagrar uppgifterna» svarar på var, inte på vem, och de två blandas ihop hela tiden.

På europeisk sida läggs ramverken ovanpå varandra, de ersätter inte varandra. AI-förordningen förbjuder inte en-till-en-verifiering som görs med den registrerades samtycke — förbudet gäller biometrisk fjärridentifiering i realtid på allmänt tillgängliga platser för brottsbekämpning — men placerar ändå biometriska system bland de reglerade, med egna skyldigheter som läggs till GDPR och inte uppslukas av den. Liknande försök har redan gjorts i unionen: Mastercard och PayEye testade biometrisk betalning i fem Empik-butiker i Polen i juni 2024.

Vad man tar med sig, konkret. Om en klient ber om ett utlåtande om en kassa som känner igen ansikten ska fyra saker skrivas ned före allt annat: det villkor i artikel 9.2 som åberopas; konsekvensbedömningen, gjord före och inte efter installationen; de skilda lagringstiderna för den biometriska mallen och för varje bild som behålls som reserv; och det icke-biometriska alternativet, beskrivet så att det syns att ingen får det sämre genom att välja det. Utan dessa fyra beskriver världens vackraste information en behandling utan stadig grund.