Пояснення щодо обробки біометричних даних
Нещодавно Управління захисту даних Нідерландів (AP) наклало великий штраф, а саме 725,000 9 євро, на компанію, яка сканувала відбитки пальців працівників для реєстрації відвідуваності та часу. Біометричні дані, такі як відбиток пальця, є спеціальними персональними даними в розумінні статті XNUMX GDPR. Це унікальні характеристики, які можна простежити до однієї конкретної людини. Однак ці дані часто містять більше інформації, ніж необхідно, наприклад, для ідентифікації.
Тому їхня обробка створює великі ризики у сфері основних прав і свобод людей. Якщо ці дані потраплять у чужі руки, це потенційно може призвести до непоправної шкоди. Таким чином, біометричні дані добре захищені, і їх обробка заборонена згідно зі статтею 9 GDPR, якщо для цього немає юридичного винятку. У цьому випадку AP дійшла висновку, що відповідна компанія не мала права на виняток для обробки спеціальних персональних даних.
відбиток пальця
Про відбиток пальців у контексті GDPR та один із винятків, а саме необхідності, ми раніше писали в одному з наших блогів: "Відбитки пальців порушують GDPR". Цей блог зосереджений на іншій альтернативній підставі для виключення: дозвіл. Коли роботодавець використовує біометричні дані, такі як відбитки пальців у своїй компанії, чи може він, щодо конфіденційності, вистачити дозволу свого працівника?
Під дозволом мається на увазі конкретні, поінформовані та однозначні волевиявлення за допомогою якого хтось погоджується на обробку своїх персональних даних заявою або однозначною активною дією, відповідно до статті 4, розділ 11 GDPR. Тому в контексті цього винятку роботодавець повинен не лише продемонструвати, що його працівники надали дозвіл, але й те, що він був недвозначним, конкретним та поінформованим.
Підписання трудового договору або отримання інструкції з персоналу, в якій роботодавець лише зафіксував намір повністю зареєструватися за відбитком пальця, у цьому контексті є недостатнім, підсумували в АП. Як доказ роботодавець повинен, наприклад, надати політику, процедури чи іншу документацію, яка свідчить про те, що його працівники достатньо поінформовані про обробку біометричних даних і що вони також дали (явний) дозвіл на їх обробку.
Якщо дозвіл надається працівником, він також повинен бути "явний' але також 'вільно дається', повідомляє AP. «Явний» — це, наприклад, письмовий дозвіл, підпис, надсилання електронного листа для надання дозволу або дозвіл із двоетапною перевіркою. «Безкоштовно» означає, що за цим не повинно бути жодного примусу (як це було у випадку, про який йдеться: у разі відмови від сканування відбитків пальців слідувала розмова з директором/радою) або що дозвіл може бути умовою чогось різні.
Роботодавець у будь-якому випадку не дотримується умови «безкоштовно надано», коли працівники зобов’язані або, як у даному випадку, відчувають це як обов’язок записувати відбитки пальців. Загалом, згідно з цією вимогою, AP вважає, що враховуючи залежність, яка є результатом відносин між роботодавцем і працівником, малоймовірно, що працівник може вільно дати свою згоду. Протилежне доведеться доводити роботодавцю.
Чи просить працівник дозволу своїх співробітників на обробку відбитків пальців? Потім АП в контексті цієї справи дізнається, що це в принципі неприпустимо. Зрештою, працівники залежать від свого роботодавця і тому часто не в змозі відмовити. Це не означає, що роботодавець ніколи не може успішно покладатися на дозвіл.
Проте роботодавець повинен мати достатні докази, щоб його апеляція на підставі згоди була успішною, щоб обробити біометричні дані його співробітників, наприклад відбитки пальців. Чи збираєтеся ви використовувати біометричні дані у своїй компанії чи ваш роботодавець запитує у вас дозвіл на використання, наприклад, вашого відбитка пальця? У цьому випадку важливо не діяти негайно та давати дозвіл, а спочатку бути належним чином поінформованим. закон Юристи & More є експертами у сфері конфіденційності та можуть надати вам інформацію. У вас є інші запитання щодо цього блогу? Будь ласка, зв'яжіться Law & More.
