Biometrični podatki v skladu z GDPR: kdaj jih lahko uporabite na Nizozemskem?

Biometrični podatki, kot so prstni odtisi, podobe obraza ali glasovni vzorci, so posebna kategorija osebnih podatkov v skladu s Splošno uredbo o varstvu podatkov, kadar se obdelujejo za enolično identifikacijo osebe. Na Nizozemskem je takšna obdelava načeloma prepovedana; glavna izjema je, kadar je potrebna za preverjanje pristnosti ali varnostne namene, za zaposlene pa ta preizkus le redko doseže delovno uro ali vrata pisarne.

Nizozemski organ za varstvo podatkov (Autoriteit Persoonsgegevens, AP) ta pravila strogo uporablja in je delodajalce in tehnološka podjetja kaznoval zaradi uporabe biometričnih podatkov brez veljavne podlage. Spodaj pojasnjujemo, kaj šteje za biometrične podatke, katere pravne podlage so na voljo, kdaj potrebujete oceno učinka na varstvo podatkov, kateri zaščitni ukrepi se pričakujejo in kaj storiti, če gre kaj narobe.

Kaj so biometrični podatki v skladu z GDPR?

Biometrični podatki so osebni podatki, ki izhajajo iz posebne tehnične obdelave fizičnih, fizioloških ali vedenjskih značilnosti osebe, ki omogoča ali potrjuje edinstveno identifikacijo te osebe. Odločata namen in tehnika, ne vrsta slike ali posnetka.

Ta opredelitev je v členu 4(14) Splošne uredbe o varstvu podatkov (GDPR) . Fotografija zaposlenega na identifikacijski znački je osebni podatek, vendar ne samodejno biometrični podatek. V trenutku, ko se ista fotografija pretvori v predlogo obraza in jo sistem za prepoznavanje uporabi za odobritev dostopa do stavbe, postane biometrični podatek. Ta sprememba popolnoma spremeni pravni okvir.

Primeri biometričnih identifikatorjev so prstni odtisi, geometrija obraza, vzorci šarenice in mrežnice, glasovni vzorci in vedenjske lastnosti, kot sta ritem tipkanja ali način hoje. Skupno jim je, da se uporabljajo za prepoznavanje določenega posameznika.

Zakaj GDPR obravnava biometrične podatke drugače?

V skladu s členom 9 GDPR biometrični podatki, ki se obdelujejo za namene enolične identifikacije osebe, spadajo v posebne kategorije osebnih podatkov. V isto kategorijo spadajo tudi podatki o rasnem ali etničnem poreklu, političnih mnenjih, verskih prepričanjih, zdravju in spolnem življenju.

Razlog za to je, da so posledice zlorabe resne in pogosto nepopravljive. Geslo je mogoče spremeniti; prstnega odtisa ali šarenice ne. Če je baza podatkov biometričnih predlog ogrožena, se prizadete osebe soočajo s trajnim tveganjem zlorabe identitete.

Kako strog je nizozemski pristop?

AP ta pravila razlaga strogo. Izhodišče je, da je biometrična identifikacija prepovedana in da so izjeme ozke.

Nizozemski zakon o izvajanju GDPR (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) dodaja nacionalno izjemo. V skladu s členom 29 UAVG se biometrični podatki lahko obdelujejo za enolično identifikacijo, če je to potrebno za avtentikacijo ali varnostne namene. Ključna beseda je »nujno«. To pomeni, da namena ni mogoče razumno doseči z manj vsiljivimi sredstvi, kot so značka, koda ali ključ. AP je v svojih smernicah jasno navedel, da prepoznavanje obrazov na javno dostopnih mestih, kot so trgovine, načeloma ni dovoljeno.

Kakšno pravno podlago potrebujete?

Potrebujete dva: zakonito podlago v skladu s členom 6 GDPR za obdelavo kot tako in izjemo v skladu s členom 9(2) GDPR ali členom 29 UAVG za odpravo prepovedi za posebne kategorije. Brez obeh je obdelava nezakonita.

Člen 6 GDPR navaja šest pravnih podlag: privolitev, izpolnitev pogodbe, pravna obveznost, življenjski interesi, naloga v javnem interesu in legitimni interesi. To je prva ovira in velja za vse osebne podatke.

Ker so biometrični podatki posebna kategorija, morate izpolnjevati enega od pogojev iz člena 9(2) GDPR ali nizozemsko izjemo iz člena 29 UAVG. To so edine poti, s katerimi je mogoče prepoved odpraviti. Preden začnete, ugotovite tudi, kdo je upravljavec in kdo deluje kot obdelovalec, na primer dobavitelj sistema za skeniranje. Naš članek o vlogah upravljavca in obdelovalca v skladu z GDPR pojasnjuje razliko in sporazum o obdelavi, ki ga potrebujete.

Kdaj je izrecna privolitev veljavna?

Izrecna privolitev je višji standard od običajne privolitve. Podana mora biti z jasno, pritrdilno izjavo ter mora biti specifična, informirana, nedvoumna in prostovoljno dana.

• Posebno: Splošna omemba „varnostnih namenov“ ni dovolj; natančno morate navesti, zakaj potrebujete biometrične podatke.
• obveščen: Ljudje morajo vedeti, katere podatke zbirate, kaj z njimi počnete, kdo ima dostop do njih in kako dolgo jih hranite.
• Prostovoljno dano: Oseba mora imeti možnost zavrniti brez negativnih posledic in mora imeti možnost kadar koli preklicati soglasje.

V delovnem razmerju je problem zadnji pogoj. Zaposleni, ki zavrne, se lahko boji posledic, zato AP meni, da je soglasje zaposlenega le redko dano prostovoljno. Delodajalec, ki se zanaša na soglasje, mora biti sposoben dokazati, da je obstajala resnična alternativa in da je bila ponujena v praksi, ne le na papirju.

Katere druge izjeme obstajajo?

Druge izjeme so redke. Spodnja tabela primerja najpomembnejše.

Ali lahko za zaposlene uporabljate prstne odtise ali skeniranje obrazov?

Le če je biometrija resnično potrebna za preverjanje pristnosti ali varnost in manj vsiljiv način ne bi bil primeren. Za registracijo časa, blagajno ali običajna pisarniška vrata to običajno ne drži.

Preizkus v skladu s členom 29 zakona UAVG (Union Utility Vehicle - Zakon o upravljanju brezpilotnih letal) je, ali bi bilo mogoče namen razumno doseči z manj vsiljivimi sredstvi. Skener, ki nadzoruje dostop do blagajne, sistema za registracijo delovnega časa ali pisarniških vrat, običajno ne prestane tega preizkusa, ker značka, koda ali ključ dosežejo enak rezultat brez biometričnih podatkov. Kjer je biometrični dostop sprejet, je varnostni interes bistven in specifičen: objekt za ravnanje z nevarnimi snovmi, varen laboratorij, podatkovni center ali trezor.

Ločeno pa velja, da kadar obstaja svet delavcev (ondernemingsraad), sistem, ki beleži ali spremlja prisotnost, vedenje ali uspešnost zaposlenih ali obdeluje njihove osebne podatke, zahteva njegovo soglasje v skladu s členom 27(1)(k) in (l) Zakona o svetih delavcev (Wet op de ondernemingsraden, WOR). Skladnost z GDPR te zahteve ne odpravlja, sistem, uveden brez soglasja, pa je mogoče izpodbijati.

Ali lahko uporabljate biometrijo za stranke?

Včasih, vendar veljajo enaka stroga pravila. Pri strankah je lahko izrecna privolitev veljaven razlog, če je uporaba biometričnih podatkov resnično neobvezna in je na voljo enakovredna alternativa.

Pogosti primeri so odklepanje bančne aplikacije s prstnim odtisom, preverjanje identitete s selfijem pri odprtju računa na spletu in dostop do telovadnice ali dogodka s prepoznavanjem obraza. Kjer se biometrično preverjanje v celoti izvede na telefonu stranke z uporabo vgrajene tehnologije telefona, podjetje običajno ne prejme biometričnih podatkov samo. To znatno zmanjša tveganje in obveznosti za podjetje.

Kadar podjetje podatke obdeluje samo, na primer s primerjavo selfija s fotografijo za potni list na lastnih strežnikih, potrebuje veljavno podlago. Soglasje zahteva, da lahko stranka izbere drugo pot, kot je preverjanje z bančnim nakazilom ali obisk poslovalnice, ne da bi bila pri tem v slabšem položaju. Za banke in druge finančne institucije imajo vlogo obveznosti skrbnega preverjanja strank v skladu z zakonodajo o preprečevanju pranja denarja, vendar same po sebi ne zahtevajo biometrične obdelave.

Kaj pa kamere s prepoznavanjem obrazov?

Kamere za prepoznavanje obrazov v trgovinah, na stadionih ali drugih javno dostopnih mestih načeloma niso dovoljene za zasebne zabave. Ljudje, ki hodijo mimo, ne morejo dati izrecnega soglasja in le redko obstaja potreba, ki izpolnjuje preizkus iz 29. člena zakona UAVG.

Agencija AP je trgovce opozorila, da uporaba prepoznavanja obrazov za identifikacijo tatov v trgovinah ali prepoznavanje strank ni dovoljena. Za običajni nadzor s kamerami brez biometrične identifikacije veljajo drugačna, manj stroga pravila, vendar še vedno zahtevajo legitimni interes, jasna obvestila in omejena obdobja hrambe. Dodajanje programske opreme za prepoznavanje obrazov obstoječemu sistemu kamer popolnoma spremeni oceno.

Kdaj potrebujete oceno učinka na varstvo podatkov?

Skoraj vedno. Obdelava biometričnih podatkov za identifikacijo oseb je obdelava z visokim tveganjem, zato jo je AP uvrstil na seznam postopkov obdelave, ki zahtevajo oceno učinka na varstvo podatkov (DPIA) v skladu s členom 35 GDPR.

DPIA je strukturirana ocena tveganja za zasebnost. Preden skenirate en sam prstni odtis ali obraz, morate opisati, kaj nameravate storiti, opredeliti tveganja za vpletene ljudi in se odločiti, kako boste ta tveganja obvladovali. Če je preostalo tveganje visoko in ga ni mogoče zadostno zmanjšati, se morate pred začetkom posvetovati z AP (36. člen GDPR).

Ocena učinka na varstvo podatkov temelji na pravni podlagi: najprej ugotovite podlago na podlagi 6. člena in izjemo na podlagi 9. ali 29. člena zakona UAVG, nato pa ocenite, ali je določen sistem potreben in sorazmeren.

Kaj vsebuje DPIA?

Vzemimo za primer čitalnik prstnih odtisov za dostop do strežniške sobe. DPIA zajema štiri elemente.

• Opis obdelave. Katere podatke zbirate: predlogo ali celotno sliko? Kako se zbirajo, kje se shranjujejo, kako se uporabljajo in kdaj se izbrišejo? Kdo ima dostop? Ali je vključen dobavitelj?
• Nujnost in sorazmernost. Katero specifično težavo rešujete, na primer nepooblaščen dostop do strežniške sobe? Zakaj v tem primeru značke ali kode niso zadostne? Ali zbirate le najmanjše potrebne podatke?
• Tveganja za vpletene ljudi. Kaj pa, če je baza podatkov s predlogami ukradena? Ali bi se podatki lahko kasneje uporabili za druge namene, kot je spremljanje delovnega časa (postopno spreminjanje funkcij)? Kaj se zgodi z zaposlenimi, katerih prstnih odtisov ni mogoče prebrati? Kaj pa, če sistem v nujnih primerih zaklene pooblaščeno osebo?
• Ukrepi za obravnavo tveganj. Tehnični ukrepi, kot sta šifriranje in shranjevanje na kartici ali napravi; organizacijski ukrepi, kot so politika, usposabljanje in načrt za odzivanje na kršitve; ter nebiometrična alternativa, da nihče ni izključen.

Pregledajte oceno učinka na varstvo podatkov, ko se spremeni obseg, narava ali kontekst obdelave (člen 35(11) GDPR). Analiza, napisana šele po pritožbi, ima pri AP majhno težo.

Katere zaščitne ukrepe se pričakujejo?

Zbirajte čim manj, hranite jih le kratek čas, kot je potrebno, in jih zaščitite z močnimi tehničnimi in organizacijskimi ukrepi. Ta načela izhajajo iz členov 5 in 32 GDPR.

Začnite z zmanjševanjem podatkov: zbirajte le biometrične podatke, ki so potrebni za določen, legitimen namen. Za nadzor dostopa je običajno dovolj predloga; skeniranje obraza visoke ločljivosti ni potrebno. To združite z omejitvijo shranjevanja: nastavite obdobje hrambe in podatke varno izbrišite takoj, ko niso več potrebni, na primer, ko zaposleni odide ali ne potrebuje več dostopa.

Tehnični in organizacijski ukrepi

Varnost mora ustrezati visokemu tveganju. Ključni tehnični ukrepi vključujejo:

• šifriranje biometričnih podatkov, tako v mirovanju kot med prevozom.
• Stroge kontrole dostopa, tako da lahko do podatkov dostopa le pooblaščeno osebje z jasno potrebo.
• Decentralizirano shranjevanjeKjer je mogoče, predloge shranjujte v napravi ali na uporabnikovi kartici in ne v centralni bazi podatkov. To močno zmanjša verjetnost množičnega vdora.

Samo tehnologija ni dovolj. Organizacijski ukrepi, kot so pisna politika o biometričnih podatkih, usposabljanje osebja, redni varnostni pregledi in jasni dogovori z dobavitelji, so prav tako pomembni. Če dobavitelj obdeluje podatke v vašem imenu, potrebujete sporazum o obdelavi v skladu s členom 28 GDPR.

Jasno obvestilo o zasebnosti

Ljudje imajo pravico vedeti, kaj počnete z njihovimi biometričnimi podatki (člena 13 in 14 GDPR). Informacije morajo biti jedrnate, lahko najdljive in napisane v preprostem jeziku.

Obvestilo o zasebnosti glede biometrične obdelave mora pojasniti, kdo ste in kako vas lahko kontaktiramo, zakaj obdelujete podatke, pravno podlago v skladu s členom 6 in izjemo, na katero se sklicujete, katere podatke zbirate (na primer predlogo prstnega odtisa), kako dolgo jih hranite, s kom jih delite, vključno z dobavitelji, in katere pravice imajo ljudje, kot so dostop, popravek, izbris in ugovor.

Ali se uporablja tudi zakon o umetni inteligenci?

Da, za nekatere biometrične sisteme. Zakon EU o umetni inteligenci (Uredba (EU) 2024/1689) dodaja pravila poleg GDPR.

Zakon o umetni inteligenci od 2. februarja 2025 v celoti prepoveduje številne prakse, vključno z nenamernim strganjem slik obrazov z interneta ali posnetkov kamer za izdelavo podatkovnih baz za prepoznavanje obrazov, prepoznavanje čustev na delovnem mestu in v izobraževanju (razen iz zdravstvenih ali varnostnih razlogov) ter biometrično kategorizacijo za sklepanje o občutljivih značilnostih, kot sta rasa ali spolna usmerjenost. Drugi biometrični sistemi, kot je oddaljena biometrična identifikacija, so razvrščeni kot sistemi z visokim tveganjem in zanje veljajo stroge zahteve. Pred uvedbo sistema preverite oba okvira.

Kakšne so posledice neskladnosti?

Visoke globe, odredbe o ustavitvi obdelave in odškodninske zahtevke. Za nezakonito obdelavo posebnih kategorij GDPR dovoljuje globe do 20 milijonov evrov ali 4 % svetovnega letnega prometa, kar je višje.

Ti najvišji zneski izhajajo iz člena 83(5) GDPR in se med drugim uporabljajo za obdelavo brez veljavne podlage ali izjeme. Kršitve obveznosti glede varnosti in obveščanja o kršitvah (členi 32 do 34 GDPR) lahko privedejo do glob v višini do 10 milijonov evrov ali 2 % svetovnega prometa. Globe morajo biti učinkovite, sorazmerne in odvračilne. AP določi znesek v skladu s svojo politiko glob.

Kaj je AP uveljavil?

Agencija AP je zaradi nezakonite obdelave biometričnih podatkov kaznovala tako delodajalce kot tehnološka podjetja. Izstopata dve odločitvi.

Leta 2020 je AP naložila globo v višini 725,000 evrov podjetju, ki je skeniralo prstne odtise zaposlenih za registracijo prisotnosti in časa. AP je ugotovila, da nobena od izjem ni veljala: soglasje zaposlenih ni bilo dano prostovoljno, udobje pri registraciji ur pa ni varnostni namen, zaradi katerega bi bila biometrična obdelava nujna. Septembra 2024 je AP ameriško podjetje Clearview AI oglobila s 30.5 milijona evrov zaradi vzpostavitve baze podatkov o podobah obrazov, vključno z obrazi Nizozemcev, brez pravne podlage.

Pri izvrševanju s strani organa za varstvo podatkov se pojavljajo štiri vprašanja. Kakšen je namen, naveden posebej in ne zgolj kot »varnost« na splošno? Ali bi ga bilo mogoče doseči z manj vsiljivimi sredstvi? Če se zanašamo na privolitev, ali bi jo ljudje lahko zavrnili brez posledic? In ali je bilo to ocenjeno in dokumentirano pred uvedbo sistema? Naš članek o nizozemskem organu za varstvo podatkov podrobneje pojasnjuje pooblastila organa za varstvo podatkov.

Druge posledice

Globa ni edino tveganje. Javnoizvršni organ vam lahko odredi prekinitev obdelave, kar lahko ustavi sistem, od katerega je odvisno vaše poslovanje, in vam lahko odredi izbris nezakonito zbranih podatkov. Osebe, katerih podatki so bili nezakonito obdelani, lahko zahtevajo odškodnino za premoženjsko in nepremoženjsko škodo v skladu s členom 82 GDPR, na Nizozemskem pa se lahko takšni zahtevki vložijo tudi kolektivno. Škoda za ugled zaradi odločitve javnega izvrševanja je lahko precejšnja.

Kaj storite, če pride do uhajanja biometričnih podatkov?

Omejite kršitev, ocenite tveganje, v 72 urah obvestite AP in, če je tveganje veliko, brez nepotrebnega odlašanja obvestite prizadete osebe. To pripravite v načrtu odzivanja, preden gre kaj narobe.

V skladu s 33. členom GDPR morate kršitev varnosti osebnih podatkov prijaviti AP brez nepotrebnega odlašanja in, kjer je to izvedljivo, v 72 urah po tem, ko ste zanjo izvedeli, razen če ni verjetno, da bi kršitev povzročila tveganje za zadevne osebe. V obvestilu so opisani narava kršitve, kategorije in približno število prizadetih oseb in zapisov, verjetne posledice ter sprejeti ali predlagani ukrepi. Če vseh informacij ne morete posredovati hkrati, jih lahko dopolnite pozneje.

1. korak: omejitev kršitve in ocena vpliva

Vaša prva prioriteta je preprečiti vdor. Izolirajte prizadete sisteme, shranite dnevnike in druge dokaze za preiskavo ter natančno ugotovite, kateri podatki so bili prizadeti: surove slike ali šifrirane predloge in čigav.

2. korak: odločite se, ali boste obvestili prizadete osebe

V skladu s 34. členom GDPR morate prizadete osebe brez nepotrebnega odlašanja obvestiti, če je verjetno, da bo kršitev povzročila veliko tveganje za njihove pravice in svoboščine. Pri biometričnih podatkih bo ta prag pogosto dosežen, ker podatkov ni mogoče spremeniti. Izjema so na primer podatki, ki so bili močno šifrirani in katerih ključ ni bil ogrožen. Sporočilo mora biti v preprostem jeziku: kaj se je zgodilo, kateri podatki so bili vključeni in kaj lahko ljudje storijo, da se zaščitijo.

3. korak: izvedite in dokumentirajte odziv

Zabeležite vsak korak: trenutek odkritja, sprejete odločitve, komunikacijo in tehnične ukrepe. V skladu s členom 33(5) GDPR morate dokumentirati vsako kršitev, vključno s tistimi, ki jih niste morali prijaviti. Dobra dokumentacija kaže, da ste ravnali skrbno, in lahko vpliva na to, kako bo ocenil primer.

Kaj morate preveriti kot delodajalec ali podjetje?

Najprej preverite nujnost in dokumentirajte vsak korak, preden sistem zaženete. Teh pet preverjanj zajema točke, ki jih AP upošteva.

• Zapišite poseben varnostni namen in zakaj značka, PIN-koda ali ključ niso dovolj (člen 29 UAVG).
• Zabeležite svojo pravno podlago v skladu s 6. členom GDPR in izjemo v skladu s 9. členom(2) GDPR ali 29. členom UAVG.
• Pred prvim skeniranjem izpolnite oceno učinka na varstvo podatkov in se posvetujte z AP, če še vedno obstaja visoko tveganje (člena 35 in 36 GDPR).
• Pred uvedbo sistema zaprosite svet delavcev za soglasje v skladu s členom 27(1)(k) in (l) WOR.
• Z dobaviteljem podpišite pogodbo o obdelavi podatkov (28. člen GDPR) in določite obdobje hrambe predlog.

Kaj morate preveriti kot zaposleni ali stranka?

Imate pravico vedeti, kako se vaši biometrični podatki uporabljajo, in ugovarjati nezakoniti obdelavi. Preverite te točke, če vas prosijo, da skenirate prstni odtis ali obraz.

• Ali obstaja nebiometrična alternativa, kot je značka ali PIN koda, in ali jo lahko uporabljate brez težav?
• Ali obvestilo o zasebnosti navaja namen, pravno podlago in obdobje hrambe (člena 13 in 14 GDPR)?
• Ali je svet delavcev soglašal s sistemom, če ga ima vaš delodajalec (člen 27 WOR)?
• Zahtevajte dostop do svojih podatkov ali njihov izbris; organizacija mora odgovoriti v enem mesecu (členi 12, 15 in 17 GDPR).
• Če vaše pravice niso spoštovane, vložite pritožbo pri AP (člen 77 GDPR) ali zahtevajte odškodnino v skladu s členom 82 GDPR.

Kaj lahko storimo za vas z biometričnimi podatki?

Naši IT-odvetniki pomagajo delodajalcem, tehnološkim podjetjem in posameznikom z biometričnimi sistemi, od prvega načrta do postopkov pred AP.

• Ocenimo, ali vaš biometrični sistem izpolnjuje preizkus nujnosti iz 29. člena zakona UAVG.
• Pripravimo ali pregledamo oceno učinka na varstvo podatkov in obvestilo o zasebnosti.
• Pripravimo zahtevo za soglasje svetu delavcev v skladu s 27. členom WOR.
• Pregledamo pogodbo o obdelavi podatkov z vašim dobaviteljem v skladu s členom 28 GDPR.
• Pomagamo vam, da o kršitvi podatkov obvestite AP v 72-urnem roku in se odzovete na ukrepe AP.

Povzetek

• Biometrični podatki, ki se uporabljajo za enolično identifikacijo, so posebna kategorija v skladu s členom 9 GDPR; obdelava je prepovedana, razen če velja izjema.
• Na Nizozemskem člen 29 zakona UAVG to dovoljuje le, kadar je to potrebno za preverjanje pristnosti ali varnost; udobje ni dovolj.
• Soglasje zaposlenega je redko veljavno; ponudite resnično nebiometrično alternativo in po potrebi pridobite soglasje sveta delavcev.
• Predhodno izvedite oceno učinka na varstvo podatkov, zmanjšajte podatke na najmanjšo možno mero, predloge shranite lokalno in jih šifrirajte.
• Kršitve prijavite AP v 72 urah; globe lahko dosežejo 20 milijonov evrov ali 4 % svetovnega prometa.

Pogosta vprašanja