Vodič za usklađenost biometrijskih podataka s GDPR-om u Nizozemskoj

Da bismo se uhvatili u koštac s biometrijskim podacima i usklađenošću s GDPR-om, prvo moramo odgovoriti na fundamentalno pitanje: šta su tačno biometrijski podaci? To nisu bilo kakvi lični podaci. Govorimo o podacima izvučenim iz jedinstvenih fizičkih ili bihevioralnih karakteristika - poput otiska prsta, šarenice oka ili čak nečijeg glasa - koji mogu nedvosmisleno identificirati određenu osobu.

Zamislite to kao biološki ključ, onaj koji je jedinstven za pojedinca i praktično ga je nemoguće promijeniti.

Definisanje biometrijskih podataka prema GDPR-u

Prema Općoj uredbi o zaštiti podataka (GDPR), ono što nešto čini "biometrijskim podacima" nije sama vrsta podataka (poput fotografije), već svrha u koju se obrađuju. Jednostavna fotografija zaposlenika na njegovoj identifikacijskoj znački ne smatra se automatski biometrijskim podacima.

Međutim, u trenutku kada se ta ista fotografija unese u sistem za prepoznavanje lica radi odobravanja pristupa zgradi, ona postaje biometrijski podatak. Pravni okvir se potpuno mijenja.

Ključni faktor je "specifična tehnička obrada" koja se koristi u svrhu jedinstvene identifikacije. Pravilno razumijevanje ove razlike je temelj razumijevanja vaših obaveza usklađenosti. Možete detaljnije istražiti nijanse u našem vodiču o obradi biometrijskih podataka.

Zašto GDPR tretira biometrijske podatke drugačije

Biometrijski podaci su klasificirani kao "posebna kategorija ličnih podataka" prema članu 9. GDPR-a. Ova klasifikacija ih stavlja u istu visokorizičnu grupu kao i informacije o:

• Rasno ili etničko porijeklo
• Politička mišljenja
• Religijska ili filozofska uvjerenja
• Zdravlje ili seksualni život

Ovaj povišeni status postoji s dobrim razlogom: povreda podataka koja uključuje biometrijske podatke ima nepovratne posljedice. Za razliku od lozinke, ne možete tek tako promijeniti otisak prsta ili šarenicu. Ako su ovi podaci kompromitovani, to stvara trajni rizik od krađe identiteta i prevare za tu osobu.

Radi boljeg razumijevanja, evo pregleda uobičajenih tipova biometrijskih podataka i njihovog statusa prema GDPR-u.

Kao što tabela pokazuje, dosljedna tema je korištenje ovih podataka za jedinstvenu identifikaciju , što automatski aktivira posebne kategorije zaštite prema Članu 9.

Holandski regulatorni pristup

Ovdje u Holandiji, holandska Uprava za zaštitu podataka (Autoriteit Persoonsgegevens ili AP) provodi posebno strogo tumačenje ovih pravila. Njihove smjernice o tehnologiji prepoznavanja lica, na primjer, kristalno jasno daju do znanja da je njena upotreba zabranjena u većini okolnosti.

Ključni test je uvijek da li je namjera obrade nedvosmislena identifikacija fizičke osobe. Ovaj strogi stav naglašava koliko uvjerljivo mora biti vaše pravno opravdanje prije nego što uopće razmotrite implementaciju takvog sistema.

Pronalaženje vaše zakonske osnove za obradu biometrijskih podataka

Kada se radi o biometrijskim podacima, GDPR u suštini uklanja dvije odvojene pravne prepreke. Ne radi se samo o pronalaženju jednog dobrog razloga za obradu podataka. Potreban vam je pravni osnov prema Članu 6 za opštu obradu, a zatim drugi, mnogo strožiji uslov iz Člana 9 jer se radi o podacima „posebne kategorije“. Ovaj dvodijelni zahtjev je apsolutno nepregovarački.

Zamislite to kao bankovni sef sa dvije različite brave. Član 6 je prvi ključ, onaj koji vam je potreban za bilo kakvu obradu ličnih podataka. Ali, budući da su biometrijski podaci toliko osjetljivi, Član 9 zahtijeva drugi, specijaliziraniji ključ prije nego što uopće možete pomisliti na otvaranje vrata.

Dvo-ključni sistem usklađenosti sa GDPR-om

Prvo, potrebno je da obradu podataka zasnujete na jednoj od šest zakonitih osnova iz člana 6. To su uobičajeni osumljeni: pristanak, ugovorna nužda, zakonska obaveza koju morate ispuniti, vitalni interesi, obavljanje javnog zadatka ili vaši vlastiti legitimni interesi.

Nakon što ste utvrdili osnovu za Član 6 , počinje pravi izazov. Također morate ispuniti jedan od specifičnih uvjeta navedenih u Članu 9(2) , koji su jedini načini za obradu podataka posebne kategorije. Za biometriju, najpoznatiji - i najčešće pogrešno shvaćen - uvjet je eksplicitna saglasnost.

Dekonstrukcija eksplicitnog pristanka

Ne miješajte "eksplicitnu saglasnost" sa standardnom saglasnosti koju biste mogli koristiti za marketinški bilten. Ovo je mnogo viša ljestvica. Ne može biti izdvojena iz vaših uslova i odredbi niti se podrazumijevati iz nečijih postupaka. Mora biti kristalno jasna, pozitivna radnja koja je:

• Specifično: Ne možete samo tražiti nejasnu saglasnost iz "sigurnosnih razloga". Morate precizno navesti zašto su vam potrebni biometrijski podaci.
• informisan: Ljudi moraju tačno znati koje podatke prikupljate, šta ćete s njima raditi, ko ih može vidjeti i koliko dugo ćete ih čuvati.
• Besplatno dato: Tu stvari postaju komplicirane, posebno na radnom mjestu. Zaposlenik bi se mogao osjećati prisiljenim da pristane na biometrijski sistem, bojeći se negativnih posljedica ako odbije. Ta neravnoteža moći znači da njihov pristanak nije zaista „slobodno dat“ i stoga je pravno nevažeći.

Holandska AP (Autoriteit Persoonsgegevens) je izuzetno skeptična prema korištenju pristanka kao osnove za obradu biometrijskih podataka zaposlenika. Polazna tačka tijela je da se takav pristanak gotovo nikada ne daje slobodno i, kao rezultat toga, ne ispunjava stroge zahtjeve GDPR-a.

Ovo je ključna tačka za preduzeća u Holandiji. Oslanjanje na saglasnost zaposlenih za biometrijski sat za evidenciju radnog vremena ili sistem za pristup kancelariji gotovo uvijek predstavlja slijepu ulicu u pogledu usklađenosti. Potrebno je potražiti jače, prikladnije pravne osnove.

Više od pristanka: istraživanje drugih izuzetaka iz člana 9

Iako eksplicitni pristanak zauzima sve naslove, Član 9 nudi nekoliko drugih, vrlo uskih izuzetaka koji bi mogli opravdati korištenje biometrijskih podataka. Ključno je biti siguran da se vaša specifična situacija savršeno uklapa u jedan od ovih uslova, jer pogrešno shvatanje može dovesti do ozbiljnih problema. Svako preduzeće će morati pažljivo procijeniti svoju ulogu i odgovornosti, o čemu možete pročitati u našem detaljnom objašnjenju kontrolora i obrađivača prema GDPR-u.

Da bismo ovo pojasnili, uporedimo najrelevantnije uslove i njihove stroge zahtjeve.

Poređenje pravnih osnova za obradu biometrijskih podataka

Donja tabela analizira uobičajene uslove iz Člana 9 koje biste mogli uzeti u obzir, ističući gdje funkcionišu, a gdje često krenu po zlu.

Na kraju krajeva, odabir prave pravne osnove ne svodi se na odabir najlakše opcije. To zahtijeva temeljitu, dokumentiranu analizu vaših specifičnih okolnosti. Jednostavno odabiranje one koja se čini najpogodnijom predstavlja brz put do nepoštivanja propisa i potencijalnog udarca od strane holandske Agencije za socijalnu zaštitu (AP).

Kako provesti procjenu utjecaja na zaštitu podataka

Ako vaša organizacija uopće razmatra obradu biometrijskih podataka u bilo kojem stvarnom obimu, onda Procjena utjecaja na zaštitu podataka (DPIA) nije samo dobra ideja - to je zakonska obaveza prema GDPR-u.

Zamislite DPIA kao formalnu procjenu rizika za privatnost. To je strukturirani proces koji vas prisiljava da tačno isplanirate šta planirate da uradite, uočite potencijalne opasnosti za pojedince i shvatite kako da upravljate tim rizicima prije nego što ikada skenirate ijedan otisak prsta ili lice.

Ovo je mnogo više od pukog ispunjavanja polja. To je fundamentalni dio demonstracije odgovornosti i ugrađivanja zaštite podataka u sam dizajn vaših sistema. Za bilo koju visokorizičnu aktivnost poput biometrije, holandska Agencija za zaštitu podataka (AP) će apsolutno očekivati ​​sveobuhvatnu i dobro obrazloženu DPIA ako ikada postave pitanja.

Prije nego što uopće možete započeti DPIA za biometriju, prvo morate ukloniti dvije osnovne pravne prepreke, kao što je prikazano na dijagramu ispod.

Prvo morate pronaći pravni osnov prema Članu 6, a zatim ispuniti jedan od strogih, specifičnih uslova prema Članu 9. Tek tada možete nastaviti sa svojom procjenom.

Osnovne komponente DPIA

Dobra DPIA procjena treba sistematski opisati obradu, procijeniti zašto je ona neophodna i proporcionalna, te upravljati rizicima za prava i slobode ljudi. Prođimo kroz ključne korake koristeći vrlo uobičajen scenario: instaliranje skenera otiska prsta za kontrolu pristupa kancelariji.

1. Opišite obradu: Budite precizni. Potrebno je detaljno opisati cijeli put podataka od početka do kraja.

   • Šta tačno sakupljate? (npr. šablone otisaka prstiju, a ne cijele slike).
   • Kako će se ovi podaci prikupljati, gdje će se pohranjivati, kako će se koristiti i kada će biti izbrisani?
   • Ko može pristupiti ovim podacima i zašto?
   • Da li su uključeni neki nezavisni dobavljači, poput kompanije koja je isporučila sistem za skeniranje?

2. Procijenite neophodnost i proporcionalnost: Ovdje opravdavate svoju odluku. To zahtijeva da osporite vlastite pretpostavke i dokažete da je korištenje biometrije najrazumniji izbor.

   • Koji tačno problem pokušavate riješiti? (npr. sprečavanje neovlaštenog pristupa serverskim sobama).
   • Zašto manje nametljive metode, poput sigurnih kartica s ključem ili PIN kodova, nisu dovoljno dobre za ovu specifičnu situaciju?
   • Jesu li podaci koje prikupljate zaista minimum potreban za postizanje vašeg cilja?

3. Identifikujte i procijenite rizike: Stavite se u poziciju zaposlenika. Šta bi moglo poći po zlu za njih?

   • Kršenje podataka: Kakav je stvarni uticaj ako se baza podataka sa šablonima otisaka prstiju ukrade?
   • Funkcija puzanja: Postoji li rizik da se ovi podaci mogu koristiti za druge stvari u budućnosti, poput praćenja dolaska i odlaska zaposlenika, bez njihovog prethodnog obavještavanja?
   • isključenje: Šta se dešava ako zaposlenik ne može koristiti sistem zbog problema s kožom ili istrošenih otisaka prstiju? Postoji li alternativa za njih?
   • nepreciznost: Šta ako sistem zakaže i blokira ovlaštenu osobu van tokom požarnog alarma?

4. Odredite mjere za ublažavanje rizika: Sada, za svaki rizik koji ste upravo naveli, trebate predložiti konkretno rješenje. Ovo je najpraktičniji dio procesa.

   • Tehničke mjere: To bi moglo značiti implementaciju snažne enkripcije podataka, korištenje sigurnog skladištenja predložaka (na uređaju je često poželjnije od centralnog servera) i provođenje strogih kontrola pristupa.
   • Organizacijske mjere: To uključuje kreiranje jasne politike o biometrijskim podacima, obuku osoblja o tome i pripremu specifičnog plana za reagovanje u slučaju kršenja podataka za ovaj sistem.
   • Mjere proporcionalnosti: Uvijek ponudite nebiometrijsku alternativu za pristup gdje god je to moguće. Ovo osigurava da sistem ne isključuje nikoga nepravedno.

Dobro urađena DPIA je živi dokument. To nije nešto što uradite jednom, a zatim odložite. Treba je pregledati i ažurirati ako se promijeni obim, priroda ili kontekst vaše biometrijske obrade. Ona služi kao vaš primarni dokaz dužne pažnje ako regulator ikada dovede u pitanje vaše prakse.

Praćenjem ove strukture, DPIA se pretvara iz zastrašujuće zakonske obaveze u moćan strateški alat. Pomaže u osiguravanju da je vaša upotreba biometrije izgrađena na čvrstim temeljima predviđanja i odgovornosti, štiteći i vašu organizaciju i same ljude čije podatke obrađujete.

Osnovni koraci za svakodnevnu usklađenost

Ispravno usklađivanje s GDPR-om za biometrijske podatke nije jednokratni pravni zadatak koji možete ispuniti na cijeloj listi. To je kontinuirana obaveza koja mora biti utkana u tkivo vašeg svakodnevnog poslovanja. Nakon što ste utvrdili svoju pravnu osnovu i završili DPIA, pravi posao odgovornog upravljanja ovim osjetljivim podacima zaista počinje. Sve se svodi na pretvaranje pravnih principa u praktične, svakodnevne akcije.

U srži ovoga je osigurati da osnovni principi GDPR-a postanu zadana postavka vaše kompanije. Odlično mjesto za početak je minimizacija podataka . To je jednostavna, ali nevjerovatno moćna ideja: prikupljajte samo biometrijske podatke koji su vam apsolutno potrebni za određenu, legitimnu svrhu koju ste identifikovali. Ništa više. Ako postavljate sistem za pristup kancelariji, da li vam je zaista potrebno skeniranje lica visoke rezolucije kada bi mnogo jednostavniji biometrijski šablon obavio posao podjednako dobro? Vjerovatno ne.

Ovo ide ruku pod ruku s ograničenjem pohrane . Biometrijski podaci ne bi se trebali čuvati zauvijek. Morate uspostaviti i provoditi jasne politike čuvanja. Ova pravila trebaju tačno navesti koliko dugo ćete čuvati podatke i osigurati da se sigurno izbrišu čim više nisu potrebni za svoju prvobitnu svrhu.

Implementacija tehničkih i organizacijskih zaštitnih mjera

Pravilna zaštita biometrijskih podataka zahtijeva višeslojnu sigurnosnu strategiju. To znači objedinjavanje tehničkih rješenja i čvrstih internih politika. Ovo nisu samo poželjne stvari; to su neosporni zahtjevi prema GDPR-u.

Evo nekih ključnih tehničkih mjera koje biste trebali imati na snazi:

• Jaka enkripcija: Svi biometrijski podaci moraju biti šifrirani, tačka. Ovo se odnosi i na pohranjivanje na serverima ili uređajima (u miru) i kada se šalje preko mreže (u prolazu). Šifriranje čini podatke nečitljivim i beskorisnim za svakoga ko bi mogao doći do njih bez ovlaštenja.
• Stroge kontrole pristupa: Nije potrebno da svi u vašoj organizaciji vide ili rukuju biometrijskim podacima. Koristite kontrole pristupa zasnovane na ulogama kako biste osigurali pristup ovim informacijama, osiguravajući da samo ovlašteno osoblje s jasnom i legitimnom potrebom može pristupiti njima.
• Sigurna pohrana: Kad god možete, izbjegavajte pohranjivanje biometrijskih predložaka u jednoj velikoj centralnoj bazi podataka. Mnogo sigurniji pristup je pohranjivanje lokalno na uređaju, poput samog skenera ili pristupne kartice zaposlenika. Ovaj decentralizirani model dramatično smanjuje rizik od katastrofalnog masovnog kršenja podataka.

Ali sama tehnologija nije dovoljna. Vaše organizacijske mjere su podjednako važne. Implementacija robusnih sigurnosnih mjera, poput onih koje se nalaze u biometrijskim pristupima sigurnosti , može ozbiljno smanjiti rizik od prevare i ojačati vašu ukupnu usklađenost. To također znači redovnu obuku osoblja o politikama zaštite podataka i provođenje periodičnih sigurnosnih revizija kako bi se pronašle i ispravile ranjivosti prije nego što postanu problem.

Kreiranje transparentnih i jasnih obavještenja o privatnosti

Transparentnost je temelj GDPR-a. Ljudi imaju apsolutno pravo da znaju tačno šta radite s njihovim biometrijskim podacima. Vaša obavijest o privatnosti ne može biti gust, žargonski dokument zakopan u podnožju vaše web stranice. Mora biti jasna, koncizna i lako dostupna svima za pronalaženje i razumijevanje.

Usklađena obavijest o privatnosti za obradu biometrijskih podataka mora jasno objasniti:

1. Ko si ti: Naziv i kontakt podaci vaše kompanije.
2. Zašto obrađujete podatke: Konkretan, legitiman razlog (npr. "da se osigura pristup našoj istraživačkoj laboratoriji").
3. Vaša pravna osnova: Specifični uslovi iz člana 6 i člana 9 na koje se pozivate.
4. Koji se podaci prikupljaju: Budite precizni. Nemojte samo reći "biometrijski podaci"; navedite da li se radi o šablonu otiska prsta, skeniranju šarenice itd.
5. Koliko dugo ćete ga čuvati: Period čuvanja vaših podataka.
6. S kim ćete to podijeliti: To uključuje sve treće strane koje pružaju tehnološke usluge.
7. Njihova prava: Obavijestite ih o njihovom pravu na pristup, ispravku, brisanje i prigovor na obradu njihovih podataka.

Primjer jasnog jezika: "Koristimo predložak otiska prsta, koji je sigurna numerička reprezentacija vašeg otiska prsta, kako bismo vam omogućili pristup serverskoj sobi. Ovaj predložak se pohranjuje samo na vašoj ličnoj pristupnoj kartici i briše se iz našeg sistema u roku od 24 sata od prestanka vašeg zaposlenja. Možete zatražiti pregled ili brisanje svojih podataka u bilo kojem trenutku."

Ovakva vrsta jasnoće čini više od pukog ispunjavanja pravnih obaveza - ona gradi povjerenje. Kada ste otvoreni i transparentni o tome kako rukujete nečijim najličnijim podacima, pokazujete posvećenost zaštiti podataka koja ide dalje od pukog poštivanja propisa. Ona pretvara pravni zahtjev u kamen temeljac integriteta vaše organizacije.

Snalaženje u sprovođenju zakona i kaznama u Holandiji

Ignorisanje strogih pravila GDPR-a o biometrijskim podacima nije samo teoretski rizik; ono nosi ozbiljne finansijske i reputacijske posljedice. U Holandiji, Agencija za zaštitu podataka (Autoriteit Persoonsgegevens ili AP) poznata je po svojoj čvrstoj provedbi. Zbog toga su potencijalne posljedice nepravilnog rukovanja podacima ključni faktor koji svaka organizacija treba uzeti u obzir.

Razumijevanje ovog pejzaža provođenja zakona je ključno. Potencijalne kazne nisu samo apstraktne pravne prijetnje. One su stvarnost koja ističe koliko je proaktivno poštivanje propisa zaista važno. Ulaganje u ispravnu obradu podataka je uvijek daleko manje od visokih troškova pogrešnog postupanja.

Prava cijena nepoštovanja propisa

Prema GDPR-u, nadzorni organi poput holandskog AP-a imaju ovlaštenje da izreknu značajne novčane kazne. Ove kazne su osmišljene da budu efikasne, proporcionalne i odvraćajuće, odražavajući koliko ozbiljno smatraju kršenje. Za teška kršenja, poput obrade podataka posebne kategorije bez valjane pravne osnove, kazne mogu biti vrtoglave.

Organizacije se mogu suočiti s kaznama do 20 miliona eura ili 4% njihovog ukupnog godišnjeg prometa širom svijeta iz prethodne fiskalne godine, što god je veće. Ovaj dvostepeni sistem osigurava da kazne imaju značajan utjecaj čak i na najveće globalne korporacije.

Poruka regulatora je kristalno jasna: zloupotreba biometrijskih podataka jedno je od najozbiljnijih kršenja zakona o zaštiti podataka. Finansijske kazne su strukturirane tako da osiguraju da nepoštivanje propisa nikada ne bude finansijski održiva opcija za bilo koje preduzeće, bez obzira na njegovu veličinu.

Visokoprofilna provedba zakona u Nizozemskoj i EU

Nedavne akcije holandske agencije AP i njenih evropskih kolega pokazuju da ovo nisu prazne prijetnje. Vlasti aktivno istražuju i kažnjavaju organizacije koje ne ispunjavaju svoje obaveze. Za više informacija o specifičnoj ulozi i ovlaštenjima holandskog tijela, možete pročitati naš detaljan članak o holandskom Agenciji za zaštitu podataka.

Snažan primjer ovoga je nedavna akcija protiv Clearview AI. Dana 3. septembra 2024. godine, holandska AP je izrekla kaznu od 30.5 miliona eura američkoj kompaniji za prepoznavanje lica zbog njenih ilegalnih praksi prikupljanja podataka. Ovaj slučaj snažno ističe značajne finansijske posljedice obrade biometrijskih podataka bez zakonske osnove. To je dio šireg trenda širom EU, gdje su organi za zaštitu podataka izrekli kazne u ukupnom iznosu od milijardi eura. Najčešći i najskuplji prekršaj? Nedovoljna zakonska osnova. Možete istražiti više o najvećim kaznama za GDPR i njihovim uzrocima.

Osim finansijskih kazni

Posljedice kršenja GDPR-a protežu se daleko izvan početne kazne. Šteta na ugledu može biti još skuplja i dugotrajnija. Javna provedba zakona može dovesti do značajnog gubitka povjerenja kupaca, partnera i javnosti.

Druge potencijalne posljedice uključuju:

• Korektivne naredbe: AP vam može narediti da prestanete obrađivati ​​podatke, prisiljavajući tako prekid ključnih poslovnih operacija.
• Nalozi za brisanje podataka: Možda ćete morati izbrisati sve nepravilno prikupljene biometrijske podatke.
• građanske parnice: Pogođene osobe imaju pravo tražiti naknadu štete, što otvara vrata kolektivnim tužbama.

Konačno, provođenje zakona u Holandiji je snažno. Holandska agencija za zaštitu podataka (AP) pokazala je da neće oklijevati da iskoristi svoja puna ovlaštenja kako bi zaštitila najosjetljivije podatke pojedinaca. Zbog toga je pažljivo poštivanje GDPR-a u vezi s biometrijskim podacima ključni poslovni prioritet.

Kreiranje plana za odgovor na povredu biometrijskih podataka

Zato je imati robustan, unaprijed pripremljen plan za reagovanje na incidente posebno vezane za biometrijske podatke ne samo dobra ideja – to je neophodno. Čim postanete svjesni kršenja sigurnosti, vrijeme počinje da teče.

Rok za obavještenje od 72 sata

Prema GDPR-u, imate strogi rok od 72 sata da prijavite povredu ličnih podataka svom nadzornom organu nakon što je otkrijete. Za svako preduzeće koje posluje u Holandiji, to znači obavještavanje holandske Agencije za zaštitu podataka (Autoriteit Persoonsgegevens ili AP).

Sedamdeset dva sata nije puno vremena, i upravo je to razlog zašto je unaprijed planiran odgovor toliko važan. Vaša obavijest mora detaljno opisati prirodu kršenja, vrste podataka i približan broj pogođenih osoba, kao i vjerovatne posljedice. Također morate objasniti mjere koje ste već poduzeli ili planirate poduzeti.

Korak 1: suzbijanje kršenja i procjena uticaja

Vaš neposredni prioritet je zaustaviti krvarenje. To zahtijeva koordinirane napore između vaših IT sigurnosnih i pravnih timova kako bi se obuzdala prijetnja i tačno utvrdilo šta se dogodilo.

• Izolirajte zahvaćene sisteme: Odmah isključite kompromitirane sisteme iz mreže kako biste spriječili daljnji neovlašteni pristup ili krađu podataka.
• Sačuvati dokaze: Osigurajte sve zapisnike i digitalne dokaze. Ovo je ključno za pravilnu forenzičku istragu i za vaše regulatorno izvještavanje.
• Identifikujte podatke: Navedite konkretne podatke o tome koji su biometrijski podaci bili pogođeni. Da li su to bile sirove slike ili šifrirani predlošci? Ko su uključene osobe?

Korak 2: utvrdite da li morate obavijestiti pojedince

Nakon što shvatite obim kršenja, suočavate se s još jednom ključnom odlukom. GDPR zahtijeva da direktno i "bez nepotrebnog odlaganja" obavijestite pogođene pojedince ako je vjerovatno da će kršenje rezultirati visokim rizikom za njihova prava i slobode.

Kod biometrijskih podataka, ovaj prag "visokog rizika" je gotovo uvijek ispunjen. Kršenje bi moglo dovesti do nepovratne krađe identiteta, finansijske prevare ili druge značajne lične štete. Holandska agencija za zaštitu podataka (AP) pokazala je sve strožu primjenu ovih zahtjeva za obavještavanje. Tokom 2024. godine, tijelo je primilo 37,839 obavještenja o kršenju ličnih podataka, pri čemu je značajan broj pokrenuo daljnje mjere. Stav holandske agencije za zaštitu podataka često se razlikuje od stavova drugih tijela EU, smatrajući većinu kršenja visokorizičnima i stoga zahtijevajući direktno obavještavanje pogođenih pojedinaca. Možete pronaći više uvida u pristup holandske Agencije za zaštitu podataka kršenjima podataka.

Vaše obavještenje pojedincima mora biti jasno i jednostavno. Treba objasniti šta se dogodilo, o kojim se informacijama radi i koje korake mogu poduzeti da se zaštite, kao što je oprez zbog pokušaja krađe identiteta (phishinga).

Korak 3: izvršite i dokumentirajte svoj odgovor

Vaš plan odgovora treba da bude živi priručnik, a ne dokument koji skuplja prašinu. Dok izvršavate plan, dokumentujte svaku poduzetu radnju. Ova dokumentacija će postati vaš primarni dokaz AP-u da ste djelovali odgovorno i marljivo.

Ovo uključuje evidentiranje svake odluke, komunikacije i tehničke mjere od trenutka otkrivanja. Dobro dokumentiran odgovor može značajno utjecati na to kako regulatori gledaju na ukupnu usklađenost vaše organizacije i može utjecati na ozbiljnost potencijalnih kazni.

Česta pitanja o usklađenosti s biometrijskim podacima

Otisci prstiju na radnom mjestu: gdje test nužnosti grize

Izuzetak u holandskom Zakonu o implementaciji GDPR-a dozvoljava biometrijsku obradu radi identifikacije ili autentifikacije tamo gdje je to neophodno za autentifikaciju ili sigurnosne svrhe. Neophodno je ključna riječ, a procjenjuje se pitanjem da li se svrha može razumno postići manje nametljivim sredstvima. Skener koji kontroliše pristup kasi, sistemu za registraciju vremena ili vratima kancelarije obično ne prolazi taj test, jer značka, kod ili ključ postižu isti rezultat bez obrade biometrijskih podataka.

Saglasnost rijetko spašava takav sistem. U radnom odnosu, saglasnost je rijetko dovoljno slobodna da bi bila važeća, jer zaposlenik koji odbija nije u poziciji da kaže ne bez posljedica. Tamo gdje se poslodavac oslanja na saglasnost, mora biti u stanju da dokaže da je postojala stvarna alternativa i da je ponuđena u praksi, a ne samo na papiru.

Holandska sudska praksa zauzela je isti stav. U slučaju o maloprodajnom lancu koji je zahtijevao od osoblja da se prijavi u kasski sistem otiskom prsta, sud je utvrdio da poslodavac nije dokazao da je skeniranje neophodno iz sigurnosnih razloga i da se od zaposlenika ne može zahtijevati da učestvuje. Tamo gdje je biometrijska identifikacija prihvaćena, sigurnosni interes je bio značajan i specifičan: objekat za rukovanje opasnim materijalima, sigurna laboratorija, podatkovni centar, trezor.

Šta je regulator nametnuo

Holandska Agencija za zaštitu podataka izrekla je kaznu od 725,000 eura kompaniji koja je skenirala otiske prstiju zaposlenih radi registracije prisustva i vremena, smatrajući da se nijedan izuzetak ne primjenjuje: saglasnost nije bila slobodna, a pogodnost registracije sati nije sigurnosna svrha koja čini obradu neophodnom.

Četiri pitanja provlače se kroz praksu provođenja zakona. Koja je svrha, konkretno navedena, a ne kao sigurnost općenito? Može li se postići manje nametljivim sredstvima? Ako se oslanja na pristanak, da li je odbijanje zaista bilo bez posljedica? I da li je ta procjena dokumentirana prije implementacije, a ne nakon žalbe? Posljednja tačka je ono u čemu organizacije gube: analiza napisana nakon događaja ima vrlo malu težinu, dok ista analiza provedena prethodno, uz procjenu utjecaja na zaštitu podataka, predstavlja dokaz da je implementacija razmatrana.

Izbor dizajna je također važan. Sistem koji pohranjuje predložak na kartici ili na korisnikovom uređaju, umjesto centralne baze podataka biometrijskih zapisa, znatno je lakše opravdati i znatno je manje štetan ako dođe do njegovog kršenja.

Radnički savet

Uz analizu zaštite podataka, sistem koji registruje ili prati zaposlene zahtijeva saglasnost radničkog vijeća, gdje ono postoji. To je nezavisan zahtjev: ispunjavanje GDPR-a ga ne isključuje, a sistem instaliran bez njega može biti suspendovan.