Norge fremdeles biometri-sinke

I slutten av desember vedtok Personvernemda å overstyre Datatilsynet og gi Tysvær-kommune tillatelse å bruke bærbare pc-er fra Lenovo med fingeravtrykklesere for sine ansatte som har tilgang til sensitive data.

LES OGSÅ: Fingeravtrykklesere kan bli obligatoriske

Vedtaket er oppsiktvekkende, siden alle forsøk på å ta i bruk biometri hittil har blitt avvist av Datatilsynet på grunn av paragraf 12 i Personopplysningsloven. Denne likestiller bruk av førdselnummer og biometri. Norge er det eneste europeiske landet med en slik paragraf.

Det er ingen tvil om at både norske kommuner og bedrifter står i kø for å ta i bruk biometriløsninger for identifisering og autentisering av sine bærbare pc-er og innlogging på datasystemer.

- Personvernnemndas avgjørelse vil helt sikkert være av interesse for mange kommuner som vurderer tilsvarende løsninger som den Tysvær har valgt. Vi skal sørge for å legge ut informasjon om saken på websiden vår og gjøre den kjent på andre måter, sier Svein Erik Wilthil i KS (Kommunesektorens interesse- og arbeidsgiverorganisasjon) til Computerworld.no.

Forsiktig Datatilsynet

Men det er dermed ikke sagt at det er fritt frem for alle å ta i bruk biometri. Vedtaket gjelder én sak, og kan ikke uten videre føres til andre kommuner. Loven er ikke endret, den er bare tolket. Samme lov vil tvinge Datatilsynet til å fortsatt være restriktiv, selv om det er en misforståelse at Datatilsynet er i mot tilpassing av biometri.

- Poenget vårt har vært å overholde loven, vi har aldri hatt noe prinsipielt mot bruk av biometri. Vi har foreslått en oppmykning av loven som er sendt til Justisdepartementet, sier Astrid Flesland, seniorrådgiver i Datatilsynet.

Det viktigste Personvernnemnda har gjort med dette vedtaket er at noen forhold er avklart. Problemet med loven er at man ikke har vært klar hvordan den skulle tolkes i praksis, mener Flesland.

I vedtaket er det klargjort hva identifisering omfatter. Dette er vesentlig i tilpasning av biometri. Identifisering er "hvem er du”, mens autentisering handler om "er du den som du utgir deg for å være". Fingeravtrykkløsningen kan brukes både til autentisering og identifisering, ifølge dette vedtaket.

- Dette vedtaket åpner for at også andre kan ta i bruk biometri, men Personvernnemnda har i grunn bare vedtatt dette knyttet opp mot Tysvær-kommune. Det betyr ikke automatisk at det gjelder alle andre tilfeller. Det gjelder bare tilsvarende bruk av denne teknologien. Det er også viktig at det må være saklig behov for dette. Det går for langt å uten videre strekke dette til en hver kommune i Norge.

Legger elektroniske spor

Jon Bing, leder i Personvernnemda, er i stor grad enig med Datatilsynet.

- Det er veldig viktig å presisere at dette vedtaket løser bare denne ene saken, selv om den vil ha presedensvirkning. Vi har fire andre saker inne. Først etter vi har tatt vedtak i dem er det mulig å si noe mer generelt, sier Bing.

Bing mener også at det er viktig å være forsitig med innføring av biometriske måter å identifisere og autentisere mennesker.

- Vi må ikke glemme at biometriske metoder etterlegger elektroniske spor. Hvis mange systemer bruker like systemer, er det mulig å samkjøre disse og danne oversikt over hva et menneske gjør. Det er lovgivers oppgave å demme opp mot at dette skjer, sier Bing.

Han påpeker at Personopplysningsloven er fra år 2000, og bruk av biometri i dag baseres på bare én enkel setning i forarbeidet av denne loven. De siste årene har teknologiutviklingen gått veldig fort. Foreslåtte endringer er ikke gjennomført, og derfor må Datatilsynet fortsatt være restriktiv.

- Loven er under en generell revisjon. Det bør vurderes om dette med biometri kan tas ut av dette og kan forskuteres, sier Bing.

Kan være aktuelt å fremskynde

Justisdepartementet bekrefter at Personopplysningsloven er under vurdering.

- Det er ikke veldig mye mer å si om saken. Vi holder på å utrede endringsbehovet, og forslag til lovendringer vil kunne sendes på høring tidligst høsten 2007, sier rådgiver Gry Hvisten i Lovavdelignen til Justisdepartementet.

Ifølge Hvidsten er det for tidlig å si noe om hvilken betydning vedtaket til Personvernnemnda vil ha på den videre lovendringsprosessen.

- Dette er den første av flere saker som Personvernnemnda skal ta stilling til. Vi vil trolig først vente på de neste fire vedtakene for å vurdere om det er aktuelt å fremskynde behandlingen av spørsmålet om bruk av fingeravtrykk, avslutter Hvidsten.

Det betyr at alle bedrifter, kommuner og virksomheter som innfører biometri fremdeles kan vente besøk av Datatilsynet.