Kasvojentunnistus on biometrinen tunnistusteknologia, jolla henkilö voidaan tunnistaa kasvonpiirteiden perusteella. Yrityksissä sitä kannattaa harkita vain tarkasti rajatuissa ja perustelluissa käyttötapauksissa. Ei oletusominaisuutena.
Faktatiivistelmä: Kasvojentunnistus ei ole sama asia kuin henkilö- tai ajoneuvohavainto. Kun kasvoihin liittyvää dataa käsitellään henkilön yksiselitteiseksi tunnistamiseksi, kyse on GDPR:n 9 artiklassa tarkoitetusta biometrisestä erityistiedosta. Ennen käyttöönottoa arvioidaan käyttötarkoitus, välttämättömyys, oikeusperuste, riskit ja lievemmät vaihtoehdot.
Lähteet
- GDPR, asetuksen (EU) 2016/679 6, 9 ja 35 artikla
- Tietosuojavaltuutettu: vaikutustenarviointi
- Euroopan komissio: AI Act
Milloin kasvojentunnistusta voi harkita?
Kasvojentunnistusta voidaan harkita korkean turvatason kohteissa, joissa henkilön vahva tunnistaminen on välttämätöntä eikä vähemmän yksityisyyteen puuttuva ratkaisu riitä. Esimerkkejä voivat olla erittäin rajatut kulkualueet tai kriittiset tilat. Harkinta edellyttää aina juridista arviointia, DPIA:ta sekä selkeää dokumentaatiota siitä, miksi vähemmän yksityisyyteen puuttuva vaihtoehto ei ole riittävä.
Biometriset tiedot henkilön tunnistamista varten kuuluvat erityisiin henkilötietoryhmiin, joiden käsittely on lähtökohtaisesti kiellettyä ilman soveltuvaa poikkeusperustetta. (Tietosuojavaltuutetun toimisto) Siksi kasvojentunnistus ei ole tavallinen lisäominaisuus kameravalvonnassa.
Kasvojentunnistuksen käyttötapaukset ja rajoitukset:
- Biometrinen kulunvalvonta erittäin korkean turvallisuustason kohteisiin
- GDPR artikla 9: biometriset tiedot ovat erityisiä henkilötietoja
- DPIA (vaikutustenarviointi) pakollinen ennen käyttöönottoa
- Ei sovellu yleisvalvontaan tai julkiseen tilaan
- Edellyttää nimenomaista suostumusta tai muuta lakisääteistä perustetta
Milloin kasvojentunnistus ei sovi?
Kasvojentunnistus ei sovi yleiseen työpaikkavalvontaan, asiakasvirtojen seurantaan tai tilanteisiin, joissa käyttötarkoitus on epämääräinen. Usein parempia ratkaisuja ovat kulunvalvonta, kaksivaiheinen tunnistaminen, rekisterikilpitunnistus tai alueanalytiikka.
Teknisesti moni asia on mahdollinen. Se ei vielä tarkoita, että se olisi järkevää, sallittua tai liiketoiminnallisesti hyvä päätös.
- Kulunvalvontakortti tai PIN – riittää useimpiin ovitunnistustilanteisiin
- Mobiilitunnistus – tukee kaksivaiheista tunnistamista
- LPR/ANPR – ajoneuvopohjainen tunnistus portille tai pysäköintiin
- Alueanalytiikka – havaitsee luvattoman alueelle tulon ilman biometrisiä tietoja
AI Act ja kasvojentunnistus
AI Actin (EU:n tekoälyasetus – Traficom) kiellettyjä käytäntöjä koskevat velvoitteet tulivat sovellettaviksi 2.2.2025. Reaaliaikainen biometrinen tunnistaminen julkisissa tiloissa on pääsääntöisesti kiellettyä. Muissa käyttötapauksissa kasvojentunnistus voi kuulua korkean riskin AI-järjestelmiin, jotka edellyttävät erityistä arviointia, dokumentointia ja vaatimustenmukaisuuden varmistamista ennen käyttöönottoa.
