Biometriniai duomenys pagal BDAR: kada juos galima naudoti Nyderlanduose?

Biometriniai duomenys, tokie kaip pirštų atspaudai, veido atvaizdai ar balso šablonai, pagal BDAR yra speciali asmens duomenų kategorija, kai jie tvarkomi siekiant unikaliai identifikuoti asmenį. Nyderlanduose toks tvarkymas iš principo yra draudžiamas; pagrindinė išimtis yra tada, kai tai būtina autentifikavimo ar saugumo tikslais, o darbuotojų atveju šį patikrinimą retai atlieka darbo laiko skaičiavimo laikrodis ar biuro durys.

Nyderlandų duomenų apsaugos tarnyba (Autoriteit Persoonsgegevens, AP) griežtai taiko šias taisykles ir yra skyrusi baudas darbdaviams bei technologijų įmonėms už biometrinių duomenų naudojimą be teisėto pagrindo. Toliau paaiškiname, kas laikoma biometriniais duomenimis, kokie teisiniai pagrindai yra galimi, kada reikia atlikti duomenų apsaugos poveikio vertinimą, kokių apsaugos priemonių tikimasi ir ką daryti, jei kas nors negerai.

Kas yra biometriniai duomenys pagal BDAR?

Biometriniai duomenys – tai asmens duomenys, gauti techniškai apdorojus asmens fizines, fiziologines ar elgesio charakteristikas, kurios leidžia arba patvirtina unikalią to asmens tapatybę. Nustato tikslą ir metodą, o ne vaizdo ar įrašo tipą.

Šis apibrėžimas pateiktas Bendrojo duomenų apsaugos reglamento (BDAR) 4(14) straipsnyje . Darbuotojo nuotrauka asmens tapatybės kortelėje yra asmens duomenys, bet ne automatiškai biometriniai duomenys. Kai ta pati nuotrauka paverčiama veido šablonu ir atpažinimo sistema ją naudoja patekimui į pastatą suteikti, ji tampa biometriniais duomenimis. Šis pokytis visiškai pakeičia teisinę sistemą.

Biometrinių identifikatorių pavyzdžiai yra pirštų atspaudai, veido geometrija, rainelės ir tinklainės modeliai, balso modeliai ir elgesio bruožai, pavyzdžiui, spausdinimo ritmas ar eisena. Juos visus vienija tai, kad jie naudojami konkrečiam asmeniui atpažinti.

Kodėl BDAR skirtingai traktuoja biometrinius duomenis?

Pagal BDAR 9 straipsnį biometriniai duomenys, tvarkomi siekiant unikaliai identifikuoti asmenį, priklauso specialioms asmens duomenų kategorijoms. Tai pačiai kategorijai priklauso duomenys apie rasinę ar etninę kilmę, politines pažiūras, religinius įsitikinimus, sveikatą ir lytinį gyvenimą.

Taip yra todėl, kad netinkamo naudojimo pasekmės yra rimtos ir dažnai negrįžtamos. Slaptažodį galima pakeisti; piršto atspaudą ar rainelę – ne. Jei biometrinių šablonų duomenų bazė pažeidžiama, atitinkamiems asmenims kyla ilgalaikė tapatybės sukčiavimo rizika.

Kiek griežtas yra olandų požiūris?

AP šias taisykles interpretuoja griežtai. Jos atskaitos taškas yra tas, kad biometrinis identifikavimas yra draudžiamas, o išimtys yra siauros.

Nyderlandų BDAR įgyvendinimo įstatyme (pranc. Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) yra numatyta nacionalinė išimtis. Pagal UAVG 29 straipsnį biometriniai duomenys gali būti tvarkomi unikaliam identifikavimui, jei tai būtina autentifikavimo ar saugumo tikslais. Svarbiausias žodis yra „būtina“. Tai reiškia, kad tikslo negalima pagrįstai pasiekti mažiau įkyriomis priemonėmis, tokiomis kaip ženklelis, kodas ar raktas. AP savo gairėse aiškiai nurodė, kad veido atpažinimas viešai prieinamose vietose, pavyzdžiui, parduotuvėse, iš principo neleidžiamas.

Kokio teisinio pagrindo jums reikia?

Jums reikia dviejų: teisėto pagrindo pagal BDAR 6 straipsnį tvarkymui ir išimties pagal BDAR 9(2) straipsnį arba UAVG 29 straipsnį, kad būtų panaikintas draudimas dėl specialių kategorijų. Be abiejų šių elementų tvarkymas yra neteisėtas.

BDAR 6 straipsnyje išvardyti šeši teisėti pagrindai: sutikimas, sutarties vykdymas, teisinė prievolė, gyvybiniai interesai, užduotis viešojo intereso labui ir teisėti interesai. Tai yra pirmoji kliūtis, ir ji taikoma visiems asmens duomenims.

Kadangi biometriniai duomenys yra speciali kategorija, turite atitikti vieną iš BDAR 9(2) straipsnio sąlygų arba Nyderlandų išimtį, numatytą UAVG 29 straipsnyje. Tai vieninteliai būdai, kuriais draudimas gali būti panaikintas. Prieš pradėdami, taip pat nustatykite, kas yra duomenų valdytojas, o kas veikia kaip tvarkytojas, pavyzdžiui, skenavimo sistemos tiekėjas. Mūsų straipsnyje apie duomenų valdytojo ir tvarkytojo vaidmenis pagal BDAR paaiškinamas skirtumas ir jums reikalinga tvarkymo sutartis.

Kada galioja aiškus sutikimas?

Aiškus sutikimas yra aukštesnis standartas nei įprastas sutikimas. Jis turi būti duotas aiškiu, teigiamu pareiškimu ir turi būti konkretus, informuotas, nedviprasmiškas ir duotas laisva valia.

• Specifinis: Bendros nuorodos į „saugumo tikslus“ nepakanka; turite tiksliai nurodyti, kodėl jums reikia biometrinių duomenų.
• informavo: Žmonės turi žinoti, kokius duomenis renkate, ką su jais darote, kas turi prieigą prie jų ir kiek laiko juos saugote.
• Laisvai duota: asmuo turi turėti galimybę atsisakyti be neigiamų pasekmių ir bet kuriuo metu atšaukti sutikimą.

Darbo santykiuose problema yra paskutinė sąlyga. Atsisakantis darbuotojas gali bijoti pasekmių, todėl AP laikosi nuomonės, kad darbuotojo sutikimas retai kada duodamas laisva valia. Darbdavys, kuris remiasi sutikimu, turi sugebėti įrodyti, kad reali alternatyva egzistavo ir buvo pasiūlyta praktiškai, o ne tik popieriuje.

Kokios dar išimtys yra?

Kitos išimtys yra siauros. Žemiau esančioje lentelėje palyginamos svarbiausios.

Ar galite naudoti darbuotojų pirštų atspaudus arba veido nuskaitymą?

Tik tuo atveju, jei biometrija tikrai būtina autentifikavimui ar saugumui užtikrinti ir mažiau įkyri priemonė netiktų. Laiko registravimui, kasai ar įprastoms biuro durims, tai paprastai netinka.

Pagal UAVG 29 straipsnį atliekamas patikrinimas, ar tikslą būtų galima pagrįstai pasiekti mažiau įkyriomis priemonėmis. Skaitytuvas, kuris kontroliuoja prieigą prie kasos aparato, laiko registravimo sistemos ar biuro durų, paprastai šio patikrinimo neatitinka, nes ženklelis, kodas ar raktas pasiekia tą patį rezultatą be biometrinių duomenų. Kai biometrinė prieiga priimama, saugumo interesas yra esminis ir konkretus: objektas, kuriame tvarkomos pavojingos medžiagos, saugi laboratorija, duomenų centras arba saugykla.

Atskirai, kai egzistuoja darbo taryba (pranc. ondernemingsraad), sistemai, kuri registruoja arba stebi darbuotojų lankomumą, elgesį ar našumą arba tvarko jų asmens duomenis, reikalingas jos sutikimas pagal Darbo tarybų įstatymo (pranc. Wet op de ondernemingsraden, WOR) 27 straipsnio 1 dalies k ir l punktus. Atitiktis BDAR nepanaikina šio reikalavimo, o sistema, įdiegta be sutikimo, gali būti ginčijama.

Ar galite naudoti biometrinius duomenis klientams?

Kartais taip, tačiau taikomos tos pačios griežtos taisyklės. Klientų atveju aiškus sutikimas gali būti pagrįstas pagrindas, jei biometrinių duomenų naudojimas yra tikrai neprivalomas ir yra lygiavertė alternatyva.

Įprasti pavyzdžiai: banko programėlės atrakinimas piršto atspaudu, tapatybės patvirtinimas asmenuke atidarant sąskaitą internetu ir patekimas į sporto salę ar renginį naudojant veido atpažinimo funkciją. Kai biometrinis patikrinimas atliekamas tik kliento telefone, naudojant telefone integruotą technologiją, įmonė paprastai negauna pati biometrinių duomenų. Tai žymiai sumažina įmonės riziką ir įsipareigojimus.

Kai bendrovė pati tvarko duomenis, pavyzdžiui, savo serveriuose lygindama asmenukę su paso nuotrauka, jai reikalingas pagrįstas pagrindas. Sutikimas reikalauja, kad klientas galėtų pasirinkti kitą būdą, pavyzdžiui, patvirtinimą banko pavedimu arba apsilankymą filiale, nepatirdamas nepatogumų. Bankams ir kitoms finansų įstaigoms svarbūs klientų patikrinimo įpareigojimai pagal kovos su pinigų plovimu teisės aktus, tačiau jie savaime nereikalauja biometrinio apdorojimo.

O kaip kameros su veido atpažinimo funkcija?

Veido atpažinimo kameros parduotuvėse, stadionuose ar kitose viešai prieinamose vietose iš principo neleidžiamos privatiems vakarėliams. Pro šalį einantys žmonės negali duoti aiškaus sutikimo, ir retai kada pasitaiko būtinybė, atitinkanti 29 straipsnio UAVG kriterijų.

AP perspėjo mažmenininkus, kad veido atpažinimo naudojimas vagims parduotuvėse identifikuoti ar klientams atpažinti neleidžiamas. Įprastam stebėjimui kameromis be biometrinio identifikavimo taikomos kitokios, mažiau griežtos taisyklės, tačiau vis tiek reikalingas teisėtas interesas, aiškūs pranešimai ir riboti saugojimo laikotarpiai. Veido atpažinimo programinės įrangos įtraukimas į esamą kamerų sistemą visiškai pakeičia vertinimą.

Kada jums reikia atlikti duomenų apsaugos poveikio vertinimą?

Beveik visada. Biometrinių duomenų tvarkymas siekiant nustatyti asmenų tapatybę yra didelės rizikos tvarkymas, todėl AP įtraukė jį į tvarkymo operacijų, kurioms reikalingas duomenų apsaugos poveikio vertinimas (DPAV) pagal BDAR 35 straipsnį, sąrašą.

DPAV yra struktūrizuotas privatumo rizikos vertinimas. Atliekant šį vertinimą, turite aprašyti, ką planuojate daryti, nustatyti riziką susijusiems asmenims ir nuspręsti, kaip valdyti šią riziką prieš nuskaitant vieną piršto atspaudą ar veidą. Jei likusi rizika yra didelė ir jos negalima pakankamai sumažinti, prieš pradėdami turite pasikonsultuoti su prieigos tašku (BDAR 36 straipsnis).

DPAV grindžiamas teisiniu pagrindu: pirmiausia nustatote pagrindą pagal 6 straipsnį ir išimtį pagal UAVG 9 arba 29 straipsnį, o tada įvertinate, ar konkreti sistema yra būtina ir proporcinga.

Ką apima poveikio duomenų apsaugai vertinimas (DPAV)?

Pavyzdžiui, pirštų atspaudų skaitytuvas, skirtas prieigai prie serverių patalpos. DPAV apima keturis elementus.

• Apdorojimo aprašymas. Kokius duomenis renkate: šabloną ar visą vaizdą? Kaip jie renkami, kur saugomi, kaip naudojami ir kada ištrinami? Kas turi prieigą? Ar dalyvauja tiekėjas?
• Būtinumas ir proporcingumas. Kokią konkrečią problemą, pavyzdžiui, neteisėtą prieigą prie serverių patalpos, sprendžiate? Kodėl šiuo atveju nepakanka ženklelių ar kodų? Ar renkate tik būtiniausius duomenis?
• Rizika dalyvaujantiems žmonėms. Kas nutiks, jei šablonų duomenų bazė bus pavogta? Ar vėliau duomenys galės būti panaudoti kitiems tikslams, pavyzdžiui, darbo valandų stebėjimui (funkcijų perkėlimas)? Kas nutiks darbuotojams, kurių pirštų atspaudų nepavyks nuskaityti? Kas nutiks, jei sistema avarinės situacijos metu užblokuos įgaliotą asmenį?
• Priemonės rizikai šalinti. Techninės priemonės, tokios kaip šifravimas ir saugojimas kortelėje arba įrenginyje; organizacinės priemonės, tokios kaip politika, mokymai ir reagavimo į pažeidimus planas; ir nebiometrinė alternatyva, kad niekas nebūtų atskirtas.

Peržiūrėti poveikio duomenų apsaugai vertinimą (DPAV), kai pasikeičia tvarkymo apimtis, pobūdis ar kontekstas (BDAR 35 straipsnio 11 dalis). Analizė, parašyta tik gavus skundą, turi mažai reikšmės AP.

Kokių apsaugos priemonių tikimasi?

Rinkti kuo mažiau duomenų, saugoti juos ne ilgiau nei būtina ir apsaugoti juos taikant tvirtas technines ir organizacines priemones. Šie principai kyla iš BDAR 5 ir 32 straipsnių.

Pradėkite nuo duomenų kiekio mažinimo: rinkite tik tuos biometrinius duomenis, kurių reikia konkrečiam, teisėtam tikslui. Prieigos kontrolei paprastai pakanka šablono; didelės skiriamosios gebos veido nuskaitymas nereikalingas. Derinkite tai su saugojimo apribojimu: nustatykite saugojimo laikotarpį ir saugiai ištrinkite duomenis, kai tik jų nebereikia, pavyzdžiui, kai darbuotojas išeina iš darbo arba jam nebereikia prieigos.

Techninės ir organizacinės priemonės

Saugumas turi atitikti didelę riziką. Pagrindinės techninės priemonės apima:

• Šifravimas biometrinių duomenų, tiek saugomų, tiek perduodamų.
• Griežta prieigos kontrolė, kad prie duomenų galėtų prisijungti tik įgalioti darbuotojai, kuriems to reikia.
• Decentralizuotas saugojimasJei įmanoma, šablonus saugokite įrenginyje arba paties vartotojo kortelėje, o ne centrinėje duomenų bazėje. Taip masinio įsilaužimo tikimybė gerokai sumažėja.

Vien technologijų nepakanka. Organizacinės priemonės, tokios kaip rašytinė biometrinių duomenų politika, darbuotojų mokymai, periodiniai saugumo auditai ir aiškūs susitarimai su tiekėjais, yra lygiai taip pat svarbios. Jei tiekėjas tvarko duomenis jūsų vardu, jums reikia duomenų tvarkymo sutarties pagal BDAR 28 straipsnį.

Aiškus privatumo pranešimas

Žmonės turi teisę žinoti, ką darote su jų biometriniais duomenimis (BDAR 13 ir 14 straipsniai). Informacija turi būti glausta, lengvai randama ir parašyta aiškia kalba.

Privatumo pranešime apie biometrinių duomenų tvarkymą turėtų būti paaiškinta, kas jūs esate ir kaip su jumis susisiekti, kodėl tvarkote duomenis, teisinis pagrindas pagal 6 straipsnį ir išimtis, kuria remiamasi, kokius duomenis renkate (pavyzdžiui, pirštų atspaudų šabloną), kiek laiko juos saugote, su kuo jais dalijatės, įskaitant tiekėjus, ir kokias teises turi žmonės, pavyzdžiui, teisę susipažinti su duomenimis, juos ištaisyti, ištrinti ir nesutikti.

Ar taikomas ir Dirbtinio intelekto įstatymas?

Taip, tam tikroms biometrinėms sistemoms. ES dirbtinio intelekto įstatymas (Reglamentas (ES) 2024/1689) papildo BDAR taisykles.

Nuo 2025 m. vasario 2 d. Dirbtinio intelekto įstatymas visiškai draudžia tam tikrą praktiką, įskaitant netikslinį veido atvaizdų išgavimą iš interneto ar kamerų filmuotos medžiagos, siekiant sukurti veido atpažinimo duomenų bazes, emocijų atpažinimą darbo vietoje ir švietimo srityje (išskyrus medicininius ar saugumo sumetimus) ir biometrinį kategorizavimą, siekiant nustatyti jautrias charakteristikas, tokias kaip rasė ar seksualinė orientacija. Kitos biometrinės sistemos, pavyzdžiui, nuotolinis biometrinis identifikavimas, priskiriamos prie didelės rizikos ir joms taikomi griežti reikalavimai. Prieš diegdami sistemą, patikrinkite abi sistemas.

Kokios yra reikalavimų nesilaikymo pasekmės?

Didelės baudos, nurodymai nutraukti tvarkymą ir ieškiniai dėl žalos atlyginimo. Už neteisėtą specialių kategorijų duomenų tvarkymą BDAR leidžia skirti baudas iki 20 mln. eurų arba 4 % metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė.

Šios maksimalios sumos kyla iš BDAR 83(5) straipsnio ir taikomos, be kita ko, tvarkymui be pagrįsto pagrindo ar išimties. Už saugumo ir pranešimo apie pažeidimus (BDAR 32–34 straipsniai) įsipareigojimų pažeidimus gali būti skiriamos baudos iki 10 mln. eurų arba 2 % pasaulinės apyvartos. Baudos turi būti veiksmingos, proporcingos ir atgrasančios. AP nustato sumą pagal savo baudų skyrimo politiką.

Ką AP įgyvendino?

AP skyrė baudas tiek darbdaviams, tiek technologijų įmonėms už neteisėtą biometrinių duomenų tvarkymą. Išskirtini du sprendimai.

2020 m. AP skyrė 725 000 eurų baudą bendrovei, kuri nuskaitė darbuotojų pirštų atspaudus lankomumo ir laiko registravimo tikslais. AP nustatė, kad nė viena išimtis netaikoma: darbuotojų sutikimas nebuvo duotas laisva valia, o patogumas registruojant valandas nėra saugumo tikslas, dėl kurio būtinas biometrinis duomenų apdorojimas. 2024 m. rugsėjį AP skyrė Amerikos bendrovei „Clearview AI“ 30.5 mln. eurų baudą už veido atvaizdų, įskaitant olandų piliečių, duomenų bazės kūrimą be teisinio pagrindo.

Keturi klausimai, susiję su AP vykdymo užtikrinimu. Koks yra tikslas, nurodytas konkrečiai, o ne kaip „saugumas“ apskritai? Ar jį būtų galima pasiekti mažiau įkyriomis priemonėmis? Jei remiamasi sutikimu, ar žmonės galėtų atsisakyti be pasekmių? Ir ar tai buvo įvertinta ir dokumentuota prieš įdiegiant sistemą? Mūsų straipsnyje apie Nyderlandų duomenų apsaugos instituciją išsamiau paaiškinami AP įgaliojimai.

Kitos pasekmės

Bauda nėra vienintelė rizika. AP gali įsakyti jums nutraukti duomenų tvarkymą, o tai gali sustabdyti sistemą, nuo kurios priklauso jūsų veikla, ir gali įsakyti ištrinti neteisėtai surinktus duomenis. Asmenys, kurių duomenys buvo tvarkomi neteisėtai, gali reikalauti kompensacijos už turtinę ir neturtinę žalą pagal BDAR 82 straipsnį, o Nyderlanduose tokius ieškinius taip pat galima pareikšti kolektyviai. Viešojo vykdymo sprendimo padaryta žala reputacijai gali būti didelė.

Ką daryti, jei nutekėjo biometriniai duomenys?

Sustabdyti pažeidimą, įvertinti riziką, per 72 valandas pranešti AP ir, jei rizika didelė, nedelsiant informuoti paveiktus asmenis. Parengti tai reagavimo plane, kol kas nors nenutiko.

Pagal BDAR 33 straipsnį, apie asmens duomenų saugumo pažeidimą privalote pranešti AP nedelsdami ir, jei įmanoma, per 72 valandas nuo tada, kai apie jį sužinojote, nebent pažeidimas neturėtų kelti pavojaus atitinkamiems asmenims. Pranešime aprašomas pažeidimo pobūdis, paveiktų asmenų ir įrašų kategorijos ir apytikslis skaičius, tikėtinos pasekmės ir imtasi ar siūlomos priemonės. Jei negalite pateikti visos informacijos iš karto, galite ją papildyti vėliau.

1 veiksmas: sustabdyti pažeidimą ir įvertinti poveikį

Pirmasis jūsų prioritetas – sustabdyti įsilaužimą. Izoliuokite paveiktas sistemas, išsaugokite žurnalus ir kitus įrodymus tyrimui ir tiksliai nustatykite, kurie duomenys buvo paveikti: neapdoroti vaizdai ar užšifruoti šablonai ir kas.

2 veiksmas: nuspręskite, ar informuoti nukentėjusius asmenis

Pagal BDAR 34 straipsnį privalote nedelsdami informuoti nukentėjusius asmenis, jei pažeidimas gali sukelti didelę riziką jų teisėms ir laisvėms. Naudojant biometrinius duomenis, ši riba dažnai bus pasiekta, nes duomenų negalima pakeisti. Išimtis, pavyzdžiui, yra duomenys, kurie buvo stipriai užšifruoti ir kurių raktas nebuvo pažeistas. Pranešimas turi būti pateiktas aiškia kalba: kas įvyko, kokie duomenys buvo susiję ir ką žmonės gali padaryti, kad apsisaugotų.

3 veiksmas: atlikite ir dokumentuokite atsakymą

Užfiksuokite kiekvieną žingsnį: aptikimo momentą, priimtus sprendimus, komunikaciją ir technines priemones. Pagal BDAR 33(5) straipsnį privalote dokumentuoti kiekvieną pažeidimą, įskaitant ir tuos, apie kuriuos neprivalėjote pranešti. Gera dokumentacija rodo AP, kad veikėte atsargiai, ir gali turėti įtakos tam, kaip ji įvertins atvejį.

Į ką turėtumėte atkreipti dėmesį kaip darbdavys ar įmonė?

Pirmiausia patikrinkite būtinybę ir dokumentuokite kiekvieną žingsnį prieš paleisdami sistemą. Šie penki patikrinimai apima taškus, į kuriuos atkreipia dėmesį AP.

• Užsirašykite konkretų saugumo tikslą ir kodėl nepakanka ženklelio, PIN kodo ar rakto (UAVG 29 straipsnis).
• Užrašykite savo teisėtą pagrindą pagal BDAR 6 straipsnį ir išimtį pagal BDAR 9 straipsnio 2 dalį arba UAVG 29 straipsnį.
• Prieš pirmąjį nuskaitymą atlikite poveikio duomenų apsaugai vertinimą ir, jei išlieka didelė rizika, pasikonsultuokite su AP (BDAR 35 ir 36 straipsniai).
• Prieš įdiegdami sistemą, paprašykite darbo tarybos sutikimo pagal WOR 27(1)(k) ir (l) straipsnius.
• Pasirašykite tvarkymo sutartį su tiekėju (BDAR 28 straipsnis) ir nustatykite šablonų saugojimo laikotarpį.

Į ką turėtumėte atkreipti dėmesį kaip darbuotojas ar klientas?

Turite teisę žinoti, kaip naudojami jūsų biometriniai duomenys, ir teisę nesutikti su neteisėtu jų tvarkymu. Patikrinkite šiuos punktus, jei jūsų prašoma nuskaityti piršto atspaudą arba veidą.

• Ar yra nebiometrinė alternatyva, pavyzdžiui, ženklelis ar PIN kodas, ir ar galite ja naudotis be jokių nepatogumų?
• Ar privatumo pranešime nurodytas tikslas, teisinis pagrindas ir saugojimo laikotarpis (BDAR 13 ir 14 straipsniai)?
• Ar darbo taryba pritarė sistemai, jei jūsų darbdavys ją taiko (Darbo tarybos 27 straipsnis)?
• Paprašyti prieigos prie savo duomenų arba jų ištrynimo; organizacija privalo atsakyti per vieną mėnesį (BDAR 12, 15 ir 17 straipsniai).
• Jei jūsų teisės negerbiamos, pateikite skundą AP (BDAR 77 straipsnis) arba reikalaukite žalos atlyginimo pagal BDAR 82 straipsnį.

Ką galime jums padaryti su biometriniais duomenimis?

Mūsų IT teisininkai padeda darbdaviams, technologijų įmonėms ir asmenims, susijusiems su biometrinėmis sistemomis – nuo ​​pirminio plano iki bylos nagrinėjimo AP.

• Mes įvertiname, ar jūsų biometrinė sistema atitinka UAVG 29 straipsnio būtinumo kriterijų.
• Mes parengiame arba peržiūrime DPAV ir privatumo pranešimą.
• Rengiame prašymą darbo tarybai dėl sutikimo pagal WOR 27 straipsnį.
• Mes peržiūrime tvarkymo sutartį su jūsų tiekėju pagal BDAR 28 straipsnį.
• Padedame jums pranešti apie duomenų saugumo pažeidimą AP per 72 valandų terminą ir reaguoti į AP vykdomuosius veiksmus.

Santrauka

• Biometriniai duomenys, naudojami unikaliam identifikavimui, yra speciali kategorija pagal BDAR 9 straipsnį; tvarkyti juos draudžiama, nebent taikoma išimtis.
• Nyderlanduose UAVG 29 straipsnis leidžia tai daryti tik tada, kai tai būtina autentifikavimui ar saugumui užtikrinti; vien patogumo nepakanka.
• Darbuotojo sutikimas retai kada galioja; pasiūlykite realią nebiometrinę alternatyvą ir, jei reikia, gaukite darbo tarybos sutikimą.
• Iš anksto atlikite poveikio duomenų apsaugai vertinimą (DPAV), sumažinkite duomenų kiekį, saugokite šablonus vietoje ir juos užšifruokite.
• Praneškite apie pažeidimus AP per 72 valandas; baudos gali siekti 20 milijonų eurų arba 4% pasaulinės apyvartos.

Dažnai užduodami klausimai