В Корее не нужно согласие на обработку биометрических персданных

В Южной Корее подтвердили, что использование протокола для беспарольной аутентификации не требует согласия пользователя на обработку биометрических персданных. Это поможет более широкому внедрения биометрической аутентификации на основе FIDO, которому препятствовало неясность в законодательстве о требовании об обязательном согласии субъекта на обработку его данных.

FIDO (Fast Identity Online) используется для безопасной и беспарольной аутентификации, заменяет пароли на криптографические ключи. Технология использует биометрические персональные данные (например, отпечатки пальцев) или аппаратный ключ.

Члены Корейской рабочей группы Альянса FIDO (FKWG) вместе с поставщиками технологий по биометрической аутентификации направили официальный запрос в Корейскую комиссию по защите персональных данных (KPIPC). Комиссия ответила, что правила о получении согласия субъекта на обработку не распространяются на устройства, контролируемые пользователем. Поскольку в данном случае организация не собирает, не хранит и не обрабатывает биометрические персональные данные, то процесс не подпадает под определение обработки персональных данных в соответствии с Законом о защите персональных данных.

По словам членов FKWG, это решение устраняет главное препятствие для внедрения биометрической аутентификации на основе FIDO в Корее, а организации теперь смогут внедрять безопасную аутентификацию и не тратить время на сбор дополнительных разрешений.

Институт финансовой безопасности (FSI) Южной Кореи ранее выпустил руководство, разделяющее системы биометрической аутентификации и системы, подобные FIDO, которые работают на устройстве пользователя. Однако пункт о необходимости согласия не был четко прописан, поэтому многие корейские компании, включая финансовые организации, отказывались от внедрения аутентификации FIDO из-за потенциальных проблем с регулятором.

Результатом этого стали большая нагрузка, сложные юридические проверки, снижение спроса на биометрическую многофакторную аутентификацию (MFA) на рынке и более медленное внедрение защищенной от фишинга беспарольной аутентификации. Опубликованное разъяснение Комиссии поможет улучшить ситуацию.

В настоящее время KPIPC также работает над усилением мер по защите персональных данных в Южной Корее.