Italienische Datenschutzbehörde (GPDP) setzt Gesichtserkennungsdienst am Flughafen Mailand Linate aus

Der Einsatz von biometrische Technologien-insbesondere die Gesichtserkennung- hat sich im öffentlichen und privaten Sektor weltweit beschleunigt. Flughäfen gehören zu den prominentesten Anwendern dieser Systeme, da sie sich von ihnen mehr Sicherheit, eine effizientere Passagierabfertigung und betriebliche Effizienz versprechen. Die schnelle Integration solcher Technologien hat jedoch erhebliche rechtliche, ethische und technische Bedenken in Bezug auf Privatsphäre, Datenschutz, algorithmische Fairness und Transparenz aufgeworfen.

Eine bemerkenswerte jüngste Entwicklung ist die Entscheidung der italienischen Datenschutzbehörde (Garantie für den Schutz der persönlichen Daten(abgekürzt GPDP), den Betrieb des FaceBoarding-Systems auszusetzen. Gesichtserkennung Dienst an den automatisierten Grenzkontrollgates des Mailänder Flughafens Linate. In diesem Aufsatz werden der Hintergrund, die eingesetzte Technologie, die Begründung und die Rechtsgrundlage des GPDP, die Auswirkungen auf die Beteiligten (einschließlich Passagiere, Flughafenbetreiber, Fluggesellschaften und Technologieanbieter) sowie der breitere Kontext der biometrischen Governance in Europa untersucht.

Hintergrund: FaceBoarding und automatisierte Grenzkontrollen

FaceBoarding ist ein Anbieter von Lösungen für die biometrische Identitätsüberprüfung, der die Gesichtserkennung zur Authentifizierung von Reisenden an automatisierten Grenzkontrollstellen (ABC) einsetzt. Die Technologie gleicht ein am Gate aufgenommenes Live-Bild oder Video des Gesichts eines Reisenden mit einem gespeicherten Referenzbild - in der Regel aus einem Reisepass oder einer staatlichen Identitätsdatenbank - ab, um die Identität zu überprüfen und die Passage ohne das Eingreifen von Grenzbeamten zu ermöglichen. Befürworter argumentieren, dass solche Systeme die Abfertigung beschleunigen, Warteschlangen verkürzen und die Sicherheit durch den Abgleich von Identitäten mit Überwachungslisten oder Risikoindikatoren aufrechterhalten oder erhöhen können.

Der Flughafen Mailand-Linate, einer der wichtigsten italienischen Inlands- und Regionalflughäfen, implementierte die FaceBoarding-Lösung, um den Passagierdurchsatz an den automatisierten Grenzkontrollstellen zu optimieren. Das System sollte es autorisierten Reisenden ermöglichen, bei der Passkontrolle biometrisch verifiziert zu werden, was angeblich die Erfahrung der Passagiere und die betriebliche Leistung verbessern sollte.

Die Entscheidung der GPDP: Aussetzung und ihre Grundlage

Die italienische Datenschutzbehörde hat angeordnet, den Gesichtserkennungsdienst FaceBoarding am Flughafen Mailand-Linate auszusetzen. Die Entscheidung der GPDP spiegelt Bedenken hinsichtlich der Einhaltung des italienischen Datenschutzrahmens und der EU-Datenschutzgrundverordnung (DSGVO) wider. Auch wenn die Einzelheiten des Falles und die offizielle Begründung vielschichtig sind, stützt sich die Intervention der GPDP in der Regel auf mehrere zentrale rechtliche und faktische Punkte, die üblicherweise angeführt werden, wenn Behörden biometrische Systeme prüfen:

• Rechtmäßigkeit der Verarbeitung: Nach der Datenschutz-Grundverordnung gehören biometrische Daten zur eindeutigen Identifizierung einer Person zu den "besonderen Kategorien personenbezogener Daten" (sensible Daten). Die Verarbeitung solcher Daten erfordert eine solide Rechtsgrundlage und häufig eine ausdrückliche gesetzliche Erlaubnis. Die GPDP muss sich davon überzeugen, dass der Flughafen und FaceBoarding eine rechtmäßige Grundlage für die Erhebung und Verarbeitung biometrischer Daten zur Identitätsüberprüfung hatten.

• Verhältnismäßigkeit und Erforderlichkeit: Die Datenverarbeitung muss erforderlich sein und in einem angemessenen Verhältnis zu dem angegebenen Ziel stehen. Die Behörde hat wahrscheinlich geprüft, ob mit weniger eingreifenden Mitteln die gleichen Ziele erreicht werden könnten (z. B. manuelle Kontrollen, nicht-biometrische Identitätsüberprüfung) und ob der biometrische Ansatz angesichts der Risiken für die Privatsphäre verhältnismäßig ist.

• Transparenz und informierte Zustimmung: Die Personen müssen angemessen über die Verarbeitung biometrischer Daten und ihre Rechte informiert werden. Im Rahmen des GPDP wird häufig geprüft, ob die Fluggäste klare und verständliche Informationen erhalten haben und ob die eingeholte Einwilligung freiwillig und ausdrücklich erteilt wurde - was insbesondere dann von Bedeutung ist, wenn eine Verweigerung einen Fluggast tatsächlich an der Reise hindern oder ihm unzumutbare Unannehmlichkeiten bereiten würde.

• Datenminimierung und Speicherbegrenzung: Die Datenschutz-Grundverordnung verlangt, dass die erhobenen Daten angemessen, relevant und auf das Notwendige beschränkt sind und nur so lange wie nötig gespeichert werden. Das GPDP überprüfte wahrscheinlich die Art und Menge der erfassten Bilder, wie lange die Daten aufbewahrt wurden, ob Vorlagen oder Rohbilder gespeichert wurden und ob die Aufbewahrungsrichtlinien gerechtfertigt und umgesetzt wurden.

• Sicherheits- und Datenschutzmaßnahmen: Die Behörde prüft, ob geeignete technische und organisatorische Maßnahmen ergriffen wurden, um biometrische Daten vor unbefugtem Zugriff, Verstößen oder Missbrauch zu schützen. Dazu gehören Verschlüsselung, Zugangskontrollen, sichere Übertragung und vertragliche Schutzmaßnahmen zwischen den beteiligten Parteien.

• Rechte der betroffenen Person und Rechtsbehelfe: Es müssen wirksame Mechanismen vorhanden sein, damit die Fluggäste ihre Rechte (Zugang, Berichtigung, Löschung, Widerspruch) ausüben und eine sinnvolle Entschädigung erhalten können. Die GPDP hat möglicherweise festgestellt, dass die Verfahren zur Wahrnehmung dieser Rechte unzureichend oder unklar waren.

• Risikobewertung und DPIA: Die Datenschutz-Grundverordnung verlangt eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, DPIA) für risikoreiche Verarbeitungen, wie z. B. eine groß angelegte biometrische Identifizierung. Der GPDP würde bewerten, ob eine Datenschutz-Folgenabschätzung ordnungsgemäß durchgeführt wurde, ob Risiken ermittelt und gemindert wurden und ob die Aufsichtsbehörde konsultiert wurde, wenn die Restrisiken hoch blieben.

Obwohl die GPDP den Dienst ausgesetzt hat, anstatt ein dauerhaftes Verbot anzuordnen, deutet die Aussetzung auf ernsthafte Bedenken und die Notwendigkeit von Korrekturmaßnahmen hin, bevor die Verarbeitung rechtmäßig wieder aufgenommen werden kann.

Rechtlicher und regulatorischer Kontext

Um die Maßnahmen des GPDP zu verstehen, muss man sie in den breiteren italienischen und europäischen Rechtsrahmen einordnen.

• GDPR: Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union ist die wichtigste rechtliche Regelung für den Schutz personenbezogener Daten in den Mitgliedstaaten. Biometrische Daten, die zur eindeutigen Identifizierung einer Person verwendet werden, werden gemäß Artikel 9 als besondere Datenkategorie behandelt und unterliegen strengeren Bedingungen. Die Verarbeitung solcher Daten ist in der Regel verboten, es sei denn, es liegen besondere Garantien und Rechtsgrundlagen vor (z. B. die ausdrückliche Einwilligung, ein erhebliches öffentliches Interesse nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder besondere Bestimmungen zur Identifizierung und Sicherheit).

• Italienisches Datenschutzgesetz: Italiens nationale Gesetzgebung ergänzt die Anforderungen der DSGVO und enthält Bestimmungen, die für die öffentliche Sicherheit, Grenzkontrollen und die Verarbeitung von Identitäts- und biometrischen Daten relevant sind. Wenn nationale Gesetze Rechtsgrundlagen für die Verarbeitung biometrischer Daten in bestimmten Kontexten von öffentlichem Interesse schaffen (z. B. Grenzkontrollen im Rahmen von Migrations- und Sicherheitsgesetzen), bleibt die Vereinbarkeit dieser nationalen Vorschriften mit den Grundsätzen der DSGVO kritisch.

• EWR-Rechtsprechung und Leitlinien: Der Europäische Datenschutzausschuss (EDPB) und nationale Gerichte geben Leitlinien und Urteile zu biometrischen Systemen heraus. In den letzten Jahren wurde die Kontrolle verschärft: Einige europäische Aufsichtsbehörden haben Untersuchungen zu Gesichtserkennungssystemen an Flughäfen eingeleitet; andere haben strenge Datenschutzfolgenabschätzungen gefordert oder Beschränkungen auferlegt. Gerichtsentscheidungen in der EU haben ebenfalls strenge Standards für die Verarbeitung biometrischer Daten verschärft und betonen die Notwendigkeit, die Verhältnismäßigkeit und strenge Sicherheitsvorkehrungen.

• Biometrische Überwachungslandschaft: Die EU hat einen Rechtsrahmen für künstliche Intelligenz (KI-Gesetz) vorgeschlagen, der zwischen risikoreichen und verbotenen KI-Anwendungen unterscheidet, wobei der Gesichtserkennung zur biometrischen Fernidentifizierung in öffentlichen Räumen besondere Aufmerksamkeit gewidmet wird. Das KI-Gesetz befindet sich zwar noch in einer anderen Gesetzgebungsphase, signalisiert aber eine breitere Verlagerung hin zu einer strengeren Kontrolle biometrischer Technologien.

Praktische Belange und technische Erwägungen

Abgesehen von den rechtlichen Grundlagen ist die Aussetzung wahrscheinlich auf praktische und technische Mängel oder Unsicherheiten zurückzuführen. Zu den wichtigsten Bedenken, die in ähnlichen Fällen geäußert wurden, gehören:

• Genauigkeit und Verzerrung: Gesichtserkennungsalgorithmen können je nach demografischer Gruppe eine unterschiedliche Genauigkeit aufweisen, wobei Frauen, ältere Erwachsene und bestimmte ethnische Gruppen nachweislich eine höhere Rate an falschen Übereinstimmungen oder Nicht-Übereinstimmungen aufweisen. Dies kann zu ungerechtfertigten Ablehnungen, zusätzlichen Prüfungen oder Ungleichbehandlung führen.

• Funktionsschleichende und sekundäre Verwendungen: Ohne strenge Kontrollen könnten biometrische Daten, die für Grenzkontrollen erhoben wurden, für andere Zwecke (z. B. Strafverfolgung, Marketing) verwendet werden, was erhebliche Risiken für die Privatsphäre mit sich bringt. Die Aufsichtsbehörden verlangen eine Einschränkung des Verwendungszwecks und vertragliche/technische Kontrollen, um Missbrauch zu verhindern.

• Datenaufbewahrung und Speicherarchitektur: Ob Bilder lokal verarbeitet und sofort verworfen, als Vorlagen gespeichert oder an zentrale Datenbanken übermittelt werden, beeinflusst die Risikoprofile. Die GPDP würde die Aufbewahrungsfristen, die Speicherung von Rohbildern und die Frage, wer Zugriff darauf hat, genau prüfen.

• Verarbeitung durch Dritte und Unterauftragsverarbeiter: FaceBoarding, Flughafenbetreiber, Fluggesellschaften und Regierungsbehörden können alle eine Rolle spielen. Verarbeitungsvereinbarungen, die Rolle des für die Datenverarbeitung Verantwortlichen und des Auftragsverarbeiters, die Haftungszuweisung und grenzüberschreitende Datenübermittlungen müssen den Vorschriften der DSGVO entsprechen.

• Einwilligung vs. berechtigtes Interesse: Auf Flughäfen kann die Einholung einer freiwilligen Zustimmung problematisch sein, da sich die Reisenden gezwungen fühlen könnten, ihre Zustimmung zu geben. Viele Betreiber berufen sich auf andere Rechtsgrundlagen - wie die Erfüllung eines Vertrags oder das öffentliche Interesse -, die jedoch sorgfältig begründet werden müssen, insbesondere bei biometrischen Daten.

• Betriebliche Transparenz und Beschilderung: Sichtbare Hinweise, klare Opt-out-Optionen und zugängliche Informationen tragen zur Erfüllung der Transparenzverpflichtungen bei. Im Rahmen des GPDP wurde wahrscheinlich bewertet, ob die Fluggäste an den Einreise-, Buchungs- und Gate-Punkten angemessen informiert wurden.

Auswirkungen auf die Interessengruppen

Die Aussetzung des GPDP betrifft mehrere Interessengruppen und hat weitreichende Auswirkungen auf die Verwendung biometrischer Daten im Verkehr und im öffentlichen Raum.

• Für Passagiere: Die unmittelbare Auswirkung ist, dass die biometrische Verarbeitung an den ausgesetzten Gates nicht genutzt werden kann, um die biometrische Privatsphäre der Reisenden zu schützen, bis die Einhaltung der Vorschriften nachgewiesen ist. Dies kann auch eine Rückkehr zu manuellen Passkontrollen bedeuten, was sich möglicherweise auf die Wartezeiten auswirkt.

• Für Flughafenbetreiber und Fluggesellschaften: Die Aussetzung verdeutlicht die operativen und Compliance-Risiken, die mit dem Einsatz biometrischer Systeme verbunden sind. Die Betreiber müssen möglicherweise in strengere Datenschutzpraktiken investieren, Beschaffungs- und Vertragsbedingungen neu bewerten und alternative Lösungen in Betracht ziehen, ohne dabei die Sicherheit und den Komfort der Reisenden zu beeinträchtigen.

• Für Technologieanbieter (z. B. FaceBoarding): Die Anbieter müssen die Einhaltung der Vorschriften durch verbesserte technische Sicherheitsvorkehrungen, transparente Datenflüsse, eine klarere Dokumentation der Rechtsgrundlagen und solide Datenschutzfolgenabschätzungen nachweisen. Der Vorfall kann zu Umgestaltungen, zusätzlichen Zertifizierungen oder Änderungen der Datenverarbeitungsarchitekturen führen.

• Für Regulierungsbehörden und politische Entscheidungsträger: Die Entscheidung unterstreicht den Bedarf an klaren, harmonisierten Regeln und Leitlinien für biometrische Technologien. Die Regulierungsbehörden könnten ähnliche Einsätze in anderen Ländern genauer unter die Lupe nehmen und auf strengere Branchenstandards drängen.

• Für das Vertrauen der Öffentlichkeit: Aufsehen erregende Aussetzungen schärfen das öffentliche Bewusstsein für Datenschutzrisiken und können das Vertrauen in biometrische Systeme untergraben. Um das Vertrauen wiederherzustellen, sind transparente Abhilfemaßnahmen und eine rechenschaftspflichtige Verwaltung erforderlich.

Mögliche Abhilfemaßnahmen und Weg zur Einhaltung der Vorschriften

Um die Bedenken der GPDP auszuräumen und eine rechtmäßige Wiederaufnahme des Betriebs zu ermöglichen, könnten die Beteiligten mehrere konkrete Schritte unternehmen:

• Führen Sie eine umfassende Datenschutzfolgenabschätzung durch oder aktualisieren Sie sie, die die Risiken vollständig dokumentiert, Abhilfemaßnahmen aufzeigt und nachweist, dass etwaige Restrisiken verhältnismäßig und gerechtfertigt sind. Wenn ein hohes Restrisiko verbleibt, konsultieren Sie die Aufsichtsbehörde, wie in der DSGVO vorgeschrieben.

• Klären und dokumentieren Sie die rechtmäßige Grundlage für die Verarbeitung biometrischer Daten. Wenn Sie sich auf eine Einwilligung berufen, stellen Sie sicher, dass diese ausdrücklich, freiwillig und detailliert erteilt wird; wenn Sie sich auf ein öffentliches Interesse oder andere Grundlagen berufen, stellen Sie sicher, dass eine angemessene rechtliche Genehmigung und Rechtfertigung nach nationalem Recht vorliegt.

• Führen Sie eine strikte Datenminimierung ein: Verarbeiten Sie nur das Nötigste (z. B. flüchtige Vorlagen anstelle von Rohbildern), beschränken Sie die Aufbewahrung auf das notwendige Minimum und löschen Sie die Daten nach der Überprüfung umgehend.

• Verbesserung der technischen Sicherheitsmaßnahmen: robuste Verschlüsselung, Pseudonymisierung, Zugangskontrollen, Audit-Protokollierung und sichere Übertragungs-/Speicherarchitektur.

• Stärkung von Governance und Verträgen: klare Vereinbarungen über die Datenverarbeitung, Beschränkung der Weiterverarbeitung und Festlegung von Aufgaben und Zuständigkeiten zwischen Betreibern, Technologieanbietern und Behörden.

• Bereitstellung klarer Informationen für die Passagiere und von Opt-out-Mechanismen: sichtbare Beschilderung, Kommunikation vor der Reise und einfache Alternativen zur biometrischen Verarbeitung ohne Strafe.

• Durchführung unabhängiger Tests und Bias-Audits, um die Fairness und Genauigkeit der Algorithmen in verschiedenen Bevölkerungsgruppen nachzuweisen, und Veröffentlichung der Ergebnisse oder Zusammenfassungen zur Verbesserung der Transparenz.

• Schaffung von Rechtsbehelfsmechanismen und klaren Verfahren für Fluggäste zur Ausübung ihrer Rechte als betroffene Personen.

Allgemeine Bedeutung und Lehren aus den Erfahrungen

Die Aussetzung des GPDP in Mailand-Linate ist sinnbildlich für eine breitere Neukalibrierung in ganz Europa in Bezug auf biometrische Technologien - insbesondere bei sensiblen Anwendungen wie der Grenzkontrolle. Daraus können mehrere Lehren gezogen werden:

• Die Aufsichtsbehörden werden den GDPR-Schutz für biometrische Daten durchsetzen und sind bereit, einzugreifen, wenn die rechtlichen Anforderungen nicht erfüllt werden.

• Der Einsatz in öffentlichen Bereichen mit hohem Verkehrsaufkommen erfordert eine vorausschauende Governance: solide Datenschutzfolgenabschätzungen, Einbeziehung der Interessengruppen, klare Rechtsgrundlagen und strenge technische Sicherheitsvorkehrungen.

• Technologieanbieter und -anwender müssen dem Datenschutz von Anfang an Priorität einräumen und auf Minimierung, Transparenz und Verantwortlichkeit setzen.

• Die öffentliche Akzeptanz hängt vom Vertrauen ab; Transparenz, nachweisliche Fairness und wirksame Sicherheitsvorkehrungen sind unerlässlich, um die gesellschaftliche Akzeptanz biometrischer Systeme zu sichern.

• Harmonisierte Standards und klarere rechtliche Rahmenbedingungen auf EU-Ebene - oder explizite nationale Rechtsvorschriften, wo dies zulässig ist - könnten die Unsicherheit verringern und die Einhaltung der Vorschriften verbessern und gleichzeitig den Schutz der Grundrechte gewährleisten.

Schlussfolgerung

Die Aussetzung des Gesichtserkennungsdienstes von FaceBoarding am Mailänder Flughafen Linate durch die italienische Datenschutzbehörde unterstreicht das Spannungsverhältnis zwischen technologischer Innovation und dem Schutz der Grundrechte. Während die Biometrie klare Vorteile für die Effizienz und Sicherheit bei Grenzkontrollen bietet, wirft sie auch akute Herausforderungen in Bezug auf den Schutz der Privatsphäre, Fairness und Governance auf. Die Maßnahme der GPDP spiegelt die strengen Anforderungen der Datenschutz-Grundverordnung für die Verarbeitung besonderer Datenkategorien wider und unterstreicht die Notwendigkeit einer strengen rechtlichen Rechtfertigung, technischer Garantien, Transparenz und Rechenschaftspflicht.

Der erfolgreiche und rechtmäßige Einsatz von Gesichtserkennung an Flughäfen wird in Zukunft gemeinsame Anstrengungen von Technologieanbietern, Flughafenbehörden, Fluggesellschaften, Regulierungsbehörden und der Zivilgesellschaft erfordern, um sicherzustellen, dass die Systeme notwendig, verhältnismäßig und nicht diskriminierend sind und die Rechte der Reisenden respektieren. Der Fall Mailand-Linate dient als abschreckendes Beispiel und als Chance: Es gilt, Praktiken zu verfeinern, Schutzmaßnahmen zu verstärken und Governance-Rahmen zu entwickeln, die nützliche Innovationen ermöglichen und gleichzeitig die individuellen Freiheitsrechte schützen.