Lai izprastu biometriskos datus un atbilstību GDPR, mums vispirms ir jāatbild uz pamatjautājumu: kas tieši is biometriskie dati? Tā nav vienkārši jebkāda personiska informācija. Mēs runājam par datiem, kas iegūti no unikālām fiziskām vai uzvedības iezīmēm, piemēram, pirkstu nospiedumiem, varavīksnenes raksta vai pat kāda cilvēka balss, kas var nepārprotami identificēt konkrētu personu.

Domājiet par to kā par bioloģisku atslēgu, kas ir unikāla katram indivīdam un praktiski neiespējami maināma.

Biometrisko datu definēšana saskaņā ar GDPR

Saskaņā ar Vispārīgo datu aizsardzības regulu (VDAR) par "biometriskajiem datiem" nepadara tips pašu datu (piemēram, fotoattēla), bet mērķis kuram jūs to apstrādājat. Vienkārša darbinieka fotogrāfija uz viņa ID kartes netiek automātiski uzskatīta par biometriskiem datiem.

Tomēr brīdī, kad šī pati fotogrāfija tiek ievadīta sejas atpazīšanas sistēmā, lai piešķirtu piekļuvi ēkai, tā kļūst par biometriskiem datiem. Tiesiskais regulējums pilnībā mainās.

Izšķirošais faktors ir "specifiskā tehniskā apstrāde", ko izmanto unikālas identifikācijas nolūkos. Šīs atšķirības pareiza izpratne ir jūsu atbilstības saistību izpratnes stūrakmens. Jūs varat sīkāk iepazīties ar niansēm mūsu ceļvedī par Biometrisko datu apstrādes skaidrojums.

Kāpēc GDPR atšķirīgi apstrādā biometriskos datus

Biometriskie dati tiek klasificēti kā "īpaša personas datu kategorija" saskaņā ar GDPR 9. pantu. Šī klasifikācija to ievieto tajā pašā augsta riska grupā kā informācija par:

• Rasu vai etniskā izcelsme
• Politiskie uzskati
• Reliģiskie vai filozofiskie uzskati
• Veselība vai seksuālā dzīve

Šim paaugstinātajam statusam ir pamatots iemesls: biometrisko datu pārkāpumam ir neatgriezeniskas sekas. Atšķirībā no paroles, jūs nevarat vienkārši mainīt pirkstu nospiedumu vai varavīksneni. Ja šie dati tiek apdraudēti, tas rada pastāvīgu identitātes zādzības un krāpšanas risku šai personai.

Lai sniegtu skaidrāku priekšstatu, šeit ir sniegts izplatītāko biometrisko datu veidu sadalījums un to statuss saskaņā ar GDPR.

Kā redzams tabulā, pastāvīgā tendence ir šo datu izmantošana unikāla identifikācija, kas automātiski iedarbina 9. pantā paredzēto īpašo kategoriju aizsardzību.

Nīderlandes regulatīvā pieeja

Šeit, Nīderlandē, Nīderlandes Datu aizsardzības iestāde (Autoriteit Persoonsgegevens jeb AP) piemēro īpaši stingru šo noteikumu interpretāciju. Piemēram, viņu vadlīnijas par sejas atpazīšanas tehnoloģiju skaidri norāda, ka tās izmantošana vairumā gadījumu ir aizliegta.

Galvenais kritērijs vienmēr ir tas, vai apstrādes mērķis ir nepārprotami identificēt fizisku personu. Šī stingrā nostāja uzsver, cik pārliecinošam ir jābūt jūsu juridiskajam pamatojumam, pirms vispār apsverat šādas sistēmas ieviešanu.

Jūsu biometrisko datu apstrādes likumīgā pamata atrašana

Strādājot ar biometriskajiem datiem, GDPR būtībā novērš divus atsevišķus juridiskos šķēršļus. Nav nepieciešams tikai atrast vienu labu iemeslu datu apstrādei. Jums ir nepieciešams likumīgs pamats saskaņā ar… Pants 6 vispārējai apstrādei, un pēc tam otrs, daudz stingrāks nosacījums no Pants 9 jo jūs apstrādājat “īpašas kategorijas” datus. Šī divdaļīgā prasība absolūti nav apspriežama.

Iedomājieties to kā bankas seifu ar divām dažādām slēdzenēm. Pants 6 ir pirmā atslēga, kas nepieciešama jebkāda veida personas datu apstrādei. Taču, tā kā biometrija ir tik sensitīva, Pants 9 ir nepieciešama otra, specializētāka atslēga, pirms jūs vispār varat domāt par durvju atvēršanu.

GDPR atbilstības divu galveno sistēmu

Vispirms jums ir jāpamato sava apstrāde ar vienu no sešiem likumīgajiem pamatiem, kas norādīti Pants 6Šie ir parastie aizdomīgie elementi: piekrišana, līgumiska nepieciešamība, juridisks pienākums, kas jums jāizpilda, svarīgas intereses, sabiedriska uzdevuma veikšana vai jūsu pašu likumīgās intereses.

Kad esat nostiprinājis savu Pants 6 pamata sākas īstais izaicinājums. Jums ir jāizpilda arī viens no konkrētajiem nosacījumiem, kas uzskaitīti sadaļā 9 pants (2), kas ir vienīgie vārti īpašu kategoriju datu apstrādei. Biometrijas gadījumā vispazīstamākais un visbiežāk pārprastais nosacījums ir nepārprotamu piekrišanu.

Skaidras piekrišanas dekonstruēšana

Nejauciet “skaidru piekrišanu” ar standarta piekrišanu, ko varētu izmantot mārketinga informatīvajam biļetenam. Šī ir daudz augstāka latiņa. To nevar izolēti iekļaut noteikumos un nosacījumos vai netieši izrietēt no kāda cita darbībām. Tai ir jābūt kristāldzidrai, pozitīvai darbībai, kas ir:

• Specifiski: Jūs nevarat vienkārši lūgt neskaidru piekrišanu "drošības apsvērumu dēļ". Jums ir precīzi jānorāda, kāpēc jums ir nepieciešami biometriskie dati.
• informēts: Cilvēkiem ir precīzi jāzina, kādus datus jūs apkopojat, ko jūs ar tiem darīsiet, kas tos varēs redzēt un cik ilgi jūs tos glabāsiet.
• Brīvi dots: Šeit kļūst sarežģīti, īpaši darba vietā. Darbinieks var justies spiests piekrist biometriskajai sistēmai, baidoties no negatīvām sekām atteikšanās gadījumā. Šī varas nelīdzsvarotība nozīmē, ka viņu piekrišana nav patiesi “brīvi dota” un tāpēc ir juridiski nederīga.

Nīderlandes AP (Autoriteit Persoonsgegevens) ir ārkārtīgi skeptiska pret piekrišanas izmantošanu kā pamatu darbinieku biometrisko datu apstrādei. Iestādes izejas punkts ir tāds, ka šāda piekrišana gandrīz nekad netiek sniegta brīvprātīgi un līdz ar to neatbilst GDPR stingrajām prasībām.

Šis ir ļoti svarīgs punkts uzņēmumiem Nīderlandē. Paļaušanās uz darbinieku piekrišanu biometriskā laika pulksteņa vai biroja piekļuves sistēmas lietošanai gandrīz vienmēr ir strupceļš atbilstības nodrošināšanā. Jums jāmeklē spēcīgāks un atbilstošāks juridiskais pamatojums.

Vairāk nekā piekrišana: citu 9. panta izņēmumu izpēte

Lai gan nepārprotama piekrišana ir visu ziņu virsrakstu temats, Pants 9 piedāvā dažus citus, ļoti šaurus izņēmumus, kas varētu attaisnot biometrisko datu izmantošanu. Ir svarīgi pārliecināties, ka jūsu konkrētā situācija pilnībā atbilst vienam no šiem nosacījumiem, jo ​​nepareiza rīcība var radīt nopietnas problēmas. Katram uzņēmumam būs rūpīgi jāizvērtē sava loma un pienākumi, par kuriem varat lasīt mūsu detalizētajā skaidrojumā par pārzinis un apstrādātājs saskaņā ar GDPR.

Lai to padarītu skaidrāku, salīdzināsim visatbilstošākos nosacījumus un to stingrās prasības.

Biometrisko datu apstrādes tiesiskā pamata salīdzinājums

Zemāk esošajā tabulā ir apkopoti biežāk sastopamie 9. panta nosacījumi, kurus jūs varētu apsvērt, izceļot, kur tie darbojas un kur tie bieži vien ir nepareizi.

Galu galā pareizā juridiskā pamata izvēle nenozīmē izvēlēties vieglāko variantu. Tas prasa rūpīgu, dokumentētu jūsu konkrēto apstākļu analīzi. Vienkārši izvēloties to, kas šķiet ērtākais, jūs ātri nonāksiet neatbilstībā un, iespējams, Nīderlandes AP klauvē pie durvīm.

Kā veikt datu aizsardzības ietekmes novērtējumu

Ja jūsu organizācija vispār apsver biometrisko datu apstrādi jebkādā reālā mērogā, tad a Datu aizsardzības ietekmes novērtējums (DPIA) nav tikai laba ideja — tā ir juridiska prasība saskaņā ar GDPR.

Domājiet par DPIA kā par formālu privātuma riska novērtējumu. Tas ir strukturēts process, kas liek jums precīzi izplānot, ko plānojat darīt, pamanīt iespējamos apdraudējumus indivīdiem un izdomāt, kā šos riskus pārvaldīt. pirms jūs kādreiz esat skenējis vienu pirkstu nospiedumu vai seju.

Tas ir daudz vairāk nekā tikai ķeksīša atzīmēšana. Tā ir būtiska atbildības demonstrēšanas un datu aizsardzības integrēšanas jūsu sistēmu projektēšanā sastāvdaļa. Attiecībā uz jebkuru augsta riska darbību, piemēram, biometriju, Nīderlandes Datu aizsardzības iestāde (AP) noteikti sagaida visaptverošu un pamatotu ietekmes uz datu aizsardzību novērtējumu (DPIA), ja tā jebkad uzdos jautājumus.

Pirms vispār varat sākt ietekmes uz vidi novērtējumu (DPIA) biometrijai, vispirms ir jāpārvar divi būtiski juridiskie šķēršļi, kā parādīts zemāk esošajā diagrammā.

Vispirms jums ir jāatrod likumīgs pamats saskaņā ar 6. pantu un pēc tam jāizpilda viens no stingrajiem, konkrētajiem nosacījumiem saskaņā ar 9. pantu. Tikai tad jūs varat turpināt savu novērtējumu.

Datu aizsardzības novērtējuma (DPIA) galvenās sastāvdaļas

Pamatīgam datu aizsardzības novērtējumam (DPIA) ir sistemātiski jāapraksta apstrāde, jānovērtē, kāpēc tā ir nepieciešama un samērīga, un jāpārvalda riski cilvēku tiesībām un brīvībām. Apskatīsim galvenos soļus, izmantojot ļoti izplatītu scenāriju: pirkstu nospiedumu skenera uzstādīšanu biroja piekļuves kontrolei.

1. Aprakstiet apstrādi: Esiet konkrēts. Jums ir detalizēti jāapraksta viss datu ceļš no sākuma līdz beigām.

   • Ko tieši jūs vācat? (piemēram, pirkstu nospiedumu veidnes, nevis pilnus attēlus).
   • Kā šie dati tiks apkopoti, kur tie tiks glabāti, kā tie tiks izmantoti un kad tie tiks dzēsti?
   • Kas var piekļūt šiem datiem un kāpēc?
   • Vai ir iesaistīti kādi trešo pušu piegādātāji, piemēram, uzņēmums, kas piegādāja skenera sistēmu?

2. Novērtējiet nepieciešamību un samērīgumu: Šeit jūs pamatojat savu lēmumu. Tas prasa, lai jūs apstrīdētu savus pieņēmumus un pierādītu, ka biometrijas izmantošana ir vissaprātīgākā izvēle.

   • Kādu konkrētu problēmu jūs mēģināt atrisināt? (piemēram, novērst nesankcionētu piekļuvi serveru telpām).
   • Kāpēc mazāk uzmācīgas metodes, piemēram, drošas atslēgu kartes vai PIN kodi, nav pietiekami labas šajā konkrētajā situācijā?
   • Vai jūsu apkopotie dati patiešām ir tikai minimums, kas nepieciešams jūsu mērķa sasniegšanai?

3. Risku identificēšana un novērtēšana: Iedomājieties sevi darbinieka vietā. Kas viņam varētu noiet greizi?

   • Datu pārkāpums: Kāda ir reālā ietekme, ja pirkstu nospiedumu veidņu datubāze tiek nozagta?
   • Funkcijas šļūde: Vai pastāv risks, ka šos datus vēlāk varētu izmantot citām lietām, piemēram, darbinieku ierašanās un aiziešanas uzraudzībai, viņiem par to nebrīdinot?
   • Izslēgšana: Kas notiek, ja darbinieks nevar izmantot sistēmu ādas slimības vai nolietotu pirkstu nospiedumu dēļ? Vai viņam ir alternatīva?
   • Neprecizitāte: Ko darīt, ja ugunsgrēka trauksmes laikā sistēma nedarbojas pareizi un bloķē pilnvarotu personu?

4. Nosakiet pasākumus risku mazināšanai: Tagad katram tikko uzskaitītajam riskam jums jāpiedāvā konkrēts risinājums. Šī ir procesa praktiskākā daļa.

   • Tehniskie pasākumi: Tas varētu nozīmēt spēcīgas datu šifrēšanas ieviešanu, drošas veidņu glabāšanas izmantošanu (ierīcē bieži vien ir labāk nekā centrālajā serverī) un stingras piekļuves kontroles nodrošināšanu.
   • Organizatoriskie pasākumi: Tas ietver skaidras biometrisko datu politikas izveidi, personāla apmācību šajā jomā un konkrēta datu pārkāpumu reaģēšanas plāna sagatavošanu šai sistēmai.
   • Proporcionalitātes pasākumi: Vienmēr piedāvājiet piekļuves alternatīvu, kas nav saistīta ar biometriskiem datiem, ja tas ir iespējams. Tas nodrošina, ka sistēma nevienu negodīgi neizslēdz.

Labi izpildīts ietekmes uz vidi novērtējums (DPIA) ir “dzīvs” dokuments. Tas nav kaut kas tāds, ko izdarāt vienreiz un pēc tam iesniedzat. Tas ir jāpārskata un jāatjaunina, ja mainās jūsu biometriskās apstrādes apjoms, raksturs vai konteksts. Tas kalpo kā jūsu galvenais pierādījums par pienācīgu rūpību, ja regulators jebkad apšauba jūsu praksi.

Ievērojot šo struktūru, ietekmes uz datu aizsardzību novērtējums (DPIA) no biedējoša juridiska pienākuma pārvēršas par spēcīgu stratēģisku rīku. Tas palīdz nodrošināt, ka biometrijas izmantošana ir balstīta uz stabilu tālredzības un atbildības pamatu, aizsargājot gan jūsu organizāciju, gan tos pašus cilvēkus, kuru datus jūs apstrādājat.

Būtiski soļi ikdienas atbilstības nodrošināšanai

Pareiza GDPR atbilstības nodrošināšana biometrisko datu jomā nav vienreizējs juridisks uzdevums, ko var izdarīt no saraksta. Tā ir pastāvīga apņemšanās, kas jāiekļauj jūsu ikdienas darbībās. Kad esat noskaidrojis savu juridisko pamatu un pabeidzis ietekmes uz datu aizsardzību novērtējumu (DPIA), sākas patiesais darbs pie šo sensitīvo datu atbildīgas pārvaldības. Viss ir atkarīgs no juridisko principu pārvēršanas praktiskās ikdienas darbībās.

Galvenais ir nodrošināt, lai GDPR pamatprincipi kļūtu par jūsu uzņēmuma noklusējuma iestatījumu. Lielisks sākumpunkts ir datu minimizēšanaTā ir vienkārša, bet neticami spēcīga ideja: apkopot tikai tos biometriskos datus, kas jums absolūti nepieciešami konkrētajam, likumīgajam mērķim, ko esat identificējis. Nekas vairāk. Ja izveidojat biroja piekļuves sistēmu, vai jums tiešām ir nepieciešama augstas izšķirtspējas sejas skenēšana, ja daudz vienkāršāka biometriskā veidne tikpat labi paveiktu darbu? Droši vien nē.

Tas iet roku rokā ar uzglabāšanas ierobežojumsBiometriskie dati nedrīkst tikt glabāti mūžīgi. Jums ir jāizveido un jāievieš skaidras datu glabāšanas politikas. Šajos noteikumos ir jānorāda, cik ilgi dati tiks glabāti, un jānodrošina to droša dzēšana brīdī, kad tie vairs nav nepieciešami sākotnējam mērķim.

Tehnisko un organizatorisko drošības pasākumu ieviešana

Biometrisko datu pienācīgai aizsardzībai ir nepieciešama daudzslāņu drošības stratēģija. Tas nozīmē gan tehnisko risinājumu, gan stabilu iekšējo politiku apvienošanu. Tās nav tikai papildu lietas, kas ir nepieciešamas, bet gan neapspriežamas prasības saskaņā ar GDPR.

Šeit ir daži galvenie tehniskie pasākumi, kas jums jāievieš:

• Spēcīga šifrēšana: Visiem biometriskajiem datiem jābūt šifrētiem, punkts. Tas attiecas gan uz gadījumiem, kad tie tiek glabāti serveros vai ierīcēs (miera stāvoklī) un kad tas tiek sūtīts tīklā (tranzītā). Šifrēšana padara datus nelasāmus un nelietojamus ikvienam, kurš varētu tiem piekļūt bez atļaujas.
• Stingras piekļuves kontroles: Ne visiem jūsu organizācijā ir jāredz vai jāapstrādā biometriskie dati. Izmantojiet uz lomām balstītas piekļuves kontroles, lai bloķētu lietas, nodrošinot, ka šai informācijai var piekļūt tikai pilnvaroti darbinieki ar skaidru, likumīgu vajadzību.
• Droša krātuve: Kad vien iespējams, izvairieties no biometrisko veidņu glabāšanas vienā lielā centrālā datubāzē. Daudz drošāka pieeja ir tās glabāt lokāli ierīcē, piemēram, pašā skenerī vai darbinieka piekļuves kartē. Šis decentralizētais modelis ievērojami samazina katastrofālas masveida datu noplūdes risku.

Taču ar tehnoloģijām vien nepietiek. Tikpat svarīgi ir jūsu organizatoriskie pasākumi. Ieviešot spēcīgus drošības pasākumus, piemēram, tos, kas atrodami šeit. biometriskās pieejas drošībai, var ievērojami samazināt krāpšanas risku un stiprināt jūsu vispārējo atbilstību prasībām. Tas nozīmē arī regulāru darbinieku apmācību par datu aizsardzības politikām un periodisku drošības auditu veikšanu, lai atrastu un novērstu ievainojamības, pirms tās kļūst par problēmu.

Caurspīdīgu un skaidru privātuma paziņojumu izveide

Caurspīdīgums ir GDPR stūrakmens. Cilvēkiem ir absolūtas tiesības precīzi zināt, ko jūs darāt ar viņu biometriskajiem datiem. Jūsu paziņojums par konfidencialitāti nevar būt blīvs, žargona pilns dokuments, kas paslēpts jūsu vietnes kājenē. Tam jābūt skaidram, kodolīgam un ikvienam viegli atrodamam un saprotamam.

Atbilstošā biometrisko datu apstrādes paziņojumā par privātumu ir skaidri jāpaskaidro:

1. Kas tu esi: Jūsu uzņēmuma nosaukums un kontaktinformācija.
2. Kāpēc jūs apstrādājat datus: Konkrēts, likumīgs iemesls (piemēram, "lai nodrošinātu piekļuvi mūsu pētniecības laboratorijai").
3. Jūsu juridiskais pamats: Konkrētie 6. un 9. panta nosacījumi, uz kuriem jūs atsaucaties.
4. Kādi dati tiek apkopoti: Esiet precīzi. Nesakiet vienkārši "biometriskie dati"; norādiet, vai tas ir pirkstu nospiedumu paraugs, varavīksnenes skenēšana utt.
5. Cik ilgi jūs to glabāsiet: Jūsu datu glabāšanas periods.
6. Ar ko jūs to kopīgosiet: Tas ietver visus trešo pušu tehnoloģiju pakalpojumu sniedzējus.
7. Viņu tiesības: Informējiet viņus par viņu tiesībām piekļūt saviem datiem, tos labot, dzēst un iebilst pret to apstrādi.

Skaidras valodas piemērs: "Lai piešķirtu jums piekļuvi serveru telpai, mēs izmantojam pirkstu nospiedumu veidni, kas ir drošs jūsu pirkstu nospiedumu skaitlisks attēlojums. Šī veidne tiek glabāta tikai jūsu personīgajā piekļuves kartē un tiek dzēsta no mūsu sistēmas 24 stundu laikā pēc darba attiecību beigām. Jūs jebkurā laikā varat pieprasīt savu datu apskati vai dzēšanu."

Šāda veida skaidrība ne tikai atzīmē juridisku rūtiņu, bet arī veido uzticību. Kad esat atklāts un caurspīdīgs par to, kā rīkojaties ar kāda cilvēka vispersoniskāko informāciju, jūs parādāt apņemšanos ievērot datu aizsardzību, kas sniedzas tālāk par vienkāršu atbilstību. Tas pārvērš juridisko prasību par jūsu organizācijas integritātes stūrakmeni.

Orientēšanās tiesībaizsardzības un sodu jomā Nīderlandē

GDPR stingro noteikumu par biometriskajiem datiem ignorēšana nav tikai teorētisks risks; tā rada nopietnas finansiālas un reputācijas sekas. Nīderlandē Datu aizsardzības iestāde (Autoriteit Persoonsgegevens jeb AP) ir pazīstama ar savu stingro noteikumu izpildi. Tas padara datu nepareizas apstrādes iespējamās sekas par kritisku faktoru, kas jāņem vērā jebkurai organizācijai.

Ir svarīgi izprast šo tiesību aizsardzības ainavu. Potenciālie sodi nav tikai abstrakti juridiskie draudi. Tā ir realitāte, kas izceļ to, cik svarīga patiesībā ir proaktīva atbilstība. Investīcijas datu apstrādes optimizēšanā vienmēr ir daudz mazākas nekā nepareizas rīcības izmaksas.

Neatbilstības patiesās izmaksas

Saskaņā ar GDPR uzraudzības iestādēm, piemēram, Nīderlandes AP, ir tiesības piemērot ievērojamus naudas sodus. Šie sodi ir izstrādāti tā, lai tie būtu efektīvi, samērīgi un atturoši, atspoguļojot to, cik nopietni tie uztver pārkāpumu. Par smagiem pārkāpumiem, piemēram, īpašu kategoriju datu apstrādi bez derīga juridiska pamata, naudas sodi var būt satriecoši.

Organizācijām var tikt piemēroti sodi līdz pat 20 miljoni eiro jeb 4% no to kopējā gada apgrozījuma pasaulē no iepriekšējā finanšu gada, atkarībā no tā, kura summa ir lielāka. Šī divpakāpju sistēma nodrošina, ka sodiem ir būtiska ietekme pat uz lielākajiem globālajiem uzņēmumiem.

Regulatoru vēstījums ir pilnīgi skaidrs: biometrisko datu nepareiza apstrāde ir viens no nopietnākajiem datu aizsardzības tiesību aktu pārkāpumiem. Finansiālās sankcijas ir strukturētas tā, lai nodrošinātu, ka neatbilstība nekad nav finansiāli dzīvotspējīgs risinājums nevienam uzņēmumam neatkarīgi no tā lieluma.

Augsta profila tiesībaizsardzība Nīderlandē un ES

Nīderlandes AP un tās Eiropas kolēģu nesenās darbības liecina, ka šie nav tukši draudi. Varas iestādes aktīvi izmeklē un soda organizācijas, kas nepilda savas saistības. Lai iegūtu plašāku informāciju par Nīderlandes iestādes konkrēto lomu un pilnvarām, varat izlasīt mūsu detalizēto rakstu par… Nīderlandes Datu aizsardzības iestāde.

Spilgts piemērs tam ir nesenā rīcība pret Clearview AI. 2024. gada 3. septembrī Nīderlandes AP noteica 30.5 miljonu eiro sods pret amerikāņu sejas atpazīšanas uzņēmumu par tā nelikumīgo datu vākšanas praksi. Šī lieta uzsver biometriskās informācijas apstrādes bez likumīga pamata būtiskās finansiālās sekas. Tā ir daļa no plašākas tendences visā ES, kur datu aizsardzības iestādes ir uzlikušas sodus miljardu eiro apmērā. Visizplatītākais un dārgākais pārkāpums? Nepietiekams juridiskais pamats. Jūs varat uzzināt vairāk par Lielākie GDPR sodi un to cēloņi.

Vairāk nekā finansiālas sankcijas

GDPR pārkāpuma sekas sniedzas daudz tālāk par sākotnējo sodu. Reputācijas kaitējums var būt vēl dārgāks un ilgstošāks. Publiskā mēroga tiesībaizsardzības pasākumi var ievērojami zaudēt klientu, partneru un sabiedrības uzticību.

Citas iespējamās sekas ir šādas:

• Korekcijas rīkojumi: AP var likt jums pārtraukt datu apstrādi, piespiežot apturēt kritiski svarīgas biznesa darbības.
• Datu dzēšanas mandāti: Jums var tikt lūgts dzēst visus nepareizi apkopotos biometriskos datus.
• Civiltiesvedība: Skartajām personām ir tiesības pieprasīt kompensāciju par nodarīto kaitējumu, kas paver iespējas kolektīvām prasībām.

Galu galā tiesībaizsardzības vide Nīderlandē ir stabila. Nīderlandes AP ir parādījusi, ka tā nevilcināsies izmantot visas savas pilnvaras, lai aizsargātu personu sensitīvākos datus. Tas nozīmē rūpīgu... biometrisko datu atbilstība GDPR būtiska uzņēmējdarbības prioritāte.

Biometrisko datu pārkāpuma reaģēšanas plāna izveide

Kad tiek apdraudēti biometriskie dati, tā nav tikai vēl viena IT problēma; tā ir pilnvērtīga krīze. Pirkstu nospiedumu vai varavīksnenes skenēšanu nevar vienkārši “atiestatīt” tāpat kā paroli. Jūsu organizācijas rīcība pirmajās stundās ir kritiski svarīga ne tikai kaitējuma ierobežošanai, bet arī lai parādītu regulatoriem, ka jūs uzņematies atbildību.

Tāpēc stabila, iepriekš sagatavota incidentu reaģēšanas plāna izstrāde, kas īpaši paredzēta biometriskajiem datiem, nav tikai laba ideja — tā ir būtiska. Tiklīdz jūs uzzināt par datu noplūdi, laiks sāk ritēt.

72 stundu paziņošanas termiņš

Saskaņā ar GDPR jums ir stingras prasības 72 stundu logs ziņot par personas datu pārkāpumu savai uzraudzības iestādei pēc tā atklāšanas. Jebkuram uzņēmumam, kas darbojas Nīderlandē, tas nozīmē paziņot Nīderlandes Datu aizsardzības iestādei (Autoriteit Persoonsgegevens jeb AP).

Septiņdesmit divas stundas nav ilgs laiks, tāpēc iepriekš plānota reakcija ir tik svarīga. Jūsu paziņojumā ir jābūt detalizēti aprakstītam pārkāpuma veidam, datu veidiem un aptuvenajam skarto personu skaitam, kā arī iespējamām sekām. Jums ir arī jāpaskaidro pasākumi, ko jau esat veicis vai plānojat veikt.

1. darbība: ierobežojiet pārkāpumu un novērtējiet ietekmi

Jūsu tūlītēja prioritāte ir apturēt asiņošanu. Tas prasa koordinētus centienus starp jūsu IT drošības un juridiskajām komandām, lai ierobežotu draudus un precīzi noskaidrotu notikušā iemeslus.

• Izolēt skartās sistēmas: Nekavējoties atvienojiet kompromitētās sistēmas no tīkla, lai novērstu turpmāku nesankcionētu piekļuvi vai datu noplūdi.
• Saglabāt pierādījumus: Nodrošiniet visu žurnālu un digitālo pierādījumu drošību. Tas ir ļoti svarīgi pienācīgai kriminālistikas izmeklēšanai un jūsu regulējošo pārskatu sniegšanai.
• Identificējiet datus: Precīzi norādiet, kuri biometriskie dati tika ietekmēti. Vai tie bija neapstrādāti attēli vai šifrētas veidnes? Kas bija iesaistītās personas?

2. solis: nosakiet, vai jums ir jāpaziņo personām

Kad esat sapratis pārkāpuma apmēru, jums jāpieņem vēl viens svarīgs lēmums. GDPR nosaka, ka jums ir tieši un "bez nepamatotas kavēšanās" jāpaziņo skartajām personām, ja pārkāpums ir visticamāk, radīs augstu risku viņu tiesībām un brīvībām.

Ar biometriskajiem datiem šis “augsta riska” slieksnis gandrīz vienmēr tiek sasniegts. Pārkāpums varētu izraisīt neatgriezenisku identitātes zādzību, finanšu krāpšanu vai citu būtisku personisku kaitējumu. Nīderlandes AP ir demonstrējusi arvien stingrāku šo paziņošanas prasību izpildi. 2024. gadā iestāde saņēma 37,839 paziņojumi par personas datu pārkāpumiem, un ievērojams skaits no tiem izraisa turpmākas darbības. Nīderlandes AP nostāja bieži atšķiras no citu ES iestāžu nostājas, uzskatot lielāko daļu pārkāpumu par augsta riska pārkāpumiem un tāpēc pieprasot tiešu paziņošanu skartajām personām. Jūs varat uzzināt vairāk par Nīderlandes DPA pieeja datu noplūžu gadījumā.

Jūsu paziņojumam personām jābūt skaidrā un vienkāršā valodā. Tajā jāpaskaidro notikušais, kāda informācija bija iesaistīta un kādus pasākumus tās var veikt, lai aizsargātu sevi, piemēram, būt modriem attiecībā uz pikšķerēšanas mēģinājumiem.

3. solis: Izpildiet un dokumentējiet savu atbildi

Jūsu reaģēšanas plānam ir jābūt dzīvai rīcības rokasgrāmatai, nevis dokumentam, kas krāj putekļus. Plāna izpildes laikā dokumentējiet katru veikto darbību. Šī dokumentācija kļūs par jūsu galveno pierādījumu AP, ka esat rīkojies atbildīgi un rūpīgi.

Tas ietver katra lēmuma, saziņas un tehniskā pasākuma reģistrēšanu no atklāšanas brīža. Labi dokumentēta atbilde var būtiski ietekmēt to, kā regulatori vērtē jūsu organizācijas vispārējo atbilstību prasībām, un var ietekmēt jebkuru iespējamo sodu smagumu.

Bieži uzdotie jautājumi par biometrisko datu atbilstību

Pievēršoties biometrijas izmantošanas praktiskajiem aspektiem Nīderlandē, rodas daudz specifisku jautājumu. Viena lieta ir izprast noteikumus teorētiski, bet cita lieta ir tos pielietot reālās biznesa situācijās. Lai sniegtu jums skaidrību, esam apkopojuši dažus no mūsu klientu visbiežāk uzdotajiem jautājumiem.

Vai es varu pieprasīt darbiniekiem izmantot biometrisko laika pulksteni?

Gandrīz katrā situācijā Nīderlandē atbilde ir firma. NēNīderlandes AP uzskata, ka attiecībām starp darba devēju un darbinieku piemīt nelīdzsvarotība. Šī iemesla dēļ darbinieka piekrišanu nevar uzskatīt par “brīvi sniegtu”, kas padara to par nederīgu juridisko pamatu obligātai lietošanai.

Lai turpinātu, jums būtu jāpierāda pārliecinoša un absolūta nepieciešamība, ko nevarētu apmierināt ar mazāk invazīvu metodi. Tā ir neticami augsta latiņa kaut kam tik vienkāršam kā laika uzskaite, un ir ļoti maz ticams, ka tas izdosies.

Vai sejas atpazīšanas izmantošana uzņēmuma tālruņa atbloķēšanai ir GDPR risks?

Jā, tas noteikti ir GDPR risks, ja to nepārvaldīsiet rūpīgi. Lai gan tā varētu šķist vienkārša ērtības funkcija, jūs joprojām apstrādājat īpašu kategoriju datus.

Svarīgākais šeit ir tas, kur dati tiek glabāti. Ja sejas veidne tiek droši glabāta tikai pašā ierīcē un nekad netiek nosūtīta uz centrālo uzņēmuma serveri, risks ir ievērojami mazāks. Pat ja tā, jums joprojām ir jāveic ietekmes uz vidi novērtējums (DPIA), jābūt pilnīgi caurspīdīgam pret savu darbinieku par tā darbību un vienmēr jāpiedāvā alternatīva, kas nav saistīta ar biometriskiem datiem, piemēram, labs, vecmodīgs PIN kods vai parole.

Cik ilgi mēs drīkstam likumīgi glabāt biometriskos datus pēc darbinieka aiziešanas?

Jums tas ir jāiznīcina brīdī, kad tas vairs nav nepieciešams sākotnējam mērķim. Piekļuves kontroles sistēmas gadījumā tas nozīmē, ka biometriskā veidne ir droši un neatgriezeniski jāizdzēš darbinieka pēdējā darba dienā vai ļoti drīz pēc tam.

Vienkārši nav nekāda likumīga iemesla glabāt šos ļoti sensitīvos datus pēc darba attiecību beigām. Skaidras, automatizētas dzēšanas politikas ieviešana ir neapspriežama sastāvdaļa. biometrisko datu atbilstība GDPR.

At Law & More, mūsu ekspertu juristu komanda var palīdzēt jums orientēties datu aizsardzības tiesību aktu sarežģītībā, lai nodrošinātu jūsu uzņēmuma darbību pilnīgu atbilstību prasībām. Lai saņemtu personalizētu padomu jūsu konkrētajā situācijā, apmeklējiet mūs vietnē https://lawandmore.eu.