Eidgenössischer Datenschutzbeauftragter Préposé fédéral à la protection des données Incaricato federale per la protezione dei dati Incumbensà federal per la protecziun da datas Einsatz von Biometrie beim Check-In und Boarding im Rahmen des Pilotprojektes “Secure Check” der Swissport International AG und Checkport Schweiz AG am Flughafen Zürich-Kloten Schlussbericht vom 6. Juni 2005 sowie Anhang vom 24. Oktober 2005 der Kontrolle des Eidgenössischen Datenschutzbeauftragten (EDSB) gemäss Art. 29 des Bundesgesetzes über den Datenschutz (DSG) Veröffentlicht am 14. November 2005 auf www.edsb.ch 2 Inhaltsverzeichnis Inhaltsverzeichnis.............................................................................................................. 2 1. Ausgangslage ................................................................................................................ 4 2. Umfang der Kontrolle .................................................................................................... 4 3. Chronologie der Kontrolle............................................................................................. 4 4. Sachverhaltsabklärung vor Ort vom 16. Dezember 2004............................................ 5 4.1 Anwesende Personen......................................................................................................... 5 4.2 Enrollment am Check-In Schalter....................................................................................... 5 4.3 Boarding am Gate................................................................................................................ 6 4.4 Weitere Datenerhebung...................................................................................................... 6 4.5 Einige Zahlen ....................................................................................................................... 7 4.6 Erstes Feedback des EDSB vor Ort..................................................................................... 7 5. Sachverhaltsabklärung vor Ort vom 11. Februar 2005................................................ 9 5.1 Anwesende Personen......................................................................................................... 9 5.2 Biometrische Datenerfassung mit Gesichtsbild................................................................. 9 6. Datenschutzrechtliche Beurteilung............... ............................................................. 10 6.1 Biometrische Daten als Personendaten........................................................................... 10 6.1.1 Ausgangslage ............................................................................................................. 10 6.1.2 Beurteilung aus Sicht des EDSB................................................................................. 10 6.2 Zweck der Datenbearbeitung ........................................................................................... 10 6.2.1 Ausgangslage ............................................................................................................. 10 6.2.2 Beurteilung aus Sicht des EDSB................................................................................. 11 6.3 Rechtmässigkeit der Datenbeschaffung/Einwilligung der Betroffenen .......................... 11 6.3.1 Ausgangslage ............................................................................................................. 11 6.3.2 Beurteilung aus Sicht des EDSB................................................................................. 11 6.4 Bearbeitung nach Treu und Glauben/Transparenz.......................................................... 11 6.4.1 Ausgangslage ............................................................................................................. 11 6.4.2 Beurteilung aus Sicht des EDSB................................................................................. 12 6.5 Verhältnismässigkeit der Datenbearbeitung.................................................................... 12 6.5.1 Verhältnismässigkeit in inhaltlicher Hinsicht – Ausgangslage.................................. 12 6.5.2 Beurteilung der inhaltlichen Verhältnismässigkeit aus Sicht des EDSB ................... 13 6.5.3 Verhältnismässigkeit in zeitlicher Hinsicht – Ausgangslage ..................................... 13 6.5.4 Beurteilung der zeitlichen Verhältnismässigkeit aus Sicht des EDSB....................... 13 6.6 Zweckbindung der Datenbearbeitung.............................................................................. 13 6.6.1 Ausgangslage ............................................................................................................. 13 6.6.2 Beurteilung aus Sicht des EDSB................................................................................. 13 6.7 Datenrichtigkeit (Zuverlässigkeit, Anwendbarkeit)........................................................... 14 6.7.1 Ausgangslage ............................................................................................................. 14 6.7.2 Beurteilung aus Sicht des EDSB................................................................................. 14 6.8 Datensicherheit ................................................................................................................. 14 6.8.1 Ausgangslage ............................................................................................................. 14 6.8.2 Anregungen aus Sicht des EDSB für den zukünftigen Einsatz von Biometrie ......... 15 7. Ergebnisse ................................................................................................................... 16 7.1 Bezüglich des Pilotprojektes............................................................................................. 16 7.2 Bezüglich der Umsetzung des Pilotprojektes in ein Definitivum..................................... 16 8. Schlussfolgerung ......................................................................................................... 17 8.1 Kontrolle des Einsatzes biometrischer Daten im Rahmen von Secure Check ............... 17 8.2 Weiteres Vorgehen............................................................................................................ 17 3 Anhang vom 24. Oktober 2005 zum Schlussbericht..... .................................. I 1. Vorbemerkung................................................................................................................ I 2. Stellungnahme von Checkport ...................................................................................... I Zu Ziff. 6.1.2 des Schlussberichtes .............................................................................................I Zu Ziff. 6.4.2 des Schlussberichtes .............................................................................................I Zu Ziff. 6.7.2 des Schlussberichtes .............................................................................................I Zu Ziff. 6.8.2 des Schlussberichtes ............................................................................................II Zu Ziff. 7.2 des Schlussberichtes ...............................................................................................II 4 1. Ausgangslage Im Dezember 2004 hat Swissport International AG das Pilotprojekt „Secure Check“ in Auftrag gegeben und gestartet. Secure Check dient der Verbe sserung der Sicherheitsüberprüfung von Passagierdaten sowie den Reisedokumenten vor Ab flug und soll dazu beitragen, die Wartezeiten für Flugpassagiere an den Checkpoints zu verkürzen. Das Pilotprojekt wurde von Checkport Schweiz AG (einer Tochtergesellschaft von Swissport Schweiz A G) und Swissport Schweiz AG (eine Tochtergesellschaft von Swissport International AG) in Zusammenarbeit mit SWISS International Airlines geführt. Für die Testphase von Anfang Dezember 2004 bis Mitt e April 2005 wurde der Flug Zürich- Montreal (CAN) ausgewählt. Flugpassagiere konnten an drei speziellen Schaltern einchecken. Secure Check läuft wie folgt ab: Für das Check-In w erden die Ausweise der Flugpassagiere eingescannt und die Passdaten automatisch mit den E inreisebestimmungen des Destinati- onslandes (im Rahmen des Pilotprojektes Kanada) sow ie mit bestehenden Blacklists vergli- chen. Die Passagier- und Passdaten werden zusammen mit den Flugdaten an das Destinati- onsland weiter geleitet. Zusätzlich erfolgt an jede m Checkpoint resp. am Gate eine Authenti- fizierung des Ausweisinhabers und Flugpassagiers mittels biometrischer Daten (Templates) , welche am Check-In Schalter nach der Ausweisüberprüfung vom Passagier erhoben werden. Die Datenschutzkontrolle konzentrierte sich auf die Erhebung und Bearbeitung dieser bio- metrischen Daten. 2. Umfang der Kontrolle Die Datenschutzkontrolle bezog sich ausschliesslich auf das Pilotprojekt. Die Kontrolle um- fasste nur die Datenabläufe im Zusammenhang mit der Erhebung und Bearbeitung der bio- metrischen Daten vom Check-In bis zum Boarding auf dem Flug Zürich-Montreal (CAN). Nicht Gegenstand der Kontrolle waren alle weiteren mit dem Pilotprojekt Secure Check ver- bundenen Datenbearbeitungen, wie das Einscannen der Reiseausweise, der Abgleich mit den Blacklists und die Weiterleitung der Passagier- und Passdaten an das Destinationsland. 3. Chronologie der Kontrolle 4. November 2004 Beschluss des EDSB zur Durchführun g einer Datenschutzkontrolle bei Swissport/Checkport gestützt auf die Medienbekanntg abe der geplan- ten Durchführung eines Pilotprojektes mit biometrischen Daten. 23. November 2004 Checkport wendet sich telefonisch an den EDSB und möchte wissen, was beim Einsatz biometrischer Daten im Rahmen des Pilotprojektes Secure Check aus datenschutzrechtlicher Sicht beach tet werden muss. 26. November 2004 Checkport schickt per Email erste Informationen über das Projekt und lädt den EDSB zum internen Testlauf am 2. Dezember 2004 ein. Der EDSB sieht von einer Teilnahme am internen Testlauf ab und kündigt eine Sachverhaltsabklärung im Rahmen der vorgesehen en Kontrolle an. 30. November 2004 Der EDSB kündigt Checkport schrif tlich eine Sachverhaltsabklärung mit Besichtigung der Anlagen vor Ort an. Zusätzlich wir d Checkport gebe- ten, noch einige Fragen des EDSB zu beantworten. 5 14. Dezember 2004 Checkport schickt die noch ausste henden Informationen im Vorfeld der Sachverhaltsabklärung vor Ort. 16. Dezember 2004 Sachverhaltsabklärung vor Ort am Flughafen Zürich-Kloten. Erstes Feedback des EDSB erfolgt mündlich. 17. Dezember 2004 Checkport reagiert umgehend auf d as mündliche Feedback und ändert die Plakate am Check-In Schalter sowie die Informationsbroschüre. 21. Dezember 2004 Checkport kündigt per Email an, d ass für die Löschung der Smart Cards sowie für die Schrift auf den Displays eine b essere Lösung ge- sucht werde. 22. Dezember 2004 EDSB reicht seine ersten Anpassun gsvorschläge an Checkport schrift- lich nach. In der Zwischenzeit hat Checkport bereit s auf alle mündlich vorgebrachten Anpassungsvorschläge des EDSB reagier t. Im gleichen Schreiben schickt Checkport die ersten Antworten au f noch offene technische Fragen. 24. Dezember 2004 Checkport bestätigt per Email, da ss sowohl der Löschvorgang der Smart Cards als auch die Schrift auf dem Display geändert wurden. 11. Februar 2005 Pilotprojekt wird um die Erfassung des Gesichtsbildes erweitert. Zwei- ter Augenschein vor Ort durch den EDSB. 21. März 2005 Checkport schickt die letzten fehlend en, technischen Daten für die Kontrolle. April-Juni 2005 Analyse und Auswertung aller Unter lagen und Sachverhalte sowie Ausarbeitung des Schlussberichtes durch den EDSB. 6. Juni 2005 Verabschiedung des Schlussberichtes d urch den EDSB zuhanden Checkport. 4. Sachverhaltsabklärung vor Ort vom 16. Dezember 2004 4.1 Anwesende Personen Anwesend waren der Projektleiter Secure Check (Chec kport), der Vice President Security (Swissport), eine Rechtskonsulentin (SWISS) sowie d ie Projektbegleiterin Secure Check (SWISS). Der EDSB war durch eine Juristische Berate rin und einen Informatikberater vor Ort vertreten. 4.2 Enrollment am Check-In Schalter Das Pilotprojekt "Secure Check" wird derzeit nur be im Flug Zürich-Montreal (CAN) durchge- führt. Dazu stehen drei Check-In Schalter zur Verfügung, an denen sowohl First/Business- als auch Economy-Class Passagiere einchecken. Die Passa giere werden bei der Buchung auf das Pilotprojekt und die speziellen Check-In Schalt er aufmerksam gemacht. Weiter kündigen grössere Plakate an den speziellen Check-In Schalte rn das Pilotprojekt an, und ein Mitarbei- ter von Checkport informiert die zur Abreise bereit en Passagiere persönlich über die Mög- lichkeit des Check-Ins/Boardings mittels biometrisc her Daten, konkret mittels zwei biometri- scher Fingerabdrücke (Templates). 6 Sofern ein Flugpassagier mit der Teilnahme am Pilot projekt einverstanden ist, werden als erstes die Passinformationen des Passagiers ausgelesen. Diese Informationen werden in das Departure Control System (DCS) der SWISS gegeben, welches diese Daten aufbereitet und die Advanced Passenger Information Data (API-Data) in d as entsprechende Destinationsland schickt. Dies war bereits vor dem Pilotprojekt der Fall. Die Daten werden nun aber effizienter in das System eingespeist. Zusätzlich wird ein Abbild der Datenseite des Passes eingescannt, falls dies von der Einreisebehörde des Destinations landes verlangt wird. Mit dem Einlesen des Passes wird gleichzeitig die Einhaltung der Pas sbestimmungen des Destinationslandes verifiziert. Im Rahmen des Pilotprojektes erfolgt d ieses Einlesen des Passes durch drei Note- books. Da das Pilotprojekt nur mit einem bestimmten Flug pro Tag durchgeführt wird, sind die Flugdaten und die entsprechenden Passagiernamen bereits im Vorfeld vom Departure Control System (DCS) der SWISS übernommen worden. D ie eingelesenen Daten sowie die eingescannte Passseite werden nach 48 Stunden aus d em Secure Check System (während der Pilotphase auf den drei Notebooks) automatisch gelöscht. Die Daten werden nicht aus- gewertet und nur für den Fall gebraucht, dass ein Passagier Probleme bei der Einreise hat. Des Weiteren werden im Rahmen des Pilotprojektes bi ometrische Daten der Flugpassagiere auf freiwilliger Basis erhoben. In einem zweiten Sc hritt werden dafür die Passagierdaten, die Passdaten, die Flugnummer und das Flugdatum auf ein e Smart Card übertragen. Die Smart Card enthält einen Mikroprozessor, der bis auf eine Entfernung von 5 cm kontaktlos abgele- sen werden kann. Ist die Übertragung der Daten erfo lgt, so erscheint auf einem grossen Dis- play, das sich direkt vor dem Passagier befindet, a utomatisch der Name des Passagiers, wie er im Pass festgehalten ist. Nun wird der Passagier aufgefordert, nacheinander seinen linken und seinen rechten Zeigefinger zum Ablesen auf eine Glasplatte, die sich unterhalb des Dis- plays befindet, zu halten. Auf dem Display erschein t jeweils die Nachricht, ob das Ablesen (=Enrollment) funktioniert hat oder nicht. Das Temp late des Fingerabdrucks wird auf der Smart Card festgehalten. Die Daten auf der Smart Ca rd sind nach 3DES-Standard verschlüs- selt. Der Passagier behält die Smart Card bei sich und geht nun mit der Smart Card, seinem Flugticket und seinem Pass durch den Zoll in den Transitbereich. Am Zoll muss der Passagier seinen Pass und das Flugticket noch vorzeigen, währ end neu die Verifikation am Gate durch die Smart Card und die biometrischen Referenzdaten erfolgt. 4.3 Boarding am Gate Flugpassagiere, welche am Pilotprojekt teilnehmen und daher eine Smart Card vom Check-In Schalter haben, legen diese Karte auf ein mobiles G erät, dass die Daten kontaktlos ablesen kann. Das Ablesegerät verfügt ebenfalls über ein Di splay, jedoch ist dieses kleiner als am Check-In Schalter und zusätzlich mit zwei Seitenklappen besser vor Blicken Dritter geschützt. Auf dem Display erscheint die Aufforderung, einen Z eigefinger auf die Glasplatte zu halten. Bei einem reibungslosen Ablauf dauert dieser Prozes s nicht mehr als 5 Sekunden. Ein Mitar- beiter von Checkport steht neben dem Gerät und sammelt die Smart Cards der Flugpassagie- re wieder ein. Nach erfolgreicher Verifikation des Flugpassagiers zeigt dieser noch seine Boarding Card, welche wie bei jedem anderen Fluggas t anschliessend automatisch eingele- sen wird. Der anwesende Mitarbeiter bringt nach dem Boarding alle Smart Cards in das Büro des Projektleiters Secure Check (Checkport), wo sie noch am gleichen Tag gelöscht werden, um am darauffolgenden Tag für weitere Flüge zur Ver fügung zu stehen. Die Smart Cards werden also (noch) nicht für weitere Flüge oder für den Ankunftstransit weiter verwendet. 4.4 Weitere Datenerhebung Weiter werden auf dem Check-In System und auf dem G ate System statistische Daten erho- ben, welche zur Verbesserung der Erkennung des Fing erabdrucks genutzt werden. Diese Daten sind: Alter, Nationalität, Wohnsitzland, Gesc hlecht und Wert der Biometrieerkennung. Es werden keine Namen oder Templates in der Statist ik erfasst. Die Statistik dient aus- 7 schliesslich den Technikern zur Verbesserung der Er kennungsrate. Weitere Daten werden weder erhoben noch werden die vorhandenen Daten mit weiteren Daten oder Datenbanken verknüpft. 4.5 Einige Zahlen Stand vom 16. Dezember 2004 : Die Projektleitung hat bei Einführung des Pilotprojektes damit gerechnet, dass max. 50% der Passagiere, die in Zür ich einchecken, sich am Pilotprojekt beteiligen würden. In den ersten zwei Wochen haben sich ca. 70% aller möglichen Passagie- re am Projekt beteiligt und der biometrischen Erfas sung ihrer Fingerabdrücke zugestimmt (pro Flug bedeutet dies konkret ca. 14 von 20 Flugg ästen). Die grössten technischen Schwie- rigkeiten bestehen beim Enrollment von alten Mensch en (v.a. bei Frauen). Kinder unter 12 Jahren sind vom Pilotprojekt ausgenommen, da ihre F ingerabdrücke schlecht eingelesen werden können. Stand vom 4. Februar 2005 : Insgesamt ist bis zum 4. Februar 2005 das Enrollm ent bei 725 Flugpassagieren gelungen und bei 22 Personen misslu ngen (vorwiegend ältere Personen). Am Gate wurden 4 Personen nicht wieder erkannt. Stand vom 15. April 2005: Bis Ende des Pilotprojektes Mitte April 2005 konnte das Enrollment und die Verifikation bei 1400 Passagieren erfolgrei ch vorgenommen werden. Dies entspricht 79% der Passagiere, welche an den Spezialschaltern eingecheckt haben. 4.6 Erstes Feedback des EDSB vor Ort Während der Besichtigung vor Ort erhält Swissport/C heckport von den beiden Mitarbeitern des EDSB ein erstes Feedback, welches mit Brief vom 22. Dezember 2004 des EDSB bestätigt wurde. Das Feedback bezog sich auf folgende Punkte: • Plakate am Check-In Schalter An den drei Check-In Schaltern sind gut sichtbar Pl akate aufgestellt, die auf das Pilotpro- jekt und die damit verbundene Möglichkeit des verei nfachten Check-Ins und Boardings mittels biometrischer Fingerabdrücke aufmerksam machen. Jedoch wird aus der gewähl- ten Formulierung nicht ausreichend ersichtlich, das s die Teilnahme am Pilotprojekt und insbesondere die Abgabe der Fingerabdrücke freiwillig erfolgt. Vielmehr werden die Pas- sagiere, sofern sie sich nicht am Pilotprojekt beteiligen wollen, an das Bodenpersonal ver- wiesen (sog. Opting-out Lösung). Die Mitarbeiter de s EDSB machen die Projektleitung darauf aufmerksam und bitten, die Formulierung dahi ngehend zu ändern, dass die Frei- willigkeit am Pilotprojekt teilzunehmen klarer zur Geltung kommt. Die Projektleitung hat die Plakate noch am selben T ag geändert und dabei eine neue Formulierung gewählt, welche die Freiwilligkeit des Pilotprojektes verdeutlicht. Für die Passagiere wird nun klar, dass die Abgabe der Finge rabdrücke freiwillig ist. Ausserdem wird mit der neuen Formulierung klargestellt, dass die Passagiere von sich aus die Mög- lichkeit haben, am Pilotprojekt teilzunehmen, was eher der von Seiten des EDSB geforder- ten Opting-in Lösung entspricht. • Erwähnung des EDSB in der Informationsbroschüre Den Passagieren wird seit Beginn des Pilotprojektes eine Informationsbroschüre ausgehändigt. Dort findet sich unter dem Titel „Per sönlicher Datenschutz“ folgender Satz: „Die Eidgenössische Datenschutzaufsichtsbehörde übe rprüft die Handhabung Ihrer persönlichen Daten während des Pilot-Projekts“. Die Mitarbeiter des EDSB bitten die Projektleitung, diese Passage ganz zu streichen ode r eine andere Formulierung zu wählen, aus der klar hervor geht, dass der EDSB übe r das Pilotprojekt informiert ist und 8 klar hervor geht, dass der EDSB über das Pilotproje kt informiert ist und mit der Projektlei- tung in Fragen des Datenschutzes im Austausch steht . Jedoch hat sich der EDSB insbe- sondere vor dem Augenschein vor Ort am 16. Dezember 2004 noch nicht zur Daten- schutzkonformität des Pilotprojektes geäussert. Die Projektleitung hat diesen Satz noch am gleichen Tag aus der Broschüre gestrichen und im Anschluss daran die alten Informationsbrosch üren gegen die neuen ausge- tauscht. • Rückgabe und Löschung der Smart Card Bei der Besichtigung vor Ort überreichen die Passag iere nach erfolgter Verifikation vor dem Boarding am Gate die Smart Card einem Mitarbeiter von Checkport. Dieser bringt die Karten anschliessend in das Büro des Projektleiters Secure Check, wo sie noch am glei- chen Tag vollständig gelöscht werden. Die Mitarbeit er des EDSB regen an, dass zur Ver- besserung der Transparenz die Löschung der Smart Ca rd – mit sichtbarer Bestätigung al- ler gelöschten Daten – von den Flugpassagieren selb st vor Ort vorgenommen wird. Die Passagiere sollten auch die Möglichkeit haben, die Löschung selbst noch einmal zu verifi- zieren. Die Projektleitung wurde aufgefordert, ents prechende Software-Lösungen mit dem Hersteller zu überprüfen. Die Projektleitung hat nach der Sachverhaltsabkläru ng vor Ort durch den EDSB das Löschverfahren geändert. Die Smart Cards werden nun neu nach erfolgreicher Verifikati- on am Gate automatisch gelöscht. Die Löschung wird dem Passagier auf einem Display sogleich bestätigt. Ausserdem hat der Passagier die Möglichkeit, die Löschung mit noch- maligem Einleseversuch zu überprüfen. • Display am Check-In Schalter Die Mitarbeiter des EDSB machen darauf aufmerksam, dass am Check-In Schalter nach erfolgtem Einlesen der Passdaten und deren Übertrag ung auf die Smart Card der voll- ständige Name des Flugpassagiers auf einem grossen Display erscheint. Der Name kann aus einer Distanz von ca. 7 Metern von Dritten gut gelesen werden. Die Projektleitung erkennt das Problem sofort und w ill prüfen, ob eine kleinere Schrift besseren Schutz bietet oder ob das Display mit ande ren Massnahmen besser vor Blicken unbeteiligter Dritter geschützt werden kann. Die Pr ojektleitung lässt die Schrift nach der Sachverhaltsabklärung vor Ort verkleinern. Sie kann nun nur noch aus geringer Nähe ge- lesen werden. Für die definitive Implementierung vo n Secure Check werden andere Lö- sungen (Schutzschilder) in Erwägung gezogen. 9 5. Sachverhaltsabklärung vor Ort vom 11. Februar 2005 5.1 Anwesende Personen An der zweiten Sachverhaltsabklärung vor Ort waren der Projektleiter Secure Check (Check- port) sowie die Juristische Beraterin und der Informatikberater des EDSB anwesend. 5.2 Biometrische Datenerfassung mit Gesichtsbild In einer zweiten Phase des Pilotprojektes wird neu anstelle der biometrischen Fingerabdrü- cke das Gesichtsbild biometrisch erfasst. Für die P ilotphase wurde dazu ein Check-In Schal- ter mit einer Webcam ausgerüstet. Das Einlesen der Flug- und Passdaten erfolgt gleich wie bei der ersten Projektphase (vgl. oben Ziff. 4.2). Auf der Smart Card werden beim Enrollment nun aber nicht zwei Templates der Fingerabdrücke fe stgehalten, sondern die Templates zweier Gesichtsbilder. Die Gesichtsbilder werden von einer VGA Kamera mit automatischer Kontrasteinstellung er- fasst. Für das Enrollment stellt sich der Flugpassa gier vor die Kamera. In sekundenschnelle erfasst die Kamera 9 Gesichtsbilder des Passagiers. Die aufgenommenen Gesichtsbilder er- scheinen auf dem Bildschirm der Laptops des Bodenpe rsonals. Die Bilder werden sofort auf ihre Kompatibilität mit den angewandten Algorithmen analysiert. Diejenigen Bilder, bei denen die algorithmische Umwandlung problemlos funktionie rt, erhalten einen grünen Rahmen (= akzeptiert). Alle anderen sind rot umrahmt (= nicht akzeptiert). Von den akzeptierten Bildern werden automatisch zwei ausgewählt, mit dem angewan dten Algorithmus auf ein Template reduziert und dieses Template auf der Smart Card gespeichert. Für die spätere Verifikation am Gate reicht es aus, die Smart Card auf das Ablesegerät zu legen und in eine zweite Kamera zu blicken. Das Tem plate auf der Smart Card wird nun mit dem Gesichtsbild (ebenfalls Template) abgeglichen. Ist die Verifikation gelungen, erscheint nach ca. ein bis zwei Sekunden der Name des Flugpas sagiers auf dem Display. Ist die Verifi- kation missglückt, wird dies auf dem Display mit ei ner Fehlermeldung angezeigt. Die Ge- sichtserkennung zeichnete sich während der Sachverh altsabklärung des EDSB durch eine hohe Verlässlichkeit aus. 10 6. Datenschutzrechtliche Beurteilung 6.1 Biometrische Daten als Personendaten 6.1.1 Ausgangslage Das Bundesgesetz über den Datenschutz (DSG; SR 235. 1) findet dort Anwendung, wo mit Personendaten im Sinne des Art. 3 lit. a DSG operie rt wird. Im vorliegenden Fall werden im Rahmen des Pilotprojektes Secure Check biometrische Daten bearbeitet (Templates von Fin- gerabdrücken und von Gesichtsbildern). 6.1.2 Beurteilung aus Sicht des EDSB Biometrische Daten der Fingerabdrücke und der Gesic htsbilder in Form von Templates ma- chen eine Person durch Abgleich mit einem Referenzd atum bestimmbar und können der Verifikation (resp. Identifikation) einer Person dienen. Im Rahmen des Projektes Secure Check ergibt sich die Bestimmbarkeit nicht nur aus der Abgleichsmöglichkeit, sondern auch klar aus der Kombination all derjenigen Daten, welche auf der Smart Card festgehalten werden, näm- lich Templates sowie weitere Passagier- und Flugdat en der betroffenen Person (u.a. Name, Vorname, Geburtsdatum, Geburtsort etc.). Die biometrischen Templates können in Verbin- dung mit diesen weiteren Daten klar einer Person zu geordnet werden und machen diese bestimmbar (Art. 3 lit. a DSG). Sowohl das Gesichtsbild als auch die eigenhändige U nterschrift auf den Identitätsdokumen- ten (Signatur) stellen biometrische Daten dar, welc he nicht nach dem Einscannen auf die Smart Card kopiert werden sollten. Bei der Umsetzung des Pilotprojektes in ein Definit ivum sollte die Projektleitung diesen Umstand beachten u nd auf die Übertragung von Gesichtsbildern aus den Ide nti- tätsdokumenten (Rohdatum) sowie der eigenhändigen Unterschrift verzichten. Die Algorithmen für Template-Extrahierungen von bio metrischen Rohdaten sind heutzutage weder standardisiert noch transparent, deswegen ist es derzeit nicht möglich, die Sensibilität (Elemente über Gesundheit/Rasse?) eines Templates formell einschätzen zu können. 6.2 Zweck der Datenbearbeitung 6.2.1 Ausgangslage Ziel des Projektes „Secure Check“ ist die Vereinfachung des Abfertigungsprozesses der Flug- passagiere vom Check-In über das Boarding bis zur A nkunft im Destinationsland. Mit der Erfassung der biometrischen Daten werden nach Auskunft der Projektleitung für die Flugpas- sagiere die Prozessabläufe bis zum Boarding einfacher gestaltet („fast-track system“). Für die Verifikation der Identität am Gate (oder jedem anderen Checkpoint, ausser dem Zoll) benötigt der Passagier das Flugticket und die Smart Card, oh ne dass er den Reisepass noch einmal vorzeigen muss. Auch wird mit dem Einsatz biometris cher Daten den Schlepperbanden im Transitbereich eines Flughafens die Arbeit erschwert, da sowohl die Verifikation am Check-In Schalter als auch das Enrollment biometrischer Date n auf der Smart Card ein Austausch von Boarding Cards erheblich erschwert resp. verunmögli cht. Für die SWISS resp. Swissport/Checkport ist dies gemäss Auskunft der Pr ojektleitung mit Kosten- und Ressour- ceneinsparungen verbunden. Denn für Fluggäste ohne gültige Einreise papiere resp. für Flug- gäste mit falschen oder gar keinen Flugtickets müss en die Fluggesellschaften im Destinati- onsland hohe Bussgelder bezahlen. Gemäss Informatio n der Projektleitung belaufen sich diese Bussgelder dank der von Checkport bis anhin d urchgeführten manuellen Kontrollen 11 unter einer Million CHF. Diese Bussgelder würden si ch ohne manuelle Kontrollen im Rahmen eines höheren einstelligen Millionenbetrages bewege n. Ziel der Projektleitung ist es daher ebenfalls, mit dem Pilotprojekt aufzuzeigen, dass die effektiven Bussgelder und der Aufwand zur Vermeidung der Bussgelder verringert werden kön nen. Weiter soll der ganze Prozess die Sicherheit für die Passagiere und die Fluggesellschaft erhöhen . 6.2.2 Beurteilung aus Sicht des EDSB Das Pilotprojekt „Secure Check“ und die damit verbu ndene Erhebung biometrischer Perso- nendaten verfolgt für die Fluggesellschaft und die Flugpassagiere nachvollziehbare Zwecke. Der EDSB hat dazu keine Bemerkungen . 6.3 Rechtmässigkeit der Datenbeschaffung/Einwilligung der Betroffenen 6.3.1 Ausgangslage Biometrische Daten sind Personendaten im Sinne des Datenschutzgesetzes, für deren Bear- beitung ein Rechtfertigungsgrund (Art. 12 und 13 DS G) benötigt wird. Als Rechtfertigung der Datenbearbeitung kommt im vorliegenden Fall die Einwilligung der Betroffenen in Frage. Die Flugpassagiere werden bei der Buchung und bei A nkunft am Flughafen Zürich-Kloten auf das Pilotprojekt aufmerksam gemacht. Ein Plakat am Check-In Schalter weist darauf hin, dass die Erhebung biometrischer Daten freiwillig erfolgt . Eine Informationsbroschüre, welche ebenfalls am Schalter aufliegt, informiert über das Pilotprojekt und die damit verbundene Erhebung biometrischer Daten. Zusätzlich steht am S chalter ein Mitarbeiter von Checkport bereit und gibt weitere Auskünfte zum Projekt. Vor der Sachverhaltsabklärung vor Ort durch den EDS B kam die Freiwilligkeit der Erhebung biometrischer Daten zu wenig klar zum Ausdruck. Ebe nso liess die von der Projektleitung gewählte Formulierung der Informationsplakate am Sc halter eher auf eine sog. Opting-out Lösung schliessen. Auf Anraten des EDSB wurde diese Formulierung umgehend geändert und angepasst, wobei die Freiwilligkeit nun klar er sichtlich wird und eine Opting-in Lösung gewählt wurde. 6.3.2 Beurteilung aus Sicht des EDSB Mit diesen Umwandlungen ist davon auszugehen, dass die Datenbeschaffung der Flugpassa- giere mit ihrer Einwilligung erfolgt und diese umfassend über den Zweck der Datenerhebung informiert sind. 6.4 Bearbeitung nach Treu und Glauben/Transparenz 6.4.1 Ausgangslage Die Bearbeitung von Personendaten muss nach Treu un d Glauben erfolgen (Art. 4 Abs. 1 DSG). Dies bedeutet zum einen, dass die Datenbearbe itung für die betroffenen Personen transparent erfolgen muss. Zum anderen muss eine Da tenbeschaffung und jede weitere Da- tenbearbeitung grundsätzlich für die Betroffenen erkennbar sein. Die Passagiere werden sowohl bei der Buchung des Fl uges als auch vor Ort mit einer Infor- mationsbroschüre und Plakaten über das Pilotprojekt und die Erhebung biometrischer Daten informiert. Ein Mitarbeiter von Checkport steht jederzeit für weitere Fragen zur Verfügung. Zudem muss ein Passagier aktiv tätig werden, damit seine biometrischen Daten erfasst wer- den können (Auflegen der beiden Zeigefinger resp. B lick in die Kamera). Ohne sein Zutun können keine biometrischen Daten erhoben werden. 12 6.4.2 Beurteilung aus Sicht des EDSB Durch die breit angelegte Informationsstrategie (be i Buchung und vor Ort) der Projektleitung kann davon ausgegangen werden, dass die Datenbearbe itung für die Flugpassagiere trans- parent erfolgt . Da die biometrischen Daten nicht ohne Zutun der B etroffenen erhoben wer- den (können), erfolgt die Datenbearbeitung für dies e auch klar erkennbar (Fingerauflegen oder Blick in die Kamera). Für eine möglichst transparente Datenbearbeitung wä re es sinnvoll, die betroffene Person über die verschiedenen auf der Smart Card gespeiche rten personenbezogenen Daten (Pass- daten, Flugdaten, Templates, etc) zu informieren. D ie Information im Sinne einer Zusammen- fassung der ergriffenen Sicherheitsmassnahmen (Verschlüsselung) gegen unbefugte Bearbei- tungen würde ebenfalls zu einer verbesserten Transp arenz in der Datenbearbeitung beitra- gen. Hier besteht aus Sicht des EDSB eine Informationslücke. Der EDSB schlägt der Projektleitung vor, dass die T rans- parenz der Datenbearbeitung durch diese Zusatzinfor - mationen (welche Daten werden konkret auf der Smart Card gespeichert; welche Sicherheitsmassnahmen wur- den zum Schutz dieser Daten ergriffen) bei der Um- wandlung des Pilotprojektes in ein Definitivum erhö ht wird. 6.5 Verhältnismässigkeit der Datenbearbeitung Die Datenbearbeitung von Personendaten hat sich am Grundsatz der Verhältnismässigkeit auszurichten (Art. 4 Abs. 2 DSG). Dies bedeutet, da ss ein Datenbearbeiter nur diejenigen Da- ten bearbeiten darf, die er für einen bestimmten Zw eck objektiv tatsächlich benötigt und die im Hinblick auf den Bearbeitungszweck und die Persö nlichkeitsbeeinträchtigung in einem vernünftigen Verhältnis stehen. 6.5.1 Verhältnismässigkeit in inhaltlicher Hinsicht – Ausgangslage Eine Datenbearbeitung ist dann verhältnismässig, we nn sie sich inhaltlich auf das absolut Notwendige beschränkt, um ein bestimmtes Ziel zu er reichen. Die inhaltliche Verhältnismäs- sigkeit fordert einen möglichst schonenden Umgang m it Personendaten. Dies bedingt auch, dass keine für den verfolgten Zweck nicht benötigte n Überschussinformationen anfallen. Ebenso ist es unzulässig, Personendaten auf Vorrat zu erheben, sofern der damit verfolgte Zweck dies nicht unabdingbar erfordert. Die Erhebung biometrischer Daten im Rahmen des Pilo tprojektes beschränkt sich auf die dezentrale Speicherung der Templates auf der Smart Card. Insbesondere wer den keine Roh- daten auf den Smart Cards festgehalten und keine Rohdaten oder Templates zentral gespei- chert . Die Flugpassagiere, welche sich am Pilotprojekt b eteiligen, tragen die Smart Card mit ihren biometrischen Daten während der Datenerfassun g am Check-In bis zum Boarding bei sich. Vor der Sachverhaltsabklärung vor Ort vom 16. Dezem ber 2004 erschien am Check-In Schal- ter beim Enrollment der Name des Flugpassagiers auf einem Display, dass von unbeteiligten Dritten auf ca. 7 m Distanz gut sichtbar und insbes ondere lesbar war. Auf Anregung des EDSB liess die Projektleitung die Schrift auf dem D isplay verkleinern. Sie kann nun nur noch aus geringer Entfernung gelesen werden. Für die def initive Implementierung des Pilotprojek- tes in ein Definitivum werden gemäss schriftlicher Bestätigung der Projektleitung andere Lö- sungen (Schutzschilder) in Erwägung gezogen. 13 6.5.2 Beurteilung der inhaltlichen Verhältnismässigkeit aus Sicht des EDSB Durch die Beschränkung der dezentralen Speicherung der Templates auf der Smart Card und insbesondere durch den Verzicht der Speicherung von Rohdaten erfolgt aus Sicht des EDSB die Bearbeitung der biometrischen Daten in inhaltlicher Hinsicht verhältnismässig . Es werden keine über die Erreichung des Projektzieles hinausgehenden Daten erhoben. Mit den von der Projektleitung nachträglich ergriff enen Schutzmassnahmen zum verbesser- ten Schutz des Displays erscheint auch hier die Dat enbearbeitung als inhaltlich verhältnis- mässig. 6.5.3 Verhältnismässigkeit in zeitlicher Hinsicht – Ausgangslage Das Erfordernis der Verhältnismässigkeit begrenzt d ie Datenbearbeitung auch in zeitlicher Hinsicht. Sofern personenbezogene Daten für den ver folgten Zweck nicht mehr gebraucht werden, sind sie zu vernichten resp. zu löschen. Vor der Sachverhaltsabklärung vor Ort vom 16. Dezem ber 2004 erfolge die Löschung der auf der Smart Card gespeicherten biometrischen Daten je weils im Büro des Projektleiters. Auf Anregung des EDSB wurde das Löschverfahren geändert . Die Smart Cards werden nun neu nach erfolgreicher Verifikation des Flugpassagiers am Gate automatisch gelöscht. Die Lö- schung wird dem Passagier auf einem Display sogleic h bestätigt. Ausserdem hat der Passa- gier die Möglichkeit, die Löschung mit nochmaligem Einleseversuch zu überprüfen. 6.5.4 Beurteilung der zeitlichen Verhältnismässigkeit aus Sicht des EDSB Mit den von der Projektleitung umgesetzten Änderung en des Löschvorgangs erfolgt die Da- tenbearbeitung nun auch in zeitlicher Hinsicht verhältnismässig . 6.6 Zweckbindung der Datenbearbeitung 6.6.1 Ausgangslage Personendaten dürfen nur für den Zweck bearbeitet w erden, der bei der Beschaffung ange- geben wurde oder der aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Art. 4 Abs. 3 DSG). Die Erhebung der biometrischen Daten und die Speich erung der Daten auf einer Smart Card dienen dem Zweck, die Prozessabläufe vom Check-In bis zum Boarding für die Flugpassagie- re zu vereinfachen. Die Verifikation am Gate erfolg t nicht mehr wie üblich durch Vorweisen des Passes und des Flugtickets, sondern durch den A bgleich des eigenen Fingerabdrucks resp. Gesichtsbildes mit dem auf der Smart Card ges peicherten Referenzdaten und der Prä- sentation des Flugtickets. Die biometrischen Daten (Templates) sind also dezentral auf der Smart Card gespeichert , welche der Flugpassagier während des gesamten Pro zessablaufes bei sich trägt. Das biometrische System an sich spe ichert ebenfalls keine biometrischen Da- ten (z.B. beim Einlesen auf dem Scanner oder von der Web-Kamera aus). 6.6.2 Beurteilung aus Sicht des EDSB Dadurch, dass die biometrischen Daten dezentral auf der Smart Card gespeichert sind und der Flugpassagier die Karte während der ganzen Spei cherzeit bei sich trägt, ist eine Zweck- entfremdung in der Datenbearbeitung dieser Daten so gut wie ausgeschlossen . Eine Zweckentfremdung im Sinne einer Verknüpfung mit anderen Datensammlungen (z.B. von der Flughafenpolizei oder sonstiger Datenbanken für erkennungsdienstliche Zwecke) oder eine Weitergabe an unbefugte Dritte erscheint aufgrund der fehlenden zentralen Spei- cherung der biometrischen Rohdaten oder Templates – zumindest derzeit – ebenfalls als ausgeschlossen 14 6.7 Datenrichtigkeit (Zuverlässigkeit, Anwendbarkeit) 6.7.1 Ausgangslage Das Vergleichsverfahren zwischen Referenz- und Must erdaten (hier Templates) basiert auf Wahrscheinlichkeitsberechnungen und ergibt einen Üb ereinstimmungswert, der grösser als eine vordefinierte Schwelle sein muss, um die Perso n zu erkennen. Von dieser einzigen Schwelle sind die beiden Werte "False Rejection Rat e (FRR)" und "False Acceptance Rate (FAR)" umgekehrt abhängig. Aus Datenschutzgründen s ollte vor allem die FAR vermindert werden, ohne aber die FRR zu stark zu erhöhen. Die Wahl eines optimalen Schwellenwertes für eine ausreichende Zuverlässigkeit des gesamten biometrischen Systems ist aus diesem Grund nicht einfach zu treffen. Nicht ausser acht gelassen werden darf auch die Tat sache, dass gewisse Anwender (auf- grund fehlender Gliedmassen, Verletzungen, Narben o der aufgrund des Alters, wie z.B. Kin- der oder ältere Personen) keine oder zu wenig gute biometrische Merkmale vorweisen und ihre Authentifizierung misslingt (vgl. dazu auch die Bemerkungen unter Ziff. 4.5). 6.7.2 Beurteilung aus Sicht des EDSB Aus Datenschutzgründen sollte die FAR vermindert we rden, ohne aber die FRR zu stark zu beeinträchtigen und ein optimaler Schwellenwert gew ählt werden. Jedes biometrische Sys- tem weist einen gewissen Prozentsatz an FAR auf. Di e Authentifizierung kann infolgedessen nicht zu 100% zuverlässig erfolgen. Es sollte daher eine multimodale Authentifizierung (durch Kombination mit anderen personenbezogenen Merkmalen wie z.B. einer PIN) eingesetzt werden. Probleme ergeben sich insbesondere auch bei Persone n, denen gewisse biometrische Merkmale fehlen oder nur schlecht lesbar vorhanden sind (Enrollment). Diese Personen müssen aber genauso sicher und ebenso effizient wie alle anderen authentifiziert werden können. Für solche Ausnahmen muss daher eine äquivalente Anwendbarkeit des Erkennungssystems geplant und eingesetzt werden. Die Projektleitung sollte diese Anregungen bei der Umsetzung des Pilotprojektes in ein Definitivum in ihre Überlegungen mit berücksichtigen. 6.8 Datensicherheit 6.8.1 Ausgangslage Gemäss Art. 7 DSG müssen Personendaten durch angeme ssene technische und organisato- rische Massnahmen gegen unbefugtes Bearbeiten gesic hert werden. Zu gewährleisten sind insbesondere die Vertraulichkeit, die Verfügbarkeit sowie die Integrität der Personendaten. Diese Anforderungen sind dann nicht mehr gewährleis tet, wenn ein fremdes „Drittgerät“ die Daten abhören oder manipulieren könnte. Die Datensi cherheit liegt in der Verantwortung derjenigen Stelle, welche die Datenherrschaft über die Personendaten inne hat (Art. 8 Abs. 1 Verordnung zum Bundesgesetz über den Datenschutz vom 14. Juni 1993 (VDSG; SR 235.11). 15 6.8.2 Anregungen aus Sicht des EDSB für den zukünftigen Einsatz von Biometrie Bezüglich der Beurteilung der allfälligen Sensibili tät und folglich dem angemessenen Schutz- niveau von biometrischen Templates besteht aus heutiger Sicht eine Unsicherheit. Deshalb sind alle personenbezogenen Daten in ver- schlüsselter Form auf der Smart Card abzulegen. Die Verschlüsselung ist auch bei der Umwandlung in ein De- finitivum weiterhin vorzusehen. Es kann nicht ausgeschlossen werden, dass ein in de r Nähe verstecktes, aber sehr empfind- liches Gerät, den ausgeführten Datenaustausch abhören könnte. Daher sollte ein verlässlicher Authentifizierungsme cha- nismus zwischen Smart Cards und Lese-/Schreibgeräten eingesetzt werden, um jede unbefugte Kenntnisnahme oder Veränderung von Seiten Dritter zu verhindern. Da- zu sollte die drahtlose Datenübertragung an sich auch in verschlüsselter Form erfolgen, obwohl die Smart Car d direkt auf das Ablesegerät gelegt wird. Des Weiteren stellt nach Meinung des EDSB nur eine mehrfache Überschreibung aller Daten- bestände auf der Smart Card sicher, dass Personenda ten nicht wieder hergestellt werden können. Beim Löschverfahren von Personendaten auf der Smart Card muss daher gewährleistet werden, dass diese Da - ten physikalisch und nicht nur logisch vernichtet w er- den. Der Umstand, dass das Lesegerät die Daten auf der S mart Card nicht mehr erkennen kann, bedeutet leider noch nicht, dass die darauf enthalt enen Daten auch tatsächlich alle vernich- tet wurden. Aus Gründen einer umfassenden Transparenz sollte fü r alle Kategorien von Personendaten (Passdaten, indiv i- duelle Flugdaten, Templates etc.) dem Flugpassagier ei- ne Löschbestätigung mitgeteilt werden, mit dem Hin- weis darauf, dass die entsprechenden Daten alle unw i- derruflich vernichtet wurden. Bei der Umsetzung des Pilotprojektes in ein Definitivum sollten diese Anregungen von der Projektleitung mit berücksichtigt werden. 16 7. Ergebnisse 7.1 Bezüglich des Pilotprojektes An der Sachverhaltsabklärung vor Ort vom 16. Dezemb er 2004 bestand aus Sicht des EDSB Anpassungsbedarf im Bereich der Einwilligung und Information der Fl ugpassagiere am Check-In Schalter, bei der Wiedergabe des Namens de r Flugpassagiere auf einem Display nach erfolgtem Enrollment sowie bei der Löschung der Smart Cards nach dem Boarding. Der EDSB hat in seinem Schreiben vom 22. Dezember 2 004 den Projektverantwortlichen ent- sprechende Anpassungsvorschläge schriftlich unterbr eitet . Die Projektleitung hatte bereits am Tag der Sachverhaltsabklärung auf ein erstes mün dliches Feedback des EDSB reagiert und die Plakate am Check-In Schalter dahingehend ge ändert, dass die Freiwilligkeit der Teil- nahme am Pilotprojekt sowie das Erfordernis des Opt ing-in besser zur Geltung gelangt. Mit Schreiben (Email) vom 24. Dezember 2004 bestätigt d ie Projektleitung die Implementierung einer neuen Lösung für das sofortige Löschen der Smart Card nach dem Boarding. Die Smart Cards werden nun neu nach erfolgreicher Verifikatio n am Gate automatisch gelöscht. Die Löschung wird dem Passagier auf einem Display sogle ich bestätigt. Ausserdem hat der Pas- sagier die Möglichkeit, die Löschung mit nochmalige m Einleseversuch zu überprüfen. Auch wurde die Schrift auf dem Display am Check-In Schal ter verkleinert. Für die definitive Umset- zung von Secure Check zieht die Projektleitung ande re Lösungen (z.B. Schutzschilder) in Er- wägung. Der EDSB kommt nach der durchgeführten Kontrolle zu einer positiven Gesamtbeurtei- lung . Gestützt auf diese Anpassungen sowie gestützt auf die eingereichten Unterlagen und die Sachverhaltsabklärung vor Ort kommt der EDSB zu m Schluss, dass die Bearbeitung bio- metrischer Daten von Flugpassagieren im Rahmen des Pilotprojektes Secure grundsätzlich datenschutzkonform erfolgt. Zu begrüssen ist insbesondere die dezentrale Speicherung der Daten sowie der Umstand, dass keine Rohdaten , sondern die Templates auf dem Spei- chermedium (Smart Card) festgehalten werden. 7.2 Bezüglich der Umsetzung des Pilotprojektes in ein Definitivum Der EDSB anerkennt, dass die im Rahmen des Pilotpro jektes getroffenen Massnahmen für eine Umsetzung in ein Definitivum in die richtige R ichtung weisen. Dennoch sollten aus Sicht des EDSB die in diesem Schlussbericht unter Ziff. 6 „Datenschutzrechtliche Beurteilung“ auf- geführten Überlegungen im Sinne von „Optimierungsvo rschlägen“ des EDSB von der Projekt- leitung bei der Umsetzung in ein Definitivum mit berücksichtigt und umgesetzt werden (es sei an dieser Stelle auf den Bericht verwiesen). Insbesondere sollten aus Sicht des EDSB folgende Punkte von der Projektleitung bei der kon- kreten Umsetzung von Secure Check in ein Definitivum eingehend geprüft werden : 1. Sofern die Projektleitung zwischen den biometris chen Fingerabdrücken oder den Ge- sichtsbildern zu wählen hat, ist dasjenige Verfahren zu favorisieren, welc hes für die be- troffenen Flugpassagiere mit der geringsten Gefahr einer Persönlichkeitsbeeinträchtigung verbunden ist. 2. Es ist eine klare Trennung zwischen Authentifizierungsmechanismen für Smart Cards/Lesegeräte und Verschlüsselungsalgorithmen fü r Datenübertragung/-speicherung zu treffen (vgl. Ziff. 6.8.2 ). Die Transparenz der Datenbearbeitung sollte durc h eine klarere Information der Betroffenen über alle Kategorien vo n bearbeiteten Daten (Identität, Flug, Biometrie, Statistik, etc.) erhöht werden, und dies ab der Erhebung der Daten bis zur ihrer Vernichtung. Besonders geachtet werden sollte auf die Datenlöschung , die insbesondere 17 physikalisch, zeitgerecht (d.h. frühestmöglich) und flächendeckend (inkl. temporärer Da- teien!) erfolgen muss (vgl. dazu auch die Bemerkung en in Ziff. 6.8.2 ). Die Projektleitung wird aufgefordert, diese Punkte bei einer definitiv en Implementierung von Secure Check umzusetzen. 3. Die nun erstmalig erfolgte Erhebung biometrische r Daten weckt neue Begehrlichkeiten von Seiten Dritter , wie z.B. der Flughafenpolizei oder ausländischen Immigrationsbehör- den. Die Projektleitung wird aufgefordert, sich die ser Begehrlichkeiten bei der definitiven Umsetzung des Projektes Secure Check bewusst zu sein und insbesondere keine biomet- rischen Daten an aussenstehende Dritte (wie Behörde n) ohne Vorliegen eines Rechtferti- gungsgrundes (wie z.B. eine gesetzliche Grundlage; vgl. Art. 13 Abs. 1 DSG) herauszuge- ben. Ferner weisen wir darauf hin, dass eine Abände rung des Projektes Secure Check in Richtung einer zentralen Speicherung der biometrisc hen Daten oder in Richtung einer Speicherung von Rohdaten eine differenzierte datenschutzrechtliche Beurteilung erfor- dert, welche vom vorliegenden Kontrollbericht nicht abgedeckt wird. Ebenso wäre die Zweckbindung des Projektes Secure Check neu zu überdenken und zu definieren , sollten die erhobenen biometrische Daten in einer späteren Phase an aussenstehende Behörden weiter geleitet werden (vgl. dazu auch die Bemerkungen in Ziff. 6.6 ). 8. Schlussfolgerung 8.1 Kontrolle des Einsatzes biometrischer Daten im Rahmen von Secure Check Die Kontrolle hat dem EDSB einen vertieften Einblic k und eine umfassende Überprüfung der effektiv vorgenommenen Bearbeitung biometrischer Da ten im Rahmen des Pilotprojektes Secure Check erlaubt. Durch die Sachverhaltsabkläru ng vor Ort konnte der EDSB sofort mit Anpassungsvorschlägen die Datenbearbeitung optimier en und auf Schwachstellen aufmerk- sam machen. Mit der durchgeführten Kontrolle konnte das im Schr eiben vom 30. November 2004 gegen- über der Projektleitung angekündigte und verfolgte Ziel des EDSB klar erreicht werden. Die Kontrolle hatte zum Ziel, die Datenbearbeitung im R ahmen des Pilotprojektes im Hinblick auf eine allfällige spätere Umwandlung in ein Definitivum, in eine datenschutzkonforme Richtung zu lenken. Denn mit dem Pilotprojekt werden die Wei chen für eine definitive Umsetzung des Projektes Secure Check gestellt, welches in Zukunft einer Vielzahl von Flugpassagieren auf dem Flughafen Zürich-Kloten zur Verfügung stehen so ll. Da im Rahmen des Pilotprojektes erstmalig eine neue Technologie zur Anwendung gelangte (biometrische Verfahren), bei wel- cher sensible Personendaten bearbeitet werden, drängte sich die Sachverhaltsabklärung und Datenschutzprüfung bereits im Vorfeld der Implement ierung des Pilotversuches auf. Einer- seits konnte der EDSB mit Anpassungsvorschlägen in die datenschutzkonforme Ausgestal- tung von Secure Check einwirken und anderseits mit diesen Anpassungsvorschlägen und weiteren Überlegungen die allfällige Umsetzung in e in Definitivum mitgestalten und optimie- ren. 8.2 Weiteres Vorgehen Die Entwicklungen im Bereich biometrischer Verfahre n sind in vollem Gange (vgl. z.B. die geplante Einführung biometrischer Daten im Schweizer Pass; Zugangskontrolle zu Gebäuden mittels biometrischer Merkmale; Sicherung von techn ischen Geräten durch Verifikation mit biometrischen Fingerabdrücken etc.). Es ist Aufgabe des EDSB dafür zu sorgen, dass daten- schutzrechtliche Überlegungen in geplante oder voll zogene Anwendungen biometrischer Verfahren einfliessen und damit eine datenschutzkon forme Handhabung und Umsetzung biometrischer Systeme gewährleistet werden kann. 18 Aus diesen Gründen besteht aus Sicht des EDSB ein g rundsätzliches Interesse daran, die Öffentlichkeit für die Datenbearbeitung im Bereich der Biometrie zu sensibilisieren und sie insbesondere über die erfolgte Datenschutzkontrolle im Rahmen des Pilotprojektes Secure Check am Flughafen Zürich-Kloten und über die diesb ezüglichen Ergebnisse zu informieren. Der EDSB wird daher gestützt auf Art. 30 Abs. 2 DSG den vorliegenden Schlussbericht in an- gepasster Version (und bezüglich Namensnennungen an onymisiert) der Öffentlichkeit zu- gänglich machen und auf seiner Website (www.edsb.ch ) publizieren . Selbstverständlich erfolgt die Publikation unter dem Vorbehalt, dass a us Sicht der Projektleitung von Checkport resp. von Swissport keine vertraulichen Daten, welc he Geschäftsgeheimnisse offenbaren oder die Konkurrenzfähigkeit beeinflussen könnten, der Öffentlichkeit bekannt gegeben wer- den. Die Projektleitung von Secure Check wird daher aufgefordert, den Schlussbericht auf vertrauliche Inhalte hin zu überprüfen und dem EDSB mit Frist von 30 Tagen diesbezüglich schriftliche Rückmeldung zu erstatten. Der vorliegende Schlussbericht enthält eine Reihe v on Feststellungen und Optimierungsvor- schlägen, welche von der Projektleitung grösstentei ls bereits nach dem ersten mündlichen Feedback des EDSB umgesetzt wurde, sowie eine Reihe weiterführender und insbesondere grundsätzlicher Überlegungen und Anregungen zum Ein satz biometrischer Verfahren im Pri- vatbereich. Diese grundsätzlichen Überlegungen und Anregungen sollten von der Projektlei- tung zur Kenntnis genommen resp. im Hinblick auf die definitive Überführung des Pilotprojek- tes in ein Definitivum einer eingehenden Überprüfung unterzogen werden. Die Projektleitung von Secure Check wird daher aufgefordert, vorliegen den Schlussbericht zur Kenntnis zu nehmen und dem EDSB mit Frist von 30 Tagen zu den Anmerkungen zum Pilotprojekt resp. zu den Grundsatzüberlegungen und Vorschlägen im Hinblick auf die definitive Umset- zung des Projektes (vgl. Ziff. 6 und 7) eine Stellungnahme zuhanden des EDSB ab- zugeben. Die Projektleitung von Secure Check wird ferner geb eten, den EDSB nach erfolgter interner Analyse und Auswertung des Projektes innerhalb der nächsten 30 Tage darüber zu in- formieren, wie die Projektverantwortlichen die Erreichung der gesetzten Ziele und die Akzep- tanz bei den Fluggästen nach Beendigung des Pilotpr ojektes bewerten und welche eigene Schlussbilanz die Projektleitung aus dem abgeschlossenen Pilotprojekt zieht. Bern, den 6. Juni 2005 EIDGENÖSSISCHER DATENSCHUTZBEAUFTRAGTER Der Beauftragte: Hanspeter Thür I Anhang vom 24. Oktober 2005 zum Schlussbericht 1. Vorbemerkung Der vorliegende Anhang widerspiegelt die Stellungna hme von Seiten Checkport auf den Schlussbericht des EDSB vom 6. Juni 2005. Die Stell ungnahme wurde dem EDSB fristgerecht innerhalb von 30 Tagen am 28. Juni 2005 eingereicht . Der Anhang bildet integralen Bestand- teil des Schlussberichtes. Der EDSB hat am 24. Oktober 2005 die Datenschutzkon trolle gemäss Art. 29 DSG über den Einsatz von Biometrie beim Check-In und Boarding im Rahmen des Pilotprojektes Secure Check für abgeschlossen erklärt. 2. Stellungnahme von Checkport Zu Ziff. 6.1.2 des Schlussberichtes Bezüglich der geäusserten Befürchtung des EDSB eine r Erfassung von Rohdaten betont die Projektleitung, dass weder im Pilotprojekt, noch in Zukunft bei der definitiven Einführung von Secure Check Rohdaten auf die Smart Card übertragen werden. Ferner macht die Projektleitung darauf aufmerksam, dass ein Abbild des Reisedokuments (hier geht es vor allem um das Abbild des auf der P assseite enthaltenen Gesichtsbildes und der Unterschrift) für 48 Stunden zentral gespeicher t werde. Dies erfolge zur Absicherung der Fluggesellschaft im Falle des Verlustes des Reisedo kuments durch den Passagier. Ein Zugriff auf diese Daten durch aussenstehende Dritte sei nicht möglich. Zu Ziff. 6.4.2 des Schlussberichtes Die Projektleitung räumt ein, dass dieser Punkt zur Erhöhung der Transparenz in einem nächsten Schritt verbessert werden müsse. Zu Ziff. 6.7.2 des Schlussberichtes Aus Sicht der Projektleitung muss die FAR so Nahe w ie möglich bei Null sein. Dies werde durch Eingehen von Konzessionen bei der FRR erreich t. Die Projektleitung weist aber darauf hin, dass bei einer False Rejection alternativ auf einen manuellen Prozess zur Verifikation zurückgegriffen werden kann. Es dürfe aber aus Sicherheitsgründen unter keinen Umständen die falsche Person in das Flugzeug gelangen. Der Einsatz einer multimodalen Authentifizierung fü r einen Prozess, der alternativ auch ma- nuell durchgeführt werden kann, wird von der Projek tleitung im Moment als nicht verhält- nismässig erachtet. Als Begründung wird darauf hing ewiesen, dass die errechneten Werte für die FRR im Pilotprojekt bei 4% lagen und bei der FAR nahe bei Null. Durch den Einsatz von 2 Templates von verschiedenen Fingern konnte die FR R über den ganzen Prozess auf 0.16% verringert werden. Bezüglich der Anregung des EDSB, ein äquivalentes Erkennungssystems für Personen, deren biometrische Merkmale nicht eingelesen werden könne n (z.B. bei fehlenden Gliedmassen; aufgrund des Alters), zu planen, macht die Projektl eitung geltend, dass Secure Check für die Passagiere freiwillig sei und alternativ weiterhin ein manueller Prozess beim Check-In und Boarding angeboten werde. Aus diesem Grunde könne d ie Projektleitung technisch nicht II garantieren, dass alle Passagiere das neue System S ecure Check auch tatsächlich benutzen können. Zu Ziff. 6.8.2 des Schlussberichtes Bezüglich der Anregung des EDSB nach einem verlässl ichen Authentifizierungsmechanismus zwischen den Smart Cards und den Lese-/Schreibgeräten weist die Projektleitung darauf hin, dass ein solcher Authentifizierungsmechanismus basierend auf verschiedenen Schlüsseln für den Schreib- und Lesezugriff bereits eingebaut sei. Eine Verschlüsselung des Datenverkehrs zwischen den Geräten mache Sinn. Bezüglich der Gewährleistung der physikalischen und logischen Löschung der Daten auf der Smart Card verweist die Projektleitung auf Aussagen des Herstellers. Gemäss dieser Aus- kunft werden bei jedem Beschreiben der Daten auf der Smart Card alle Daten physisch über- schrieben. Durch die Struktur des Schreibens sei ei ne nur logische Löschung gar nicht mög- lich. Eine Löschung sei nur durch Überschreiben der Daten mit Leerzeichen möglich. Zu Ziff. 7.2 des Schlussberichtes Die vom EDSB aufgeführten Punkte 1 und 2 sind gemäs s der Projektleitung von den oben aufgeführten Antworten abgedeckt. In Bezug auf Punkt 3 ist sich die Projektleitung be wusst, dass mit der Erfassung biometri- scher Daten beim Check-In und Boarding neue Begehrl ichkeiten von Behörden aufkommen könnten. Die Projektleitung versichert, dass sie allfällige Anfragen in jedem Einzelfall überprü- fen und gemäss den geltenden Bestimmungen handhaben werde. Bei einer Veränderung der Sachlage des Systems Secure Check, wie sie vom EDSB unter Punkt 3 angesprochen wird (d.h. allfällige zentrale Speicherung der Daten ode r Speicherung von Rohdaten), versichert die Projektleitung, dass der EDSB in diesem Falle i nformiert werde und die Sichtweise des EDSB angehört wird. Der EDSB nimmt diese Stellungnahmen von Checkport zur Kenntnis und hat keine Bemerkungen dazu. Bern, den 24. Oktober 2005 EIDGENÖSSISCHER DATENSCHUTZBEAUFTRAGTER Der Beauftragte: Hanspeter Thür