Sprievodca dodržiavaním GDPR pre biometrické údaje v Holandsku

Aby sme sa pochopili pre biometrické údaje a dodržiavanie GDPR, musíme si najprv odpovedať na základnú otázku: čo presne sú biometrické údaje? Nie sú to len tak hocijaké osobné informácie. Hovoríme o údajoch získaných z jedinečných fyzických alebo behaviorálnych znakov – ako je odtlačok prsta, vzor dúhovky alebo dokonca niečí hlas – ktoré dokážu jednoznačne identifikovať konkrétnu osobu.

Predstavte si to ako biologický kľúč, ktorý je jedinečný pre jednotlivca a prakticky nemožné ho zmeniť.

Definovanie biometrických údajov podľa GDPR

Podľa všeobecného nariadenia o ochrane údajov (GDPR) nie je niečo „biometrickým údajom“ samotný typ údajov (ako napríklad fotografia), ale účel , na ktorý sa spracovávajú. Jednoduchá fotografia zamestnanca na jeho identifikačnom preukaze sa automaticky nepovažuje za biometrický údaj.

Avšak v momente, keď je tá istá fotografia vložená do systému rozpoznávania tváre na povolenie vstupu do budovy, stáva sa biometrickým údajom. Právny rámec sa úplne mení.

Kritickým faktorom je „špecifické technické spracovanie“ používané na účely jedinečnej identifikácie. Správne rozlišovanie je základným kameňom pochopenia vašich povinností v oblasti dodržiavania predpisov. Podrobnejšie informácie o nuansách nájdete v našom sprievodcovi spracovaním biometrických údajov.

Prečo GDPR zaobchádza s biometrickými údajmi odlišne

Biometrické údaje sú podľa článku 9 GDPR klasifikované ako „osobitná kategória osobných údajov“ . Táto klasifikácia ich zaraďuje do rovnakej skupiny s vysokým rizikom ako informácie o:

• Rasový alebo etnický pôvod
• Politické názory
• Náboženské alebo filozofické presvedčenia
• Zdravie alebo sexuálny život

Tento zvýšený status má dobrý dôvod: narušenie ochrany biometrických údajov má nezvratné následky. Na rozdiel od hesla si nemôžete len tak zmeniť odtlačok prsta alebo dúhovku oka. Ak sú tieto údaje ohrozené, vzniká pre danú osobu trvalé riziko krádeže identity a podvodu.

Pre lepšiu predstavu uvádzame rozpis bežných typov biometrických údajov a ich statusu podľa GDPR.

Ako ukazuje tabuľka, konzistentnou témou je použitie týchto údajov na jedinečnú identifikáciu , čo automaticky aktivuje ochranu v rámci osobitnej kategórie podľa článku 9.

Holandský regulačný prístup

Tu v Holandsku holandský úrad na ochranu údajov (Autoriteit Persoonsgegevens alebo AP) presadzuje obzvlášť prísny výklad týchto pravidiel. Ich usmernenia týkajúce sa technológie rozpoznávania tváre napríklad jasne ukazujú, že jej používanie je vo väčšine prípadov zakázané.

Kľúčovým testom je vždy to, či je účelom spracovania jednoznačná identifikácia fyzickej osoby. Tento prísny postoj zdôrazňuje, aké presvedčivé musí byť vaše právne odôvodnenie predtým, ako vôbec zvážite zavedenie takéhoto systému.

Nájdenie vášho zákonného základu pre spracovanie biometrických údajov

Pokiaľ ide o biometrické údaje, GDPR v podstate odstraňuje dve samostatné právne prekážky. Nejde len o nájdenie jedného dobrého dôvodu na spracovanie údajov. Potrebujete právny základ podľa článku 6 pre všeobecné spracovanie a potom druhú, oveľa prísnejšiu podmienku podľa článku 9, pretože spracovávate údaje „špeciálnej kategórie“. Táto dvojdielna požiadavka je absolútne nepodstatná.

Predstavte si to ako bankový trezor s dvoma rôznymi zámkami. Článok 6 je prvým kľúčom, tým, ktorý potrebujete na akékoľvek spracovanie osobných údajov. Keďže však biometria je taká citlivá, článok 9 vyžaduje druhý, špecializovanejší kľúč, kým vôbec začnete uvažovať o otvorení dverí.

Dvojkľúčový systém dodržiavania GDPR

Najprv musíte založiť svoje spracovanie na jednom zo šiestich právnych základov uvedených v článku 6. Ide o bežné podozrivé prípady: súhlas, zmluvná nevyhnutnosť, zákonná povinnosť, ktorú musíte splniť, životne dôležité záujmy, plnenie verejnej úlohy alebo vaše vlastné oprávnené záujmy.

Keď si presne stanovíte základ pre článok 6 , začína sa skutočná výzva. Musíte tiež splniť jednu z konkrétnych podmienok uvedených v článku 9(2) , ktoré predstavujú jediné brány na spracovanie údajov špeciálnej kategórie. V prípade biometrie je najznámejšou – a najčastejšie nepochopenou – podmienkou výslovný súhlas.

Dekonštrukcia explicitného súhlasu

Nemýľte si „výslovný súhlas“ so štandardným súhlasom, ktorý by ste mohli použiť pre marketingový newsletter. Toto je oveľa vyššia latka. Nemôže byť zahrnutý do vašich zmluvných podmienok ani vyplývať z niečieho konania. Musí to byť krištáľovo jasný, pozitívny čin, ktorý je:

• špecifická: Nemôžete si len tak vyžiadať vágny súhlas z „bezpečnostných dôvodov“. Musíte presne uviesť, prečo potrebujete biometrické údaje.
• informoval: Ľudia musia presne vedieť, aké údaje zhromažďujete, čo s nimi budete robiť, kto ich uvidí a ako dlho ich budete uchovávať.
• Darované zadarmo: Tu sa to začína komplikovať, najmä na pracovisku. Zamestnanec sa môže cítiť pod tlakom, aby súhlasil s biometrickým systémom, pretože sa obáva negatívnych dôsledkov, ak ho odmietne. Táto nerovnováha síl znamená, že jeho súhlas nie je skutočne „slobodne udelený“, a preto je právne neplatný.

Holandský úrad AP (Autoriteit Persoonsgegevens) je mimoriadne skeptický k používaniu súhlasu ako základu pre spracovanie biometrických údajov zamestnancov. Východiskovým bodom úradu je, že takýto súhlas sa takmer nikdy neudeľuje slobodne, a preto nespĺňa prísne požiadavky GDPR.

Toto je kľúčový bod pre podniky v Holandsku. Spoliehanie sa na súhlas zamestnancov s biometrickým odpočúvaním alebo systémom prístupu do kancelárie je takmer vždy slepou uličkou, pokiaľ ide o dodržiavanie predpisov. Musíte hľadať silnejšie a vhodnejšie právne dôvody.

Nad rámec súhlasu: Preskúmanie ďalších výnimiek podľa článku 9

Hoci výslovný súhlas sa dostáva do titulkov novín, článok 9 ponúka niekoľko ďalších, veľmi úzko špecifikovaných výnimiek, ktoré by mohli odôvodniť použitie biometrických údajov. Je nevyhnutné uistiť sa, že vaša konkrétna situácia dokonale spĺňa jednu z týchto podmienok, pretože nesprávne posúdenie môže viesť k vážnym problémom. Každý podnik bude musieť starostlivo posúdiť svoju úlohu a zodpovednosti, o ktorých si môžete prečítať v našom podrobnom vysvetlení prevádzkovateľa a sprostredkovateľa podľa GDPR.

Aby sme to objasnili, porovnajme najrelevantnejšie podmienky a ich prísne požiadavky.

Porovnanie právnych základov pre spracovanie biometrických údajov

V nasledujúcej tabuľke sú rozobraté bežné podmienky článku 9, ktoré by ste mohli zvážiť, pričom sa zdôrazňuje, kde fungujú a kde sa často kazia.

V konečnom dôsledku, výber správneho právneho základu nespočíva v výbere najjednoduchšej možnosti. Vyžaduje si dôkladnú a zdokumentovanú analýzu vašich konkrétnych okolností. Jednoduché zvolenie tej, ktorá sa zdá byť najpohodlnejšia, je rýchlou cestou k nedodržiavaniu predpisov a potenciálnemu zaklopaniu na dvere zo strany holandskej AP.

Ako vykonať posúdenie vplyvu na ochranu údajov

Ak vaša organizácia vôbec zvažuje spracovanie biometrických údajov v akomkoľvek skutočnom rozsahu, posúdenie vplyvu na ochranu údajov (DPIA) nie je len dobrý nápad – je to zákonná povinnosť podľa GDPR.

Predstavte si DPIA ako formálne posúdenie rizika pre súkromie. Je to štruktúrovaný proces, ktorý vás núti presne si naplánovať, čo plánujete robiť, identifikovať potenciálne nebezpečenstvá pre jednotlivcov a zistiť, ako tieto riziká riadiť ešte predtým, ako naskenujete čo i len jeden odtlačok prsta alebo tvár.

Toto je oveľa viac než len jednoduché odškrtávanie políčok. Je to základná súčasť preukázania zodpovednosti a zakomponovania ochrany údajov do samotného návrhu vašich systémov. V prípade akejkoľvek vysoko rizikovej činnosti, ako je biometria, bude holandský úrad na ochranu údajov (AP) absolútne očakávať komplexné a dobre odôvodnené posúdenie vplyvu na ochranu údajov, ak sa niekedy pýta.

Predtým, ako vôbec začnete s posudzovaním vplyvu na ochranu údajov (DPIA) pre biometrické údaje, musíte najprv vyriešiť dve základné právne prekážky, ako ukazuje diagram nižšie.

Najprv musíte nájsť právny základ podľa článku 6 a potom splniť jednu z prísnych, špecifických podmienok podľa článku 9. Až potom môžete pokračovať vo svojom posúdení.

Hlavné komponenty DPIA

Dôkladné posúdenie vplyvu na ochranu údajov musí systematicky opisovať spracovanie, posudzovať, prečo je nevyhnutné a primerané, a riadiť riziká pre práva a slobody ľudí. Prejdime si kľúčové kroky pomocou veľmi bežného scenára: inštalácia skenera odtlačkov prstov na kontrolu prístupu do kancelárie.

1. Popíšte spracovanie: Buďte konkrétni. Musíte podrobne opísať celú cestu dát od začiatku do konca.

   • Čo presne zbierate? (napr. šablóny odtlačkov prstov, nie celé obrázky).
   • Ako sa budú tieto údaje zhromažďovať, kde sa ukladajú, ako sa používajú a kedy sa vymažú?
   • Kto má prístup k týmto údajom a prečo?
   • Sú do toho zapojení aj nejakí dodávatelia tretích strán, napríklad spoločnosť, ktorá dodala skenovací systém?

2. Posúďte nevyhnutnosť a primeranosť: Tu zdôvodníte svoje rozhodnutie. Vyžaduje si to, aby ste spochybnili svoje vlastné predpoklady a dokázali, že používanie biometrie je najrozumnejšou voľbou.

   • Aký konkrétny problém sa snažíte vyriešiť? (napr. zabrániť neoprávnenému prístupu do serverovní).
   • Prečo nie sú v tejto konkrétnej situácii dostatočne dobré menej rušivé metódy, ako sú bezpečnostné karty alebo PIN kódy?
   • Sú údaje, ktoré zhromažďujete, skutočne minimum potrebné na dosiahnutie vášho cieľa?

3. Identifikujte a zhodnoťte riziká: Vžite sa do pozície zamestnanca. Čo by sa mu mohlo pokaziť?

   • Porušenie údajov: Aký bude reálny dopad, ak bude databáza šablón odtlačkov prstov ukradnutá?
   • Funkcia Creep: Existuje riziko, že by sa tieto údaje mohli v budúcnosti použiť na iné účely, ako je monitorovanie príchodu a odchodu zamestnancov bez toho, aby im to bolo oznámené?
   • Vylúčenie: Čo sa stane, ak zamestnanec nemôže systém používať kvôli problémom s pokožkou alebo opotrebovaným odtlačkom prstov? Existuje pre neho alternatíva?
   • nepresnosť: Čo ak systém počas požiarneho poplachu zablokuje a zablokuje prístup oprávnenej osobe?

4. Identifikujte opatrenia na zmiernenie rizík: Teraz musíte pre každé riziko, ktoré ste práve uviedli, navrhnúť konkrétne riešenie. Toto je najpraktickejšia časť procesu.

   • Technické opatrenia: To by mohlo znamenať implementáciu silného šifrovania údajov, používanie zabezpečeného úložiska šablón (v zariadení je často vhodnejšie ako centrálny server) a presadzovanie prísnych kontrol prístupu.
   • Organizačné opatrenia: To zahŕňa vytvorenie jasnej politiky týkajúcej sa biometrických údajov, školenie zamestnancov v tejto oblasti a prípravu špecifického plánu reakcie na narušenie údajov pre tento systém.
   • Opatrenia proporcionality: Vždy, keď je to možné, ponúknite nebiometrickú alternatívu pre prístup. Tým sa zabezpečí, že systém nikoho nespravodlivo nevylúči.

Dobre vykonané posúdenie vplyvu na ochranu údajov (DPIA) je živý dokument. Nie je to niečo, čo urobíte raz a potom odložíte. Malo by sa skontrolovať a aktualizovať, ak sa zmení rozsah, povaha alebo kontext vášho biometrického spracovania. Slúži ako váš primárny dôkaz o náležitej starostlivosti, ak regulačný orgán niekedy spochybní vaše postupy.

Dodržiavaním tejto štruktúry sa DPIA mení z náročnej právnej povinnosti na silný strategický nástroj. Pomáha zabezpečiť, aby vaše používanie biometrických údajov bolo postavené na pevných základoch predvídavosti a zodpovednosti, čím chráni vašu organizáciu aj samotných ľudí, ktorých údaje spracovávate.

Základné kroky pre každodenné dodržiavanie predpisov

Správne dodržiavanie GDPR pre biometrické údaje nie je jednorazová právna záležitosť, ktorú si môžete odškrtnúť zo zoznamu. Je to trvalý záväzok, ktorý musí byť zakomponovaný do štruktúry vašich každodenných operácií. Keď si vyriešite právny základ a dokončíte DPIA, začína sa skutočná práca na zodpovednom spravovaní týchto citlivých údajov. Ide o premenu právnych zásad na praktické, každodenné činy.

Jadrom je zabezpečiť, aby sa základné princípy GDPR stali predvoleným nastavením vašej spoločnosti. Skvelým začiatkom je minimalizácia údajov . Je to jednoduchá, ale neuveriteľne účinná myšlienka: zhromažďujte iba biometrické údaje, ktoré absolútne potrebujete na konkrétny, legitímny účel, ktorý ste si určili. Nič viac. Ak nastavujete systém prístupu do kancelárie, naozaj potrebujete sken tváre s vysokým rozlíšením, keď by rovnako dobre zvládla oveľa jednoduchšia biometrická šablóna? Pravdepodobne nie.

Toto ide ruka v ruke s obmedzením úložiska . Biometrické údaje by sa nemali uchovávať navždy. Musíte zaviesť a presadzovať jasné zásady uchovávania údajov. Tieto pravidlá by mali presne stanovovať, ako dlho budete údaje uchovávať, a zabezpečiť ich bezpečné odstránenie v momente, keď už nebudú potrebné na pôvodný účel.

Implementácia technických a organizačných záruk

Správna ochrana biometrických údajov si vyžaduje viacvrstvovú bezpečnostnú stratégiu. To znamená spojenie technických riešení a solídnych interných politík. Nie sú to len príjemné veci; sú to nesporné požiadavky podľa GDPR.

Tu sú niektoré kľúčové technické opatrenia, ktoré by ste mali mať zavedené:

• Silné šifrovanie: Všetky biometrické údaje musia byť šifrované, bodka. To platí pre prípady, keď sú uložené na serveroch alebo zariadeniach (v pokoji) a keď sa odosiela cez sieť (v preprave). Šifrovanie robí dáta nečitateľnými a nepoužiteľnými pre kohokoľvek, kto by sa k nim mohol dostať bez povolenia.
• Prísne kontroly prístupu: Nie každý vo vašej organizácii potrebuje vidieť alebo spracovávať biometrické údaje. Na uzamknutie vecí použite riadenie prístupu na základe rolí, čím zabezpečíte, že k týmto informáciám budú mať prístup iba oprávnení zamestnanci s jasnou a legitímnou potrebou.
• Bezpečné úložisko: Vždy, keď je to možné, vyhnite sa ukladaniu biometrických šablón do jednej veľkej centrálnej databázy. Oveľa bezpečnejším prístupom je ukladať ich lokálne na zariadení, ako je samotný skener alebo prístupová karta zamestnanca. Tento decentralizovaný model dramaticky znižuje riziko katastrofického hromadného úniku údajov.

Samotná technológia však nestačí. Rovnako dôležité sú aj vaše organizačné opatrenia. Implementácia robustných bezpečnostných opatrení, ako sú tie, ktoré sa nachádzajú v biometrických prístupoch k bezpečnosti , môže výrazne znížiť riziko podvodov a posilniť celkový súlad s predpismi. To tiež znamená pravidelné školenie zamestnancov v oblasti politík ochrany údajov a vykonávanie pravidelných bezpečnostných auditov s cieľom nájsť a odstrániť zraniteľnosti skôr, ako sa stanú problémom.

Vytváranie transparentných a jasných oznámení o ochrane osobných údajov

Transparentnosť je základným kameňom GDPR. Ľudia majú absolútne právo vedieť presne, čo robíte s ich biometrickými údajmi. Vaše oznámenie o ochrane osobných údajov nemôže byť zložitý dokument plný žargónu, ktorý je skrytý v päte vašej webovej stránky. Musí byť jasné, stručné a pre každého ľahko dostupné a zrozumiteľné.

Oznámenie o ochrane osobných údajov v súlade s predpismi o spracovaní biometrických údajov musí jasne vysvetliť:

1. Kto si: Názov a kontaktné údaje vašej spoločnosti.
2. Prečo spracovávate údaje: Konkrétny, legitímny dôvod (napr. „zabezpečenie prístupu do nášho výskumného laboratória“).
3. Váš právny základ: Konkrétne podmienky článku 6 a článku 9, na ktoré sa odvolávate.
4. Aké údaje sa zhromažďujú: Buďte presní. Nehovorte len „biometria“, ale uveďte, či ide o šablónu odtlačku prsta, sken dúhovky atď.
5. Ako dlho si to ponecháte: Doba uchovávania vašich údajov.
6. S kým sa o to podelíte: To zahŕňa všetkých poskytovateľov technológií tretích strán.
7. Ich práva: Informujte ich o ich práve na prístup k údajom, ich opravu, vymazanie a namietanie proti spracovaniu.

Príklad zrozumiteľného jazyka: „Na udelenie prístupu do serverovne používame šablónu odtlačku prsta, ktorá je bezpečnou číselnou reprezentáciou vášho odtlačku prsta. Táto šablóna sa ukladá iba na vašu osobnú prístupovú kartu a z nášho systému sa vymaže do 24 hodín od ukončenia vášho pracovného pomeru. Kedykoľvek môžete požiadať o zobrazenie alebo vymazanie svojich údajov.“

Takáto jasnosť nielenže spĺňa právne požiadavky – buduje dôveru. Keď ste otvorení a transparentní v tom, ako nakladáte s najosobnejšími údajmi niekoho iného, ​​prejavujete tým záväzok k ochrane údajov, ktorý ide nad rámec jednoduchého dodržiavania predpisov. Z právnej požiadavky sa stáva základný kameň integrity vašej organizácie.

Navigácia v oblasti presadzovania práva a sankcií v Holandsku

Ignorovanie prísnych pravidiel GDPR týkajúcich sa biometrických údajov nie je len teoretickým rizikom; so sebou prináša vážne finančné a reputačné dôsledky. V Holandsku je Úrad na ochranu údajov (Autoriteit Persoonsgegevens alebo AP) známy svojím dôsledným presadzovaním. To robí z potenciálnych následkov nesprávneho zaobchádzania s údajmi kritický faktor, ktorý by mala každá organizácia zvážiť.

Pochopenie tejto situácie v oblasti presadzovania práva je nevyhnutné. Potenciálne sankcie nie sú len abstraktné právne hrozby. Sú realitou, ktorá zdôrazňuje, aké dôležité je v skutočnosti proaktívne dodržiavanie predpisov. Investícia do správneho spracovania údajov je vždy oveľa nižšia ako vysoké náklady na jeho nesprávne spracovanie.

Skutočné náklady na nedodržiavanie predpisov

Podľa GDPR majú dozorné orgány, ako napríklad holandská AP, právomoc ukladať značné pokuty. Tieto sankcie sú navrhnuté tak, aby boli účinné, primerané a odrádzajúce, a odrážali, ako vážne vnímajú porušenie. V prípade závažných porušení, ako je spracovanie údajov osobitnej kategórie bez platného právneho základu, môžu byť pokuty závratné.

Organizácie môžu čeliť pokutám až do výšky 20 miliónov eur alebo 4 % z ich celkového celosvetového ročného obratu za predchádzajúci finančný rok, podľa toho, ktorá suma je vyššia. Tento dvojstupňový systém zabezpečuje, že pokuty majú významný vplyv aj na najväčšie globálne korporácie.

Odkaz regulačných orgánov je krištáľovo jasný: nesprávne zaobchádzanie s biometrickými údajmi je jedným z najzávažnejších porušení zákona o ochrane údajov. Finančné sankcie sú štruktúrované tak, aby sa zabezpečilo, že nedodržiavanie predpisov nikdy nebude finančne životaschopnou možnosťou pre akýkoľvek podnik bez ohľadu na jeho veľkosť.

Presadzovanie práva na vysokej úrovni v Holandsku a EÚ

Nedávne kroky holandskej agentúry AP a jej európskych partnerov ukazujú, že nejde o prázdne vyhrážky. Úrady aktívne vyšetrujú a penalizujú organizácie, ktoré si neplnia svoje povinnosti. Viac informácií o konkrétnej úlohe a právomociach holandského orgánu nájdete v našom podrobnom článku o holandskom úrade pre ochranu údajov.

Výrazným príkladom je nedávny krok proti spoločnosti Clearview AI. Dňa 3. septembra 2024 holandská agentúra AP uložila americkej spoločnosti zaoberajúcej sa rozpoznávaním tvárí pokutu vo výške 30.5 milióna eur za jej nezákonné praktiky zhromažďovania údajov. Tento prípad zdôrazňuje významné finančné dôsledky spracovania biometrických informácií bez zákonného základu. Je súčasťou širšieho trendu v celej EÚ, kde orgány na ochranu údajov uložili pokuty v celkovej výške miliárd eur. Najčastejším a najnákladnejším porušením? Nedostatočný právny základ. Viac informácií o najväčších pokutách podľa GDPR a ich príčinách si môžete prečítať.

Nad rámec finančných sankcií

Dôsledky porušenia GDPR siahajú ďaleko za hranice pôvodnej pokuty. Poškodenie reputácie môže byť ešte nákladnejšie a dlhodobejšie. Verejnoprávne presadzovanie práva môže viesť k výraznej strate dôvery zákazníkov, partnerov a verejnosti.

Medzi ďalšie možné následky patria:

• Nápravné príkazy: AP vám môže nariadiť zastavenie spracovania údajov, čím si vynúti zastavenie kritických obchodných operácií.
• Povinnosti na vymazanie údajov: Možno budete musieť vymazať všetky nesprávne zhromaždené biometrické údaje.
• Civilný spor: Dotknuté osoby majú právo požadovať náhradu škody, čo otvára dvere hromadným žalobám.

V konečnom dôsledku je prostredie presadzovania práva v Holandsku robustné. Holandská agentúra AP ukázala, že nebude váhať využiť všetky svoje právomoci na ochranu najcitlivejších údajov jednotlivcov. Vďaka tomu je dôsledné dodržiavanie GDPR v oblasti biometrických údajov základnou obchodnou prioritou.

Vytvorenie plánu reakcie na narušenie biometrických údajov

Keď sú biometrické údaje ohrozené, nie je to len ďalší IT problém; je to totálna kríza. Nemôžete len tak „resetovať“ odtlačok prsta alebo sken dúhovky oka, ako by ste to urobili s heslom. Spôsob, akým sa vaša organizácia správa v prvých hodinách, je kľúčový nielen na obmedzenie škôd, ale aj na to, aby ste regulačným orgánom ukázali, že ste zodpovední.

Preto nie je mať robustný, vopred pripravený plán reakcie na incidenty špecificky pre biometrické údaje len dobrý nápad – je to nevyhnutné. V momente, keď sa dozviete o narušení, čas začne tikať.

72-hodinová lehota na oznámenie

Podľa GDPR máte prísnu 72-hodinovú lehotu na nahlásenie porušenia ochrany osobných údajov vášmu dozornému orgánu po jeho zistení. Pre každú firmu pôsobiacu v Holandsku to znamená informovať holandský úrad pre ochranu údajov (Autoriteit Persoonsgegevens alebo AP).

Sedemdesiatdva hodín nie je veľa času, a práve preto je vopred naplánovaná reakcia taká dôležitá. Vaše oznámenie musí podrobne opísať povahu narušenia, typy údajov a približný počet dotknutých osôb a pravdepodobné dôsledky. Musíte tiež vysvetliť opatrenia, ktoré ste už prijali alebo plánujete prijať.

Krok 1: Zastavenie porušenia a posúdenie jeho dopadu

Vašou bezprostrednou prioritou je zastaviť krvácanie. To si vyžaduje koordinované úsilie medzi vašimi IT bezpečnostnými a právnymi tímami s cieľom obmedziť hrozbu a presne zistiť, čo sa stalo.

• Izolujte postihnuté systémy: Okamžite odpojte napadnuté systémy od siete, aby ste predišli ďalšiemu neoprávnenému prístupu alebo úniku údajov.
• Zachovanie dôkazov: Zabezpečte všetky protokoly a digitálne dôkazy. To je kľúčové pre riadne forenzné vyšetrovanie a pre vaše regulačné podávanie správ.
• Identifikujte údaje: Uveďte konkrétne, ktoré biometrické údaje boli ovplyvnené. Išlo o nespracované obrázky alebo šifrované šablóny? Kto sú dotknuté osoby?

Krok 2: Určite, či musíte informovať jednotlivcov

Keď pochopíte rozsah porušenia, čelíte ďalšiemu kritickému rozhodnutiu. GDPR vyžaduje, aby ste dotknuté osoby informovali priamo a „bez zbytočného odkladu“, ak je pravdepodobné, že porušenie bude mať za následok vysoké riziko pre ich práva a slobody.

V prípade biometrických údajov je táto hranica „vysokého rizika“ takmer vždy splnená. Porušenie by mohlo viesť k nezvratnej krádeži identity, finančným podvodom alebo inej značnej ujme na zdraví. Holandská agentúra pre ochranu osobných údajov (AP) preukázala čoraz prísnejšie presadzovanie týchto požiadaviek na oznamovanie. Počas roka 2024 orgán dostal 37 839 oznámení o porušení ochrany osobných údajov, pričom značný počet z nich spustil následné opatrenia. Postoj holandskej agentúry pre ochranu osobných údajov sa často líši od postoja ostatných orgánov EÚ a väčšinu porušení považuje za vysoko rizikové, a preto si vyžaduje priame oznámenie dotknutým osobám. Viac informácií o prístupe holandského orgánu pre ochranu údajov k porušeniam ochrany údajov nájdete tu.

Vaše oznámenie jednotlivcom musí byť jasné a zrozumiteľné. Malo by vysvetliť, čo sa stalo, o aké informácie išlo a aké kroky môžu podniknúť na svoju ochranu, napríklad byť ostražití voči pokusom o phishing.

Krok 3: Vykonajte a zdokumentujte svoju odpoveď

Váš plán reakcie by mal byť živým návodom, nie dokumentom, ktorý zbiera prach. Pri vykonávaní plánu dokumentujte každú jednotlivú vykonanú akciu. Táto dokumentácia sa stane vaším hlavným dôkazom pre AP, že ste konali zodpovedne a usilovne.

Zahŕňa to zaznamenávanie každého rozhodnutia, komunikácie a technického opatrenia od okamihu ich zistenia. Dobre zdokumentovaná reakcia môže významne ovplyvniť to, ako regulačné orgány vnímajú celkový súlad vašej organizácie s predpismi, a môže mať vplyv na závažnosť prípadných sankcií.

Časté otázky týkajúce sa súladu s biometrickými údajmi

Keď sa pustíte do praktických aspektov používania biometrie v Holandsku, vynára sa veľa špecifických otázok. Jedna vec je pochopiť pravidlá teoreticky, ale druhá ich aplikovať v reálnych obchodných scenároch. Zhromaždili sme niektoré z najčastejších otázok, ktoré nám naši klienti kladú, aby sme vám v tom poskytli jasno.

Môžem od zamestnancov vyžadovať používanie biometrických hodín?

Takmer v každej situácii v Holandsku je odpoveď rázne nie . Holandská agentúra AP zastáva názor, že vzťah medzi zamestnávateľom a zamestnancom má inherentnú mocenskú nerovnováhu. Z tohto dôvodu nemožno súhlas zamestnanca skutočne považovať za „slobodne udelený“, čo z neho robí neplatný právny základ pre povinné použitie.

Aby ste mohli pokračovať, museli by ste preukázať presvedčivú a absolútnu nevyhnutnosť, ktorú by nebolo možné splniť žiadnou menej invazívnou metódou. To je neuveriteľne vysoká latka pre niečo také jednoduché, ako je sledovanie času, a je veľmi nepravdepodobné, že by to uspelo.

Je používanie rozpoznávania tváre na odomknutie firemného telefónu rizikom GDPR?

Áno, toto je určite riziko GDPR, ak to nebudete spravovať opatrne. Aj keď sa to môže zdať ako jednoduchá funkcia, stále spracovávate údaje špeciálnej kategórie.

Kľúčové je tu miesto, kde sú údaje uložené. Ak je šablóna tváre bezpečne uložená iba na samotnom zariadení a nikdy sa neodosiela na centrálny server spoločnosti, riziko je výrazne nižšie. Napriek tomu musíte vykonať DPIA, byť voči svojmu zamestnancovi úplne transparentní o tom, ako to funguje, a vždy ponúknuť nebiometrickú alternatívu, ako napríklad starý dobrý PIN alebo heslo.

Ako dlho môžeme legálne uchovávať biometrické údaje po odchode zamestnanca?

Musíte sa ho zbaviť hneď, ako už nie je potrebný na svoj pôvodný účel. Pre systém kontroly prístupu to znamená, že biometrická šablóna by mala byť bezpečne a natrvalo vymazaná v posledný deň zamestnanca alebo veľmi krátko po ňom.

Neexistuje jednoducho žiadny legitímny dôvod na uchovávanie týchto vysoko citlivých údajov po skončení pracovného pomeru. Jasná, automatizovaná politika vymazávania je neoddeliteľnou súčasťou dodržiavania GDPR v oblasti biometrických údajov.

At Law & More, náš tím odborných právnikov vám pomôže zorientovať sa v zložitostiach zákona o ochrane údajov, aby ste zabezpečili, že vaše obchodné operácie budú v plnom súlade s predpismi. Pre personalizované poradenstvo týkajúce sa vašej konkrétnej situácie nás navštívte na adrese https://lawandmore.eu.