Kiedy kioski kosmetyczne skanują twarz w drogerii – co dzieje się z twoimi danymi – Tomek Handkiewicz

Kiedy kiosk kosmetyczny skanuje twarz, zwykle tworzy szablon biometryczny i przekazuje go do lokalnego lub zdalnego systemu analitycznego; dane te podlegają przepisom ochrony danych osobowych i wymagają konkretnej podstawy prawnej.

Jak działa skan twarzy w kiosku — opis procesu i technologia

Kroki technologiczne

kamera rejestruje obraz twarzy klienta,
algorytm wykrywa i wyodrębnia punkty kluczowe (np. odległość między oczami, kąty nosa, kontury szczęki),
z tych parametrów powstaje szablon biometryczny — zbiór wartości numerycznych opisujących cechy twarzy,
szablon jest porównywany z lokalną bazą lub przesyłany do chmury w celu analizy i dopasowania,
system zwraca wynik: dopasowanie do rekordu, przewidywany wiek, rekomendacje kosmetyków lub potwierdzenie uprawnień (np. weryfikacja wieku).

Czym jest szablon biometryczny i co z niego wynika

Szablon biometryczny to matematyczny opis cech twarzy, a nie obraz fotograficzny. W praktyce oznacza to, że po skanie tworzy się wektor liczb opisujących relacje pomiędzy punktami na twarzy. Taki szablon może nie odwzorowywać pełnego zdjęcia, ale wystarcza do porównania i jednoznacznej identyfikacji, jeśli system ma odpowiednią bazę danych. W świetle RODO takie przetwarzanie, służące identyfikacji, zalicza się do szczególnej kategorii danych — danych biometrycznych do identyfikacji, co pociąga za sobą zaostrzone wymogi prawne.

Gdzie trafiają dane i jak wygląda ich obieg w praktyce

Dane pochodzące ze skanu mogą być przechowywane i przetwarzane w różnych miejscach: lokalnie w pamięci kiosku, na serwerach operatora drogerii, lub w chmurze dostawcy oprogramowania. W praktyce obieg wygląda zazwyczaj tak, że urządzenie tworzy szablon, ten szablon jest porównywany z bazą wzorców (lokalną lub zdalną), a administrator przechowuje metadane (czas skanu, wynik, identyfikator sesji) w celach audytu i obsługi usługi. Dostęp do tych danych mają: administrator (np. drogeria), podmiot przetwarzający (dostawca kiosku) oraz ewentualni podwykonawcy analityczni.

Transfery danych i zabezpieczenia techniczne

Jeśli szablony są przesyłane poza UE, administrator musi stosować prawnie uznane mechanizmy zabezpieczające, takie jak standardowe klauzule umowne (SCC) lub inne środki zgodne z RODO. Techniczne zabezpieczenia obejmują szyfrowanie transmisji i przechowywania, ograniczenie dostępu na zasadzie najmniejszych uprawnień oraz pseudonimizację lub hashowanie wzorców, jeśli to możliwe. Najbezpieczniejszym wzorcem z punktu widzenia prywatności jest przetwarzanie obrazów w pamięci operacyjnej urządzenia bez długotrwałego zapisu i usuwanie szablonu po zakończeniu sesji.

Podstawy prawne w świetle RODO i konsekwencje naruszeń

Dane biometryczne służące do identyfikacji należą do szczególnych kategorii danych osobowych (Art. 9 RODO) i generalnie ich przetwarzanie jest zabronione, chyba że zachodzi jedna z wyjątkowych podstaw przewidzianych w Art. 9(2), na przykład wyraźna zgoda osoby, której dane dotyczą. W praktyce przedsiębiorstwa detaliczne najczęściej powołują się na wyraźną, świadomą zgodę klienta lub rzadziej na inną, konkretną podstawę prawną, jeśli przepis pozwala.

Ważne terminy i sankcje:

prawo do informacji i prawo dostępu realizowane są przez administratora w terminie 1 miesiąca od zgłoszenia,
termin ten może zostać wydłużony o kolejne 2 miesiące w skomplikowanych przypadkach,
w przypadku naruszenia danych administrator musi powiadomić organ nadzorczy nie później niż w ciągu 72 godzin, jeśli naruszenie stwarza ryzyko dla praw i wolności osób,
maksymalna kara za naruszenie RODO to do €20 mln lub do 4% globalnego obrotu rocznego przedsiębiorstwa, w zależności od tego, która kwota jest wyższa.

Ryzyka związane z przetwarzaniem skanów twarzy

wyciek danych: szablon biometryczny po wycieku pozostaje trwały, ponieważ nie można go „zmienić” jak hasła,
nieuprawnione łączenie danych: dane z kiosku mogą zostać połączone z kamerami sklepowymi lub bazą programu lojalnościowego, tworząc profil zakupowy,
błędy identyfikacji: testy (np. badania NIST) pokazują, że dokładność systemów rozpoznawania twarzy różni się między algorytmami i grupami demograficznymi, co zwiększa ryzyko pomyłek i dyskryminacji,
wtórne wykorzystanie danych: dane zebrane w celu personalizacji mogą zostać użyte do śledzenia zachowań klienta bez jego świadomości.

Dowody i regulacje wspierające obawy

Badania NIST (National Institute of Standards and Technology) wielokrotnie dokumentowały zróżnicowanie dokładności algorytmów rozpoznawania twarzy między różnymi grupami demograficznymi. W odpowiedzi organy ochrony danych w UE i Wielkiej Brytanii wydają ostrzeżenia o szczególnej wrażliwości stosowania rozpoznawania twarzy w przestrzeni publicznej. Projekt rozporządzenia AI Act Komisji Europejskiej klasyfikuje zdalną identyfikację biometryczną w przestrzeni publicznej jako rozwiązanie wysokiego ryzyka i przewiduje ograniczenia w jego stosowaniu.

Typowe cele stosowania kiosków w drogeriach i ich konsekwencje

Kioski w drogeriach mogą mieć różne funkcje, od użytecznych do kontrowersyjnych. Typowe cele to:

personalizacja rekomendacji kosmetyków na podstawie analizy cech skóry lub kształtu twarzy; weryfikacja wieku przy produktach ograniczonych wiekowo (np. alkohol, niektóre farby do włosów); wirtualne przymierzanie („virtual try-on”) z użyciem analizy obrazu; zbieranie statystyk odwiedzin i zachowań klientów. Każdy z tych przypadków ma inną wagę prawną i różne ryzyko dla prywatności — np. wirtualne przymierzanie bez zapisu danych to rozwiązanie o relatywnie niskim ryzyku, natomiast łączenie szablonów z kartą lojalnościową tworzy trwały profil i zwykle wymaga wyraźnej zgody.

Prawa klienta i praktyczne działania

Klient ma szereg praw wynikających z RODO, które może wykonywać wobec administratora danych. Najważniejsze z nich to prawo do informacji, prawo dostępu, prawo do usunięcia (prawo do bycia zapomnianym) oraz prawo do wniesienia sprzeciwu wobec profilowania. W praktyce warto wiedzieć, jak te prawa zrealizować:

prawo do informacji: poproś o widoczną informację przy kiosku lub kartę informacyjną z opisem celu, podstawą prawną, okresem przechowywania oraz danymi administratora,
prawo dostępu: złóż wniosek o udostępnienie swoich danych (np. szablonu) — administrator ma 1 miesiąc na odpowiedź,
prawo do usunięcia: jeśli przetwarzanie opiera się na zgodzie lub cel przetwarzania ustaje, złóż żądanie usunięcia szablonu,
prawo do sprzeciwu: zgłoś sprzeciw wobec profilowania, jeśli ma ono wpływ na twoje prawa lub wolności.

Jak praktycznie złożyć żądanie dostępu lub usunięcia

Najskuteczniejsze jest złożenie żądania na piśmie albo mailowo do administratora z podaniem imienia, nazwiska i opisu żądanych danych (np. „żądanie usunięcia szablonu biometrycznego utworzonego w kiosku dnia X”). W razie braku odpowiedzi albo niesatysfakcjonującej odpowiedzi skieruj skargę do organu nadzorczego (w Polsce: UODO). Przy zgłoszeniu naruszenia danych pamiętaj, że administrator powinien powiadomić organ nadzorczy w ciągu 72 godzin, jeśli naruszenie powoduje ryzyko dla osób.

Praktyczne kroki, które ograniczają ryzyko — co możesz zrobić jako klient

nie zgadzaj się na skan twarzy, jeśli kiosk oferuje alternatywę bez biometrii,
sprawdź, czy kiosk deklaruje krótki czas przechowywania danych, np. usunięcie szablonu po zakończeniu sesji,
poproś o pisemną informację, kto jest administratorem i jakie podmioty mają dostęp do danych,
jeśli dane przesyłane są do chmury poza UE, poproś o informację o transferach i zastosowanych zabezpieczeniach.

Przykłady praktycznych scenariuszy i ich konsekwencje

Przykład 1: kiosk wykonuje wirtualne przymierzanie i nie zapisuje szablonów — wtedy obraz jest przetwarzany w pamięci operacyjnej i usuwany po sesji, co daje relatywnie niskie ryzyko prawne. Przykład 2: kiosk zapisuje szablony i łączy je z kartą lojalnościową — tworzy to trwały profil klienta i wymaga wyraźnej zgody lub innej mocnej podstawy prawnej; dodatkowo rośnie ryzyko naruszenia prywatności. Przykład 3: szablony trafiają do chmury dostawcy poza UE — wówczas administrator musi wykazać zabezpieczenia transferu (SCC, adekwatne środki techniczne i organizacyjne).

Wzorcowe zachowania administratora i dobre praktyki

Prawidłowa praktyka w sklepie powinna wyglądać następująco: widoczne oznaczenie kiosku oraz pełna informacja przed rozpoczęciem skanu; uzyskanie wyraźnej i odwoływalnej zgody przed skanem; ograniczenie przechowywania danych do niezbędnego minimum (np. usunięcie szablonów po 24 godzinach lub natychmiast po zakończeniu sesji, jeśli klient tego zażąda); zawarcie umów powierzenia z dostawcami technologii oraz wdrożenie technicznych zabezpieczeń (szyfrowanie, kontrola dostępu, audyty). Taka praktyka zmniejsza ryzyko nadużyć i naruszeń.

Gdzie zgłaszać naruszenia i co zrobi organ nadzorczy

W Polsce zgłoszenia dotyczące naruszeń prywatności i złamania zasad RODO kieruje się do Urzędu Ochrony Danych Osobowych (UODO). W UE właściwy organ nadzorczy to organ państwa członkowskiego, w którym przetwarzanie ma miejsce. W razie wycieku danych administrator ma obowiązek ocenić ryzyko dla osób i powiadomić zarówno organ, jak i osoby poszkodowane, jeśli naruszenie grozi wysokim ryzykiem ich praw i wolności.

Przydatne fakty i odniesienia

NIST wykazał różnice w skuteczności algorytmów rozpoznawania twarzy między systemami i grupami demograficznymi, co jest jednym z powodów, dla których regulatorzy i eksperci zalecają ograniczone stosowanie tych systemów w przestrzeniach publicznych. Projekt AI Act klasyfikuje zdalną identyfikację biometryczną jako wysokiego ryzyka, a organy ochrony danych w UE i Wielkiej Brytanii zalecają ostrożność i przejrzystość przy wdrożeniach w sklepach.

Breaking News

Sposoby skłonienia ucznia do przerwy od ekranów i spędzenia czasu na świeżym powietrzu po lekcjach

Wschód na wyciągnięcie ręki – modernizacja połączeń przyciąga turystów do regionu