Datele biometrice din selfie-uri: ce se poate extrage dintr-o fotografie și ce drepturi ai
Camerele telefoanelor moderne captează suficient detaliu încât, în condiții bune de lumină și la distanță mică, desenul papilar al degetelor să fie vizibil într-o fotografie — inclusiv în banalul semn „V” din selfie-uri. Avertismentul a fost formulat public de cercetători în securitate încă din 2017.
Amprenta este un dat biometric, adică o categorie specială de date personale în sensul Regulamentului general privind protecția datelor (GDPR): prelucrarea ei este, ca regulă, interzisă, cu excepții strict enumerate.
Riscul real nu este „clonarea degetului”, care rămâne dificilă tehnic, ci acumularea: fotografie + nume + voce + documente postate public = material suficient pentru deschiderea de conturi pe numele tău.
Legea îți dă instrumente concrete: dreptul la ștergere și la opoziție (GDPR), protecția imaginii și a vieții private (art. 73–74 Cod civil) și răspunderea civilă delictuală (art. 1357 Cod civil). Penalul intervine mai rar și în condiții stricte — art. 226 Cod penal acoperă doar imaginile captate într-o locuință ori dependințele ei sau convorbirile private, nu o fotografie postată public.
Ce faci practic: setează conturile ca private, nu posta documente de identitate, iar la platforme cere ștergerea; refuzul se contestă la ANSPDCP.
Chiar mi se poate fura amprenta dintr-un selfie? — Poate fi extras parțial desenul papilar, în condiții bune de lumină și la distanță mică. Trecerea de la imagine la un obiect care păcălește un senzor modern rămâne însă dificilă. Riscul principal este agregarea datelor, nu clonarea.
Dacă fotografia e publică, mai am vreun drept asupra ei? — Da. Publicarea nu înseamnă renunțare la drepturi. Rămâi titularul dreptului la imagine și al drepturilor din GDPR, inclusiv dreptul la ștergere și la opoziție.
Ce fac dacă cineva a deschis un cont pe numele meu? — Depui plângere penală pentru fals privind identitatea și, după caz, înșelăciune, notifici instituția implicată și ceri blocarea contului. Păstrează toate răspunsurile scrise.
Angajatorul îmi poate cere amprenta pentru pontaj? — Doar în condiții stricte și, de regulă, cu alternative oferite angajatului. Prelucrarea datelor biometrice pentru control acces cere temei legal solid și evaluare de impact; simplul consimțământ dat la angajare este rareori suficient, dat fiind raportul de subordonare.
Cât durează o sesizare la ANSPDCP? — Nu există un termen unic. Autoritatea poate cere lămuriri, poate dispune măsuri corective și poate aplica amenzi; procedura poate dura luni, motiv pentru care cererea directă către platformă rămâne prima cale.
Ideea sună a exagerare până când te uiți la cifre: un telefon de gamă medie fotografiază la 12 megapixeli sau mai mult, iar liniile papilare pot fi distinse dacă degetul este în focus și bine luminat. Cercetătorii de la National Institute of Informatics din Japonia au demonstrat public, în 2017, extragerea amprentelor dintr-o fotografie făcută de la o distanță de până la trei metri, cu condiția ca degetele să fie clare și puternic luminate. Nu se întâmplă în orice condiții — dar suficient de des încât avertismentul să nu fie o legendă urbană.
Mai jos: ce se poate și ce nu se poate face, de fapt, cu o astfel de fotografie și ce drepturi ai în România dacă imaginea ta ajunge unde nu trebuie.
Ce poate și ce nu poate fi extras dintr-o fotografie
Se poate, în condiții favorabile: reconstituirea parțială a desenului papilar de pe unul sau două degete, suficientă pentru încercări de potrivire, mai ales dacă imaginea este de rezoluție mare și mâna e aproape de cameră.
Este mult mai greu: transformarea acelei imagini într-un obiect fizic care păcălește un senzor modern. Cititoarele actuale verifică și alte elemente decât desenul — conductivitate, temperatură, structura sub piele. Atacurile demonstrate există, dar cer efort, echipament și acces.
Riscul practic este altul și e mai puțin spectaculos: agregarea. O fotografie clară a feței, numele complet, data nașterii dintr-o urare publică, vocea dintr-un videoclip și o poză cu buletinul „pentru un formular” formează un profil suficient pentru deschiderea de conturi, contractarea de servicii sau păcălirea unei verificări de identitate video. Cum funcționează deepfake-urile și ce spune legea →
De ce contează juridic: amprenta e „categorie specială de date”
GDPR definește datele biometrice ca date rezultate în urma unor tehnici de prelucrare specifice, referitoare la caracteristicile fizice ale unei persoane, care permit identificarea unică a acesteia — amprenta și imaginea facială prelucrată în scop de identificare intră aici.
Consecințele sunt trei:
- Prelucrarea este interzisă ca regulă și permisă doar în cazurile enumerate expres: consimțământ explicit, obligație legală, interes public major și celelalte excepții din regulament.
- Consimțământul trebuie să fie explicit, nu dedus dintr-o bifă implicită sau din simplul fapt că ai postat public fotografia.
- În România, Legea 190/2018 adaugă condiții suplimentare, iar autoritatea de supraveghere (ANSPDCP) poate aplica sancțiuni și dispune măsuri.
Important de reținut: faptul că o fotografie e publică nu o transformă în date liber prelucrabile. Publicarea nu echivalează cu un acord pentru extragerea de date biometrice din ea.
Ce spune dreptul român, dincolo de GDPR
- Codul civil protejează dreptul la propria imagine și viața privată: folosirea imaginii unei persoane fără acord și difuzarea de aspecte din viața privată sunt atingeri care dau dreptul la despăgubiri și la măsuri de încetare (art. 73 și art. 74 Cod civil).
- Codul penal incriminează violarea vieții private, dar într-un perimetru restrâns: fotografierea sau înregistrarea, fără drept, a unei persoane aflate într-o locuință, încăpere ori dependință a acesteia, precum și a convorbirilor private, iar apoi divulgarea acestor materiale (art. 226). O fotografie postată public de tine, preluată de altcineva, nu intră aici — remediul este cel civil și cel din GDPR.
- Folosirea identității tale pentru a induce în eroare o autoritate sau o instituție este infracțiunea de fals privind identitatea (art. 327), iar crearea de date informatice false intră sub art. 325.
- Răspunderea civilă delictuală (art. 1357 Cod civil) permite recuperarea prejudiciului material și moral produs prin folosirea abuzivă a imaginii sau a datelor.
Ce drepturi ai față de platforme, pe datele tale → · Camerele de supraveghere și limitele legale →
Perspectiva din practică. În dosarele care pornesc de la imagini și date personale, primul pas util nu e plângerea, ci conservarea probelor: capturi cu adresa web completă, data, contul care a publicat. Av. Mărinică Geanny, Baroul Timiș — avocat verificat pe Lexeto, invitat în primul episod din „Legea pe Șleau” — lucrează pe drept civil și pe protecția drepturilor personale la Cabinetul de Avocat Mărinică Geanny din Timișoara.
Pune-o gratuit în aplicația Lexeto: vezi avocați verificați și primești informații.
Șapte măsuri care chiar reduc riscul
- Nu posta fotografii cu palma întinsă spre obiectiv, mai ales făcute cu bliț, de aproape și la rezoluție mare.
- Nu trimite poze cu actul de identitate pe canale nesecurizate. Când e obligatoriu (contracte, KYC), folosește canalul oficial al firmei și cere temeiul legal.
- Fă conturile private. Reduce audiența implicită a fotografiilor la persoane cunoscute.
- Șterge metadatele dacă distribui fotografii în afara rețelelor sociale: locația și modelul dispozitivului rămân în fișier.
- Nu folosi amprenta ca unic factor pentru aplicații sensibile. Codul PIN plus a doua verificare rămâne mai sigur, pentru că se poate schimba — amprenta, nu.
- Cere ștergerea când găsești fotografii publicate fără acord. Platformele au termen de răspuns, iar refuzul se poate contesta la ANSPDCP.
- Verifică periodic ce apare la o căutare după numele tău și după imagine.
Ce faci dacă fotografia sau identitatea ta a fost deja folosită
- Documentează: capturi de ecran cu adresa completă, data, contul, plus salvarea paginii.
- Cere eliminarea direct platformei, invocând dreptul la ștergere.
- Sesizează ANSPDCP dacă operatorul nu răspunde în 30 de zile sau refuză nejustificat.
- Depune plângere penală dacă imaginea a fost folosită pentru inducerea în eroare a unei instituții, pentru fraudă sau pentru material sexual nonconsensual. Cum se scrie o plângere penală →
- Evaluează acțiunea civilă pentru daune morale și materiale — se poate formula separat sau alături de latura penală.
Temei legal
- Regulamentul (UE) 2016/679 (GDPR) — art. 4 pct. 14 (date biometrice), art. 9 (categorii speciale), art. 17 (ștergere), art. 21 (opoziție).
- Legea 190/2018 — măsuri de punere în aplicare a GDPR în România.
- Art. 73 Cod civil — dreptul la propria imagine.
- Art. 74 Cod civil — atingeri aduse vieții private.
- Art. 1357 Cod civil — condițiile răspunderii delictuale.
- Art. 226 Cod penal — violarea vieții private (limitată la imagini captate în spații private și la convorbiri private).
- Art. 327 Cod penal — falsul privind identitatea.
Acest articol are caracter informativ și nu constituie consultanță juridică.
Informează-te și vezi avocați gratuit. Descarcă aplicația Lexeto.
