Illinois Biometric Information Privacy Act
Wstęp
Illinois Biometric Information Privacy Act (IBIPA), w języku polskim znana jako Ustawa o Prywatności Informacji Biometrycznych w stanie Illinois, to stanowa ustawa przyjęta w 2008 roku w Illinois, jednej z Stanów Zjednoczonych. Ustawa ma na celu ochronę prywatności osób fizycznych poprzez regulację zbierania, przechowywania, używania i udostępniania danych biometrycznych, takich jak odciski palców, skany tęczówki czy rozpoznawanie twarzy.
Geneza i przyjęcie
Projekt ustawy został opracowany w odpowiedzi na rosnące zagrożenia związane z technologiami biometrycznymi oraz na skargi konsumentów i organizacji praw obywatelskich. 2008 rok przyniósł pierwszą debatę w Radzie Stanowej Illinois, po czym ustawa została podpisana przez gubernatora Roda Blagojeviča i weszła w życie w 2009 roku.
Kluczowe postanowienia
- Definicja danych biometrycznych – ustawa precyzuje, że pod pojęciem biometria rozumie się unikalne cechy fizyczne lub behawioralne, które mogą być użyte do identyfikacji jednostki, w tym odciski palców, skany tęczówki, rozpoznawanie twarzy, a także inne podobne technologie.
- Zgoda – przed zebranie, przechowywaniem lub udostępnieniem danych biometrycznych podmiot musi uzyskać wyraźną, świadomą i pisemną zgodę osoby, której dane dotyczą.
- Polityka prywatności – organizacje muszą opracować i udostępnić publicznie politykę prywatności, opisującą sposoby zbierania, przechowywania, zabezpieczania oraz udostępniania danych biometrycznych.
- Bezpieczeństwo danych – podmioty są zobowiązane do przechowywania danych biometrycznych w sposób zabezpieczony przed nieautoryzowanym dostępem, w tym poprzez szyfrowanie i ograniczenia dostępu.
- Ograniczenia przechowywania – dane biometryczne muszą być zniszczone w terminie 3 lat od momentu ostatniego użycia lub po zakończeniu relacji z osobą, której dane dotyczą, jeśli użytkownik tak zażąda.
- Prawo do odszkodowania – osoba poszkodowana może dochodzić odszkodowania w wysokości do 5 000 dolarów za każde niezgodne z ustawą użycie danych biometrycznych; w przypadkach świadomego naruszenia kwota ta może wzrosnąć do 10 000 dolarów.
Organizm nadzorczy
Egzekwowanie przepisów IBIPA leży w gestii Prokuratora Generalnego stanu Illinois. Organ ten ma uprawnienia do prowadzenia dochodzeń, wymierzania kar oraz reprezentowania osób poszkodowanych w postępowaniach sądowych.
Poprawki i nowelizacje
- Poprawka z 2020 roku – wprowadzono definicję „technologia rozpoznawania twarzy” oraz rozbudowano obowiązek przeprowadzania regularnych audytów bezpieczeństwa.
- Poprawka z 2023 roku – rozszerzono ochronę na dane biometryczne zbierane w środowisku wirtualnym, w tym wirtualną rzeczywistość i aplikacje mobilne.
Spory prawne i interpretacje
Ustawa była przedmiotem licznych procesów sądowych, w tym słynnego roszczenia wobec Facebooka w 2020 roku, gdzie sąd uznał, że firma naruszyła IBIPA poprzez nieuprawnione gromadzenie odcisków palców użytkowników w aplikacji Facial Recognition. Wyrok stał się precedensem, podkreślając obowiązek uzyskania wyraźnej zgody.
Wpływ na sektor prywatny i publiczny
IBIPA zmusiła wiele firm oraz instytucji publicznych do rewizji procedur związanych z biometrią. Przykładowo, uczelnie wyższe w Illinois wprowadziły alternatywne metody weryfikacji tożsamości, a duże sieci handlowe zainwestowały w systemy szyfrowania i zarządzania zgodami.
Podobne regulacje
Na poziomie krajowym w Stanach Zjednoczonych istnieją jedynie fragmentaryczne przepisy dotyczące biometrii. Najbliższym odpowiednikiem jest California Consumer Privacy Act, który jednak nie reguluje biometrii tak szczegółowo jak IBIPA.