Biometrijski podaci prema GDPR-u: kada ih možete koristiti u Holandiji?

Biometrijski podaci, kao što su otisci prstiju, slike lica ili glasovni obrasci, posebna su kategorija ličnih podataka prema GDPR-u kada se obrađuju radi jedinstvene identifikacije osobe. U Nizozemskoj je takva obrada u principu zabranjena; glavni izuzetak je kada je neophodna za autentifikaciju ili sigurnosne svrhe, a za zaposlenike taj test rijetko se susreće sa satom za evidenciju radnog vremena ili vratima ureda.

Holandska Uprava za zaštitu podataka (Autoriteit Persoonsgegevens, AP) strogo primjenjuje ova pravila i kažnjavala je poslodavce i tehnološke kompanije zbog korištenja biometrije bez valjane osnove. U nastavku objašnjavamo šta se smatra biometrijskim podacima, koji su pravni osnovi dostupni, kada vam je potrebna procjena utjecaja na zaštitu podataka, koje se mjere zaštite očekuju i šta učiniti ako nešto pođe po zlu.

Šta su biometrijski podaci prema GDPR-u?

Biometrijski podaci su lični podaci koji proizlaze iz specifične tehničke obrade fizičkih, fizioloških ili bihevioralnih karakteristika osobe, a koji omogućavaju ili potvrđuju jedinstvenu identifikaciju te osobe. Svrha i tehnika određuju, a ne vrsta slike ili snimka.

Ova definicija se nalazi u članu 4(14) Opće uredbe o zaštiti podataka (GDPR) . Fotografija zaposlenika na identifikacionoj znački je lični podatak, ali ne automatski biometrijski podatak. U trenutku kada se ista fotografija pretvori u predložak lica i koristi je sistem za prepoznavanje za odobravanje pristupa zgradi, ona postaje biometrijski podatak. Ta promjena potpuno mijenja pravni okvir.

Primjeri biometrijskih identifikatora su otisci prstiju, geometrija lica, obrasci šarenice i mrežnjače, obrasci glasa i osobine ponašanja poput ritma tipkanja ili načina hoda. Ono što im je zajedničko je da se koriste za prepoznavanje jedne određene osobe.

Zašto GDPR tretira biometrijske podatke drugačije?

Prema članu 9. GDPR-a, biometrijski podaci koji se obrađuju u svrhu jedinstvene identifikacije osobe spadaju u posebne kategorije ličnih podataka. Ista kategorija uključuje podatke o rasnom ili etničkom porijeklu, političkim stavovima, vjerskim uvjerenjima, zdravlju i seksualnom životu.

Razlog je taj što su posljedice zloupotrebe ozbiljne i često nepovratne. Lozinka se može promijeniti; otisak prsta ili šarenica ne mogu. Ako je baza podataka biometrijskih predložaka kompromitovana, dotične osobe suočavaju se s trajnim rizikom od krađe identiteta.

Koliko je strog holandski pristup?

AP strogo tumači ova pravila. Polazi od toga da je biometrijska identifikacija zabranjena i da su izuzeci ograničeni.

Holandski Zakon o implementaciji GDPR-a (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) dodaje nacionalni izuzetak. Prema članu 29 UAVG-a, biometrijski podaci mogu se obrađivati ​​radi jedinstvene identifikacije ako je to neophodno za autentifikaciju ili sigurnosne svrhe. „Neophodno“ je ključna riječ. To znači da se svrha ne može razumno postići manje nametljivim sredstvima, kao što su značka, kod ili ključ. AP je u svojim smjernicama jasno stavio do znanja da prepoznavanje lica na javno dostupnim mjestima, kao što su trgovine, u principu nije dozvoljeno.

Koja vam je pravna osnova potrebna?

Potrebna su vam dva: zakonita osnova prema članu 6. GDPR-a za obradu kao takvu i izuzetak prema članu 9(2) GDPR-a ili članu 29. UAVG-a za ukidanje zabrane za posebne kategorije. Bez oba, obrada je nezakonita.

Član 6. GDPR-a navodi šest pravnih osnova: pristanak, izvršenje ugovora, pravna obaveza, vitalni interesi, zadatak u javnom interesu i legitimni interesi. To je prva prepreka i primjenjuje se na sve lične podatke.

Budući da su biometrijski podaci posebna kategorija, morate ispuniti jedan od uslova iz člana 9(2) GDPR-a ili holandski izuzetak u članu 29 UAVG-a. Ovo su jedini načini na koje se zabrana može ukinuti. Prije nego što počnete, utvrdite i ko je kontrolor, a ko obrađivač, na primjer dobavljač sistema za skeniranje. Naš članak o ulogama kontrolora i obrađivača prema GDPR-u objašnjava razliku i ugovor o obradi koji vam je potreban.

Kada je izričita saglasnost važeća?

Eksplicitna saglasnost je viši standard od obične saglasnosti. Mora biti data jasnom, potvrdnom izjavom i mora biti specifična, informirana, nedvosmislena i data slobodno.

• Specifično: Općenito pozivanje na „sigurnosne svrhe“ nije dovoljno; morate precizno navesti zašto su vam potrebni biometrijski podaci.
• informisan: Ljudi moraju znati koje podatke prikupljate, šta radite s njima, ko ima pristup i koliko dugo ih čuvate.
• Besplatno dato: Osoba mora biti u mogućnosti odbiti bez negativnih posljedica i mora biti u mogućnosti povući pristanak u bilo kojem trenutku.

U radnom odnosu, posljednji uslov je problem. Zaposlenik koji odbija može se bojati posljedica, te stoga AP smatra da se saglasnost zaposlenika rijetko daje slobodno. Poslodavac koji se oslanja na saglasnost mora biti u stanju da pokaže da je postojala stvarna alternativa i da je ponuđena u praksi, a ne samo na papiru.

Koji drugi izuzeci postoje?

Ostali izuzeci su rijetki. Tabela ispod upoređuje najrelevantnije.

Možete li koristiti otiske prstiju ili skeniranje lica za zaposlenike?

Samo ako je biometrijski podaci zaista neophodni za autentifikaciju ili sigurnost, a manje nametljivo sredstvo ne bi bilo dovoljno. Za registraciju vremena, kasu ili obična kancelarijska vrata, to obično nije slučaj.

Test prema Članu 29. Zakona o bespilotnim letovima (UAVG) jeste da li se svrha može razumno postići manje nametljivim sredstvima. Skener koji kontroliše pristup kasi, sistemu za registraciju vremena ili vratima kancelarije obično ne prolazi taj test, jer značka, kod ili ključ postižu isti rezultat bez biometrijskih podataka. Tamo gdje se prihvata biometrijski pristup, sigurnosni interes je značajan i specifičan: objekat koji rukuje opasnim materijalima, sigurna laboratorija, podatkovni centar ili trezor.

Odvojeno, tamo gdje postoji radničko vijeće (ondernemingsraad), sistem koji registruje ili prati prisustvo, ponašanje ili učinak zaposlenika, ili koji obrađuje njihove lične podatke, zahtijeva njegovu saglasnost u skladu sa članom 27(1)(k) i (l) Zakona o radničkim vijećima (Wet op de ondernemingsraden, WOR). Poštivanje GDPR-a ne uklanja taj zahtjev, a sistem uveden bez saglasnosti može se osporiti.

Možete li koristiti biometriju za kupce?

Ponekad, ali vrijede ista stroga pravila. Kod kupaca, eksplicitna saglasnost može biti valjan osnov, pod uslovom da je korištenje biometrije zaista opcionalno i da je dostupna ekvivalentna alternativa.

Uobičajeni primjeri su otključavanje bankarske aplikacije otiskom prsta, provjera identiteta selfijem prilikom otvaranja računa online i pristup teretani ili događaju s prepoznavanjem lica. Tamo gdje se biometrijska provjera odvija u potpunosti na vlastitom telefonu klijenta, koristeći ugrađenu tehnologiju telefona, kompanija obično ne prima same biometrijske podatke. To značajno smanjuje rizik i obaveze za kompaniju.

U slučajevima kada kompanija sama obrađuje podatke, na primjer poređenjem selfija sa fotografijom iz pasoša na vlastitim serverima, potreban joj je valjan osnov. Saglasnost zahtijeva da klijent može odabrati drugu rutu, kao što je verifikacija bankovnim transferom ili posjeta poslovnici, bez nepovoljnog položaja. Za banke i druge finansijske institucije, obaveze dužne pažnje prema klijentima prema zakonodavstvu o sprečavanju pranja novca igraju ulogu, ali same po sebi ne zahtijevaju biometrijsku obradu.

Šta je sa kamerama sa funkcijom prepoznavanja lica?

Kamere za prepoznavanje lica u trgovinama, stadionima ili drugim javno dostupnim mjestima u principu nisu dozvoljene za privatne zabave. Ljudi koji prolaze ne mogu dati eksplicitnu saglasnost, a rijetko postoji potreba koja ispunjava test iz Člana 29. Zakona o bespilotnim vozilima.

Agencija AP je upozorila trgovce da korištenje prepoznavanja lica za identifikaciju kradljivaca u trgovinama ili prepoznavanje kupaca nije dozvoljeno. Običan nadzor kamerama, bez biometrijske identifikacije, podliježe drugačijim, manje strogim pravilima, ali i dalje zahtijeva legitimni interes, jasne obavijesti i ograničene periode čuvanja podataka. Dodavanje softvera za prepoznavanje lica postojećem sistemu kamera potpuno mijenja procjenu.

Kada vam je potrebna procjena utjecaja na zaštitu podataka?

Gotovo uvijek. Obrada biometrijskih podataka radi identifikacije osoba je obrada visokog rizika, a AP ju je stavio na svoju listu operacija obrade koje zahtijevaju procjenu utjecaja na zaštitu podataka (DPIA) prema članu 35. GDPR-a.

DPIA je strukturirana procjena rizika za privatnost. Ona vas prisiljava da opišete šta planirate učiniti, identificirate rizike za uključene osobe i odlučite kako upravljati tim rizicima prije nego što skenirate i jedan otisak prsta ili lice. Ako je preostali rizik visok i ne može se dovoljno smanjiti, morate se konsultovati s AP-om prije nego što počnete (Član 36 GDPR-a).

DPIA se zasniva na pravnoj osnovi: prvo se utvrđuje osnova prema članu 6 i izuzetak prema članu 9 ili članu 29 UAVG-a, a zatim se procjenjuje da li je određeni sistem neophodan i proporcionalan.

Šta sadrži DPIA?

Uzmimo za primjer skener otiska prsta za pristup serverskoj sobi. DPIA obuhvata četiri elementa.

• Opis obrade. Koje podatke prikupljate: predložak ili cijelu sliku? Kako se prikupljaju, gdje se pohranjuju, kako se koriste i kada se brišu? Ko ima pristup? Da li je uključen dobavljač?
• Nužnost i proporcionalnost. Koji konkretan problem rješavate, kao što je neovlašteni pristup serverskoj sobi? Zašto značke ili kodovi nisu dovoljni u ovom slučaju? Da li su podaci koje prikupljate minimalni potrebni podaci?
• Rizici za uključene ljude. Šta ako se baza podataka predložaka ukrade? Da li bi se podaci kasnije mogli koristiti u druge svrhe, kao što je praćenje radnog vremena (function creep)? Šta se dešava sa zaposlenima čiji se otisci prstiju ne mogu očitati? Šta ako sistem blokira ovlaštenu osobu tokom vanredne situacije?
• Mjere za rješavanje rizika. Tehničke mjere poput šifriranja i pohranjivanja na karticu ili uređaj; organizacijske mjere poput politike, obuke i plana za odgovor na kršenje sigurnosti; te nebiometrijska alternativa kako niko ne bi bio isključen.

Pregledajte DPIA kada se promijeni obim, priroda ili kontekst obrade (Član 35(11) GDPR-a). Analiza napisana tek nakon pritužbe ima malu težinu u AP-u.

Koje se mjere zaštite očekuju?

Prikupljajte što je manje moguće, ne čuvajte podatke duže nego što je potrebno i zaštitite ih snažnim tehničkim i organizacijskim mjerama. Ovi principi proizlaze iz članova 5 i 32 GDPR-a.

Počnite s minimizacijom podataka: prikupljajte samo biometrijske podatke potrebne za određenu, legitimnu svrhu. Za kontrolu pristupa obično je dovoljan predložak; skeniranje lica visoke rezolucije nije potrebno. Kombinirajte ovo s ograničenjem pohrane: postavite period čuvanja i sigurno izbrišite podatke čim više nisu potrebni, na primjer kada zaposlenik ode ili mu više nije potreban pristup.

Tehničke i organizacijske mjere

Sigurnost mora odgovarati visokom riziku. Ključne tehničke mjere uključuju:

• Encryption biometrijskih podataka, kako u mirovanju tako i u tranzitu.
• Stroge kontrole pristupa, tako da samo ovlašteno osoblje s jasnom potrebom može pristupiti podacima.
• Decentralizovano skladištenjeKad god je to moguće, pohranite predloške na uređaju ili na korisnikovoj vlastitoj kartici, umjesto u centralnoj bazi podataka. To znatno smanjuje vjerovatnoću masovnog prodora.

Sama tehnologija nije dovoljna. Organizacijske mjere, kao što su pisana politika o biometrijskim podacima, obuka osoblja, periodične sigurnosne revizije i jasni sporazumi s dobavljačima, podjednako su važne. Ako dobavljač obrađuje podatke u vaše ime, potreban vam je ugovor o obradi u skladu s članom 28. GDPR-a.

Jasna obavijest o privatnosti

Ljudi imaju pravo znati šta radite s njihovim biometrijskim podacima (članovi 13. i 14. GDPR-a). Informacije moraju biti sažete, lako dostupne i napisane jednostavnim jezikom.

Obavještenje o privatnosti u vezi s biometrijskom obradom treba da objasni ko ste i kako da vas kontaktiramo, zašto obrađujete podatke, pravni osnov prema članu 6 i izuzetak na koji se pozivate, koje podatke prikupljate (na primjer, obrazac otiska prsta), koliko dugo ih čuvate, s kim ih dijelite, uključujući dobavljače, i koja prava ljudi imaju, kao što su pristup, ispravljanje, brisanje i prigovor.

Da li se primjenjuje i Zakon o umjetnoj inteligenciji?

Da, za određene biometrijske sisteme. Zakon EU o vještačkoj inteligenciji (Uredba (EU) 2024/1689) dodaje pravila pored GDPR-a.

Od 2. februara 2025. godine, Zakon o umjetnoj inteligenciji (AI) u potpunosti zabranjuje niz praksi, uključujući nenamjerno skidanje slika lica s interneta ili snimaka kamera radi izgradnje baza podataka za prepoznavanje lica, prepoznavanje emocija na radnom mjestu i u obrazovanju (osim iz medicinskih ili sigurnosnih razloga) i biometrijsku kategorizaciju radi utvrđivanja osjetljivih karakteristika poput rase ili seksualne orijentacije. Drugi biometrijski sistemi, poput daljinske biometrijske identifikacije, klasifikovani su kao visokorizični i podliježu strogim zahtjevima. Provjerite oba okvira prije uvođenja sistema.

Koje su posljedice nepoštovanja?

Visoke kazne, nalozi za prekid obrade i zahtjevi za naknadu štete. Za nezakonitu obradu posebnih kategorija, GDPR dozvoljava kazne do 20 miliona eura ili 4% svjetskog godišnjeg prometa, što god je veće.

Ovi maksimalni iznosi proizilaze iz člana 83(5) GDPR-a i primjenjuju se, između ostalog, na obradu bez valjane osnove ili izuzetka. Kršenje obaveza o sigurnosti i obavještavanju o kršenju (članovi 32 do 34 GDPR-a) može dovesti do novčanih kazni do 10 miliona eura ili 2% svjetskog prometa. Novčane kazne moraju biti efikasne, proporcionalne i odvraćajuće. AP određuje iznos u skladu sa vlastitom politikom izricanja kazni.

Šta je AP sproveo/la?

Agencija AP je kaznila i poslodavce i tehnološke kompanije zbog nezakonite obrade biometrijskih podataka. Dvije odluke se ističu.

AP je 2020. godine izrekao kaznu od 725,000 eura kompaniji koja je skenirala otiske prstiju zaposlenika radi evidencije prisustva i vremena. AP je utvrdio da se nijedan izuzetak nije primjenjivao: pristanak zaposlenika nije dat slobodno, a pogodnost registracije sati nije sigurnosni razlog koji bi biometrijsku obradu činio neophodnom. U septembru 2024. godine, AP je kaznio američku kompaniju Clearview AI sa 30.5 miliona eura zbog izgradnje baze podataka slika lica, uključujući i slike lica Holanđana, bez pravnog osnova.

Četiri pitanja provlače se kroz sprovođenje zakona od strane Agencije za zaštitu podataka (AP). Koja je svrha, navedena konkretno, a ne općenito kao „sigurnost“? Može li se to postići manje nametljivim sredstvima? Ako se oslanja na pristanak, mogu li ljudi odbiti bez posljedica? I da li je ovo procijenjeno i dokumentirano prije uvođenja sistema? Naš članak o holandskoj Agenciji za zaštitu podataka detaljnije objašnjava ovlaštenja Agencije za zaštitu podataka.

Druge posljedice

Kazna nije jedini rizik. AP vam može naložiti da prekinete obradu, što može zaustaviti sistem od kojeg zavise vaše operacije, a može vam naložiti i da izbrišete nezakonito prikupljene podatke. Osobe čiji su podaci nezakonito obrađeni mogu tražiti naknadu materijalne i nematerijalne štete prema članu 82. GDPR-a, a u Holandiji se takvi zahtjevi mogu podnijeti i kolektivno. Šteta po ugled koju nanosi odluka o javnom izvršenju može biti znatna.

Šta učiniti ako dođe do curenja biometrijskim podacima?

Ograničite kršenje propisa, procijenite rizik, obavijestite AP u roku od 72 sata i, ako je rizik visok, obavijestite pogođene osobe bez nepotrebnog odlaganja. Pripremite ovo u planu odgovora prije nego što išta pođe po zlu.

Prema članu 33. GDPR-a, morate prijaviti povredu ličnih podataka Agenciji za zaštitu podataka (AP) bez nepotrebnog odlaganja i, gdje je to izvodljivo, u roku od 72 sata od saznanja o povredi, osim ako je malo vjerovatno da će povreda rezultirati rizikom za dotične osobe. Obavještenje opisuje prirodu povrede, kategorije i približan broj pogođenih osoba i zapisa, vjerovatne posljedice i poduzete ili predložene mjere. Ako ne možete dati sve informacije odjednom, možete ih dopuniti kasnije.

Korak 1: suzbijanje kršenja i procjena uticaja

Vaš prvi prioritet je zaustaviti proboj. Izolujte pogođene sisteme, sačuvajte logove i druge dokaze za istragu i utvrdite tačno koji su podaci bili pogođeni: sirove slike ili šifrirani predlošci, i čiji.

Korak 2: odlučite hoćete li obavijestiti pogođene osobe

Prema članu 34. GDPR-a, morate bez nepotrebnog odlaganja obavijestiti pogođene osobe ako je vjerovatno da će kršenje rezultirati visokim rizikom za njihova prava i slobode. Kod biometrijskih podataka, taj prag će često biti ispunjen, jer se podaci ne mogu mijenjati. Izuzetak su, na primjer, podaci koji su bili snažno šifrirani i čiji ključ nije bio kompromitovan. Poruka mora biti napisana jednostavnim jezikom: šta se dogodilo, koji su podaci bili uključeni i šta ljudi mogu učiniti da se zaštite.

Korak 3: izvršite i dokumentirajte odgovor

Zabilježite svaki korak: trenutak otkrivanja, donesene odluke, komunikaciju i tehničke mjere. Prema članu 33(5) GDPR-a, morate dokumentirati svako kršenje, uključujući i ona koja niste morali prijaviti. Dobra dokumentacija pokazuje AP-u da ste postupali pažljivo i može utjecati na način na koji će procijeniti slučaj.

Šta biste trebali provjeriti kao poslodavac ili kompanija?

Prvo provjerite neophodnost i dokumentirajte svaki korak prije nego što sistem bude pušten u rad. Ovih pet provjera pokrivaju tačke koje AP razmatra.

• Navedite specifičnu sigurnosnu svrhu i zašto značka, PIN kod ili ključ nisu dovoljni (Član 29. UAVG-a).
• Zabilježite svoju pravnu osnovu prema članu 6. GDPR-a i izuzetak prema članu 9. stav 2. GDPR-a ili članu 29. Zakona o upravljanju vozilima (UAVG).
• Završite DPIA prije prvog skeniranja i konsultujte se sa AP-om ako i dalje postoji visok rizik (članovi 35. i 36. GDPR-a).
• Prije uvođenja sistema, zatražite saglasnost radničkog vijeća u skladu s članom 27(1)(k) i (l) WOR-a.
• Potpišite ugovor o obradi podataka s dobavljačem (Član 28. GDPR-a) i odredite period čuvanja predložaka.

Šta biste trebali provjeriti kao zaposlenik ili kupac?

Imate pravo znati kako se vaši biometrijski podaci koriste i uložiti prigovor na nezakonitu obradu. Označite ove tačke ako se od vas traži da skenirate otisak prsta ili lice.

• Postoji li nebiometrijska alternativa, poput značke ili PIN koda, i možete li je koristiti bez ikakvih nedostataka?
• Da li obavještenje o privatnosti navodi svrhu, pravni osnov i period čuvanja (članovi 13. i 14. GDPR-a)?
• Da li je radničko vijeće dalo saglasnost za sistem, ukoliko ga vaš poslodavac ima (Član 27 WOR-a)?
• Zatražite pristup ili brisanje vaših podataka; organizacija mora odgovoriti u roku od mjesec dana (članovi 12, 15 i 17 GDPR-a).
• Ako vaša prava nisu poštovana, podnesite žalbu Apelacionom odboru (Član 77 GDPR-a) ili tražite odštetu prema Članu 82 GDPR-a.

Šta možemo učiniti za vas s biometrijskim podacima?

Naši IT advokati pomažu poslodavcima, tehnološkim kompanijama i pojedincima s biometrijskim sistemima, od prvog plana do postupka pred AP-om.

• Procjenjujemo da li vaš biometrijski sistem ispunjava uslove iz člana 29. Zakona o upravljanju vozilima (UAVG).
• Izrađujemo ili pregledavamo DPIA i obavještenje o privatnosti.
• Pripremamo zahtjev za saglasnost radničkom vijeću prema članu 27 WOR-a.
• Pregledavamo ugovor o obradi podataka s vašim dobavljačem u skladu s članom 28. GDPR-a.
• Pomažemo vam da obavijestite AP o povredi podataka u roku od 72 sata i odgovorite na provođenje AP-a.

rezime

• Biometrijski podaci koji se koriste za jedinstvenu identifikaciju su posebna kategorija prema članu 9. GDPR-a; obrada je zabranjena osim ako se ne primjenjuje izuzetak.
• U Holandiji, Član 29 UAVG-a to dozvoljava samo tamo gdje je to neophodno za autentifikaciju ili sigurnost; praktičnost nije dovoljna.
• Saglasnost zaposlenika rijetko je važeća; ponudite stvarnu nebiometrijsku alternativu i pribavite saglasnost radničkog vijeća gdje je to potrebno.
• Prethodno provedite DPIA, minimizirajte podatke, lokalno pohranite predloške i šifrirajte ih.
• Prijavite kršenja AP-u u roku od 72 sata; kazne mogu doseći 20 miliona eura ili 4% svjetskog prometa.

Često Postavljena Pitanja