Biometrisk regulering varmes opp, varsler hodepine i samsvar

Biometrisk regulering varmes opp, varsler hodepine i samsvar

Tidsstempel: 1. mars 2024 1:09
Biometrireguleringen varmes opp, varsler etterlevelse Hodepine PlatoBlockchain Data Intelligence. Vertikalt søk. Ai.

Dette året kan være en velsignelse for biometrisk personvernlovgivning. Temaet er i ferd med å varmes opp og ligger i skjæringspunktet mellom fire trender: økende kunstig intelligens (AI)-baserte trusler, økende biometrisk bruk av virksomheter, forventet ny personvernlovgivning på statlig nivå, og en ny eksekutiv ordre utstedt av president Biden denne uken som inkluderer biometrisk personvern.

Men den økte kontrollen kan slå tilbake: Disse forskriftene kan skape konflikter og komplekse styringsspørsmål for selskaper som prøver å møte de nye strengene, spesielt når det kommer til en del av nye statsbaserte lover som skal tre i kraft. Dette betyr at bedrifter må holde seg oppdatert ettersom dette juridiske landskapet utvikler seg.

Amy de La Lama - en advokat med Bryan Cave Leighton Paisner, som sporer statlige personvernlover — sier at virksomheter må være mer fremtidsrettede og forutse og forstå risikoene for å bygge den riktige infrastrukturen for å spore og bruke biometrisk innhold.

"Dette betyr at de bør jobbe tettere mellom forretnings- og juridiske funksjoner for å forstå hvordan de kan bruke biometri i produktene og tjenestene sine og forstå de juridiske kravene," sier hun.

Biometriregulering Lags Statens personverninnsats

Ulike stater har vedtatt lover om personvern de siste to årene, inkludert Delaware, Indiana, Iowa, Montana, New Jersey, Oregon, Tennessee og Texas. Dette legger til personvernlover som allerede er vedtatt i California, Colorado, Connecticut, Utah og Virginia.

Til tross for denne voksende rammen av personvern, har ikke alle stater gjort mye i veien for å regulere biometri. For eksempel definerer ikke Colorados personvernlovgivning eksplisitt biometriske data, men har regler om hvordan de behandles.

I mellomtiden, fem stater har spesifikt vedtatt biometrirelaterte forskrifter (Illinois, Maryland, New York, Texas og Washington). Selv om det høres ut som en trend, er mange av disse lovene begrensede, for eksempel New York-loven som utelukkende er fokusert på forbud mot å samle fingeravtrykk fra ansatte som en betingelse for ansettelse.

Av de fem eksisterende statene med biometrirelaterte lover, Illinois' Biometrisk informasjon om personvern har eksistert lengst - siden 2008 - og er den mest omfattende, og dekker hvordan biometriske data samles inn, lagres og brukes. Likevel tok det før denne uken å gjøre opp om skader i søksmål anlagt av en gruppe lastebilsjåfører mot BNSF-jernbanen flere år siden på grunn av et krav om å skanne fingeravtrykkene deres før de går inn på en jernbanegård i Illinois.

Ting kan endre seg: New York vurderer minst tre lovforslag i år som forsøker å utvide beskyttelsen til mer omfattende biometriske kontroller, og det er lovforslag i minst 14 andre staters komiteer for en bredere tolkning av biometriske forhold også.

Et forvirrende lappeteppe av dataoverholdelseskrav

De subtile forskjellene mellom alle statens lover kan forårsake overholdelseskonflikter. Det er forskjeller mellom hvordan biometrisk personvern vil bli regulert, samt generelle vedtaksdatoer og ulike rapporteringskrav.

"Biometri er tydelig i trådkorset akkurat nå," sier David Stauss, en ledende ekspert ved advokatfirmaet Husch Blackwell, som sporer personvernlover over hele landet, "og det er øverst på listen over håndtering av sensitive dataproblemer. Det er utrolig vanskelig for bedrifter å spore alle disse kravene. Disse forskriftene er et mål i konstant bevegelse, og ligner på å bygge et skip mens vi seiler det.»

For eksempel trer Texas og Montanas personvernlover i kraft 1. juli, men Indianas lover trer ikke i kraft før 1. januar 2026. Californias lover oppretter nye krav for sensitiv personlig informasjon og lar forbrukere begrense visse data som kan brukt av bedrifter. Virginias lov har en mer restriktiv definisjon av biometriske data og begrenser hvordan de kan behandles.

Hver stat har også en forskjellig blanding av hvilke virksomheter som må rapportere, basert på hvor mye inntekter som genereres i hver stat, antall forbrukere som er berørt, og om de er for profitt eller ikke.

Alt dette betyr at det vil være komplisert for selskaper som driver forretninger nasjonalt fordi de må revidere databeskyttelsesprosedyrene deres og forstå hvordan de innhenter forbrukersamtykke eller lar forbrukere begrense bruken av slike data og sørge for at de samsvarer med de forskjellige finessene i regelverket. 

Bidra til overholdelseshodepinen: Bekjennelsen setter høye mål for ulike føderale byråer i hvordan de skal regulere biometrisk informasjon, men det kan være forvirring når det gjelder hvordan disse forskriftene tolkes av virksomheter. Faller for eksempel et sykehuss bruk av biometri under regler fra Food and Drug Administration, Health and Human Services, Cybersecurity and Infrastructure Security Agency eller Justisdepartementet? Sannsynligvis alle fire.

Og det er før selv med tanke på de internasjonale implikasjonene, fordi Europa og andre steder legger til dette vanvittige teppet med personvernregler.

Biometrisk bruk utvides, til tross for tillitsproblemer

Dette komplekse juridiske landskapet er drevet av den økende bruken av biometri for å beskytte private og forretningsdata – og cybersikkerhetstruslene som følger med det.

Leverandører gjør en bedre jobb med å inkorporere disse teknologiene i generelle programvareutviklingspakker, for eksempel kunngjøringen i fjor høst om at Amazon vil utvide sin Palm-scanning One-programvare for å muliggjøre bedre bedriftstilgangskontroller.

Men mens fingeravtrykk-, ansikts- og håndflateskanningsteknologier har eksistert i årevis (den FBI har samlet inn mange millioner håndflateskanninger det siste tiåret), lagrer Amazon sine palmeavtrykk i skyen, noe som kan gjøre eventuelle lekkasjer eller potensielle misbruk mer sannsynlig, ifølge Mark Hurst, Creative Goods administrerende direktør.

"Disse håndflateleserne er ment å normalisere handlingen med å gi opp biometriske data hvor som helst, når som helst," sier Hurst. "Og hva skjer hvis palmedataene – som så mange andre ID-systemer – blir hacket? Lykke til med å finne en ny håndflate."

I mellomtiden øker AI-induserte dypfalske videoetterligninger av kriminelle som misbruker biometriske data som ansiktsskanninger. Tidligere i år, et dypt falskt angrep i Hong Kong ble brukt til å stjele mer enn 25 millioner dollar, og det er sikkert andre som vil følge etter som AI-teknologi blir bedre og enklere å bruke for å produsere biometriske forfalskninger.

De motstridende regelverkene og kriminelle overgrepene kan forklare hvorfor forbrukernes tillit til biometri har tatt et dypdykk. 

Ifølge GetApps 2024 Biometric Technologies Survey av 1,000 forbrukere har antallet individer som har stor tillit til teknologiselskaper for å sikre biometriske data falt fra 28 % i 2022 til bare 5 % i 2024. Selskapet sier at nedgangen skyldes det økende antallet datainnbrudd og rapporter om identitetstyveri saker.

"For å redusere juridiske, omdømmemessige og økonomiske risikoer, sørg for at biometriske data fanges opp med samtykke og lagres sikkert i samsvar med personvernregler," sier Zach Capers, senior sikkerhetsanalytiker hos GetApp. Men det kan være lettere sagt enn gjort, spesielt ettersom fremtidige biometriske lover tilbyr motstridende krav.

Tidstempel:

Mer fra Mørk lesning