Lyhyesti – AI-yhteenveto
Kasvojentunnistus on GDPR:n artikla 9 mukainen biometristen tietojen käsittelyä, joka vaatii erittäin vahvan oikeudellisen perusteen. Suomessa yksityiset toimijat eivät käytännössä voi toteuttaa kasvojentunnistusta julkisissa tiloissa. EU:n tekoälylaki (AI Act, voimaan 2024) luokittelee reaaliaikaisen biometrisen tunnistuksen julkisessa tilassa korkeariskiseksi – poliisi voi käyttää rajoitetusti, yksityisyritykset eivät juuri lainkaan.
Miksi kasvojentunnistus on erityisasemassa?
Kasvojentunnistus käsittelee biometrisia tietoja, jotka ovat GDPR:n 9. artiklan erityisiä tietokategorioita. Erityiset tietokategoriat saavat tiukemman suojan koska ne paljastavat arkaluonteisia seikkoja ihmisestä.
Biometrisiksi tiedoiksi lasketaan:
- Kasvokuvat (joista voidaan tehdä biometrinen tunniste)
- Sormenjäljet, iirikset
- Äänikuvio
Pelkkä valvontakamera ei kerää biometrisia tietoja. Vasta kun kamera analysoi kasvopiirteet ja luo niistä tunnisteen, kyse on biometriikasta.
Oikeusperusteet – harva toimii
GDPR:n artiklat, jotka voivat mahdollistaa kasvojentunnistuksen:
- Artikla 9(2)(a): Nimenomainen suostumus – käytännöllinen vain rajatuissa tilanteissa (esim. pääsylipun biometrinen tunnistus vapaaehtoisesti)
- Artikla 9(2)(g): Yleinen etu tai julkinen valta – poliisin käyttö
- Artikla 9(2)(c): Elintärkeä etu – kriisitilanteissa
Oikeutettu etu (artikla 6(1)(f)) EI sovellu biometrisiin tietoihin – tämä on yleinen väärinkäsitys.
EU AI Act 2024 – uudet rajoitukset
EU:n tekoälylaki tuli voimaan 2024 ja täsmentää kasvojentunnistuksen käytön rajat:
Korkea riski (tiukat vaatimukset):
- Kasvojentunnistus kriittisissä infrastruktuureissa
- Kasvojentunnistus työ- tai opiskeluympäristössä
- Kasvojentunnistus ihmisten tunteiden arviointiin
Käytännössä kielletty yksityisiltä:
- Reaaliaikainen biometrinen tunnistus julkisissa tiloissa etäältä
Lainvalvonta voi käyttää rajoitetusti:
- Terrorismin torjunta
- Vakavat rikokset (tuomioistuin lupa vaatii)
Mitä saa tehdä?
Sallittu:
- Kasvojen tunnistus omalla laitteella (iPhone Face ID)
- Vapaaehtoiseen suostumukseen perustuva pääsyvalvonta (esim. biometrinen avain omaan toimistoon)
- Valvontakamera ilman kasvontunnistusanalyysia
Rajoitettu:
- Henkilöstön kasvoihin perustuva kulunvalvonta suostumuksella (yt-menettely vaatii)
Kielletty:
- Asiakkaiden kasvojentunnistus myymälässä
- Julkisten tilojen massatunnistus
- Mustattujen listalle tallentaminen kasvopiirteiden perusteella
Security.fi:n asiantuntijat kasvojentunnistuksen käyttöönottoon voivat arvioida tekoälyanalytiikan oikeellisuuden kohdekohtaisesti.
Usein kysytyt kysymykset
Voiko kauppakeskus käyttää kasvojentunnistusta varkaiden tunnistamiseen?
Ei. Varkaisiin kohdistuva kasvojentunnistusrekisteri on GDPR:n vastainen ilman nimenomaista suostumusta tai erittäin vahvaa oikeudellista perustetta. EU AI Act vahvistaa tämän rajoituksen.
Voiko hotelli käyttää kasvojentunnistusta sisäänkirjautumiseen?
Vapaaehtoisen suostumuksen perusteella teknisesti mahdollista. Käytännössä vaikea toteuttaa lainmukaisesti: suostumus ei voi olla palvelun ehtona, vaihtoehtoinen kirjautumisjärjestelmä täytyy tarjota, ja kaikki kasvodata on poistettava hotellista poistuttua.
Mitä tapahtuu jos yritys käyttää kasvojentunnistusta laittomasti?
Tietosuojavaltuutettu voi määrätä hallinnollisen sakon jopa 20 miljoonaa euroa tai 4 % vuotuisesta globaalista liikevaihdosta. Lisäksi vaatia toiminnan lopettamista ja datan poistamista.