Biometric authentication of human identity in the Polish and European law

Celem pracy jest analiza i ocena prawna rozwiązań biometrycznych zawartych w fundamentalnych aktach prawnych uchwalonych na poziomie Unii Europejskiej oraz w Polsce. Pracę podzielono na trzy rozdziały. W rozdziale pierwszym ma miejsce analiza technicznych aspektów biometrycznego ustalania tożsamości ludzkiej. Są w nim wyjaśnione główne pojęcia związane z biometrią, sposoby jej implementacji w życiu społeczno-gospodarczym oraz, szczególnie ważne z perspektywy prawnej, metody biometrycznego rozpoznawania tożsamości - weryfikacja i identyfikacja. Ponadto, rozdział zawiera charakterystykę podstawowych biometryk - odcisków palców, obrazu twarzy, głosu, obrazu tęczówki, geometrii dłoni, podpisu, profili DNA i innych - ze szczególnym naciskiem na ich zastosowanie oraz zakres ingerencji w prywatność człowieka. W ostatnim podrozdziale znajduje się analiza skuteczności tych biometryk oparta na dwóch testach: poziomu błędów i wieloparametrycznym, która pozwoli zweryfikować powszechną tezę, że rozpoznawanie tożsamości ludzkiej przy użyciu danych biometrycznych jest wiarygodną i prawie bezbłędną metodą. W rozdziale drugim znajduje się analiza prawna aktów ustawodawczych uchwalonych w Unii Europejskiej oraz w Polsce, które ustanawiają zasady biometrycznego ustalania tożsamości ludzkiej. Omówiono rozwiązania biometryczne w systemie Eurodac, paszportach biometrycznych, w tym w polskim paszporcie biometrycznym, wizach i zezwoleniach na pobyt (system VIS), w acquis Schengen (System Informacyjny Schengen - SIS I i SIS II), dokumentach tożsamości, w tym w projekcie polskiego elektronicznego dowodu osobistego, Konwencji z Prüm (system SIS III) oraz działalności policyjnej Europol (system TECS). Powyższe regulacje są poddane krytyce w rozdziale trzecim. Polega ona na konfrontacji zawartych w nich rozwiązań biometrycznych ze standardem praw człowieka ustanowionym na mocy trzech źródeł prawa: Konwencji Rady Europy o Ochronie Praw Człowieka i Podstawowych Wolności z 4 listopada 1950 r., Konwencji nr 108 Rady Europy o Ochronie Osób w Związku z Automatycznym Przetwarzaniem Danych Osobowych z 28 stycznia 1981 r. oraz regulacji unijnych dotyczących ochrony danych osobowych, w szczególności Karty Praw Podstawowych UE z 12 grudnia 2007 r., Rozporządzenia (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych oraz Dyrektywie 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych. Wnioski z krytycznej analizy dowodzą, że większość rozwiązań biometrycznych nie spełnia testu konieczności i proporcjonalności, stanowiąc zbyt głęboką i nieuzasadnioną ingerencję w prawo do prywatności, cechuje się wysokim poziomem fałszywych błędów akceptacji (FAR) i fałszywych błędów odrzucenia (FRR) oraz niskim poziomem zabezpieczeń, nie zawiera procedur awaryjnych w przypadku niemożliwości zastosowania biometrycznego ustalania tożsamości i bazuje na szczególnie niekorzystnej dla prywatności identyfikacji zamiast lepszej weryfikacji. Jednocześnie biometryzacja generuje wiele negatywnych konsekwencji społecznych, prowadząc do ryzyka śmierci cywilnej oraz reifikacji tożsamości człowieka, w wyniku której cechy ciała ludzkiego stają się przedmiotem odczytu maszynowego i mogą być dalej wykorzystywane bez względu na miejsce przebywania ich właściciela i bez jego wiedzy.

The aim of the thesis is to analyze and evaluate biometrics provisions contained in the fundamental legislative acts adopted in the European Union and Poland. The paper is divided into three chapters. The first chapter describes technical aspects of biometrics such as main ideas related to biometrics, ways of its implementation in the socio-economic life and, particularly important from a legal point of view, two methods of biometric identity recognition - verification and identification. In addition, the chapter provides the basic characteristics of biometrics identifiers - fingerprints, facial image, voice, iris, hand geometry, signature, DNA profiles and other - with particular emphasis on their use and potential interference with privacy rights. The last section of this chapter examines the biometrics effectiveness and accuracy using the error rate and parametric tests. The second chapter is a legal analysis of legislative acts adopted in the European Union and Poland which lay down the rules for biometric authentication of human identity. Biometric solutions established in the Eurodac system, biometric passports, including the Polish biometric passport, visas and residence permits (VIS), the Schengen acquis (Schengen Information System - SIS I and SIS II), identity documents, including the draft of the Polish electronic identity card, the Prüm Convention (III SIS) and Europol system (TECS) are discussed. These regulations are subject to criticism in the third chapter. This assessment lies in confrontation of biometrics provisions with human rights standards enacted by the three sources of law: the Convention of the Council of Europe for the Protection of Human Rights and Fundamental Freedoms signed on 4 November 1950, the Convention no. 108 of the Council of Europe for the Protection of Individuals with regard to Automatic Processing of Personal Data signed on 28 January 1981, and EU legislative acts relating to the protection of personal data, in particular the Charter of Fundamental Rights of the European Union signed on 12 December 2007, Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data and Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data. The findings show that the majority of biometric regulations fail the necessity and proportionality tests, too deeply and unjustifiably interfering with the right to privacy, are characterized by a high level of false acceptance errors (FAR) and false rejection errors (FRR) and a low level of security, do not include emergency procedures in case of inability to use biometric identifiers and are based on identification model which is particularly more unfavorable for privacy than verification. At the same time biometrics generates many negative social consequences, leading to the risk of civilian death and reification of human identity as the human body traits become machine-readable and can be further used regardless of the residence of the their owner and without his knowledge.