Биометриски податоци и GDPR: правила во Холандија

Биометриските податоци, како што се отпечатоци од прсти, слики од лице или гласовни обрасци, се посебна категорија лични податоци според GDPR кога се обработуваат за уникатно идентификување на лице. Во Холандија таквата обработка е во принцип забранета; главен исклучок е кога е неопходна за автентикација или безбедносни цели, а за вработените тој тест ретко се исполнува со часовник или врата од канцеларија.

Холандскиот орган за заштита на податоци (Autoriteit Persoonsgegevens, AP) ги применува овие правила строго и ги казни работодавците и технолошките компании за користење биометрија без валидна основа. Подолу објаснуваме што се смета за биометриски податоци, кои законски основи се достапни, кога ви е потребна проценка на влијанието врз заштитата на податоците, кои заштитни мерки се очекуваат и што да направите ако нешто тргне наопаку.

Што се биометриски податоци според GDPR?

Биометриските податоци се лични податоци што произлегуваат од специфична техничка обработка на физичките, физиолошките или однесувањето на лицето, што овозможува или потврдува единствена идентификација на тоа лице. Целта и техниката одлучуваат, а не видот на сликата или снимката.

Оваа дефиниција е во член 4(14) од Општата регулатива за заштита на податоци (GDPR) . Фотографијата на вработен на лична карта е личен податок, но не автоматски биометриски податок. Во моментот кога истата фотографија ќе се претвори во образец за лице и ќе се користи од систем за препознавање за да се овозможи пристап до зграда, таа станува биометриски податок. Таа промена целосно ја менува правната рамка.

Примери за биометриски идентификатори се отпечатоци од прсти, геометрија на лицето, обрасци на ирисот и мрежницата, гласовни обрасци и особини на однесување како што се ритамот на пишување или начинот на одење. Она што им е заедничко е што се користат за препознавање на една специфична личност.

Зошто GDPR ги третира биометриските податоци поинаку?

Според член 9 од GDPR, биометриските податоци обработени со цел единствено идентификување на лице спаѓаат во посебните категории на лични податоци. Истата категорија вклучува податоци за расно или етничко потекло, политички мислења, религиозни верувања, здравје и сексуален живот.

Причината е што последиците од злоупотребата се сериозни и честопати неповратни. Лозинката може да се промени; отпечатокот од прст или ирисот не можат. Доколку базата на податоци со биометриски шаблони е компромитирана, засегнатите лица се соочуваат со траен ризик од измама со идентитетот. Табелата подолу ги прикажува вообичаените примени.

Заедничката нишка е целта на единствена идентификација. Таму каде што е присутна таа цел, се применува забраната во член 9 и ви е потребен еден од специфичните исклучоци.

Колку е строг холандскиот пристап?

АП ги толкува овие правила строго. Неговата појдовна точка е дека биометриската идентификација е забранета и дека исклучоците се ограничени.

Холандскиот Закон за имплементација на GDPR (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) додава национален исклучок. Според член 29 од UAVG, биометриските податоци може да се обработуваат за единствена идентификација доколку тоа е потребно за автентикација или безбедносни цели. „Неопходно“ е клучниот збор. Тоа значи дека целта не може разумно да се постигне со помалку наметливи средства, како што се значка, код или клуч. АП јасно стави до знаење во своите упатства дека препознавањето лица на јавно достапни места, како што се продавниците, во принцип не е дозволено.

Која правна основа ви е потребна?

Потребни ви се два: законска основа согласно член 6 од GDPR за обработката како таква и исклучок согласно член 9(2) од GDPR или член 29 од UAVG за да се укине забраната за посебни категории. Без обете, обработката е незаконска.

Член 6 од GDPR наведува шест законски основи: согласност, извршување на договор, законска обврска, витални интереси, задача од јавен интерес и легитимни интереси. Тоа е првата пречка и се однесува на сите лични податоци.

Бидејќи биометриските податоци се посебна категорија, тогаш мора да исполните еден од условите од член 9(2) од GDPR или холандскиот исклучок во член 29 од UAVG. Ова се единствените патишта преку кои може да се укине забраната. Пред да започнете, утврдете и кој е контролор, а кој дејствува како обработувач, на пример, добавувачот на системот за скенирање. Нашата статија за улогите на контролорот и обработувачот според GDPR ја објаснува разликата и договорот за обработка што ви е потребен.

Кога е валидна изречната согласност?

Експлицитната согласност е повисок стандард од обичната согласност. Таа мора да биде дадена со јасна, потврдна изјава и мора да биде специфична, информирана, недвосмислена и слободно дадена.

• Специфични: Општото упатување на „безбедносни цели“ не е доволно; мора прецизно да наведете зошто ви се потребни биометриските податоци.
• информирани: Луѓето мора да знаат кои податоци ги собирате, што правите со нив, кој има пристап и колку долго ги чувате.
• Бесплатно дадено: Лицето мора да може да одбие без негативни последици и мора да може да ја повлече согласноста во секое време.

Во работен однос, последниот услов е проблемот. Вработениот кој одбива може да се плаши од последици, па затоа АП е на став дека согласноста на вработениот ретко се дава слободно. Работодавачот кој се потпира на согласност мора да може да покаже дека постоела реална алтернатива и дека била понудена во пракса, а не само на хартија.

За клиентите, согласноста може да функционира, под услов учеството да е навистина доброволно. Клиент кој ќе избере да плати со препознавање на лице, со еквивалентна алтернатива достапна на истиот шалтер, е во различна позиција од вработен кој мора да користи скенер за отпечатоци од прсти за да започне со работа.

Кои други исклучоци постојат?

Другите исклучоци се ограничени. Табелата подолу ги споредува најрелевантните.

Изборот на вистинската основа бара документирана анализа на вашата специфична ситуација. Изборот на најзгодната основа без таа анализа е брз пат до непочитување.

Можете ли да користите отпечатоци од прсти или скенирање на лице за вработените?

Само ако биометријата е навистина неопходна за автентикација или безбедност, а помалку наметлив начин не би бил доволен. За регистрација на време, каса или обична врата од канцеларија, тоа обично не е случај.

Тестот според член 29 од Законот за заштита на животната средина (UAVG) е дали целта може разумно да се постигне со помалку наметливи средства. Скенер што контролира пристап до каса, систем за регистрација на време или врата од канцеларија обично не го поминува тој тест, бидејќи значка, код или клуч го постигнува истиот резултат без биометриски податоци. Кога е прифатен биометриски пристап, безбедносниот интерес е суштински и специфичен: објект што ракува со опасни материјали, безбедна лабораторија, центар за податоци или трезор.

Согласноста ретко спасува таков систем, од причините објаснети погоре. Постои и втор, посебен услов. Таму каде што постои работен совет (ondernemingsraad), систем што ги регистрира или следи присуството, однесувањето или перформансите на вработените или што ги обработува нивните лични податоци, бара негова согласност согласно член 27(1)(k) и (l) од Законот за работни совети (Wet op de ondernemingsraden, WOR). Усогласеноста со GDPR не го отстранува тој услов, а систем воведен без согласност може да биде оспорен.

Можете ли да користите биометрија за клиентите?

Понекогаш, но важат истите строги правила. Кај клиентите, експлицитната согласност може да биде валидна основа, под услов користењето на биометрија да е навистина опционално и да е достапна еквивалентна алтернатива.

Чести примери се отклучување на банкарска апликација со отпечаток од прст, верификација на идентитетот со селфи при отварање сметка преку интернет и пристап до теретана или настан со препознавање на лице. Кога биометриската проверка се одвива целосно на сопствениот телефон на клиентот, користејќи ја вградената технологија на телефонот, компанијата обично не ги добива биометриските податоци самата. Тоа значително го намалува ризикот и обврските за компанијата.

Кога компанијата сама ги обработува податоците, на пример со споредување на селфи со фотографија од пасош на сопствените сервери, потребна валидна основа. Согласноста бара клиентот да може да избере друг пат, како што е верификација преку банкарски трансфер или посета на филијала, без неповолност. За банките и другите финансиски институции, обврските за длабинска анализа на клиентите според законодавството за спречување на перење пари играат улога, но тие сами по себе не бараат биометриска обработка.

А што е со камерите со препознавање на лица?

Камерите за препознавање лица во продавници, стадиони или други јавно достапни места во принцип не се дозволени за приватни забави. Луѓето што поминуваат покрај нив не можат да дадат експлицитна согласност и ретко постои потреба што ги исполнува условите на член 29 од UAVG.

АП ги предупреди трговците на мало дека користењето на препознавање лица за идентификување крадци во продавници или препознавање клиенти не е дозволено. Обичниот надзор со камери, без биометриска идентификација, е предмет на различни, помалку строги правила, но сепак бара легитимен интерес, јасни известувања и ограничени периоди на чување. Додавањето софтвер за препознавање лица на постоечки систем со камери целосно ја менува проценката.

Кога ви е потребна проценка на влијанието врз заштитата на податоците?

Речиси секогаш. Обработката на биометриски податоци за идентификација на луѓе е обработка со висок ризик, а АП ја стави на својата листа на операции за обработка кои бараат проценка на влијанието врз заштитата на податоците (DPIA) согласно член 35 од GDPR.

DPIA е структурирана проценка на ризикот за приватноста. Таа ве принудува да опишете што планирате да направите, да ги идентификувате ризиците за вклучените лица и да одлучите како да ги управувате тие ризици пред да скенирате еден отпечаток од прст или лице. Доколку преостанатиот ризик е висок и не може доволно да се намали, мора да се консултирате со AP пред да започнете (член 36 од GDPR).

DPIA се темели на законската основа: прво воспоставувате основа според член 6 и исклучок според член 9 или член 29 од UAVG, а потоа проценувате дали специфичниот систем е неопходен и пропорционален.

Што содржи DPIA?

Како пример, земете скенер за отпечатоци од прсти за пристап до серверска соба. DPIA опфаќа четири елементи.

• Опис на обработката. Кои податоци ги собирате: шаблон или целосна слика? Како се собираат, каде се складираат, како се користат и кога се бришат? Кој има пристап? Дали е вклучен добавувач?
• Неопходност и пропорционалност. Кој конкретен проблем го решавате, како на пример неовластен пристап до серверската соба? Зошто значките или кодовите не се доволни во овој случај? Дали податоците што ги собирате се минимумот потребен?
• Ризиците за вклучените луѓе. Што ако базата на податоци со шаблони е украдена? Дали податоците подоцна би можеле да се користат за други цели, како што е следење на работното време (функција на преоптоварување)? Што се случува со вработените чии отпечатоци од прсти не можат да се прочитаат? Што ако системот блокира овластено лице за време на вонредна состојба?
• Мерки за справување со ризиците. Технички мерки како што се енкрипција и складирање на картичка или уред; организациски мерки како што се политика, обука и план за одговор на прекршувања; и небиометриска алтернатива, така што никој не е исклучен.

DPIA не е еднократен документ. Прегледајте го кога ќе се промени обемот, природата или контекстот на обработката. Тоа е вашиот главен доказ дека внимателно сте го разгледале распоредувањето. Анализата напишана по жалбата има мала тежина; истата анализа спроведена претходно покажува дека одлуката била добро разгледана.

Кои заштитни мерки се очекуваат?

Собирајте што е можно помалку, чувајте го не подолго од потребното и заштитете го со силни технички и организациски мерки. Овие принципи произлегуваат од членовите 5 и 32 од GDPR.

Започнете со минимизирање на податоците: собирајте само биометриски податоци потребни за специфичната, легитимна намена. За контрола на пристап, обично е доволен шаблон; не е потребно скенирање на лицето со висока резолуција. Комбинирајте го ова со ограничување на складирањето: поставете период на чување и избришете ги податоците безбедно штом повеќе не се потребни, на пример кога вработениот ќе си замине или повеќе нема потреба од пристап.

Технички и организациски мерки

Безбедноста мора да одговара на високиот ризик. Клучните технички мерки вклучуваат:

• Енкрипција на биометриски податоци, и во мирување и во пренос.
• Строги контроли на пристап, така што само овластен персонал со јасна потреба може да пристапи до податоците.
• Децентрализирано складирање: каде што е можно, складирајте ги шаблоните на уредот или на картичката на корисникот, наместо во централна база на податоци. Тоа го прави масовниот упад многу помал.

Само технологијата не е доволна. Организациските мерки, како што се писмена политика за биометриски податоци, обука на персоналот, периодични безбедносни ревизии и јасни договори со добавувачите, се подеднакво важни. Доколку добавувач ги обработува податоците во ваше име, ви е потребен договор за обработка согласно член 28 од GDPR.

Јасно известување за приватност

Луѓето имаат право да знаат што правите со нивните биометриски податоци (членови 13 и 14 од GDPR). Информациите мора да бидат концизни, лесни за наоѓање и напишани на јасен јазик.

Известувањето за приватност за биометриска обработка треба да објасни кои сте вие ​​и како да ве контактираме, зошто ги обработувате податоците, правната основа според Член 6 и исклучокот на кој се повикувате, кои податоци ги собирате (на пример, образец за отпечаток од прст), колку долго ги чувате, со кого ги споделувате, вклучувајќи ги и добавувачите, и кои права ги имаат луѓето, како што се пристап, исправка, бришење и приговор.

Пример за јасна формулација: „Користиме шаблон за отпечаток од прст, нумеричка репрезентација на вашиот отпечаток од прст, за да ви овозможиме пристап до серверската соба. Шаблонот се чува само на вашата лична картичка за пристап. Го бришеме од нашите системи кога ќе заврши вашиот пристап. Можете да побарате да ги видите или избришете вашите податоци во секое време.“

Дали важи и Законот за вештачка интелигенција?

Да, за одредени биометриски системи. Законот на ЕУ за вештачка интелигенција (Регулатива (ЕУ) 2024/1689) додава правила покрај GDPR.

Од 2 февруари 2025 година, Законот за вештачка интелигенција целосно забранува голем број практики, вклучително и нецелно собирање слики од лица од интернет или снимки од камери за градење бази на податоци за препознавање лица, препознавање емоции на работното место и во образованието (освен од медицински или безбедносни причини) и биометриска категоризација за да се заклучат чувствителни карактеристики како што се раса или сексуална ориентација. Другите биометриски системи, како што е далечинската биометриска идентификација, се класифицирани како високоризични и подлежат на строги барања. Проверете ги обете рамки пред да воведете систем.

Кои се последиците од неусогласеноста?

Високи казни, наредби за запирање на обработката и барања за надомест на штета. За незаконска обработка на посебни категории, GDPR дозволува казни до 20 милиони евра или 4% од светскиот годишен промет, кое од двете е поголемо.

Овие максимални износи произлегуваат од член 83(5) од GDPR и се применуваат, меѓу другото, за обработка без валидна основа или исклучок. Прекршувањата на обврските за безбедност и известување за прекршување (членови 32 до 34 од GDPR) може да доведат до казни до 10 милиони евра или 2% од светскиот промет. Казните мора да бидат ефикасни, пропорционални и одвраќачки. АП го одредува износот според сопствената политика за казни.

Што спроведе АП?

АП ги казни и работодавците и технолошките компании за незаконска биометриска обработка. Две одлуки се издвојуваат.

Во 2020 година, АП изрече казна од 725,000 евра на компанија која скенирала отпечатоци од прсти на вработените за евиденција на присуство и време. АП утврди дека ниту еден исклучок не се применува: согласноста на вработените не била дадена слободно, а погодноста во евидентирањето на работното време не е безбедносна цел што ја прави биометриската обработка неопходна. Во септември 2024 година, АП ја казни американската компанија Clearview AI со 30.5 милиони евра за градење база на податоци со слики од лица, вклучително и на Холанѓани, без законска основа.

Четири прашања се провлекуваат низ спроведувањето на АП. Која е целта, наведена конкретно, а не како „безбедност“ воопшто? Дали може да се постигне со помалку наметливи средства? Ако се потпира на согласност, дали луѓето би можеле да одбијат без последици? И дали ова е оценето и документирано пред да се воведе системот? Нашата статија за Холандскиот орган за заштита на податоци ги објаснува овластувањата на АП подетално.

Други последици

Казната не е единствениот ризик. Авторот на законската регулатива може да ви наложи да ја запрете обработката, што може да го запре системот од кој зависат вашите операции, и може да ви наложи да ги избришете незаконски собраните податоци. Лицата чии податоци биле незаконски обработени можат да бараат надомест на материјална и нематеријална штета согласно член 82 од GDPR, а во Холандија ваквите барања можат да се поднесат и колективно. Штетата врз угледот од одлука за јавно спроведување може да биде значителна.

Што да направите ако протекуваат биометриски податоци?

Сопрете го прекршувањето, проценете го ризикот, известете го Надлежниот орган во рок од 72 часа и, доколку ризикот е висок, известете ги засегнатите лица без непотребно одложување. Подгответе го ова во план за одговор пред нешто да тргне наопаку.

Според член 33 од GDPR, мора да пријавите повреда на лични податоци до АП без непотребно одложување и, доколку е можно, во рок од 72 часа откако ќе дознаете за тоа, освен ако е малку веројатно дека повредата ќе резултира со ризик за засегнатите лица. Известувањето ја опишува природата на повредата, категориите и приближниот број на засегнати лица и евиденција, веројатните последици и преземените или предложените мерки. Доколку не можете да ги доставите сите информации одеднаш, можете да го дополните подоцна.

Чекор 1: локализирајте го прекршувањето и проценете го влијанието

Вашиот прв приоритет е да го спречите пробивот. Изолирајте ги засегнатите системи, зачувајте ги логовите и другите докази за истрагата и утврдете точно кои податоци биле засегнати: сурови слики или шифрирани шаблони и од кого.

Чекор 2: одлучете дали да ги информирате засегнатите лица

Според член 34 од GDPR, мора да ги информирате засегнатите лица без непотребно одложување ако повредата веројатно ќе резултира со висок ризик за нивните права и слободи. Со биометриските податоци, тој праг често ќе биде исполнет, бидејќи податоците не можат да се променат. Исклучок се, на пример, податоци што биле силно криптирани и чиј клуч не бил компромитиран. Пораката мора да биде на јасен јазик: што се случило, кои податоци биле вклучени и што луѓето можат да направат за да се заштитат себеси.

Чекор 3: спроведете го и документирајте го одговорот

Запишете го секој чекор: моментот на откривање, донесените одлуки, комуникациите и техничките мерки. Според член 33(5) од GDPR, мора да документирате секое прекршување, вклучително и оние што не сте морале да ги пријавите. Добрата документација му покажува на АП дека сте постапиле внимателно и може да влијае на тоа како тој ќе го процени случајот.

Како работи во пракса?

Повеќето прашања што ги добиваме доаѓаат од работодавци кои сакаат да ги заменат беџовите со отпечатоци од прсти или скенирање на лице, како и од компании кои сакаат да користат биометрија за верификација на клиентите. Исходот зависи од потребата и од достапните алтернативи.

Да земеме за пример логистичка компанија која сака да користи скенери за отпечатоци од прсти на влезот од својот магацин. DPIA покажува дека целта е да се спречи споделувањето значки, но дека личните значки со PIN код во голема мера би го решиле тој проблем. Компанијата се одлучува за значки и PIN кодови и го задржува биометрискиот пристап само за мала просторија за трезор со стоки со висока вредност, каде што нуди небиометриска алтернатива, складира шаблони на лични картички и има добиено согласност од работничкиот совет. Тоа е видот на размислување што AP очекува да го види.

Во краток преглед

• Биометриските податоци што се користат за единствена идентификација се посебна категорија според член 9 од GDPR; обработката е забранета освен ако не се применува исклучок.
• Во Холандија, член 29 од UAVG го дозволува тоа само кога е потребно за автентикација или безбедност; практичноста не е доволна.
• Согласноста на вработените ретко е валидна; понудете реална небиометриска алтернатива и добијте согласност од работничкиот совет каде што е потребно.
• Спроведете DPIA однапред, минимизирајте ги податоците, складирајте ги шаблоните локално и шифрирајте ги.
• Пријавете прекршувања на АП во рок од 72 часа; казните можат да достигнат 20 милиони евра или 4% од светскиот промет.

Најчесто поставувани прашања

Law & More советува работодавци и технолошки компании за биометриски системи, DPIA, прекршувања на податоци и постапки пред AP. Не сте сигурни во каква ситуација сте? Кажете ни за вашата ситуација. Ќе ве известиме за вашите опции во рок од еден работен ден.

Како Law & More може да ви помогне со ова е објаснето на нашата ИТ адвокат страница.