Vodnik za skladnost biometričnih podatkov z GDPR na Nizozemskem

Da bi se lotili biometričnih podatkov in skladnosti z GDPR, moramo najprej odgovoriti na temeljno vprašanje: kaj točno so biometrični podatki? To niso kar osebni podatki. Govorimo o podatkih, pridobljenih iz edinstvenih fizičnih ali vedenjskih lastnosti – kot so prstni odtis, vzorec šarenice ali celo glas –, ki lahko nedvoumno identificirajo določeno osebo.

Predstavljajte si to kot biološki ključ, ki je edinstven za posameznika in ga je praktično nemogoče spremeniti.

Opredelitev biometričnih podatkov v skladu z GDPR

V skladu s Splošno uredbo o varstvu podatkov (GDPR) nekaj »biometrični podatek« ne opredelimo kot vrsto podatkov (kot je fotografija), temveč kot namen , za katerega jih obdelujemo. Preprosta fotografija zaposlenega na njegovi osebni izkaznici se ne šteje samodejno za biometrični podatek.

Vendar pa v trenutku, ko je ista fotografija vnesena v sistem za prepoznavanje obrazov za odobritev dostopa do stavbe, postane biometrični podatek. Pravni okvir se popolnoma spremeni.

Ključni dejavnik je »specifična tehnična obdelava«, ki se uporablja za namene enolične identifikacije. Pravilno razlikovanje je temelj razumevanja vaših obveznosti glede skladnosti. Nianse si lahko podrobneje ogledate v našem vodniku o obdelavi biometričnih podatkov.

Zakaj GDPR biometrične podatke obravnava drugače

Biometrični podatki so v skladu s členom 9 GDPR razvrščeni kot „posebna kategorija osebnih podatkov“ . Ta razvrstitev jih uvršča v isto skupino visokega tveganja kot podatke o:

• Rasno ali etnično poreklo
• Politična mnenja
• Verska ali filozofska prepričanja
• Zdravje ali spolno življenje

Ta povišan status obstaja z dobrim razlogom: kršitev biometričnih podatkov ima nepopravljive posledice. Za razliko od gesla ne morete kar tako spremeniti svojega prstnega odtisa ali šarenice. Če so ti podatki ogroženi, to za to osebo ustvari trajno tveganje kraje identitete in goljufije.

Za jasnejšo sliko je tukaj razčlenitev pogostih vrst biometričnih podatkov in njihovega statusa v skladu z GDPR.

Kot je razvidno iz tabele, je stalna tema uporaba teh podatkov za enolično identifikacijo , kar samodejno sproži zaščito posebne kategorije iz 9. člena.

Nizozemski regulativni pristop

Tukaj na Nizozemskem nizozemski organ za varstvo podatkov (Autoriteit Persoonsgegevens ali AP) uveljavlja še posebej strogo razlago teh pravil. Njihova navodila o tehnologiji prepoznavanja obrazov na primer jasno kažejo, da je njena uporaba v večini primerov prepovedana.

Ključni preizkus je vedno, ali je obdelava namenjena nedvoumni identifikaciji posameznika. To strogo stališče poudarja, kako prepričljiva mora biti vaša pravna utemeljitev, preden sploh razmislite o uvedbi takega sistema.

Iskanje vaše zakonite podlage za obdelavo biometričnih podatkov

Ko gre za biometrične podatke, vam GDPR v bistvu odpravlja dve ločeni pravni ovir. Ne gre le za iskanje enega dobrega razloga za obdelavo podatkov. Za splošno obdelavo potrebujete pravno podlago v skladu s 6. členom in nato še drugi, veliko strožji pogoj iz 9. člena, ker gre za podatke „posebne kategorije“. O tej dvodelni zahtevi se absolutno ni mogoče pogajati.

Predstavljajte si to kot bančni trezor z dvema različnima ključavnicama. 6. člen je prvi ključ, tisti, ki ga potrebujete za kakršno koli obdelavo osebnih podatkov. Ker pa so biometrični podatki tako občutljivi, 9. člen zahteva drugi, bolj specializiran ključ, preden sploh lahko pomislite na odpiranje vrat.

Dvoključni sistem skladnosti z GDPR

Najprej morate obdelavo utemeljiti na eni od šestih pravnih podlag iz 6. člena . To so običajni osumljenci: privolitev, pogodbena nujnost, pravna obveznost, ki jo morate izpolniti, življenjski interesi, opravljanje javne naloge ali vaši lastni legitimni interesi.

Ko enkrat določite osnovo za 6. člen , se začne pravi izziv. Izpolniti morate tudi enega od posebnih pogojev, navedenih v 9. členu(2) , ki so edini pogoji za obdelavo podatkov posebne kategorije. Za biometrijo je najbolj znan – in najpogosteje napačno razumljen – pogoj izrecna privolitev.

Dekonstrukcija izrecne privolitve

Ne zamenjujte »izrecne privolitve« s standardno privolitvijo, ki jo morda uporabljate za marketinško glasilo. To je veliko višja zahteva. Ne sme biti ločena od vaših pogojev uporabe ali implicitno izhajati iz dejanj nekoga drugega. Mora biti kristalno jasno, pozitivno dejanje, ki je:

• Posebno: Ne morete kar tako zahtevati nejasnega soglasja zaradi "varnostnih razlogov". Natančno morate pojasniti, zakaj potrebujete biometrične podatke.
• obveščen: Ljudje morajo natančno vedeti, katere podatke zbirate, kaj boste z njimi počeli, kdo jih lahko vidi in kako dolgo jih boste hranili.
• Prostovoljno dano: Tu postane zapleteno, zlasti na delovnem mestu. Zaposleni se lahko počuti pod pritiskom, da se strinja z biometričnim sistemom, saj se boji negativnih posledic, če bi ga zavrnil. To neravnovesje moči pomeni, da njegova privolitev ni resnično »prostovoljno dana« in je zato pravno neveljavna.

Nizozemska agencija AP (Autoriteit Persoonsgegevens) je izjemno skeptična do uporabe privolitve kot podlage za obdelavo biometričnih podatkov zaposlenih. Izhodišče organa je, da takšna privolitev skoraj nikoli ni dana prostovoljno in posledično ne izpolnjuje strogih zahtev GDPR.

To je ključna točka za podjetja na Nizozemskem. Zanašanje na soglasje zaposlenih za biometrično merjenje delovnega časa ali sistem za dostop do pisarne je skoraj vedno slepa ulica na področju skladnosti s predpisi. Poiskati morate močnejšo in ustreznejšo pravno podlago.

Več kot le privolitev: raziskovanje drugih izjem iz 9. člena

Čeprav izrecna privolitev pritegne vse naslovnice, 9. člen ponuja nekaj drugih, zelo ozkih izjem, ki bi lahko upravičile uporabo biometričnih podatkov. Ključnega pomena je, da se prepričate, da vaša specifična situacija popolnoma ustreza enemu od teh pogojev, saj lahko napačna določitev povzroči resne težave. Vsako podjetje bo moralo skrbno oceniti svojo vlogo in odgovornosti, o čemer si lahko preberete v naši podrobni razlagi upravljavca in obdelovalca v skladu z GDPR.

Da bi bilo to bolj jasno, primerjajmo najpomembnejše pogoje in njihove stroge zahteve.

Primerjava zakonitih podlag za obdelavo biometričnih podatkov

Spodnja tabela razčlenjuje pogoste pogoje iz 9. člena, ki jih lahko upoštevate, in poudarja, kje delujejo in kje pogosto ne delujejo.

Navsezadnje pri izbiri prave pravne podlage ne gre za izbiro najlažje možnosti. Zahteva temeljito in dokumentirano analizo vaših specifičnih okoliščin. Že sama izbira tiste, ki se zdi najprimernejša, je hitra pot do neskladnosti in morebitnega trkanja na vrata s strani nizozemske AP.

Kako izvesti oceno učinka na varstvo podatkov

Če vaša organizacija sploh razmišlja o obdelavi biometričnih podatkov v resničnem obsegu, potem ocena vpliva na varstvo podatkov (DPIA) ni le dobra ideja – je pravna obveznost v skladu z GDPR.

Predstavljajte si oceno tveganja za zasebnost kot formalno oceno tveganja za zasebnost. Gre za strukturiran postopek, ki vas sili, da natančno načrtujete, kaj nameravate storiti, opazite morebitne nevarnosti za posameznike in ugotovite, kako obvladovati ta tveganja, še preden skenirate en sam prstni odtis ali obraz.

To je veliko več kot le preprosto odkljukanje polj. Gre za temeljni del dokazovanja odgovornosti in vključevanja varstva podatkov v samo zasnovo vaših sistemov. Za vsako dejavnost z visokim tveganjem, kot je biometrija, bo nizozemski organ za varstvo podatkov (AP) zagotovo pričakoval celovito in dobro utemeljeno oceno učinka na varstvo podatkov, če bo kdaj postavil vprašanja.

Preden sploh lahko začnete z oceno učinka na varstvo podatkov za biometrične podatke, morate najprej odpraviti dve temeljni pravni oviri, kot prikazuje spodnji diagram.

Najprej morate najti pravno podlago v skladu s 6. členom in nato izpolniti enega od strogih, specifičnih pogojev iz 9. člena. Šele nato lahko nadaljujete z oceno.

Ključne komponente ocene učinka na varstvo podatkov

Zanesljiva ocena učinka na varstvo podatkov mora sistematično opisati obdelavo, oceniti, zakaj je potrebna in sorazmerna, ter obvladovati tveganja za pravice in svoboščine ljudi. Oglejmo si ključne korake na primeru zelo pogostega scenarija: namestitve bralnika prstnih odtisov za nadzor dostopa v pisarno.

1. Opišite obdelavo: Bodite natančni. Podrobno morate opisati celotno pot podatkov od začetka do konca.

   • Kaj točno zbirate? (npr. predloge prstnih odtisov, ne celotnih slik).
   • Kako bodo ti podatki zbrani, kje bodo shranjeni, kako bodo uporabljeni in kdaj bodo izbrisani?
   • Kdo lahko dostopa do teh podatkov in zakaj?
   • Ali so vključeni kakšni zunanji prodajalci, kot je podjetje, ki je dobavilo sistem za skeniranje?

2. Ocenite nujnost in sorazmernost: Tukaj utemeljite svojo odločitev. Zahteva, da izpodbijate lastne predpostavke in dokažete, da je uporaba biometričnih podatkov najbolj smiselna izbira.

   • Katero natančno težavo poskušate odpraviti? (npr. preprečevanje nepooblaščenega dostopa do strežniških sob).
   • Zakaj manj vsiljive metode, kot so varne kartice s ključem ali PIN-kode, niso dovolj dobre za to specifično situacijo?
   • Ali so podatki, ki jih zbirate, resnično minimalni podatki, potrebni za dosego vašega cilja?

3. Prepoznajte in ocenite tveganja: Postavite se v kožo zaposlenega. Kaj bi lahko šlo zanj narobe?

   • Kršitev podatkov: Kakšen je vpliv na resnični svet, če je baza podatkov s predlogami prstnih odtisov ukradena?
   • Funkcija lezenja: Ali obstaja tveganje, da bi se ti podatki lahko kasneje uporabili za druge stvari, kot je spremljanje prihoda in odhoda zaposlenih, ne da bi jih obvestili?
   • Izključitev: Kaj se zgodi, če zaposleni ne more uporabljati sistema zaradi kožne bolezni ali obrabljenih prstnih odtisov? Ali obstaja zanj kakšna alternativa?
   • Netočnost: Kaj pa, če sistem med požarnim alarmom zablokira in pooblaščeno osebo zaklene zunaj?

4. Določite ukrepe za zmanjšanje tveganj: Za vsako tveganje, ki ste ga pravkar našteli, morate predlagati konkretno rešitev. To je najbolj praktičen del postopka.

   • Tehnični ukrepi: To bi lahko pomenilo uvedbo močnega šifriranja podatkov, uporabo varnega shranjevanja predlog (shranjevanje na napravi je pogosto boljše kot na centralnem strežniku) in uveljavljanje strogih kontrol dostopa.
   • Organizacijski ukrepi: To vključuje oblikovanje jasne politike o biometričnih podatkih, usposabljanje osebja na tem področju in pripravo posebnega načrta za odzivanje na kršitve podatkov za ta sistem.
   • Ukrepi sorazmernosti: Vedno ponudite nebiometrično alternativo za dostop, kjer je to mogoče. To zagotavlja, da sistem nikogar ne izključi nepravično.

Dobro izvedena ocena učinka na varstvo podatkov je živ dokument. Ni nekaj, kar naredite enkrat in nato shranite. Pregledati in posodobiti jo je treba, če se obseg, narava ali kontekst vaše biometrične obdelave spremeni. Služi kot vaš glavni dokaz skrbnega pregleda, če regulator kdaj podvomi v vaše prakse.

Z upoštevanjem te strukture se ocena učinka na varstvo podatkov (DPIA) iz zahtevne pravne obveznosti spremeni v močno strateško orodje. Pomaga zagotoviti, da je vaša uporaba biometričnih podatkov zgrajena na trdnih temeljih predvidevanja in odgovornosti, s čimer ščiti tako vašo organizacijo kot tudi ljudi, katerih podatke obdelujete.

Bistveni koraki za vsakodnevno skladnost s predpisi

Zagotavljanje skladnosti z GDPR za biometrične podatke ni enkratna pravna naloga, ki jo lahko odkljukate na seznamu. Gre za stalno zavezo, ki mora biti vtkana v tkivo vašega vsakodnevnega poslovanja. Ko uredite svojo pravno podlago in opravite oceno učinka na varstvo podatkov, se resnično začne pravo delo odgovornega upravljanja teh občutljivih podatkov. Gre za pretvorbo pravnih načel v praktična, vsakodnevna dejanja.

V središču tega je zagotoviti, da temeljna načela GDPR postanejo privzeta nastavitev vašega podjetja. Odličen začetek je zmanjševanje podatkov . Gre za preprosto, a neverjetno močno idejo: zbirajte le biometrične podatke, ki jih nujno potrebujete za določen, legitimen namen, ki ste ga opredelili. Nič več. Če vzpostavljate sistem za dostop do pisarne, ali res potrebujete visokoločljivostno skeniranje obraza, ko bi delo prav tako dobro opravila veliko preprostejša biometrična predloga? Verjetno ne.

To gre roko v roki z omejitvijo shranjevanja . Biometričnih podatkov ne bi smeli hraniti za vedno. Vzpostaviti in uveljavljati morate jasne politike hrambe. Ta pravila bi morala natančno določati, kako dolgo boste hranili podatke, in zagotoviti, da bodo varno izbrisani takoj, ko jih ne boste več potrebovali za prvotni namen.

Izvajanje tehničnih in organizacijskih zaščitnih ukrepov

Ustrezna zaščita biometričnih podatkov zahteva večplastno varnostno strategijo. To pomeni združevanje tehničnih rešitev in trdnih notranjih politik. To niso le nekaj, kar je lepo imeti; gre za neizogibne zahteve v skladu s Splošno uredbo o varstvu podatkov.

Tukaj je nekaj ključnih tehničnih ukrepov, ki jih morate imeti vzpostavljenih:

• Močno šifriranje: Vsi biometrični podatki morajo biti šifrirani, pika. To velja tako za shranjevanje na strežnikih kot tudi na napravah (v mirovanju) in ko se pošilja prek omrežja (v tranzitu). Šifriranje naredi podatke neberljive in neuporabne za vsakogar, ki bi do njih lahko prišel brez dovoljenja.
• Stroge kontrole dostopa: Ni nujno, da vsi v vaši organizaciji vidijo ali obravnavajo biometrične podatke. Uporabite nadzor dostopa na podlagi vlog, da zaklenete stvari in zagotovite, da lahko do teh podatkov dostopa le pooblaščeno osebje z jasno in legitimno potrebo.
• Varno shranjevanje: Kadar koli je mogoče, se izogibajte shranjevanju biometričnih predlog v eni veliki centralni bazi podatkov. Veliko varnejši pristop je, da jih shranite lokalno na napravi, kot je sam skener ali dostopna kartica zaposlenega. Ta decentraliziran model drastično zmanjša tveganje za katastrofalno množično kršitev podatkov.

Vendar sama tehnologija ni dovolj. Vaši organizacijski ukrepi so prav tako pomembni. Izvajanje robustnih varnostnih ukrepov, kot so tisti v biometričnih pristopih k varnosti , lahko resno zmanjša tveganje goljufij in okrepi vašo splošno skladnost s predpisi. To pomeni tudi redno usposabljanje osebja o politikah varstva podatkov in izvajanje periodičnih varnostnih pregledov za odkrivanje in odpravljanje ranljivosti, preden postanejo problem.

Ustvarjanje preglednih in jasnih obvestil o zasebnosti

Preglednost je temelj GDPR. Ljudje imajo absolutno pravico vedeti, kaj točno počnete z njihovimi biometričnimi podatki. Vaše obvestilo o zasebnosti ne sme biti gost, žargonsko poln dokument, skrit v nogi vašega spletnega mesta. Mora biti jasno, jedrnato in enostavno za iskanje in razumevanje.

Skladno obvestilo o zasebnosti za obdelavo biometričnih podatkov mora jasno pojasniti:

1. Kdo ste: Ime in kontaktni podatki vašega podjetja.
2. Zakaj obdelujete podatke: Konkreten, legitimen razlog (npr. "za zagotovitev dostopa do našega raziskovalnega laboratorija").
3. Vaša pravna podlaga: Specifični pogoji iz 6. in 9. člena, na katere se sklicujete.
4. Kateri podatki se zbirajo: Bodite natančni. Ne recite samo »biometrični podatki«; navedite, ali gre za predlogo prstnega odtisa, skeniranje šarenice itd.
5. Kako dolgo ga boste hranili: Obdobje hrambe vaših podatkov.
6. S kom boste to delili: To vključuje vse ponudnike tehnologije tretjih oseb.
7. Njihove pravice: Seznanite jih z njihovo pravico do dostopa, popravka, izbrisa in ugovora obdelavi njihovih podatkov.

Primer jasnega jezika: »Za dostop do strežniške sobe uporabljamo predlogo prstnega odtisa, ki je varna numerična predstavitev vašega prstnega odtisa. Ta predloga je shranjena samo na vaši osebni dostopni kartici in se izbriše iz našega sistema v 24 urah po prenehanju vaše zaposlitve. Zahtevo za vpogled ali izbris svojih podatkov lahko zahtevate kadar koli.«

Takšna jasnost ne le potrdi pravno polje – gradi zaupanje. Ko ste odkriti in transparentni glede tega, kako ravnate z najbolj osebnimi podatki nekoga, pokažete zavezanost varstvu podatkov, ki presega zgolj skladnost s predpisi. Pravno zahtevo spremeni v temelj integritete vaše organizacije.

Navigacija pri izvrševanju in kaznih na Nizozemskem

Ignoriranje strogih pravil GDPR o biometričnih podatkih ni le teoretično tveganje; nosi resne finančne in ugledne posledice. Na Nizozemskem je organ za varstvo podatkov (Autoriteit Persoonsgegevens ali AP) znan po svojem doslednem izvrševanju. Zaradi tega so morebitne posledice zaradi zlorabe podatkov ključni dejavnik, ki ga mora upoštevati vsaka organizacija.

Razumevanje te ureditvene ureditve je bistvenega pomena. Potencialne kazni niso le abstraktne pravne grožnje. So resničnost, ki poudarja, kako pomembna je proaktivna skladnost s predpisi. Naložba v pravilno obdelavo podatkov je vedno veliko manjša od visokih stroškov, če bi jo naredili napačno.

Dejanski stroški neskladnosti

V skladu s Splošno uredbo o varstvu podatkov (GDPR) imajo nadzorni organi, kot je nizozemski AP, pooblastilo za nalaganje znatnih glob. Te kazni so zasnovane tako, da so učinkovite, sorazmerne in odvračilne ter odražajo, kako resno jemljejo kršitev. Za hude kršitve, kot je obdelava podatkov posebne kategorije brez veljavne pravne podlage, so lahko globe vrtoglavo visoke.

Organizacije se lahko soočijo z globami v višini do 20 milijonov evrov ali 4 % njihovega skupnega letnega prometa po vsem svetu iz prejšnjega poslovnega leta, kar je višje. Ta dvostopenjski sistem zagotavlja, da imajo globe znaten vpliv tudi na največje svetovne korporacije.

Sporočilo regulatorjev je kristalno jasno: zloraba biometričnih podatkov je ena najresnejših kršitev zakonodaje o varstvu podatkov. Finančne kazni so strukturirane tako, da neskladnost nikoli ni finančno izvedljiva možnost za nobeno podjetje, ne glede na njegovo velikost.

Odlično izvrševanje na Nizozemskem in v EU

Nedavni ukrepi nizozemske agencije AP in njenih evropskih kolegov kažejo, da to niso prazne grožnje. Oblasti aktivno preiskujejo in kaznujejo organizacije, ki ne izpolnjujejo svojih obveznosti. Za več informacij o specifični vlogi in pooblastilih nizozemskega organa si lahko preberete naš podroben članek o nizozemskem organu za varstvo podatkov.

Močan primer tega je nedavni ukrep proti podjetju Clearview AI. Nizozemska agencija AP je 3. septembra 2024 ameriškemu podjetju za prepoznavanje obrazov naložila globo v višini 30.5 milijona evrov zaradi nezakonitih praks zbiranja podatkov. Ta primer poudarja znatne finančne posledice obdelave biometričnih podatkov brez zakonite podlage. Gre za del širšega trenda po vsej EU, kjer so organi za varstvo podatkov naložili globe v skupni višini več milijard evrov. Najpogostejša in najdražja kršitev? Nezadostna pravna podlaga. Več o največjih globah v skladu z GDPR in njihovih vzrokih si lahko preberete tukaj.

Poleg finančnih kazni

Posledice kršitve GDPR segajo daleč preko začetne globe. Škoda za ugled je lahko še dražja in dolgotrajnejša. Javni izvršilni ukrepi lahko povzročijo znatno izgubo zaupanja strank, partnerjev in javnosti.

Druge možne posledice vključujejo:

• Popravni nalogi: AP vam lahko odredi, da prenehate obdelovati podatke, kar povzroči zaustavitev ključnih poslovnih operacij.
• Zahteve za brisanje podatkov: Morda boste morali izbrisati vse nepravilno zbrane biometrične podatke.
• Civilni spori: Prizadeti posamezniki imajo pravico zahtevati odškodnino za škodo, kar odpira vrata skupinskim tožbam.

Navsezadnje je ureditev izvrševanja na Nizozemskem robustna. Nizozemska agencija AP je pokazala, da ne bo oklevala uporabiti vseh svojih pooblastil za zaščito najobčutljivejših podatkov posameznikov. Zaradi tega je skrbno upoštevanje biometričnih podatkov v skladu z GDPR bistvena poslovna prednostna naloga.

Izdelava načrta za odzivanje na kršitve biometričnih podatkov

Zato ni le dobra ideja imeti robusten, vnaprej pripravljen načrt za odzivanje na incidente, posebej za biometrične podatke, temveč je bistvenega pomena. V trenutku, ko se zaveste kršitve, ura začne teči.

72-urni rok za obveščanje

V skladu z GDPR imate strogi 72-urni rok za prijavo kršitve varnosti osebnih podatkov svojemu nadzornemu organu po tem, ko jo odkrijete. Za vsako podjetje, ki posluje na Nizozemskem, to pomeni, da o tem obvesti nizozemski organ za varstvo podatkov (Autoriteit Persoonsgegevens ali AP).

Dvainsedemdeset ur ni veliko časa, zato je vnaprej načrtovan odziv tako pomemben. V obvestilu morate podrobno opisati naravo kršitve, vrste podatkov in približno število prizadetih posameznikov ter verjetne posledice. Pojasniti morate tudi ukrepe, ki ste jih že sprejeli ali jih nameravate sprejeti.

1. korak: omejitev kršitve in ocena vpliva

Vaša takojšnja prioriteta je ustaviti krvavitev. To zahteva usklajeno prizadevanje med vašo ekipo za IT-varnost in pravno ekipo, da se zajezi grožnja in ugotovi, kaj se je točno zgodilo.

• Izolirajte prizadete sisteme: Ogrožene sisteme takoj izklopite iz omrežja, da preprečite nadaljnji nepooblaščen dostop ali uhajanje podatkov.
• Ohranite dokaze: Zavarujte vse dnevnike in digitalne dokaze. To je ključnega pomena za ustrezno forenzično preiskavo in vaše regulativno poročanje.
• Prepoznajte podatke: Natančno opišite, kateri biometrični podatki so bili prizadeti. So šlo za surove slike ali šifrirane predloge? Kdo so bili vpleteni posamezniki?

2. korak: ugotovite, ali morate obvestiti posameznike

Ko dojamete obseg kršitve, se soočite z drugo ključno odločitvijo. GDPR zahteva, da prizadete posameznike neposredno in »brez nepotrebnega odlašanja« obvestite, če je verjetno, da bo kršitev povzročila veliko tveganje za njihove pravice in svoboščine.

Pri biometričnih podatkih je ta prag „visokega tveganja“ skoraj vedno dosežen. Kršitev lahko povzroči nepopravljivo krajo identitete, finančno goljufijo ali drugo veliko osebno škodo. Nizozemska agencija za varstvo podatkov (AP) je pokazala vse strožje izvrševanje teh zahtev glede obveščanja. V letu 2024 je organ prejel 37,839 obvestil o kršitvah varnosti osebnih podatkov, pri čemer je veliko število obvestil sprožilo nadaljnje ukrepe. Stališče nizozemske agencije za varstvo podatkov se pogosto razlikuje od stališča drugih organov EU, saj večino kršitev obravnava kot visoko tvegane in zato zahtevajo neposredno obveščanje prizadetih posameznikov. Več vpogledov v pristop nizozemskega organa za varstvo podatkov do kršitev podatkov si lahko ogledate na [link].

Vaše obvestilo posameznikom mora biti jasno in preprosto. Pojasniti mora, kaj se je zgodilo, za katere podatke gre in katere ukrepe lahko sprejmejo za svojo zaščito, na primer tako, da so pozorni na poskuse lažnega predstavljanja.

3. korak: izvedite in dokumentirajte svoj odgovor

Vaš načrt odzivanja naj bo živ priročnik, ne dokument, ki nabira prah. Med izvajanjem načrta dokumentirajte vsak posamezen ukrep. Ta dokumentacija bo vaš glavni dokaz za odgovorno osebo, da ste ravnali odgovorno in skrbno.

To vključuje beleženje vsake odločitve, komunikacije in tehničnega ukrepa od trenutka odkritja. Dobro dokumentiran odziv lahko pomembno vpliva na to, kako regulatorji gledajo na splošno skladnost vaše organizacije, in lahko vpliva na resnost morebitnih kazni.

Pogosta vprašanja o skladnosti z biometričnimi podatki

Prstni odtisi na delovnem mestu: kjer je test nujnosti pomemben

Izjema v nizozemskem zakonu o izvajanju GDPR dovoljuje biometrično obdelavo za identifikacijo ali preverjanje pristnosti, kadar je to potrebno za preverjanje pristnosti ali varnostne namene. Ključna beseda je »nujno« in se ocenjuje z vprašanjem, ali bi bilo mogoče namen razumno doseči z manj vsiljivimi sredstvi. Skener, ki nadzoruje dostop do blagajne, sistema za registracijo delovnega časa ali pisarniških vrat, običajno ne opravi tega preizkusa, ker značka, koda ali ključ dosežejo enak rezultat brez obdelave biometričnih podatkov.

Soglasje le redko reši tak sistem. V delovnem razmerju je soglasje le redko dovolj svobodno, da bi bilo veljavno, saj zaposleni, ki zavrne, ne more reči ne brez posledic. Kadar se delodajalec zanaša na soglasje, mora biti sposoben dokazati, da je obstajala resnična alternativa in da je bila ponujena v praksi, ne le na papirju.

Nizozemska sodna praksa je zavzela enako stališče. V primeru trgovske verige, ki je od zaposlenih zahtevala, da se v blagajniški sistem prijavijo s prstnim odtisom, je sodišče razsodilo, da delodajalec ni dokazal, da je skeniranje potrebno iz varnostnih razlogov, in da od zaposlenega ni mogoče zahtevati sodelovanja. Kjer je bila biometrična identifikacija sprejeta, je bil varnostni interes bistven in specifičen: objekt za ravnanje z nevarnimi snovmi, varen laboratorij, podatkovni center, trezor.

Kaj je regulator uveljavil

Nizozemski organ za varstvo podatkov je podjetju, ki je skeniralo prstne odtise zaposlenih za registracijo prisotnosti in časa, naložil globo v višini 725,000 evrov, pri čemer je menil, da nobena od izjem ne velja: soglasje ni bilo brezplačno, udobje pri registraciji ur pa ni varnostni namen, zaradi katerega bi bila obdelava potrebna.

Skozi prakso izvrševanja se pojavljajo štiri vprašanja. Kakšen je namen, naveden konkretno in ne zgolj kot varnost na splošno? Ali bi ga bilo mogoče doseči z manj vsiljivimi sredstvi? Če se zanašamo na privolitev, ali je bila zavrnitev resnično brez posledic? In ali je bila ta ocena dokumentirana pred uvedbo in ne po pritožbi? Zadnja točka je tisto, kjer organizacije izgubljajo: analiza, napisana po dogodku, ima zelo majhno težo, medtem ko je ista analiza, opravljena predhodno, skupaj z oceno učinka na varstvo podatkov, dokaz, da je bila uvedba upoštevana.

Pomembne so tudi oblikovalske izbire. Sistem, ki shranjuje predlogo na kartici ali na uporabnikovi napravi, namesto centralne baze podatkov biometričnih zapisov, je bistveno lažje upravičiti in bistveno manj škodljiv, če pride do kršitve.

Delavski svet

Poleg analize varstva podatkov sistem, ki registrira ali spremlja zaposlene, zahteva soglasje sveta delavcev, če ta obstaja. To je neodvisna zahteva: izpolnjevanje GDPR je ne odpravi, sistem, nameščen brez nje, pa se lahko začasno ustavi.