Пояснення щодо обробки біометричних даних
Нещодавно Управління захисту даних Нідерландів (AP) наклало великий штраф, а саме 725,000 9 євро, на компанію, яка сканувала відбитки пальців працівників для реєстрації відвідуваності та часу. Біометричні дані, такі як відбиток пальця, є спеціальними персональними даними в розумінні статті XNUMX GDPR. Це унікальні характеристики, які можна простежити до однієї конкретної людини. Однак ці дані часто містять більше інформації, ніж необхідно, наприклад, для ідентифікації.
Таким чином, їх обробка створює великі ризики в сфері основних прав і свобод людей. Якщо ці дані потраплять у чужі руки, це може призвести до непоправної шкоди. Тому біометричні дані добре захищені, а їх обробка заборонена статтею 9 GDPR, якщо для цього немає законодавчого винятку. У цьому випадку AP дійшла висновку, що відповідна компанія не мала права на виняток для обробки спеціальних персональних даних.
відбиток пальця
Про відбитки пальців у контексті GDPR та один із винятків, а саме необхідність , ми раніше писали в одному з наших блогів: «Відбитки пальців порушують GDPR». Цей блог зосереджується на іншій альтернативній підставі для винятку: дозволі . Коли роботодавець використовує біометричні дані, такі як відбитки пальців, у своїй компанії, чи може він, з точки зору конфіденційності, обмежитися дозволом свого працівника?
Під дозволом розуміється конкретне, усвідомлене та однозначне волевиявлення, за допомогою якого особа погоджується на обробку своїх персональних даних заявою або однозначною активною дією, відповідно до статті 4, розділу 11 GDPR. У контексті цього винятку роботодавець повинен не лише продемонструвати, що його працівники надали дозвіл, але й те, що цей дозвіл був однозначним, конкретним та усвідомленим.
Підписання трудового договору або отримання інструкції з персоналу, в якій роботодавець лише зафіксував намір повністю зареєструватися за відбитком пальця, у цьому контексті є недостатнім, підсумували в АП. Як доказ роботодавець повинен, наприклад, надати політику, процедури чи іншу документацію, яка свідчить про те, що його працівники достатньо поінформовані про обробку біометричних даних і що вони також дали (явний) дозвіл на їх обробку.
Якщо дозвіл надається працівником, він має бути не лише « явним », а й « добровільним », зазначає AP. «Явний» – це, наприклад, письмовий дозвіл, підпис, надсилання електронного листа з відповідним дозволом або дозвіл із двоетапною перевіркою. «Добровільний» означає, що за ним не повинно бути жодного примусу (як це було у випадку, про який йде мова: після відмови від сканування відбитків пальців слідувала розмова з директором/радою директорів) або цей дозвіл може бути умовою для чогось іншого.
Роботодавець у будь-якому випадку не дотримується умови «безкоштовно надано», коли працівники зобов’язані або, як у даному випадку, відчувають це як обов’язок записувати відбитки пальців. Загалом, згідно з цією вимогою, AP вважає, що враховуючи залежність, яка є результатом відносин між роботодавцем і працівником, малоймовірно, що працівник може вільно дати свою згоду. Протилежне доведеться доводити роботодавцю.
Чи просить працівник дозволу своїх співробітників на обробку відбитків пальців? Потім АП в контексті цієї справи дізнається, що це в принципі неприпустимо. Зрештою, працівники залежать від свого роботодавця і тому часто не в змозі відмовити. Це не означає, що роботодавець ніколи не може успішно покладатися на дозвіл.
Проте роботодавець повинен мати достатні докази, щоб його апеляція на підставі згоди була успішною, щоб обробити біометричні дані його співробітників, наприклад відбитки пальців. Чи збираєтеся ви використовувати біометричні дані у своїй компанії чи ваш роботодавець запитує у вас дозвіл на використання, наприклад, вашого відбитка пальця? У цьому випадку важливо не діяти негайно та давати дозвіл, а спочатку бути належним чином поінформованим. закон Юристи & More є експертами у сфері конфіденційності та можуть надати вам інформацію. У вас є інші запитання щодо цього блогу? Будь ласка, зв'яжіться Law & More.
