Недавно је холандска управа за заштиту података (АП) изрекла велику новчану казну, тачније 725,000 евра, компанији која је скенирала отиске отисака запослених ради присуства и регистрације радног времена. Биометријски подаци, као што је отисак прста, посебни су лични подаци у смислу члана 9 ГДПР. Ово су јединствене карактеристике које се могу пратити код једне конкретне особе. Међутим, ти подаци често садрже више информација него што је потребно за, на пример, идентификацију. Њихова обрада стога представља велике ризике у области основних права и слобода људи. Ако ови подаци дођу у погрешне руке, то би потенцијално могло довести до непоправљиве штете. Биометријски подаци су стога добро заштићени и њихова обрада је забрањена чланом 9 ГДПР, осим ако за то не постоји законски изузетак. У овом случају, АП је закључио да предметна компанија нема право на изузетак за обраду посебних личних података.
отисак прста
О отиску прста у контексту ГДПР-а и једној од изузетака, наиме нужност, претходно смо у једном од наших блогова написали: „Отисак прста крши ГДПР“. Овај блог се фокусира на други алтернативни основ за изузеће: дозволу. Када послодавац користи биометријске податке, као што су отисци прстију у својој компанији, да ли он, с обзиром на приватност, може да дозволи дозволу свог радника?
Под дозволом се мисли на специфичне, информисане и недвосмислене израз воље са којим неко прихвата обраду његових личних података изјавом или недвосмисленом активном радњом, у складу са чланом 4, став 11, ГДПР. У контексту ове изнимке, послодавац мора не само да покаже да су му запослени дали дозволу, већ и да је то било недвосмислено, конкретно и информисано. Потписивање уговора о раду или примање приручника за особље у којем је послодавац само забележио намјеру да се у потпуности уклопи с отиском прста, у овом контексту није довољно, закључио је АП. Као доказ, послодавац мора, на пример, да поднесе политику, поступке или другу документацију из које се види да су његови запослени довољно информисани о обради биометријских података и да су такође дали (изричито) дозволу за њихову обраду.
Ако дозволу даје запослени, то мора бити не само „експлицитно' али и 'слободно дати', према АП. „Експлицитно“ је, на пример, писмена дозвола, потпис, слање е-поште за давање дозволе или дозвола са верификацијом у два корака. „Слободно дато“ значи да иза тога не сме бити принуде (као што је то био случај у предметном случају: када се одбија скенирање отиска прста, следи разговор са директором / одбором) или да дозвола може бити услов за нешто различит. Услов „слободно дато“ послодавац у сваком случају не испуњава када су запослени дужни или га, као у предметном случају, доживљавају као обавезу евидентирања њиховог отиска прста. Генерално, према овом захтеву, АП је сматрао да с обзиром на зависност која произлази из односа између послодавца и запосленог, мало је вероватно да запослени може слободно дати свој пристанак. Супротно ће послодавац морати да докаже.
Да ли запослени тражи дозволу од својих запослених да обраде њихов отисак прста? Тада АП у контексту овог случаја сазнаје да то у принципу није дозвољено. Уосталом, запослени зависе од свог послодавца и зато често нису у могућности да одбију. То не значи да се послодавац никада не може успешно ослонити на основу дозволе. Међутим, послодавац мора имати довољно доказа да би жалба на основу пристанка била успешна, како би се обрађивали биометријски подаци његових запослених, као што су отисци прстију. Да ли намеравате да користите биометријске податке у својој компанији или вас послодавац тражи, на пример, дозволу за коришћење отиска прста? У том је случају важно не дјеловати одмах и дати дозволу, већ се прво правилно информисати. Law & More адвокати су стручњаци из области приватности и могу вам пружити информације. Имате ли још каквих питања о овом блогу? Контактирајте Law & More.