Uszczelnienie systemu finansowego to uzasadniony interes państwa

Jednym z wątków, który w ostatnim czasie przyciąga uwagę bankowców i regulatorów, jest wykorzystanie technik behawioralnych w celach antyfraudowych. Na ile obie strony są gotowe na wykorzystanie tych rozwiązań dla podniesienia bezpieczeństwa systemu finansowego?

– Biometria w polskiej bankowości nie jest nowością. We wdrożeniach konkretnych rozwiązań z tego obszaru w poszczególnych instytucjach finansowych – zarówno z segmentu komercyjnego, jak i spółdzielczego – uczestniczyłem co najmniej od 2008 r. Związek Banków Polskich od samego początku włączył się w działania na rzecz komercjalizacji i popularyzacji technologii bazujących na biometrii, jednym z przykładów czego było organizowanie od 2008 r. spotkań „Spring Biometric Summit”, które sześć lat później – ze względu na międzynarodowy zasięg i udział takich gości, jak m.in. Barclays Bank – zyskało nazwę „International Biometric Congress”.

W kolejnych latach spotkania te zainicjowały dialog pomiędzy sektorem bankowym i rodzącym się segmentem usług prawniczych w zakresie prawa nowych technologii, jak również ówczesnym Generalnym Inspektorem Ochrony Danych Osobowych (dr hab. Wojciech Wiewiórowski – przyp. red.), który podchodził do dyskusji dotyczącej wdrożeń wysoce merytorycznie, z zaangażowaniem i zrozumieniem. Dzięki podjętym działaniom możliwe było przeprowadzenie analiz w zakresie dopuszczalności stosowania biometrii choćby w prawie pracy, która to kwestia na owe czasy miała kluczowe znaczenie i nie była precyzyjnie zaadresowana przez ówczesne orzecznictwo NSA. Obecnie takim priorytetem jest cyberbezpieczeństwo, a konkretnie posługiwanie się metodami biometrycznymi w celach antyfraudowych czy AML/CFT.

Konieczność uzyskiwania zgody klientów na przetwarzanie danych biometrycznych budzi zrozumiały sprzeciw ze strony bankowców, dla których zapewnienie ochrony przed wyłudzeniami jest priorytetem…

– W tym dyskursie niekiedy pojawiają się nieodpowiednie argumenty z rynku, jak choćby ten, w myśl którego analiza behawioralna nie zaliczała się do metod biometrycznych. To błędna interpretacja w obliczu choćby postanowień RODO, w tym definicji legalnej danych biometrycznych, która w tej kwestii stawia klarowne przesłanki. Powiem wprost: tylko dzięki temu, że dane behawioralne są tak precyzyjne, możemy się nimi posługiwać w celu uwierzytelniania tożsamości klientów i autoryzacji transakcji. Niekiedy podnoszony jest argument, że mamy do czynienia jedynie z weryfikacją, a nie jednoznaczną identyfikacją użytkownika, czyli ustalaniem jego tożsamości, co w opinii formułujących takie tezy miałoby wykluczać biometryczny charakter danych behawioralnych. Z tym też nie sposób się zgodzić, biorąc pod uwagę, że punktem odniesienia jest konkretny użytkownik rachunku bankowego, którego dane osobowe są przetwarzane przez instytucję finansową na podstawie umowy zawartej z bankiem i uzyskanej wówczas zgody klienta. Danych behawioralnych używamy zatem w celu ustalenia tożsamości w momencie rejestrowania wzorca biometrycznego, a następnie potwierdzamy ową tożsamość przy każdym pomiarze biometrycznym. Skoro tak, to powinniśmy uznać dane behawioralne za dane biometryczne i spełniać wszystkie wymogi prawa, jakie odnoszą się do danych biometrycznych.

Daną biometryczną jest również podpis odręczny, tymczasem nie ma wymogu uzyskania odrębnej zgody klienta na przetwarzanie czy przechowywanie jego podpisu. Co wyróżnia dane behawioralne, że w stosunku do nich taka zgoda jest wymagana?

– W przypadku odręcznego podpisu nie mamy do czynienia z tzw. specjalnym przetwarzaniem technicznym, który to warunek co do zasady jest spełniony w przypadku analizy behawioralnej. Dysponujemy wszak określonym narzę...