Razlaga obdelave biometričnih podatkov
Pred kratkim je nizozemski urad za varstvo podatkov (AP) naložil visoko kazen, in sicer 725,000 evrov, podjetju, ki je skeniralo prstne odtise zaposlenih za prisotnost in registracijo časa. Biometrični podatki, kot je prstni odtis, so posebni osebni podatki v smislu 9. člena GDPR. To so edinstvene lastnosti, ki jih je mogoče izslediti do določene osebe. Ti podatki pa pogosto vsebujejo več informacij, kot je potrebno na primer za identifikacijo.
Njihova obdelava zato predstavlja velika tveganja na področju temeljnih pravic in svoboščin ljudi. Če ti podatki pridejo v napačne roke, bi to lahko povzročilo nepopravljivo škodo. Biometrični podatki so zato dobro zaščiteni, njihova obdelava pa je prepovedana v skladu s členom 9 GDPR, razen če za to obstaja zakonska izjema. V tem primeru je AP ugotovila, da zadevno podjetje ni bilo upravičeno do izjeme za obdelavo posebnih osebnih podatkov.
Prstni odtis
O prstnem odtisu v kontekstu GDPR in eni od izjem, in sicer nujnosti , smo že pisali v enem od naših blogov: »Prstni odtis v nasprotju z GDPR«. Ta blog se osredotoča na drugo alternativno podlago za izjemo: dovoljenje . Ali lahko delodajalec, ko v svojem podjetju uporablja biometrične podatke, kot so prstni odtisi, glede zasebnosti zadostuje dovoljenje svojega zaposlenega?
Z dovoljenjem se misli na specifično, informirano in nedvoumno izjavo volje, s katero nekdo z izjavo ali nedvoumnim aktivnim dejanjem soglaša z obdelavo svojih osebnih podatkov v skladu s členom 4, odstavkom 11 GDPR. V okviru te izjeme mora delodajalec torej ne le dokazati, da so njegovi zaposleni dali dovoljenje, ampak tudi, da je bilo to nedvoumno, specifično in informirano.
Podpis pogodbe o zaposlitvi ali prejem kadrovskega priročnika, v katerem ima delodajalec le zabeleženo namero o popolnem urah s prstnim odtisom, je v tem kontekstu premalo, ugotavlja AP. Kot dokazilo mora delodajalec na primer predložiti politiko, postopke ali drugo dokumentacijo, iz katere izhaja, da so njegovi zaposleni dovolj obveščeni o obdelavi biometričnih podatkov in da so za obdelavo podali tudi (izrecno) dovoljenje.
Če dovoljenje da zaposleni, mora biti po navedbah AP ne le „ izrecno “, ampak tudi „ prostovoljno dano “. „Izrecno“ pomeni na primer pisno dovoljenje, podpis, pošiljanje e-pošte za dajanje dovoljenja ali dovoljenje z dvostopenjskim preverjanjem. „Prostovoljno dano“ pomeni, da za njim ne sme biti prisile (kot je bilo v obravnavanem primeru: po zavrnitvi skeniranja prstnih odtisov je sledil pogovor z direktorjem/upravnim odborom) ali pa je lahko dovoljenje pogoj za nekaj drugega.
Pogoja »prosto dano« delodajalec v nobenem primeru ne izpolnjuje, ko so delavci dolžni oziroma kot v obravnavanem primeru doživljajo kot obveznost posnetek prstnega odtisa. Na splošno je AP v skladu s to zahtevo menil, da je glede na odvisnost, ki izhaja iz razmerja med delodajalcem in zaposlenim, malo verjetno, da lahko zaposleni prostovoljno poda svoje soglasje. Nasprotno bo moral dokazati delodajalec.
Ali zaposleni zahteva dovoljenje svojih zaposlenih za obdelavo njihovega prstnega odtisa? Potem AP v okviru tega primera izve, da to načeloma ni dovoljeno. Navsezadnje so zaposleni odvisni od svojega delodajalca in zato pogosto niso v položaju, da bi zavrnili. To ne pomeni, da se delodajalec ne more nikoli uspešno zanesti na dovoljenje.
Delodajalec pa mora imeti dovolj dokazov za uspešno pritožbo na podlagi soglasja, da lahko obdeluje biometrične podatke svojih zaposlenih, kot so prstni odtisi. Ali nameravate biometrične podatke uporabljati v svojem podjetju ali vas delodajalec prosi za dovoljenje za uporabo vašega prstnega odtisa npr. V tem primeru je pomembno, da ne ukrepate takoj in izdate dovoljenje, ampak se najprej ustrezno informirate. zakon Odvetniki & More so strokovnjaki na področju zasebnosti in vam lahko posredujejo informacije. Imate še kakšna vprašanja o tem blogu? Prosimo kontaktirajte Law & More.
