Vysvetlenie spracovania biometrických údajov
Nedávno holandský úrad na ochranu údajov (AP) udelil vysokú pokutu, konkrétne 725,000 9 eur, spoločnosti, ktorá snímala odtlačky prstov zamestnancov kvôli evidencii dochádzky a času. Biometrické údaje, ako napríklad odtlačok prsta, sú osobitnými osobnými údajmi v zmysle článku XNUMX GDPR. Ide o jedinečné vlastnosti, ktoré možno vysledovať až k jednej konkrétnej osobe. Tieto údaje však často obsahujú viac informácií, ako je potrebné napríklad na identifikáciu.
Ich spracovanie preto predstavuje veľké riziká v oblasti základných práv a slobôd ľudí. Ak sa tieto údaje dostanú do nesprávnych rúk, môže to potenciálne viesť k nenapraviteľným škodám. Biometrické údaje sú preto dobre chránené a ich spracovanie je podľa článku 9 GDPR zakázané, pokiaľ na to neexistuje zákonná výnimka. V tomto prípade agentúra AP dospela k záveru, že predmetná spoločnosť nemá nárok na výnimka na spracovanie špeciálnych osobných údajov.
Odtlačok prsta
O odtlačkoch prstov v kontexte GDPR a jednej z výnimiek, a to nevyhnutnosť, predtým sme do jedného z našich blogov napísali: „Odtlačok prsta je v rozpore s GDPR“. Tento blog sa zameriava na ďalšie alternatívne dôvody výnimiek: povolenie, Ak zamestnávateľ vo svojej spoločnosti používa biometrické údaje, ako sú odtlačky prstov, môže stačiť, pokiaľ ide o súkromie, so súhlasom jeho zamestnanca?
Povolením sa rozumie a konkrétne, informované a jednoznačné prejav vôle s ktorým niekto vyhlásením alebo jednoznačným aktívnym úkonom súhlasí so spracúvaním svojich osobných údajov podľa článku 4 ods. 11 GDPR. V rámci tejto výnimky musí teda zamestnávateľ nielen preukázať, že jeho zamestnanci udelili povolenie, ale aj to, že toto bolo jednoznačné, konkrétne a informované.
Podpísanie pracovnej zmluvy alebo prevzatie personálnej príručky, v ktorej má zamestnávateľ zaznamenaný len úmysel úplne sa prihlásiť s odtlačkom prsta, je v tejto súvislosti nedostatočné, uzavrela AP. Zamestnávateľ musí ako dôkaz napríklad predložiť zásady, postupy alebo inú dokumentáciu, z ktorej vyplýva, že jeho zamestnanci sú dostatočne informovaní o spracúvaní biometrických údajov a že na ich spracúvanie dali aj (výslovný) súhlas.
Ak je povolenie udelené zamestnancom, musí to byť nielen „výslovný' ale tiež 'voľne dané“, podľa agentúry AP. „Explicitné“ je napríklad písomné povolenie, podpis, odoslanie e-mailu na udelenie povolenia alebo povolenie s verifikáciou v dvoch krokoch. „Voľne poskytnuté“ znamená, že za tým nesmie byť žiadny nátlak (ako tomu bolo v tomto prípade: pri odmietnutí zosnímania odtlačku prsta nasledoval rozhovor s riaditeľom/predstavenstvom) alebo že povolenie môže byť pre niečo podmienkou. rôzne.
Zamestnávateľ v žiadnom prípade nespĺňa podmienku „slobodne dané“, keď sú zamestnanci povinní, alebo ako v tomto prípade, vnímajú to ako povinnosť nechať si zaznamenať odtlačok prsta. Vo všeobecnosti sa AP na základe tejto požiadavky domnieval, že vzhľadom na závislosť vyplývajúcu zo vzťahu medzi zamestnávateľom a zamestnancom je nepravdepodobné, že zamestnanec môže slobodne udeliť svoj súhlas. Opak bude musieť preukázať zamestnávateľ.
Požaduje zamestnanec povolenie od svojich zamestnancov na spracovanie odtlačkov prstov? Potom sa AP v kontexte tohto prípadu dozvie, že to v zásade nie je dovolené. Zamestnanci sú totiž závislí od svojho zamestnávateľa, a preto často nemôžu odmietnuť. To neznamená, že zamestnávateľ sa nikdy nemôže úspešne spoliehať na povoľovaciu pôdu.
Zamestnávateľ však musí mať dostatok dôkazov na to, aby jeho odvolanie na základe súhlasu bolo úspešné, aby mohol spracovať biometrické údaje svojich zamestnancov, ako sú odtlačky prstov. Máte v úmysle využívať biometrické údaje vo vašej spoločnosti alebo vás zamestnávateľ žiada napríklad o povolenie použiť váš odtlačok prsta? V takom prípade je dôležité nekonať okamžite a udeliť povolenie, ale najprv sa riadne informovať. zákon & More právnici sú odborníci v oblasti ochrany osobných údajov a môžu vám poskytnúť informácie. Máte ďalšie otázky týkajúce sa tohto blogu? Kontaktujte prosím Law & More.
