Објашњена обрада биометријских података
Недавно је холандска управа за заштиту података (АП) изрекла велику казну, односно 725,000 евра, компанији која је скенирала отиске прстију запослених ради присуства и регистрације времена. Биометријски подаци, као што је отисак прста, су посебни лични подаци у смислу члана 9 ГДПР. Ово су јединствене карактеристике које се могу пратити до једне одређене особе. Међутим, ови подаци често садрже више информација него што је потребно за, на пример, идентификацију.
Њихова обрада стога представља велике ризике у области основних права и слобода људи. Ако ови подаци дођу у погрешне руке, то би потенцијално могло довести до непоправљиве штете. Биометријски подаци су стога добро заштићени, а њихова обрада је забрањена према члану 9 ГДПР-а, осим ако за то не постоји законски изузетак. У овом случају, АП је закључио да предметна компанија нема право на изузетак за обраду посебних личних података.
отисак прста
О отиску прста у контексту ГДПР-а и једној од изузетака, наиме нужност, претходно смо у једном од наших блогова написали: „Отисак прста крши ГДПР“. Овај блог се фокусира на други алтернативни основ за изузеће: дозволу. Када послодавац користи биометријске податке, као што су отисци прстију у својој компанији, да ли он, с обзиром на приватност, може да дозволи дозволу свог радника?
Под дозволом се мисли на специфичне, информисане и недвосмислене израз воље са којим неко прихвата обраду његових личних података изјавом или недвосмисленом активном радњом, у складу са чланом 4, одељак 11, ГДПР. У контексту овог изузетка, послодавац стога мора не само да докаже да су његови запослени дали дозволу, већ и да је она била недвосмислена, конкретна и информисана.
Потписивање уговора о раду или добијање кадровског приручника у којем је послодавац само забележио намеру да се у потпуности унесе отиском прста, у овом контексту је недовољно, закључује АП. Као доказ, послодавац мора, на пример, да достави политику, процедуре или другу документацију која показује да су његови запослени довољно информисани о обради биометријских података и да су дали (изричиту) дозволу за њихову обраду.
Ако дозволу даје запослени, то мора бити не само „експлицитно' али и 'слободно дати“, наводи АП. „Изричито“ је, на пример, писмена дозвола, потпис, слање е-поште за давање дозволе или дозвола са верификацијом у два корака. „Слободно дато“ значи да иза тога не сме да стоји никаква принуда (као што је био случај у предметном случају: при одбијању да се скенира отисак прста следи разговор са директором/одбором) или да дозвола може бити услов за нешто другачије.
Услов „слободно дато“ послодавац ни у ком случају не испуњава када су запослени у обавези или, као у предметном случају, доживљавају као обавезу да им се евидентира отисак прста. Генерално, према овом захтеву, АП је сматрао да је, с обзиром на зависност која произилази из односа између послодавца и запосленог, мало вероватно да запослени може слободно дати свој пристанак. Супротно ће морати да докаже послодавац.
Да ли запослени тражи дозволу од својих запослених да обради њихов отисак прста? Тада АП сазнаје у контексту овог случаја да то у принципу није дозвољено. На крају крајева, запослени зависе од свог послодавца и стога често нису у позицији да одбију. Ово не значи да се послодавац никада не може успешно ослонити на основу дозволе.
Међутим, послодавац мора имати довољно доказа да би његова жалба на основу пристанка била успешна, како би обрадио биометријске податке својих запослених, као што су отисци прстију. Да ли намеравате да користите биометријске податке у оквиру ваше компаније или ваш послодавац од вас тражи дозволу за коришћење отиска прста, на пример? У том случају, важно је не реаговати одмах и дати дозволу, већ се прво правилно информисати. Закон Адвокати & Море су стручњаци у области приватности и могу вам пружити информације. Имате ли још питања о овом блогу? Молимо контактирајте Law & More.
