Holandský úrad pre ochranu údajov (AP) nedávno uložil spoločnosti, ktorá skenovala odtlačky prstov zamestnancov kvôli účasti a včasnej registrácii, veľkú pokutu, a to 725,000 9 EUR. Biometrické údaje, ako napríklad odtlačok prsta, sú osobitné osobné údaje v zmysle článku 9 GDPR. Toto sú jedinečné vlastnosti, ktoré možno vysledovať späť k jednej konkrétnej osobe. Tieto údaje však často obsahujú viac informácií, ako sú potrebné napríklad na identifikáciu. Ich spracovanie preto predstavuje veľké riziko v oblasti základných práv a slobôd ľudí. Ak sa tieto údaje dostanú do nesprávnych rúk, mohlo by to viesť k nenapraviteľným škodám. Biometrické údaje sú preto dobre chránené a ich spracovanie je podľa článku XNUMX GDPR zakázané, pokiaľ na to neexistuje zákonná výnimka. V tomto prípade AP dospel k záveru, že príslušná spoločnosť nemala nárok na výnimka na spracovanie špeciálnych osobných údajov.
Odtlačok prsta
O odtlačkoch prstov v kontexte GDPR a jednej z výnimiek, a to nevyhnutnosť, predtým sme do jedného z našich blogov napísali: „Odtlačok prsta je v rozpore s GDPR“. Tento blog sa zameriava na ďalšie alternatívne dôvody výnimiek: povolenie, Ak zamestnávateľ vo svojej spoločnosti používa biometrické údaje, ako sú odtlačky prstov, môže stačiť, pokiaľ ide o súkromie, so súhlasom jeho zamestnanca?
Povolením sa rozumie a konkrétne, informované a jednoznačné prejav vôle s ktorým niekto súhlasí so spracovaním svojich osobných údajov s vyhlásením alebo jednoznačným aktívnym opatrením podľa článku 4 ods. 11 GDPR. V súvislosti s touto výnimkou preto musí zamestnávateľ nielen preukázať, že jeho zamestnanci udelili povolenie, ale aj to, že to bolo jednoznačné, konkrétne a informované. Podpísanie AP v tejto súvislosti nepostačuje na podpísanie pracovnej zmluvy alebo obdržanie personálnej príručky, v ktorej zamestnávateľ zaznamenal iba úmysel úplne s odtlačkami prstov. Ako dôkaz musí zamestnávateľ napríklad predložiť politiku, postupy alebo inú dokumentáciu, ktorá dokazuje, že jeho zamestnanci sú dostatočne informovaní o spracovaní biometrických údajov a že na ich spracovanie dali (výslovné) povolenie.
Ak je povolenie udelené zamestnancom, musí to byť nielen „výslovný' ale tiež 'voľne dané“, uvádza agentúra AP. „Explicitné“ je napríklad písomné povolenie, podpis, odoslanie e-mailu s udelením povolenia alebo povolenie s dvojstupňovým overením. „Slobodne dané“ znamená, že za tým nesmie byť žiaden nátlak (ako to bolo v danom prípade: keď odmietnete skenovanie odtlačkov prstov, bude sa treba riadiť rozhovorom s riaditeľom / predstavenstvom), alebo že niečo môže byť podmienené povolením rôzne. Podmienku „slobodne dané“ zamestnávateľ v žiadnom prípade nesplní, keď sú zamestnanci povinní, alebo ako v danom prípade, považujú za povinnosť dať si zaznamenať odtlačok prsta. Podľa tejto požiadavky AP všeobecne usúdila, že vzhľadom na závislosť vyplývajúcu zo vzťahu medzi zamestnávateľom a zamestnancom je nepravdepodobné, že by zamestnanec mohol slobodne udeliť svoj súhlas. Opak bude musieť preukázať zamestnávateľ.
Vyžaduje zamestnanec povolenie od svojich zamestnancov na spracovanie odtlačkov prstov? Potom sa AP v kontexte tohto prípadu dozvie, že to v zásade nie je dovolené. Zamestnanci sú koniec koncov závislí od svojho zamestnávateľa, a preto často nemôžu odmietnuť. Neznamená to, že zamestnávateľ sa nikdy nemôže úspešne spoľahnúť na dôvod povolenia. Zamestnávateľ však musí mať dostatok dôkazov na to, aby jeho odvolanie bolo úspešné na základe súhlasu, aby bolo možné spracovať biometrické údaje jeho zamestnancov, ako sú odtlačky prstov. Máte v úmysle používať vo vašej spoločnosti biometrické údaje alebo vás od zamestnávateľa žiada napríklad o povolenie na používanie odtlačkov prstov? V takom prípade je dôležité nekonať okamžite a udeliť povolenie, ale najprv byť riadne informovaní. Law & More právnici sú odborníci v oblasti ochrany súkromia a môžu vám poskytnúť informácie. Máte ďalšie otázky týkajúce sa tohto blogu? Prosím kontaktujte Law & More.