Was ist eine Verletzung des Schutzes biometrischer Daten?

Verletzung des Schutzes biometrischer Daten – Definition

Eine Verletzung des Schutzes biometrischer Daten ist ein Sicherheitsvorfall, der zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu biometrischen Daten führt, die als personenbezogene Daten verarbeitet werden. Die normative Grundlage bilden Art. 4 Nr. 12 DSGVO für den Begriff der Verletzung des Schutzes personenbezogener Daten sowie Art. 4 Nr. 14 DSGVO für den Begriff biometrischer Daten. Nach der DSGVO sind biometrische Daten personenbezogene Daten, die sich aus einer speziellen technischen Verarbeitung ergeben, sich auf die physischen, physiologischen oder verhaltensbezogenen Merkmale einer natürlichen Person beziehen und die eindeutige Identifizierung dieser Person ermöglichen oder bestätigen, etwa Gesichtsbilder oder daktyloskopische Daten.

Im Zusammenhang mit Fotos und Videoaufnahmen betrifft dieser Begriff vor allem Materialien, anhand derer eine Person über ihr Gesicht erkannt werden kann, sowie technische Ableitungen wie Face Embeddings, Merkmalsvektoren, Landmark-Maps oder Vergleichsmuster, die von einem Erkennungssystem genutzt werden. Das bloße Gesichtsbild ist nicht immer ein biometrisches Datum im Sinne von Art. 9 DSGVO. Dazu wird es erst dann, wenn es mit speziellen technischen Mitteln zum Zweck der eindeutigen Identifizierung oder Authentifizierung einer Person verarbeitet wird. Diese Unterscheidung ist für die Einordnung des Vorfalls, die Risikobewertung und die Meldepflichten von zentraler Bedeutung.

In der Praxis der Anonymisierung von Fotos und Videos kann die Datenschutzverletzung sowohl das Ausgangsmaterial vor der Unkenntlichmachung von Gesichtern als auch die von Algorithmen des maschinellen Sehens erzeugten Zwischendaten betreffen. Wenn eine Organisation ein Deep-Learning-Modell zur Gesichtserkennung im Sinne der Detektion trainiert oder einsetzt, entsteht eine Verarbeitungspipeline mit Videoframes, Detektionen, Bounding-Box-Koordinaten, Objektkennungen und Zeitstempeln. Dient diese Pipeline ausschließlich dazu, Gesichter zu erkennen und zu verpixeln oder zu verwischen, nicht aber die Identität festzustellen, ist nicht jeder Verarbeitungsschritt automatisch als Verarbeitung besonderer Kategorien personenbezogener Daten einzustufen. Dennoch kann ein Leak nicht anonymisierter Aufnahmen mit erkennbaren Gesichtern weiterhin eine Datenschutzverletzung mit hohem Risiko für die betroffenen Personen darstellen.

Wie eine Datenschutzverletzung bei Bild- und Videomaterial einzuordnen ist

Die Einordnung eines Vorfalls erfordert die Trennung von drei Ebenen: Eingabedaten, Zwischendaten und Verarbeitungszweck. Genau diese Aufteilung entscheidet darüber, ob von einer Verletzung gewöhnlicher personenbezogener Daten oder von einer Verletzung biometrischer Daten als besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO zu sprechen ist.

Bei Foto- und Videomaterial werden in der Praxis am häufigsten folgende Konstellationen analysiert:

Der Europäische Datenschutzausschuss weist in den Leitlinien 01/2022 zum Auskunftsrecht darauf hin, dass ein Foto für sich genommen nicht immer ein biometrisches Datum ist, dies aber je nach Art der Nutzung werden kann. In den Leitlinien 05/2022 zur Nutzung von Gesichtserkennungstechnologie im Bereich der Strafverfolgung wird dieser Bereich wiederum als besonders prüfungsbedürftig im Hinblick auf Zweck, Verhältnismäßigkeit und Rechtsgrundlage beschrieben. Für Datenschutzbeauftragte bedeutet das, dass ein Vorfall nicht nur mit der Frage beschrieben werden sollte: „Ist ein Gesichtsbild abgeflossen?“, sondern auch mit: „Hat die Organisation Muster erstellt oder gespeichert, die der eindeutigen Identifizierung dienen?“

Bedeutung für die Anonymisierung von Fotos und Videoaufnahmen

Im Prozess der Anonymisierung von Fotos und Videoaufnahmen besteht das Ziel darin, das Risiko einer Identifizierung durch eine irreversible oder praktisch irreversible Entfernung identifizierender Merkmale zu begrenzen. In der Praxis anonymisiert Gallio PRO automatisch Gesichter und Kfz-Kennzeichen in gespeicherten Materialien, nicht jedoch in Live-Streams. Das reduziert die Risikofläche, beseitigt aber nicht die Gefahren in den Phasen Import, Verarbeitung, Export und Archivierung der Quelldateien.

Für die automatische Unkenntlichmachung von Gesichtern werden Deep-Learning-Modelle zur Objekterkennung oder Segmentierung eingesetzt. Das Modell muss zuvor auf geeigneten Datensätzen trainiert werden, die Gesichter enthalten, die durch Annotationen gekennzeichnet sind. Anschließend erkennt ein solches Modell die Position eines Gesichts in einzelnen Frames und übergibt die Koordinaten an ein Blur- oder Maskierungsmodul. Wenn das System der erkannten Person kein konkretes Gesicht zuordnet und keinen Abgleich mit einer Musterdatenbank vornimmt, ist seine Funktion grundsätzlich detektiv und nicht identifizierend. Dennoch enthält das Eingabematerial weiterhin personenbezogene Daten, und ein Datenleck kann eine Meldung der Datenschutzverletzung erforderlich machen.

Ein praktisches Problem besteht darin, dass bereits das kurze Zeitfenster zwischen dem Eingang einer Datei und ihrer Anonymisierung eine Phase erhöhten Risikos darstellt. Eine Datenschutzverletzung kann durch eine fehlerhafte Konfiguration von Netzwerkfreigaben, übermäßige Operatorrechte, den Export einer Zwischendatei, ein unverschlüsseltes Backup oder die irrtümliche Veröffentlichung einer Version vor der Anonymisierung eintreten.

Meldepflichten nach einer Verletzung biometrischer Daten

Die DSGVO sieht Pflichten vor, die vom Risiko für die Rechte und Freiheiten natürlicher Personen abhängen. Der Verantwortliche bewertet die Wahrscheinlichkeit und die Schwere der Folgen des Vorfalls und nicht allein die technische Tatsache einer Sicherheitsverletzung. Bei biometrischen Daten liegt die Risikoschwelle in der Regel höher, weil sich ein biometrisches Muster nicht wirksam „ändern“ lässt wie ein Passwort.

Die grundlegenden Pflichten sind:

• Art. 33 DSGVO – Meldung der Datenschutzverletzung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt,
• Art. 34 DSGVO – Benachrichtigung der betroffenen Person, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte oder Freiheiten zur Folge hat,
• Art. 33 Abs. 5 DSGVO – Dokumentation aller Datenschutzverletzungen, ihrer Umstände, ihrer Folgen und der ergriffenen Abhilfemaßnahmen.

Für die Bewertung eines hohen Risikos sind die Leitlinien der Artikel-29-Datenschutzgruppe WP250 rev.01 zur Meldung von Datenschutzverletzungen hilfreich, die später vom EDSA übernommen wurden. Bei biometrischen Daten sind insbesondere Folgen wie Identitätsdiebstahl, sekundäres Profiling, unbefugtes Tracking einer Person über mehrere Systeme hinweg sowie der langfristige Kontrollverlust über ein eindeutiges biometrisches Identifikationsmerkmal relevant.

Zentrale Parameter für die Bewertung eines Vorfalls

In Umgebungen der Bildverarbeitung reicht eine bloße Dateiliste nicht aus, um eine Datenschutzverletzung zu bewerten. Erforderlich sind messbare technische und operative Parameter. Sie erleichtern die Einschätzung des Umfangs der Offenlegung und der Wirksamkeit von Abhilfemaßnahmen.

Für technische Teams ist ein einfacher Indikator für die operative Exposition nützlich:

Risk Exposure Index = Anzahl der Personen x Dauer der Exposition x Faktor der Umkehrbarkeit der Identifizierung

Dies ist keine normative Formel, sondern ein praktisches internes Werkzeug zur Priorisierung der Reaktion. Der Faktor der Umkehrbarkeit der Identifizierung sollte bei Rohaufnahmen mit Gesichtern höher ausfallen als bei Material, das wirksam unkenntlich gemacht wurde.

Abhilfe- und Präventionsmaßnahmen

Nach einem Vorfall kommt es nicht nur darauf an, den Zugriff zu unterbinden, sondern auch das Risiko einer erneuten Identifizierung aus Foto- und Videomaterial zu begrenzen. Die Maßnahmen sollten sowohl die Ebene der Informationssicherheit als auch den eigentlichen Anonymisierungsprozess abdecken.

Am häufigsten werden folgende Maßnahmen eingesetzt:

• sofortige Rücknahme oder Sperrung des Zugriffs auf nicht anonymisierte Dateien,
• Prüfung, ob die richtige Dateiversion nach der Unkenntlichmachung von Gesichtern und Kennzeichen veröffentlicht wurde,
• erneute Verarbeitung des Materials mit Qualitätskontrolle der Erkennung von Gesichtern und Kfz-Kennzeichen,
• Verschlüsselung ruhender und übertragener Daten gemäß der Sicherheitsrichtlinie,
• Trennung von Trainings-, Test- und Produktionsumgebungen,
• Minimierung der Aufbewahrungsdauer von Quelldateien vor der Anonymisierung,
• zugriffsbezogene Protokollierung auf Basis von Systemereignissen, ohne die personenbezogenen Daten selbst zu loggen,
• Tests der Wirksamkeit des Anonymisierungsprozesses an einer Kontrollstichprobe.

In einer On-Premises-Umgebung sind die Kontrolle lokaler Repositories, Backups und Administratorberechtigungen besonders wichtig. Wenn eine Organisation Gallio PRO verwendet, ist zu beachten, dass die Software automatisch nur Gesichter und Kfz-Kennzeichen unkenntlich macht. Andere Elemente wie Dokumente, Tattoos, Logos oder Bildschirminhalte können eine manuelle Bearbeitung im Editor erfordern. Diese Einschränkung sollte in der Risikobewertung und in den Verfahren zur Veröffentlichung von Materialien berücksichtigt werden.

Normative Bezüge und Quellen

Definition und Pflichten sollten auf Primärquellen sowie offiziellen Leitlinien europäischer Stellen beruhen. Im Bereich Fotos und Videos sind insbesondere Rechtsakte und Auslegungshilfen zu biometrischen Daten, Datenschutzverletzungen und Gesichtserkennung relevant.

• Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 – DSGVO, Art. 4 Nr. 12, Art. 4 Nr. 14, Art. 9, Art. 33, Art. 34
• WP29, Guidelines on Personal data breach notification under Regulation 2016/679, WP250 rev.01, 6. Februar 2018, später vom EDSA bestätigt
• EDSA, Guidelines 05/2022 on the use of facial recognition technology in the area of law enforcement, angenommene Fassung vom 26. April 2023 – relevant für das Verständnis von Gesichtserkennungstechnologie
• EDSA, Guidelines 01/2022 on data subject rights – Right of access, angenommene Fassung vom 28. März 2023 – Erläuterungen zu Fotografien und biometrischen Daten
• ENISA, Personal Data Breach Notification Tool sowie Materialien zur Klassifizierung von Vorfällen – praktische Unterstützung bei der Risikobewertung
• ISO/IEC 2382-37:2022 – biometrics vocabulary
• ISO/IEC 24745:2022 – biometric information protection