Дозвола као изузетак за обраду биометријских података

Недавно је холандска управа за заштиту података (АП) изрекла велику новчану казну, тачније 725,000 евра, компанији која је скенирала отиске отисака запослених ради присуства и регистрације радног времена. Биометријски подаци, као што је отисак прста, посебни су лични подаци у смислу члана 9 ГДПР. Ово су јединствене карактеристике које се могу пратити код једне конкретне особе. Међутим, ти подаци често садрже више информација него што је потребно за, на пример, идентификацију. Њихова обрада стога представља велике ризике у области основних права и слобода људи. Ако ови подаци дођу у погрешне руке, то би потенцијално могло довести до непоправљиве штете. Биометријски подаци су стога добро заштићени и њихова обрада је забрањена чланом 9 ГДПР, осим ако за то не постоји законски изузетак. У овом случају, АП је закључио да предметна компанија нема право на изузетак за обраду посебних личних података.

О отиску прста у контексту ГДПР-а и једној од изузетака, наиме нужност, претходно смо на једном од наших блогова написали: 'Отисак прста који крши ГДПР'. Овај се блог фокусира на други алтернативни основ за изузеће: дозволу. Када послодавац користи биометријске податке, као што су отисци прстију у својој компанији, да ли он, с обзиром на приватност, може да дозволи дозволу свог радника?

Дозвола као изузетак за обраду биометријских података

Под дозволом се мисли на специфичне, информисане и недвосмислене израз воље са којим неко прихвата обраду његових личних података изјавом или недвосмисленом активном радњом, у складу са чланом 4, став 11, ГДПР. У контексту ове изнимке, послодавац мора не само да покаже да су му запослени дали дозволу, већ и да је то било недвосмислено, конкретно и информисано. Потписивање уговора о раду или примање приручника за особље у којем је послодавац само забележио намјеру да се у потпуности уклопи с отиском прста, у овом контексту није довољно, закључио је АП. Као доказ, послодавац мора, на пример, да поднесе политику, поступке или другу документацију из које се види да су његови запослени довољно информисани о обради биометријских података и да су такође дали (изричито) дозволу за њихову обраду.

Ако дозволу даје запослени, то мора бити не само „експлицитно' али и 'слободно дати', наводи АП. „Изричито“ је, на пример, писмено одобрење, потпис, слање е-поште за давање одобрења или дозвола са верификацијом у два корака. „Слободно дато“ значи да иза њега не сме бити присиле (као што је то био случај у дотичном случају: приликом одбијања скенирања отисака уследио је разговор са директором / одбором) или је та дозвола можда услов за нешто различит. Услов „слободно дат“ послодавац у сваком случају не испуњава када су запослени дужни или, као у дотичном случају, доживљавају га као обавезу да им се отисак прста евидентира. Генерално, под овим захтевом, АП је сматрао да с обзиром на зависност која настаје из односа послодавца и запосленог, мало је вероватно да запослени може слободно дати свој пристанак. Послодавац мора доказати супротно.

Да ли запослени тражи дозволу од својих запослених да обраде њихов отисак прста? Тада АП у контексту овог случаја сазнаје да то у принципу није дозвољено. Уосталом, запослени зависе од свог послодавца и зато често нису у могућности да одбију. То не значи да се послодавац никада не може успешно ослонити на основу дозволе. Међутим, послодавац мора имати довољно доказа да би жалба на основу пристанка била успешна, како би се обрађивали биометријски подаци његових запослених, као што су отисци прстију. Да ли намеравате да користите биометријске податке у својој компанији или вас послодавац тражи, на пример, дозволу за коришћење отиска прста? У том је случају важно не дјеловати одмах и дати дозволу, већ се прво правилно информисати. Law & More адвокати су стручњаци из области приватности и могу вам пружити информације. Имате ли још каквих питања о овом блогу? Контактирајте Law & More.

удео