Dokładna wiedza o tym, kto jest obecny, kto jest ranny i kto zaginął, to jedno z najstarszych wymagań w operacjach wojskowych — i jedno z najtrudniejszych do spełnienia w chaosie walki. Papierowe listy obecności, ustne mustery i ręcznie przenoszone raporty feeder o rannych służyły armiom przez stulecia, ale wprowadzają opóźnienie, błąd przepisywania i luki w rozliczaniu dokładnie wtedy, gdy dowódcy najbardziej potrzebują niezawodnych danych o personelu. Cyfrowe systemy rozliczania personelu zastępują ten analogowy łańcuch automatycznymi bramkowymi czytnikami RFID, stacjami enrolmentu biometrycznego, ustrukturyzowanymi przepływami raportowania o rannych i pulpity stanu osobowego w czasie rzeczywistym, które wypychają dokładne dane o stanie osobowym od drużyny do teatru niemal w czasie rzeczywistym. Artykuł obejmuje pełny stos rozliczania: rozliczanie wejścia JRSOI, mustering oparty na RFID, enrolment biometryczny i weryfikację tożsamości, zarządzanie kategoriami rannych P1–P4, raportowanie stanu osobowego P-TRAP, integrację z systemami kadrowymi i płacowymi oraz ochronę danych biometrycznych dla środowisk koalicyjnych.
Wymagania rozliczania personelu w operacjach wojskowych
Rozliczanie personelu działa w wielu odrębnych punktach w cyklu życia wdrożenia, a każdy punkt ma różne ograniczenia zbierania danych, wymagania pilności i odbiorców dalszych. Zrozumienie tych odrębnych kontekstów zapobiega wdrażaniu rozwiązania uniwersalnego, które rozwiązuje jeden problem rozliczania, ignorując pozostałe.
Rozliczanie JRSOI. Wspólny odbiór, zgrupowanie, dalszy ruch i integracja to pierwszy węzeł rozliczania dla personelu wchodzącego do teatru. Każdy przybywający żołnierz musi zostać pozytywnie dopasowany do manifestu wdrożenia, jego tożsamość zweryfikowana, a obecność zarejestrowana w teatrowym systemie rozliczania, zanim opuści rejon odbioru. JRSOI to również miejsce, gdzie następuje enrolment biometryczny osób wcześniej niezarejestrowanych: 10-odciskowe linie papilarne i obrazy tęczówki są przechwytywane i powiązane z aktem osobowym. Luka w rozliczaniu JRSOI — żołnierz, którego nazwisko na manifeście nie zgadza się z okazanym dokumentem, lub którego CAC nie działa przy czytniku — musi być rozwiązana przez sekcję S1 na miejscu, ponieważ gdy żołnierz wejdzie do sił bez ważnego rekordu rozliczenia, staje się niewidoczny dla systemu personalnego.
Rozliczenie obecności według grafiku służby. Wewnątrz jednostki rozliczenie według grafiku służby pokazuje, którzy żołnierze w danej chwili są obecni na służbie, a którzy przebywają na urlopie, w podróży służbowej, na zwolnieniu lekarskim lub pełnią inne obowiązki poza jednostką. Grafik służby jest podstawą dziennego meldunku o stanie osobowym. Cyfrowe systemy grafików służby są połączone bezpośrednio z bazą danych personalnych i automatycznie pobierają zgody urlopowe oraz rozkazy wyjazdu służbowego, dzięki czemu sekcja S1 nie musi codziennie ręcznie uzgadniać dokumentów papierowych z grafikiem. Każda rozbieżność między grafikiem służby a rzeczywistą zbiórką — żołnierz oznaczony jako obecny, którego nie można odnaleźć — uruchamia natychmiastową kontrolę obecności, a jeśli nie zostanie wyjaśniona w określonym czasie, meldunek o osobie zaginionej.
Ewidencja w punktach zbiórki rannych. W punktach zbiórki rannych (CCP) oraz placówkach medycznych (MTF) ewidencja spotyka się z triażem medycznym. Każdego rannego przybywającego do CCP należy zidentyfikować (najlepiej przez skanowanie karty CAC lub dopasowanie biometryczne), przypisać mu kategorię triażu i wprowadzić do systemu śledzenia rannych. Rekord ewidencji CCP zasila zarówno meldunek o stratach jednostki, jak i listę ewakuacji medycznej, zapewniając, że żołnierz ujęty przez sekcję S1 jako ranny jest tą samą osobą, która figuruje na liście lotu MEDEVAC. Zobacz nasz artykuł o wojskowych aplikacjach medycznych TCCC — opisuje on cyfrowe przepływy pracy na poziomie miejsca zdarzenia i placówki leczniczej.
Ewidencja osobowa oparta na RFID
Ewidencja z wykorzystaniem RFID automatyzuje liczenie obecności, które w innym przypadku wymagałoby od dowódcy drużyny wywoływania nazwisk i fizycznego potwierdzania obecności każdego żołnierza. Dzięki umieszczeniu pasywnych znaczników UHF RFID w legitymacjach, opaskach na rękę lub uchwytach nieśmiertelników system automatycznie rejestruje przemieszczanie się personelu przez kluczowe punkty kontrolne i aktualizuje serwer ewidencji bez jakiejkolwiek akcji ze strony samego żołnierza.
Czytniki bramowe UHF RFID do zbiórki w jednostce
Czytniki bramowe zainstalowane przy wejściach i wyjściach z garnizonu stanowią trzon ewidencji garnizonowej. Standardowy czytnik bramowy UHF RFID wykorzystuje od dwóch do czterech anten ustawionych tak, aby strefa odczytu obejmowała całą szerokość bramy. Pasywne znaczniki pracujące w paśmie 860–960 MHz (UHF RFID) odpowiadają na pole RF czytnika w odległości 3–8 metrów, zwracając unikalny kod produktu elektronicznego (EPC), który czytnik przesyła do serwera ewidencji wraz ze znacznikiem czasu i lokalizacją czytnika. W przypadku ruchu pojazdów znaczniki umieszczone na szybach pojazdów jednocześnie ewidencjonują pojazd i załogę podczas przejazdu przez bramę — jeden przejazd zapisuje zarówno przemieszczenie sprzętu, jak i przemieszczenie personelu.
Zdarzenia odczytu z bramy są przetwarzane przez serwer ewidencji według zestawu zasad, które określają wynikową aktualizację statusu:
- Odczyt przy wejściu przez bramę główną — ustawia status na Obecny (Na terenie), jeśli wcześniej był Poza terenem.
- Odczyt przy wyjściu przez bramę główną — ustawia status na Poza terenem, zapisuje czas wyjścia; powiadamia sekcję S1, jeśli żołnierz nie ma zatwierdzonej przepustki ani rozkazu urlopowego.
- Odczyt przy wejściu na teren zbiórki — oznacza żołnierza jako Gotowego do przemieszczenia, zasilając stan zbiórki przed misją.
- Odczyt przy wejściu na pas wsiadania do statku powietrznego — oznacza żołnierza jako Wpisanego na listę przewozową powiązanego lotu.
- Odczyt nieznanego znacznika — generuje alert dla personelu ochrony; znacznik nie jest zarejestrowany w bazie ewidencji.
Integracja czytników kart CAC/PIV
Nie każdy punkt ewidencji uzasadnia koszt infrastruktury stałego czytnika bramowego. Czytniki kart CAC/PIV — czytniki kart stykowych lub bezstykowych NFC — stanowią tańszą alternatywę dla lokalizacji o niższym natężeniu ruchu: punktów meldunkowych w sztabie jednostki, dyspozytorni parku samochodowego, ewidencji broni oraz punktów zbiórki rannych. Czytnik CAC odczytuje unikalny identyfikator posiadacza karty (CHUID) i opcjonalnie weryfikuje PIN lub dopasowanie biometryczne na karcie, a następnie przesyła zdarzenie do serwera ewidencji. Ponieważ karta CAC już zawiera dane tożsamości żołnierza oraz poświadczenie PKI, osobna infrastruktura RFID nie jest potrzebna — sama karta jest tokenem.
Ręczne czytniki RFID do ewidencji w terenie
Stałe czytniki nie są w stanie pokryć wszystkich wymagań ewidencji w środowisku operacyjnym. Ręczne czytniki UHF RFID — urządzenia wielkości dużego smartfona ze zintegrowaną anteną kierunkową — pozwalają dowódcom drużyn i plutonów przeprowadzać doraźne zbiórki w dowolnym miejscu: rejonach zebrania, bazach patrolowych, wysuniętych bazach operacyjnych oraz lądowiskach dla śmigłowców. Dowódca przejeżdża ręcznym czytnikiem nad zebranymi żołnierzami, a urządzenie zapisuje każdy odczytany znacznik na lokalnej liście zbiórki. Jeśli urządzenie jest połączone z siecią taktyczną, odczyty są synchronizowane z serwerem ewidencji w czasie rzeczywistym. W środowisku bez łączności odczyty są przechowywane lokalnie i synchronizowane po przywróceniu połączenia. Czytnik ręczny wyświetla, którzy zarejestrowani żołnierze nie zostali odczytani, skłaniając dowódcę do fizycznego odnalezienia lub zgłoszenia każdej brakującej osoby przed zamknięciem zbiórki.
W celu integracji z systemami śledzenia sił własnych na Androidzie w wojsku ręczne czytniki RFID można parować z urządzeniami Android uruchamiającymi aplikacje ewidencyjne, a dane ze zbiórki nakładać na taktyczny wspólny obraz sytuacji jednostki, aby pokazać dowódcom, którzy żołnierze w każdym kwadracie siatki zostali potwierdzeni jako obecni, a którzy pozostają niepotwierdzeni.
Rejestracja biometryczna i weryfikacja tożsamości
Znaczniki RFID i karty CAC można zgubić, przekazać innej osobie lub celowo nosić zamiast zarejestrowanego posiadacza. Rejestracja biometryczna tworzy niesfałszowalne powiązanie między cechami fizycznymi osoby a jej rekordem tożsamości, umożliwiając jednoznaczną weryfikację tożsamości, jakiego nie może zapewnić żaden fizyczny token.
Rejestracja odcisków palców 10-print
Rejestracja dziesięciu odcisków obejmuje wszystkie dziesięć palców zarówno w odciskach płaskich, jak i toczonych, z użyciem certyfikowanego skanera linii papilarnych. Wojskowa rejestracja odpowiada standardom FBI/DOD dotyczącym jakości obrazu (minimalna rozdzielczość 500 dpi, wynik jakości NFIQ2 powyżej zdefiniowanego progu dla każdego palca). Odciski niskiej jakości — spowodowane suchą skórą, skaleczeniami lub zabrudzeniem czujnika — muszą zostać odrzucone i ponownie pobrane natychmiast; rejestracja szablonu słabej jakości skutkuje wysokim wskaźnikiem fałszywych niedopasowań podczas weryfikacji. W przypadku osób, które nie mogą zarejestrować wszystkich dziesięciu palców (amputacje, ciężkie oparzenia), alternatywne metody biometryczne — tęczówka lub twarz — muszą zastępować brakujące palce.
Zarejestrowane szablony są przechowywane w centralnej bazie danych biometrycznych powiązanej z numerem ewidencyjnym danej osoby. Terminale weryfikacyjne w punktach kontroli dostępu porównują skan na żywo z zapisanym szablonem i zwracają decyzję dopasowanie/brak dopasowania w czasie 1–3 sekund. W punktach o dużym natężeniu ruchu kartę CAC odczytuje się najpierw, aby pobrać konkretny szablon dla deklarowanej tożsamości (weryfikacja 1:1), co jest szybsze i dokładniejsze niż przeszukiwanie całej bazy danych (identyfikacja 1:N).
Rejestracja skanowania tęczówki
Skanowanie tęczówki jest preferowaną metodą biometryczną w środowiskach, w których żołnierze noszą rękawice i dotykanie czujnika linii papilarnych jest niepraktyczne, albo gdy wymagana jest szybka weryfikacja z dystansu. Nowoczesne kamery podwójnej tęczówki rejestrują obrazy obu oczu jednocześnie z odległości 20–60 cm i mogą pracować w oświetleniu bliskiej podczerwieni, umożliwiając rejestrację i weryfikację w nocy. Szablony tęczówki są kompaktowe (poniżej 1 KB na oko) i niezwykle stabilne w czasie — w przeciwieństwie do linii papilarnych wzorce tęczówki nie zmieniają się z wiekiem ani wskutek zużycia fizycznego.
W operacjach koalicyjnych bazy danych tęczówek muszą być starannie oddzielone: udostępnianie referencyjnych danych biometrycznych poza granice krajowe wymaga wyraźnej podstawy prawnej oraz umów o wymianie danych. System rejestracji musi zapisywać podstawę prawną, na jakiej zarejestrowano daną osobę, oraz warunki, na jakich jej szablon może być udostępniany.
Integracja z CAC/PIV i szybka weryfikacja na punkcie kontrolnym
Karta Common Access Card (CAC) oraz poświadczenie Personal Identity Verification (PIV) osadzają referencyjny szablon biometryczny i certyfikat PKI na samej karcie, umożliwiając weryfikację biometryczną offline bez odpytywania centralnego serwera. Na punkcie kontrolnym z czytnikiem kart obsługującym biometrię proces wygląda następująco: włożenie karty, przyłożenie palca do mechanizmu dopasowania na karcie, otrzymanie wyniku dopasowania z bezpiecznego elementu karty. Cała transakcja trwa 3–5 sekund i nie wymaga łączności siejowej. Ta zdolność weryfikacji offline jest kluczowa dla wysuniętych punktów kontrolnych, w których nie można zagwarantować łączności z bazą danych biometrycznych.
Śledzenie rannych i osób zaginionych
Śledzenie strat jest funkcją systemu ewidencji personelu o najwyższej stawce. Błędy w zapisach o stratach — błędne nazwisko, błędna kategoria, opóźniony meldunek — bezpośrednio wpływają na terminy powiadamiania najbliższych, dokładność oznaczeń płacowych oraz obraz sytuacyjny dowódcy dotyczący utraty zdolności bojowej.
Zarządzanie kategoriami rannych P1/P2/P3/P4
Cztery kategorie priorytetu muszą zostać uchwycone w miejscu zdarzenia i zaktualizowane na każdym kolejnym szczeblu opieki medycznej. Cyfrowe systemy ewidencji eksponują bieżącą kategorię i oznaczają każdą zmianę kategori znacznikiem czasu, tworząc audytowalny ślad przebiegu rannego przez łańcuch ewakuacji:
- P1 (Pilny) — wymagana interwencja ratująca życie w ciągu 1 godziny. Uruchamia natychmiastowe wygenerowanie wniosku MEDEVAC w systemie ewidencji. System równolegle powiadamia sekcję S1 oraz lekarza.
- P2 (Priorytetowy) — interwencja wymagana w ciągu 4 godzin. Generuje wniosek MEDEVAC o priorytecie Priority i oznacza rannego do kolejnego dostępnego środka ewakuacji.
- P3 (Planowy) — interwencja dopuszczalna w ciągu 8 godzin. Ranny jest planowany do następnego planowego lotu ewakuacyjnego.
- P4 (Spodziewany/Wygoda) — w sytuacjach masowych strat: obrażenia tak ciężkie, że leczenie pochłonęłoby nieproporcjonalne zasoby; albo w operacjach standardowych: drobne obrażenia wymagające wyłącznie samoopieki.
W zdarzeniu masowych strat system musi umożliwiać jednoczesne wprowadzanie wielu rannych P1 bez zapchania interfejsu. Zalecany projekt to tryb szybkiego wprowadzania, w którym skanowanie karty CAC lub odczyt RFID automatycznie wypełnia pola tożsamości, a ratownik tylko potwierdza kategorię i rodzaj obrażeń — skracając czas wprowadzania jednego rannego do poniżej 30 sekund.
Cyfrowy przepływ meldunku Casualty Feeder Report
Casualty Feeder Report (CFR) to dokument szczebla jednostki, który inicjuje formalną procedurę strat. Cyfrowy CFR rejestruje obowiązkowe elementy danych i przekazuje je do sekcji S1 w wymaganym czasie (zazwyczaj 1 godzina od zdarzenia dla KIA/WIA, 4 godziny dla DNBI). Cyfrowy przepływ pracy:
- Wypełnienie pól tożsamości przez skanowanie karty CAC lub ręczne wprowadzenie, z kontrolą krzyżową wobec listy osobowej jednostki.
- Dane o zdarzeniu: grupa data-czas, lokalizacja (siatka 10-cyfrowa), okoliczności (styczność z przeciwnikiem, wypadek, DNBI) oraz wstępna kategoria.
- Podpis cyfrowy meldującego oficera.
- Automatyczna transmisja do sekcji S1 batalionu przez taktyczny łącznik danych, z wymaganym potwierdzeniem doręczenia na potrzeby zgodności z SOP.
- Automatyczne wygenerowanie wiadomości meldunku o stratach zgodnej z AR 600-8-1, przeznaczonej do transmisji do teatrowego centrum operacji personalnych.
Integracja z JCAVS
JCAVS (Joint Casualty and Verification System) to system ewidencji szczebla teatru działań służący weryfikacji i powiadamianiu o stratach. Integracja między systemem ewidencji jednostki a JCAVS wymaga odwzorowania elementów danych CFR na schemat przyjmowania JCAVS oraz ustanowienia bezpiecznej ścieżki danych do teatrowego centrum operacji personalnych. Dobrze zintegrowane systemy eliminują ręczne ponowne wprowadzanie danych o stratach do JCAVS, które historycznie było źródłem błędów i opóźnień w powiadamianiu najbliższych. JCAVS zwraca jednostce numer identyfikacyjny rannego po otrzymaniu meldunku, a system ewidencji jednostki zapisuje go przy rekordzie danej osoby jako potwierdzenie przyjęcia.
Meldowanie stanu osobowego i P-TRAP
Meldowanie stanu osobowego przekształca indywidualne rekordy ewidencji w zbiorczy obraz zdolności bojowej, którego dowódcy używają do planowania i przydziału zasobów. Podstawowym wynikiem jest Daily Strength Report, ale system ewidencji zasila też na żądanie meldunki Personnel Status Reports na potrzeby planowania operacji i analizy po walce.
Generowanie cyfrowego meldunku o stanie osobowym
Cyfrowy meldunek o stanie osobowym agreguje bieżący status ewidencyjny każdego żołnierza do standardowych kategorii wymaganych przez format meldunku: stan etatowy, stan obecny na służbie, stan efektywny (obecni minus niezdolni do wysłania) oraz sumy cząstkowe strat według typu. Silnik generowania meldunku odpytuje bazę ewidencji o skonfigurowanej porze raportowania (zazwyczaj 30 minut przed terminem złożenia) i sporządza meldunek w wymaganym formacie do transmisji elektronicznej do wyższego sztabu. Dowódcy mają w każdej chwili dostęp do roboczego widoku przedraportowego na pulpicie S1, co jest szczególnie cenne w trakcie trwających operacji, gdy stan osobowy może zmieniać się z godziny na godzinę.
Przepływ pracy P-TRAP
P-TRAP (Personnel Tracking, Reporting, and Processing) to przepływ pracy i zestaw narzędzi określający, jak sekcje S1 zbierają, walidują i raportują dane o stanie osobowym. W zdigitalizowanym przepływie P-TRAP:
- Jednostki podległe przesyłają cyfrowe meldunki ewidencyjne do S1 batalionu w przepisanym czasie raportowania, zastępując meldunek głosowy PERSTAT, który wymagał od podoficera przechodzenia kolejno przez każdą jednostkę podległą.
- Narzędzie S1 batalionu automatycznie agreguje meldunki podległe, oznaczając każdą jednostkę, która nie złożyła meldunku do terminu raportowania.
- Zautomatyzowane reguły walidacji sprawdzają typowe błędy: sumy stanu osobowego, które nie bilansują się, statusy strat bez wspierających CFR-ów oraz wartości stanu efektywnego wskazujące na jednostkę poniżej progu gotowości do zadania.
- Zweryfikowany meldunek o stanie osobowym batalionu jest przesyłany do S1 brygady, który wykonuje tę samą agregację i walidację przed transmisją do dywizji.
- Cały cykl raportowania — od złożenia meldunku przez jednostkę podległą po odbiór przez sztab teatru — zamyka się w czasie poniżej 30 minut w pełni zdigitalizowanego wdrożenia P-TRAP, wobec 2–4 godzin dla cyklu głosowo-papierowego.
Integracja z pulpitem S1
Pulpit S1 daje oficerowi personalnemu i sztabowi obraz stanu osobowego jednostki w czasie rzeczywistym, uporządkowany według jednostek podległych, szczebla i kategorii statusu ewidencyjnego. Kluczowe funkcje pulpitu do użytku operacyjnego obejmują: alerty progowe, gdy stan efektywny jakiejkolwiek jednostki spadnie poniżej minimum dowódcy (zazwyczaj 60–70% dla jednostek bojowych); analizę trendu strat pokazującą tempo ubytku stanu osobowego w ciągu ostatnich 24–48 godzin; oraz tracker odtwarzania stanów osobowych łączący napływające uzupełnienia z potoku JRSOI z jednostkami, do których są przydzielane.
Integracja z systemami kadrowymi i płacowymi
Dane ewidencji personelu mają bezpośrednie skutki finansowe i prawne w dalszej kolejności. Status straty, który nie zostanie niezwłocznie przekazany do systemu kadrowo-płacowego, może skutkować miesiącami niewłaściwego żołdu dla rannego lub jego rodziny — problemem, który powoduje poważne cierpienie i wymaga miesięcy na wyjaśnienie. Odwrotnie, oznaczenie płacowe wywołane błędnym zapisem ewidencyjnym może bezpodstawnie odciąć żołd żołnierzowi. Zautomatyzowana integracja między systemem ewidencji a systemami kadrowo-płacowymi musi być niezawodna, audytowalna i zaprojektowana tak, aby minimalizować zarówno fałszywe oznaczenia, jak i pominięte oznaczenia.
Powiązanie z TAPDB-G. Total Army Personnel Database – Global (TAPDB-G) jest nadrzędnym rejestrem personalnym wojsk lądowych. Zmiany statusu ewidencyjnego wpływające na oficjalny rejestr — WIA, MIA, KIA oraz powrót do służby po każdej z nich — generują zautomatyzowane transakcje aktualizacji do TAPDB-G. Transakcje te używają numeru ewidencyjnego żołnierza jako klucza głównego i zawierają jednostkę zatwierdzającą, grupę data-czas zmiany statusu oraz podpis cyfrowy oficera zatwierdzającego.
Oznaczenie płacowe przy statusie straty. Po potwierdzeniu statusu WIA lub MIA system ewidencji generuje transakcję oznaczenia płacowego do IPPS-A (Integrated Personnel and Pay System – Army) lub odpowiedniego systemu krajowego. Oznaczenie płacowe uruchamia przegląd uprawnień żołdowych żołnierza: dodatek za ogień nieprzyjacielski jest uruchamiany, jeśli nie jest jeszcze aktywny, oceniana jest specjalna rekompensata związana z walką, a dane beneficjenta Servicemembers' Group Life Insurance są udostępniane oficerowi ds. pomocy w przypadkach strat. W przypadku żołnierzy MIA oznaczenie allotment wstrzymuje niektóre dobrowolne potrącenia do czasu potwierdzenia statusu.
Wyzwalacze aktualizacji SRB/ORB. Aktualizacje Soldier Record Brief (SRB) i Officer Record Brief (ORB) są wywoływane przez zmiany statusu służbowego wpływające na trwały rejestr: hospitalizacja przekraczająca 30 dni, powrót do służby po hospitalizacji, zmiana z MIA na KIA lub Returned to Military Control. Aktualizacje te muszą zostać wykonane w terminie regulaminowym (zazwyczaj 5 dni roboczych), aby utrzymać dokładność rejestru na potrzeby komisji awansowych i procesów przydziałów.
Ochrona prywatności i danych biometrycznych personelu
Wojskowe dane biometryczne należą do najbardziej wrażliwych danych osobowych, jakie przetwarza organizacja obronna. Skompromitowanego szablonu linii papilarnych lub tęczówki nie można odwołać i wydać ponownie jak hasła — gdy przeciwnik posiada szablon referencyjny, ta metoda biometryczna jest trwale skompromitowana dla danej osoby. Środki ochrony danych muszą być adekwatne do tej wrażliwości.
Szyfrowanie danych biometrycznych na urządzeniach taktycznych
Każde urządzenie przechowujące szablony biometryczne — stacje rejestracji, ręczne czytniki weryfikacyjne oraz lokalne serwery baz danych biometrycznych — musi szyfrować dane w spoczynku algorytmem AES-256, z kluczami zarządzanymi przez moduł bezpieczeństwa sprzętowego (HSM) lub zaufane środowisko wykonawcze (TEE). Klucze szyfrujące nie mogą być przechowywane w plikach konfiguracyjnych aplikacji ani w zmiennych środowiskowych na urządzeniu. Rotacja kluczy musi odbywać się co najmniej raz w roku, a natychmiastowa rotacja jest wymagana po zgubieniu lub przechwyceniu urządzenia. Na urządzeniach taktycznych opartych na Androidzie system Android Keystore zapewnia magazyn kluczy oparty na TEE, który spełnia ten wymóg na sprzęcie zweryfikowanym zgodnie z FIPS 140-2 poziom 2.
Polityka retencji szablonów biometrycznych
Okresy przechowywania szablonów biometrycznych muszą być zdefiniowane w polityce zarządzania danymi i egzekwowane przez system, a nie opierać się na procesie administracyjnym. Standardowa praktyka:
- Baza centralna — przechowywanie przez czas służby plus okres po odejściu ze służby określony prawem krajowym (zazwyczaj 7–10 lat dla dokumentacji wojskowej).
- Ręczne urządzenia taktyczne — automatyczne wygaszanie buforowanych szablonów po 24–72 godzinach; ponowna rejestracja jest wymagana, jeśli urządzenie działa offline dłużej niż okres buforowania.
- Dzienniki weryfikacji na punktach kontrolnych — przechowywanie rekordów decyzji dopasowanie/brak dopasowania (bez samego szablonu) przez 90 dni na potrzeby audytu; następnie usuwanie.
- Szablony listy obserwowanych dla zatrzymanych lub bojowników przeciwnika — regulowane odrębną podstawą prawną i harmonogramem retencji określonym przez doradcę prawnego teatru działań.
Przetwarzanie danych osobowych na podstawie RODO w siłach koalicyjnych
Gdy siły koalicyjne z państw członkowskich UE uczestniczą w operacjach wspólnych, ich dane biometryczne personelu podlegają RODO niezależnie od miejsca przetwarzania. Praktycznie oznacza to: należy wskazać podstawę prawną przetwarzania (zazwyczaj art. 9 ust. 2 lit. g — istotny interes publiczny lub odpowiedniki w prawie krajowym); prawa osób, których dane dotyczą (dostęp, usunięcie), muszą być uwzględnione w architekturze systemu; a przekazywanie danych biometrycznych do państw partnerskich spoza UE wymaga decyzji o odpowiednim stopniu ochrony, standardowych klauzul umownych lub odstępstwa na podstawie art. 49. System ewidencji musi zapisywać podstawę prawną każdego rekordu biometrycznego, narodowość osoby, której dane dotyczą, oraz wszelkie zdarzenia przekazywania transgranicznego, aby przegląd zgodności z RODO można było przeprowadzić bez rekonstruowania historii przetwarzania z rozproszonych dzienników.
W praktyce najprostszym podejściem architektonicznym do operacji koalicyjnych jest federacja baz danych biometrycznych według narodowości: każde państwo utrzymuje własną bazę danych biometrycznych i przetwarza wyłącznie swoich obywateli; sprawdzanie w bazach partnerskich w odpowiedzi na konkretne żądania weryfikacji odbywa się na podstawie formalnej umowy o wymianie danych z udokumentowaną podstawą prawną, a nie przez scaloną wielonarodową bazę, która komplikuje każdy krajowy przegląd zgodności.