רשות הגנת הפרטיות בצרפת (CNIL) פרסמה החודש נייר עמדה על אודות שימוש באמצעי זיהוי פנים ביומטרי בשדות תעופה בצרפת. לפי עמדת הרשות, שימוש באמצעי זיהוי פנים עבור נוסעים בשדות תעופה מותר בהתקיים מספר תנאים נוקשים שנובעים מהוראות ה-GDPR לגבי מידע רגיש כדוגמת מידע ביומטרי:
- השימוש חייב להיות מידתי ולצורך מטרה לגיטימית. למשל, לשם סידור ותזמון עליית נוסעים למטוס במטרה למנוע התקהלויות ותורים ארוכים מטעמי ביטחון.
- קבלת הסכמה חופשית, ספציפית ומדעת של הנוסע, באופן שמאפשר לנוסע לבחור בין חלופה הכרוכה בזיהוי פנים שלו לבין חלופה מקבילה שלא כרוכה בכך ואינה נחותה ממנה מבחינה מעשית. למשל, אין להציע תמריץ מיוחד, כמו עדיפות במועדון "נוסע מתמיד" למי שמסכים לשימוש בזיהוי פנים, משום שבכך נוצרת חלופה נחותה שאינה שוות-ערך לחלופת זיהוי הפנים. בנוסף, יש לאפשר לנוסע לחזור בו מהסכמתו בכל עת. ההסכמה צריכה להינתן באופן ספציפי למטרת זיהוי פנים מסוימת. אין לכרוך את ההסכמה לזיהוי פנים עם הסכמה לתנאי מכירת כרטיס הטיסה, למשל.
- המידע הביומטרי צריך להיות בשליטתו הבלעדית של הנוסע. לדוגמה, באמצעות שמירת המידע הרגיש אך ורק על-גבי המכשיר הנייד של הנוסע או כרטיס חכם שניתן לו, במקום במאגר מרכזי. לחילופין, ניתן לשמור את המידע הביומטרי הרגיש במאגר מרכזי אך באופן מוצפן כאשר מפתח ההצפנה שמור רק במכשיר הנייד של הנוסע.
- על בעל המאגר לערוך תסקיר השפעה על הפרטיות (Data Protection Impact Assessment) כמצוות ה-GDPR עבור תהליכי עיבוד מידע שכרוכים ברגישות מיוחדת.