Biometria: odciski palców, dane twarzy i aktualności

Co to jest biometria

Biometria to rozpoznawanie człowieka po cechach jego ciała lub zachowania: odcisku palca, kształcie twarzy, tęczówce, głosie, a czasem sposobie chodzenia lub pisania. System zamienia taką cechę na wzorzec cyfrowy, zapisuje go, a potem porównuje z nowym pomiarem. Robi to w jednym z dwóch celów: weryfikacji (“czy to na pewno ta osoba?”) albo identyfikacji (“kim jest ta osoba?”). Różnica jest ważna, bo weryfikacja dotyczy zwykle własnego telefonu, a identyfikacja baz danych firm i państw.

Biometria różni się od hasła tym, że nie da się jej zmienić. Wyciekłe hasło ustawia się od nowa, wyciekłej twarzy albo odcisku palca nie. Dlatego dane biometryczne są wrażliwe, a ich zbieranie wywołuje większe spory niż zbieranie adresów e-mail. O hasłach jako alternatywie piszemy w temacie bezpieczeństwo haseł.

Co to jest biometria w telefonie

Biometria w telefonie to odblokowywanie urządzenia, potwierdzanie płatności i logowanie do aplikacji odciskiem palca albo skanem twarzy zamiast kodu PIN. Apple opisuje swoje rozwiązanie w pomocy dotyczącej Face ID (stan na 10 października 2026): kamera TrueDepth rzutuje niewidoczne punkty i robi zdjęcie w podczerwieni, a porównanie z zapisanym wzorcem odbywa się w układzie Secure Enclave. Dane Face ID zostają na urządzeniu i nie trafiają do kopii w iCloud.

Według tej samej strony odblokowywanie twarzą wyłączysz w ustawieniach, w sekcji Face ID & Passcode, opcją iPhone Unlock. Opcja Reset Face ID usuwa z urządzenia zapisane dane twarzy.

Czy dane biometryczne są szczególnie chronione prawem

Tak: w Unii Europejskiej dane biometryczne należą do szczególnych kategorii danych, a w niektórych stanach USA mają własne ustawy. RODO w art. 4 pkt 14 definiuje je jako dane osobowe wynikające ze specjalnego przetwarzania technicznego cech fizycznych, fizjologicznych lub behawioralnych, które umożliwiają lub potwierdzają jednoznaczną identyfikację osoby, na przykład wizerunek twarzy lub dane daktyloskopijne. Art. 9 ust. 1 zakazuje przetwarzania takich danych w celu jednoznacznego zidentyfikowania osoby, a ust. 2 wymienia wyjątki, między innymi wyraźną zgodę osoby (według tekstu RODO w EUR-Lex, stan na 10 października 2026).

W praktyce granice zbierania zdjęć sprawdza się w sporach. Norweski Urząd Ochrony Danych nakazał sieci SATS zmienić podstawę prawną zdjęć przy wejściu. Decyzja z 15 lipca 2026 stwierdza, że spółka błędnie oparła przetwarzanie na art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy), a właściwy jest uzasadniony interes (lit. f). Dzięki temu członkowie mogą się sprzeciwić, czego SATS im dotąd odmawiał. Urząd wydał naganę i cztery nakazy zmian, bez kary finansowej; SATS miał czas do 11 września 2026.

W Stanach Zjednoczonych głośna jest ustawa BIPA ze stanu Illinois, która wymaga pisemnej informacji o zbieraniu danych, ujawnienia celu i okresu przechowywania oraz pisemnej zgody. Klienci Walmartu złożyli w Chicago pozew zbiorowy o nielegalne zbieranie odcisków głosu. Według skargi system AI tworzy odcisk głosu przy każdym telefonie na infolinię, bez informowania o konkretnych celach. Polityka prywatności Walmartu, zaktualizowana 18 czerwca 2026, przyznaje, że sieć zbiera biometrię, w tym odciski głosu. Powodowie żądają od 1000 do 5000 dolarów za każde naruszenie.

Kto zbiera dane biometryczne od użytkowników

Coraz częściej robią to firmy technologiczne, żeby odróżnić człowieka od bota albo sprawdzić wiek lub tożsamość. Anthropic opublikowało 8 czerwca 2026 politykę prywatności, która od 8 lipca pozwala prosić użytkowników konsumenckich o weryfikację wieku lub tożsamości. Dotyczy to planów Free, Pro i Max, nie Team ani Enterprise. Zbierane dane to skan dokumentu, zdjęcie twarzy i szablony geometrii twarzy, a weryfikację prowadzi zewnętrzna firma Persona Identities. Polityka wymienia też jako jedną z podstaw prawnych “żywotne interesy”, zwykle zarezerwowane dla sytuacji życia i śmierci, bez wyjaśnienia dlaczego.

Według relacji z 23 czerwca rzecznik firmy Thariq Shihipar tłumaczył, że wymóg dotyczy małej grupy kont oznaczonych za potencjalne naruszenia zasad, które zamiast utraty dostępu mogą się odwołać przez weryfikację tożsamości. Geometria twarzy może być uznana za dane biometryczne przez przepisy stanowe, a w Illinois kara wynosi od 1000 do 5000 dolarów za naruszenie. Szerszy kontekst w tematach Claude i weryfikacja wieku.

Inną drogą idzie World ID, który ma dowodzić, że użytkownik jest człowiekiem, bez ujawniania, kim jest. Firmy World i peaq udostępniły World ID robotom z systemem peaqOS. Maszyna prosi o dowód, a portfel World App przedstawia dowód z wiedzą zerową: robot dowiaduje się, że ma do czynienia z unikalnym człowiekiem, ale nie poznaje imienia ani twarzy. Zautomatyzowane żądania stanowiły w 2025 roku 53 procent ruchu w sieci, w tym 40 procent to złośliwa automatyzacja. World podaje prawie 18 milionów zweryfikowanych osób w 160 krajach, a peaq ponad 3,3 miliona urządzeń z tożsamością maszynową. Eksperci wskazują, że o powodzeniu zdecyduje zasięg weryfikacji Orb, rozwiązanie awaryjne i regulacje.

Jak państwa gromadzą dane biometryczne

Państwa zbierają je przy aresztowaniach, imigracji, kontroli granicznej i licencjach, a potem łączą w wielkich bazach. FBI od 2008 roku buduje Next Generation Identification (NGI): twarze, odciski palców, skany tęczówki i tatuaże dziesiątek milionów osób, zbierane nie tylko przy aresztowaniach, ale też przy imigracji, sprawdzaniu przeszłości i licencjach stanowych. We wrześniu FBI zaproponowało wyłączenie NGI z części Privacy Act. Obywatel nie dowiedziałby się, co organ o nim wie, a FBI nie musiałoby poprawiać błędnych danych. Sprzeciw złożyła EFF z innymi organizacjami, a GAO skrytykowało FBI za ukrywanie skali programu rozpoznawania twarzy. System ma wady dokładności, które mogą nieproporcjonalnie dotykać społeczności kolorowe. O samej technologii: rozpoznawanie twarzy.

W Europie spór dotyczy Europolu. Europejski Inspektor Ochrony Danych w opinii 18/2026 uznał, że projekt przebudowy Europolu nie chroni danych biometrycznych osób bez związku z przestępstwem: zdjęcia i odciski palców mogłyby być przetwarzane bezterminowo, bez odpowiedniego nadzoru. EDPS wskazuje brak kryteriów konieczności, brak okresów retencji i mechanizm samozatwierdzania przetwarzania wrażliwych danych. Budżet ma wzrosnąć do 3 mld euro w latach 2028-2034, a personel się podwoić.

Dane Europejczyków dotyczy też umowa z USA. Komisja Europejska finalizuje z administracją Trumpa umowę EBSP, która pozwoliłaby kontrolerom granicznym przeszukiwać biometryczne bazy danych i profilować podróżnych. Tło: w 2022 roku USA ogłosiły, że dostęp do takich baz będzie warunkiem ruchu bezwizowego. Negocjacje trwają od 2022, oficjalny mandat Rady wydano w grudniu 2025. EDRi twierdzi, że wynegocjowany tekst odbiega od mandatu państw członkowskich i jest w dużej mierze niezgodny z Kartą Praw Podstawowych.

Bazy biometryczne są też celem ataków. Kaspersky ujawnił 16 lipca operację z backdoorem GoSerpent, który przez co najmniej pięć lat infiltrował sieci rządowe w Azji Południowo-Wschodniej. Celem były między innymi policyjne systemy skarg i biometryczne bazy danych. Kaspersky ocenia prawdopodobne, ale niepotwierdzone powiązanie z grupą TetrisPhantom.

Czy AI potrafi odtworzyć to, co widzisz, ze skanu mózgu

Tak, ale na razie tylko w laboratorium i z błędami. Naukowcy z Instytutu Weizmanna pod kierunkiem Michal Irani opracowali narzędzie, które przewiduje, na co patrzy osoba, i generuje rekonstrukcję obrazu. Model trenowano na publicznym zbiorze skanów ośmiu osób. Dekoder ma jedną gałąź dla struktury obrazu, drugą dla jego treści, a generator dyfuzyjny składa z nich obraz. Irani przyznała, że narzędzie się myli: psa w wannie odtworzyło jako kozę w wannie. Technika wymaga skanów wysokiej rozdzielczości z dużych i drogich aparatów fMRI. Źródło nie rozstrzyga, czy takie dane byłyby danymi biometrycznymi w rozumieniu prawa.

Co to oznacza dla Ciebie

• Zanim oddasz zdjęcie twarzy, odcisk palca lub głos, sprawdź, kto je przechowuje, jak długo i czy możesz się sprzeciwić. W UE masz do tego podstawy prawne w RODO.
• Odblokowywanie telefonu twarzą lub palcem zostawia wzorzec na urządzeniu (w przypadku Face ID według Apple), a wysłanie skanu do usługi oddaje go komuś innemu.
• Gdy usługa żąda dokumentu i selfie, sprawdź, czy robi to sama, czy przez podmiot trzeci, i co polityka prywatności mówi o usunięciu danych.
• Przy ważnych kontach używaj dodatkowo hasła lub klucza sprzętowego, bo biometrii nie zmienisz po wycieku.

Otwarte pozostaje, czy FBI dostanie wyłączenie NGI z Privacy Act, jaki kształt przyjmie przebudowa Europolu po krytyce EDPS, czy umowa EBSP zostanie podpisana w obecnym brzmieniu i jak sąd w Chicago oceni zarzuty wobec Walmartu.