Comisia irlandeza pentru protectia datelor sanctioneaza utilizarea recunoasterii faciale in sistemul Public Services Card
Pe 12 iunie 2025 Comisia irlandeza pentru protectia datelor (Data Protection Commission – DPC) a anuntat concluziile unei ample investigatii privind utilizarea tehnologiei de recunoastere faciala de catre Departamentul pentru Protectie Sociala (Department of Social Protection – DSP) in procesul de autentificare a identitatii persoanelor care solicita Public Services Card (PSC). In urma anchetei, autoritatea a constatat incalcari ale mai multor prevederi ale Regulamentului general privind protectia datelor (GDPR), a impus o amenda de 550.000 € si a cerut incetarea prelucrarii datelor biometrice in lipsa unui temei legal clar.
Ancheta actuala, inceputa in iulie 2021, a urmat unei investigatii anterioare din 2019 privind PSC, care a ridicat deja intrebari cu privire la legalitatea prelucrarii datelor personale. Desi acea investigatie a fost finalizata printr-un acord in 2021, autoritatea irlandeza a decis sa investigheze separat componenta biometrica, adica utilizarea recunoasterii faciale in cadrul procesului SAFE 2 – metoda prin care se confirma identitatea solicitantului prin compararea imaginii sale cu datele dintr-o baza existenta.
Pana la acel moment, DSP procesase datele biometrice (sub forma sabloanelor faciale) a aproximativ 70% din populatia Irlandei, intr-un sistem menit sa previna fraudele si sa eficientizeze accesul la servicii publice precum prestarile sociale sau emiterea pasapoartelor
SAFE 2 este procesul de verificare biometrica obligatoriu pentru eliberarea Public Services Card. El presupune generarea unui sablon biometric facial din fotografia persoanei, care este apoi comparat (prin recunoastere faciala) cu alte sabloane din baza pentru a detecta tentative de identitate multipla sau frauda.
Problema majora semnalata de DPC nu a fost caracterul tehnologic sau scopul declarat, ci faptul ca intreaga arhitectura juridica a sistemului era lipsita de temei legal clar, proportional si transparent – o cerinta esentiala conform GDPR pentru prelucrarea datelor biometrice, considerate date sensibile.
In urma investigatiei, Comisia a constatat ca Departamentul a incalcat multiple dispozitii din GDPR, printre care:
– Lipsa unui temei legal valid pentru prelucrarea datelor biometrice (Art. 6 si 9);
– Lipsa transparentei fata de persoanele vizate in ceea ce priveste procesarea datelor prin recunoastere faciala (Art. 13);
– Prelucrarea excesiva si pastrarea datelor mai mult decat era necesar (Art. 5(1)(e));
– Evaluari de impact incomplete – DPIA-urile realizate nu au reflectat in mod corespunzator riscurile reale (Art. 35).
Autoritatea a subliniat ca, desi nu au fost descoperite probleme legate de securitatea tehnica a sistemului, procesul de recunoastere faciala nu a fost sustinut de o baza legala clara, nu a fost explicat in mod adecvat persoanelor vizate si nu a respectat principiile fundamentale ale protectiei datelor.
Ca urmare a celor constatate, DPC a decis:
– Emiterea unui avertisment oficial;
– Aplicarea unei amenzi administrative de 550.000 €;
– Impunerea unei interdictii asupra prelucrarii datelor biometrice prin recunoastere faciala in cadrul SAFE 2, cu un termen de conformare de 9 luni. Daca pana atunci nu este stabilit un temei legal corespunzator, sistemul trebuie oprit.
Deputy Commissioner Graham Doyle a declarat ca decizia nu se opune in sine utilizarii tehnologiei de recunoastere faciala, ci lipsei de reglementare:
„Nu spunem ca procesul SAFE 2 trebuie sa fie eliminat, ci ca el trebuie sa fie sustinut de un cadru legal clar, transparent si proportional. In absenta acestuia, prelucrarea este nelegala.”
Organizatiile pentru drepturile omului, precum Irish Council for Civil Liberties (ICCL), au salutat decizia, solicitand chiar stergerea tuturor datelor biometrice colectate pana acum. Expertii juridici atrag atentia ca sistemele de recunoastere faciala implementate pe scara larga trebuie sa fie sustinute de legislatie specifica si sa fie proportionale cu scopul urmarit.
Reprezentantii firmei de avocatura Pinsent Masons au comentat ca acest caz subliniaza nevoia urgenta ca guvernele sa trateze cu seriozitate prelucrarea datelor biometrice si sa adopte legislatii clare.
Decizia DPC are implicatii majore asupra modului in care statele membre UE implementeaza sisteme digitale care implica recunoastere faciala. In contextul in care tehnologiile biometrice devin tot mai raspandite, acest caz reaminteste ca protectia datelor cu caracter personal ramane o prioritate esentiala, indiferent de eficienta administrativa invocata.
Autoritatile irlandeze au la dispozitie noua luni pentru a corecta deficientele juridice si a demonstra ca inovatia digitala poate coexista cu drepturile fundamentale ale cetatenilor.