Biometriskie dati saskaņā ar GDPR: kad tos drīkst izmantot Nīderlandē?

Biometriskie dati, piemēram, pirkstu nospiedumi, sejas attēli vai balss modeļi, saskaņā ar GDPR ir īpaša personas datu kategorija, ja tie tiek apstrādāti, lai unikāli identificētu personu. Nīderlandē šāda apstrāde principā ir aizliegta; galvenais izņēmums ir gadījumi, kad tas ir nepieciešams autentifikācijas vai drošības nolūkos, un darbiniekiem šo pārbaudi reti izpilda darba laika uzskaites pulkstenis vai biroja durvis.

Nīderlandes Datu aizsardzības iestāde (Autoriteit Persoonsgegevens, AP) stingri piemēro šos noteikumus un ir sodījusi darba devējus un tehnoloģiju uzņēmumus par biometrijas izmantošanu bez pamatota iemesla. Tālāk mēs paskaidrojam, kas tiek uzskatīts par biometrijas datiem, kādi juridiskie pamatojumi ir pieejami, kad ir nepieciešams datu aizsardzības ietekmes novērtējums, kādi drošības pasākumi ir sagaidāmi un ko darīt, ja kaut kas noiet greizi.

Kas ir biometriskie dati saskaņā ar GDPR?

Biometriskie dati ir personas dati, kas iegūti, veicot personas fizisko, fizioloģisko vai uzvedības īpašību specifisku tehnisku apstrādi, kas ļauj veikt vai apstiprina minētās personas unikālu identifikāciju. Nosaka mērķis un metode, nevis attēla vai ieraksta veids.

Šī definīcija ir sniegta Vispārīgās datu aizsardzības regulas (VDAR) 4. panta 14. punktā . Darbinieka fotogrāfija uz personas apliecības ir personas dati, bet ne automātiski biometriskie dati. Brīdī, kad šī pati fotogrāfija tiek pārveidota sejas veidnē un atpazīšanas sistēma to izmanto, lai piešķirtu piekļuvi ēkai, tā kļūst par biometriskajiem datiem. Šīs izmaiņas pilnībā maina tiesisko regulējumu.

Biometrisko identifikatoru piemēri ir pirkstu nospiedumi, sejas ģeometrija, varavīksnenes un tīklenes raksti, balss modeļi un uzvedības iezīmes, piemēram, rakstīšanas ritms vai iešanas veids. Tiem ir kopīga iezīme – tie tiek izmantoti, lai atpazītu vienu konkrētu personu.

Kāpēc GDPR atšķirīgi traktē biometriskos datus?

Saskaņā ar VDAR 9. pantu biometriskie dati, kas tiek apstrādāti personas unikālas identifikācijas nolūkā, pieder pie īpašām personas datu kategorijām. Tajā pašā kategorijā ietilpst dati par rasi vai etnisko izcelsmi, politiskajiem uzskatiem, reliģisko pārliecību, veselību un seksuālo dzīvi.

Iemesls ir tāds, ka ļaunprātīgas izmantošanas sekas ir nopietnas un bieži vien neatgriezeniskas. Paroli var mainīt; pirkstu nospiedumu vai varavīksneni nevar. Ja biometrisko veidņu datubāze tiek apdraudēta, attiecīgajām personām draud ilgstošs identitātes krāpšanas risks.

Cik stingra ir Nīderlandes pieeja?

AP šos noteikumus interpretē stingri. Tās sākumpunkts ir tāds, ka biometriskā identifikācija ir aizliegta un ka izņēmumi ir ierobežoti.

Nīderlandes GDPR ieviešanas likums (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) pievieno nacionālu izņēmumu. Saskaņā ar UAVG 29. pantu biometriskos datus var apstrādāt unikālai identifikācijai, ja tas ir nepieciešams autentifikācijas vai drošības nolūkos. Atslēgvārds ir “nepieciešams”. Tas nozīmē, ka mērķi nevar pamatoti sasniegt ar mazāk uzbāzīgiem līdzekļiem, piemēram, žetonu, kodu vai atslēgu. AP savās vadlīnijās ir skaidri norādījis, ka sejas atpazīšana publiski pieejamās vietās, piemēram, veikalos, principā nav atļauta.

Kāds juridiskais pamats jums ir nepieciešams?

Jums ir nepieciešami divi: likumīgs pamats saskaņā ar GDPR 6. pantu apstrādei kā tādai un izņēmums saskaņā ar GDPR 9. panta 2. punktu vai UAVG 29. pantu, lai atceltu aizliegumu attiecībā uz īpašām kategorijām. Bez abiem apstrāde ir nelikumīga.

GDPR 6. pantā ir uzskaitīti seši likumīgie pamati: piekrišana, līguma izpilde, juridisks pienākums, vitāli svarīgas intereses, uzdevums sabiedrības interesēs un leģitīmas intereses. Tas ir pirmais šķērslis, un tas attiecas uz visiem personas datiem.

Tā kā biometriskie dati ir īpaša kategorija, jums ir jāatbilst vienam no VDAR 9. panta 2. punkta nosacījumiem vai Nīderlandes izņēmumam UAVG 29. pantā. Šie ir vienīgie veidi, kā aizliegumu var atcelt. Pirms sākat, nosakiet arī to, kas ir pārzinis un kas darbojas kā apstrādātājs, piemēram, skenēšanas sistēmas piegādātājs. Mūsu rakstā par pārziņa un apstrādātāja lomām saskaņā ar VDAR ir paskaidrota atšķirība un nepieciešamais apstrādes līgums.

Kad nepārprotama piekrišana ir derīga?

Nepārprotama piekrišana ir augstāks standarts nekā parasta piekrišana. Tai jābūt sniegtai ar skaidru, apstiprinošu paziņojumu, un tai jābūt konkrētai, informētai, nepārprotamai un brīvai.

• Specifiski: Ar vispārīgu atsauci uz “drošības nolūkiem” nepietiek; jums ir precīzi jānorāda, kāpēc jums ir nepieciešami biometriskie dati.
• informēts: Cilvēkiem ir jāzina, kādus datus jūs apkopojat, ko jūs ar tiem darāt, kam ir piekļuve un cik ilgi jūs tos glabājat.
• Brīvi dots: personai ir jābūt iespējai atteikties bez negatīvām sekām un jebkurā laikā atsaukt piekrišanu.

Darba attiecībās pēdējais nosacījums ir problēma. Darbinieks, kurš atsakās, var baidīties no sekām, un tāpēc AP uzskata, ka darbinieka piekrišana reti tiek dota brīvprātīgi. Darba devējam, kas paļaujas uz piekrišanu, ir jāspēj pierādīt, ka reāla alternatīva pastāvēja un tika piedāvāta praksē, ne tikai uz papīra.

Kādi vēl ir izņēmumi?

Pārējie izņēmumi ir ierobežoti. Zemāk esošajā tabulā ir salīdzināti visatbilstošākie.

Vai darbiniekiem var izmantot pirkstu nospiedumus vai sejas skenēšanu?

Tikai tad, ja biometrija ir patiešām nepieciešama autentifikācijai vai drošībai un mazāk uzbāzīgs līdzeklis nederētu. Laika reģistrēšanas gadījumā, piemēram, kases aparāts vai parastas biroja durvis, tas parasti nav piemērots.

Pārbaude saskaņā ar UAVG 29. pantu ir par to, vai mērķi varētu pamatoti sasniegt ar mazāk traucējošiem līdzekļiem. Skeneris, kas kontrolē piekļuvi kasei, laika reģistrācijas sistēmai vai biroja durvīm, parasti neiztur šo pārbaudi, jo ar žetonu, kodu vai atslēgu var panākt to pašu rezultātu bez biometriskajiem datiem. Ja tiek pieņemta biometriskā piekļuve, drošības intereses ir būtiskas un konkrētas: objekts, kurā tiek apstrādāti bīstami materiāli, droša laboratorija, datu centrs vai seifs.

Atsevišķi, ja pastāv darba padome (ondernemingsraad), sistēmai, kas reģistrē vai uzrauga darbinieku klātbūtni, uzvedību vai sniegumu vai apstrādā viņu personas datus, ir nepieciešama tās piekrišana saskaņā ar Darba padomju likuma (Wet op de ondernemingsraden, WOR) 27. panta 1. punkta k) un l) apakšpunktu. Atbilstība GDPR neatceļ šo prasību, un sistēmu, kas ieviesta bez piekrišanas, var apstrīdēt.

Vai biometriju var izmantot klientu vajadzībām?

Dažreiz, taču tiek piemēroti tie paši stingrie noteikumi. Klientu gadījumā nepārprotama piekrišana var būt derīgs pamats, ja vien biometrijas izmantošana ir patiesi neobligāta un ir pieejama līdzvērtīga alternatīva.

Bieži sastopami piemēri ir bankas lietotnes atbloķēšana ar pirkstu nospiedumu, identitātes pārbaude ar selfiju, atverot kontu tiešsaistē, un piekļuve sporta zālei vai pasākumam, izmantojot sejas atpazīšanu. Ja biometriskā pārbaude pilnībā notiek klienta paša tālrunī, izmantojot tālrunī iebūvēto tehnoloģiju, uzņēmums parasti pats nesaņem biometriskos datus. Tas ievērojami samazina risku un uzņēmuma saistības.

Ja uzņēmums pats apstrādā datus, piemēram, salīdzinot selfiju ar pases fotoattēlu savos serveros, tam ir nepieciešams pamatots iemesls. Piekrišana prasa, lai klients varētu izvēlēties citu veidu, piemēram, verifikāciju ar bankas pārskaitījumu vai filiāles apmeklējumu, neciešot nekādus zaudējumus. Bankām un citām finanšu iestādēm ir jāievēro klientu uzticamības pārbaudes pienākumi saskaņā ar noziedzīgi iegūtu līdzekļu legalizācijas novēršanas tiesību aktiem, taču tie paši par sevi neprasa biometrisko apstrādi.

Kā ar kamerām ar sejas atpazīšanas funkciju?

Sejas atpazīšanas kameras veikalos, stadionos vai citās publiski pieejamās vietās principā nav atļautas privātām ballītēm. Garāmgājēji nevar dot nepārprotamu piekrišanu, un reti ir nepieciešamība, kas atbilstu UAVG 29. panta pārbaudei.

AP ir brīdinājusi mazumtirgotājus, ka sejas atpazīšanas izmantošana veikalu zagļu identificēšanai vai klientu atpazīšanai nav atļauta. Parastā kameru novērošana bez biometriskās identifikācijas ir pakļauta atšķirīgiem, mazāk stingriem noteikumiem, taču tai joprojām ir nepieciešama likumīga interese, skaidri paziņojumi un ierobežots saglabāšanas periods. Sejas atpazīšanas programmatūras pievienošana esošajai kameru sistēmai pilnībā maina novērtējumu.

Kad ir nepieciešams datu aizsardzības ietekmes novērtējums?

Gandrīz vienmēr. Biometrisko datu apstrāde personu identificēšanai ir augsta riska apstrāde, un AP to ir iekļāvusi to apstrādes darbību sarakstā, kurām saskaņā ar VDAR 35. pantu ir nepieciešams datu aizsardzības ietekmes novērtējums (DPIA).

Datu aizsardzības ietekmes novērtējums (DPIA) ir strukturēts privātuma riska novērtējums. Tas liek jums aprakstīt savu plānu, identificēt riskus iesaistītajām personām un izlemt, kā pārvaldīt šos riskus, pirms skenējat vienu pirkstu nospiedumu vai seju. Ja atlikušais risks ir augsts un to nevar pietiekami samazināt, pirms sākat darbu, jums jākonsultējas ar piekļuves punktu (VDAR 36. pants).

Datu aizsardzības novērtējuma pamatā ir juridiskais pamats: vispirms tiek noteikts pamats saskaņā ar 6. pantu un izņēmums saskaņā ar UAVG 9. vai 29. pantu, un pēc tam tiek izvērtēts, vai konkrētā sistēma ir nepieciešama un samērīga.

Kas ir ietverts ietekmes uz vidi novērtējumā (DPIA)?

Kā piemēru var minēt pirkstu nospiedumu skeneri piekļuvei serveru telpai. Datu aizsardzības ietekmes novērtējumā (DPIA) ir ietverti četri elementi.

• Apstrādes apraksts. Kādus datus jūs apkopojat: veidni vai pilnu attēlu? Kā tie tiek apkopoti, kur tie tiek glabāti, kā tie tiek izmantoti un kad tie tiek dzēsti? Kam ir piekļuve? Vai ir iesaistīts piegādātājs?
• Nepieciešamība un samērīgums. Kādu konkrētu problēmu, piemēram, nesankcionētu piekļuvi serveru telpai, jūs risināt? Kāpēc šajā gadījumā nepietiek ar identifikācijas kartēm vai kodiem? Vai jūsu apkopotie dati ir tikai nepieciešamais minimums?
• Riski iesaistītajām personām. Kas notiek, ja veidņu datubāze tiek nozagta? Vai datus vēlāk varētu izmantot citiem mērķiem, piemēram, darba laika uzraudzībai (funkciju paplašināšanai)? Kas notiek ar darbiniekiem, kuru pirkstu nospiedumus nevar nolasīt? Kas notiek, ja ārkārtas situācijā sistēma bloķē pilnvarotu personu?
• Pasākumi risku novēršanai. Tehniski pasākumi, piemēram, šifrēšana un glabāšana kartē vai ierīcē; organizatoriski pasākumi, piemēram, politika, apmācība un pārkāpumu reaģēšanas plāns; un nebiometriska alternatīva, lai neviens netiktu izslēgts.

Pārskatīt ietekmes uz vidi novērtējumu (DPIA), ja mainās apstrādes apjoms, raksturs vai konteksts (VDAR 35. panta 11. punkts). Analīzei, kas rakstīta tikai pēc sūdzības saņemšanas, ir maza nozīme AP acīs.

Kādi aizsardzības pasākumi ir sagaidāmi?

Apkopot pēc iespējas mazāk datu, glabāt tos ne ilgāk kā nepieciešams un aizsargāt tos ar stingriem tehniskiem un organizatoriskiem pasākumiem. Šie principi izriet no VDAR 5. un 32. panta.

Sāciet ar datu minimizēšanu: vāciet tikai tos biometriskos datus, kas nepieciešami konkrētajam, likumīgajam mērķim. Piekļuves kontrolei parasti pietiek ar veidni; augstas izšķirtspējas sejas skenēšana nav nepieciešama. Apvienojiet to ar glabāšanas ierobežojumu: iestatiet glabāšanas periodu un droši izdzēsiet datus, tiklīdz tie vairs nav nepieciešami, piemēram, ja darbinieks aiziet vai vairs nav nepieciešama piekļuve.

Tehniskie un organizatoriskie pasākumi

Drošībai ir jāatbilst augstajam riskam. Galvenie tehniskie pasākumi ietver:

• Šifrēšana biometrisko datu gan miera stāvoklī, gan pārsūtīšanas laikā.
• Stingra piekļuves kontrole, lai datiem varētu piekļūt tikai pilnvaroti darbinieki ar nepārprotamu nepieciešamību.
• Decentralizēta glabāšanaJa iespējams, veidnes jāglabā ierīcē vai lietotāja kartē, nevis centrālā datubāzē. Tas ievērojami samazina masveida datu noplūdi.

Ar tehnoloģijām vien nepietiek. Tikpat svarīgi ir organizatoriski pasākumi, piemēram, rakstiska biometrisko datu politika, personāla apmācība, periodiskas drošības revīzijas un skaidri līgumi ar piegādātājiem. Ja piegādātājs apstrādā datus jūsu vārdā, jums ir nepieciešams apstrādes līgums saskaņā ar VDAR 28. pantu.

Skaidrs paziņojums par konfidencialitāti

Cilvēkiem ir tiesības zināt, ko jūs darāt ar viņu biometriskajiem datiem (VDAR 13. un 14. pants). Informācijai jābūt kodolīgai, viegli atrodamai un uzrakstītai vienkāršā valodā.

Paziņojumā par konfidencialitāti par biometriskās apstrādes veikšanu ir jāpaskaidro, kas jūs esat un kā ar jums sazināties, kāpēc jūs apstrādājat datus, juridiskais pamats saskaņā ar 6. pantu un izņēmums, uz kuru balstās dati, kādus datus jūs vācat (piemēram, pirkstu nospiedumu veidni), cik ilgi jūs tos glabājat, ar ko jūs tos kopīgojat, tostarp piegādātājiem, un kādas ir cilvēku tiesības, piemēram, piekļuve, labošana, dzēšana un iebildumi.

Vai ir piemērojams arī Mākslīgā intelekta likums?

Jā, attiecībā uz noteiktām biometriskajām sistēmām. ES Mākslīgā intelekta likums (Regula (ES) 2024/1689) papildina GDPR noteikumus.

Kopš 2025. gada 2. februāra Mākslīgā intelekta likums pilnībā aizliedz vairākas prakses, tostarp nemērķētu sejas attēlu iegūšanu no interneta vai kameru ierakstiem, lai izveidotu sejas atpazīšanas datubāzes, emociju atpazīšanu darba vietā un izglītībā (izņemot medicīniskus vai drošības apsvērumus) un biometrisko kategorizāciju, lai secinātu par sensitīvām pazīmēm, piemēram, rasi vai seksuālo orientāciju. Citas biometriskās sistēmas, piemēram, attālināta biometriskā identifikācija, tiek klasificētas kā augsta riska sistēmas un tām tiek piemērotas stingras prasības. Pirms sistēmas ieviešanas pārbaudiet abas sistēmas.

Kādas ir noteikumu neievērošanas sekas?

Lieli naudas sodi, rīkojumi par apstrādes pārtraukšanu un prasības par zaudējumu atlīdzību. Par īpašu kategoriju nelikumīgu apstrādi GDPR paredz naudas sodus līdz 20 miljoniem eiro vai 4% no gada apgrozījuma visā pasaulē, atkarībā no tā, kura summa ir lielāka.

Šīs maksimālās summas izriet no VDAR 83. panta 5. punkta un cita starpā attiecas uz apstrādi bez pamatota pamata vai izņēmuma. Drošības un pārkāpumu paziņošanas pienākumu (VDAR 32.–34. pants) pārkāpumi var izraisīt naudas sodus līdz 10 miljoniem eiro vai 2% no pasaules apgrozījuma. Naudas sodiem jābūt efektīviem, samērīgiem un atturošiem. AP nosaka summu saskaņā ar savu naudas sodu politiku.

Ko AP ir ieviesusi?

AP ir sodījusi gan darba devējus, gan tehnoloģiju uzņēmumus par nelikumīgu biometriskās informācijas apstrādi. Izceļas divi lēmumi.

2020. gadā AP uzlika 725 000 eiro sodu uzņēmumam, kas skenēja darbinieku pirkstu nospiedumus apmeklējuma un laika reģistrēšanai. AP konstatēja, ka neviens no izņēmumiem nav piemērojams: darbinieku piekrišana nebija sniegta brīvprātīgi, un ērtības darba laika reģistrēšanā nav drošības mērķis, kas padarītu nepieciešamu biometrisko apstrādi. 2024. gada septembrī AP uzlika amerikāņu uzņēmumam Clearview AI 30.5 miljonu eiro sodu par sejas attēlu datubāzes izveidi, tostarp Nīderlandes iedzīvotāju sejas attēliem, bez juridiska pamata.

AP īstenošanas procesā rodas četri jautājumi. Kāds ir mērķis, kas tiek norādīts konkrēti, nevis kā “drošība” kopumā? Vai to varētu panākt ar mazāk uzbāzīgiem līdzekļiem? Ja tiek paļauts uz piekrišanu, vai cilvēki varētu atteikties bez sekām? Un vai tas tika novērtēts un dokumentēts pirms sistēmas ieviešanas? Mūsu rakstā par Nīderlandes Datu aizsardzības iestādi sīkāk ir paskaidrotas AP pilnvaras.

Citas sekas

Naudas sods nav vienīgais risks. AP var likt jums pārtraukt apstrādi, kas var apturēt sistēmu, no kuras ir atkarīga jūsu darbība, un tā var likt jums dzēst nelikumīgi apkopotos datus. Personas, kuru dati ir apstrādāti nelikumīgi, var pieprasīt kompensāciju par mantisku un nemateriālu kaitējumu saskaņā ar VDAR 82. pantu, un Nīderlandē šādas prasības var iesniegt arī kolektīvi. Publiskās izpildes lēmuma radītais reputācijas kaitējums var būt ievērojams.

Ko darīt, ja noplūst biometriskie dati?

Ierobežot pārkāpumu, novērtēt risku, 72 stundu laikā paziņot piekļuves punktam un, ja risks ir augsts, nekavējoties informēt skartās personas. Sagatavot to reaģēšanas plānā, pirms kaut kas noiet greizi.

Saskaņā ar VDAR 33. pantu jums ir jāziņo par personas datu pārkāpumu AP bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā no brīža, kad par to uzzinājāt, izņemot gadījumus, kad ir maz ticams, ka pārkāpums radīs risku attiecīgajām personām. Paziņojumā ir aprakstīts pārkāpuma raksturs, skarto personu un ierakstu kategorijas un aptuvenais skaits, iespējamās sekas un veiktie vai ierosinātie pasākumi. Ja nevarat sniegt visu informāciju uzreiz, varat to papildināt vēlāk.

1. darbība: ierobežojiet pārkāpumu un novērtējiet ietekmi

Jūsu pirmā prioritāte ir apturēt pārkāpumu. Izolējiet skartās sistēmas, saglabājiet žurnālus un citus pierādījumus izmeklēšanai un precīzi nosakiet, kuri dati tika skarti: neapstrādāti attēli vai šifrētas veidnes un kuru dati.

2. solis: izlemiet, vai informēt skartās personas

Saskaņā ar VDAR 34. pantu jums bez liekas kavēšanās ir jāinformē skartās personas, ja pārkāpums, visticamāk, radīs augstu risku viņu tiesībām un brīvībām. Ar biometriskajiem datiem šis slieksnis bieži vien tiks sasniegts, jo datus nevar mainīt. Izņēmums ir, piemēram, dati, kas bija stingri šifrēti un kuru atslēga netika apdraudēta. Ziņojumam jābūt vienkāršā valodā: kas notika, kādi dati bija iesaistīti un ko cilvēki var darīt, lai sevi aizsargātu.

3. solis: veiciet un dokumentējiet atbildi

Reģistrējiet katru soli: atklāšanas brīdi, pieņemtos lēmumus, saziņu un tehniskos pasākumus. Saskaņā ar VDAR 33. panta 5. punktu jums ir jādokumentē katrs pārkāpums, tostarp tie, par kuriem jums nebija jāziņo. Laba dokumentācija parāda AP, ka esat rīkojies rūpīgi, un var ietekmēt to, kā tā izvērtē lietu.

Kas jums kā darba devējam vai uzņēmumam būtu jāpārbauda?

Pirms sistēmas palaišanas vispirms pārbaudiet nepieciešamību un dokumentējiet katru soli. Šīs piecas pārbaudes aptver punktus, kurus AP aplūko.

• Pierakstiet konkrēto drošības mērķi un to, kāpēc ar žetonu, PIN kodu vai atslēgu nepietiek (UAVG 29. pants).
• Reģistrējiet savu tiesisko pamatu saskaņā ar GDPR 6. pantu un izņēmumu saskaņā ar GDPR 9. panta 2. punktu vai UAVG 29. pantu.
• Pirms pirmās skenēšanas veiciet ietekmes uz vidi novērtējumu (DPIA) un konsultējieties ar piekļuves iestādi (AP), ja joprojām pastāv augsts risks (VDAR 35. un 36. pants).
• Pirms sistēmas ieviešanas lūdziet darba padomes piekrišanu saskaņā ar WOR 27. panta 1. punkta k) un l) apakšpunktu.
• Parakstiet apstrādes līgumu ar piegādātāju (VDAR 28. pants) un nosakiet veidņu glabāšanas periodu.

Kas jums jāpārbauda kā darbiniekam vai klientam?

Jums ir tiesības zināt, kā tiek izmantoti jūsu biometriskie dati, un tiesības iebilst pret nelikumīgu apstrādi. Pārbaudiet šos punktus, ja jums tiek lūgts skenēt pirkstu nospiedumu vai seju.

• Vai pastāv nebiometriska alternatīva, piemēram, žetons vai PIN kods, un vai to var izmantot bez jebkādiem trūkumiem?
• Vai paziņojumā par privātumu ir norādīts mērķis, juridiskais pamats un glabāšanas periods (VDAR 13. un 14. pants)?
• Vai darba padome piekrita sistēmai, ja jūsu darba devējam tāda ir (Darba likuma 27. pants)?
• Pieprasīt piekļuvi saviem datiem vai to dzēšanu; organizācijai ir jāatbild viena mēneša laikā (VDAR 12., 15. un 17. pants).
• Ja jūsu tiesības netiek ievērotas, iesniedziet sūdzību AP (VDAR 77. pants) vai pieprasiet zaudējumu atlīdzību saskaņā ar VDAR 82. pantu.

Ko mēs varam jūsu labā darīt ar biometriskajiem datiem?

Mūsu IT juristi palīdz darba devējiem, tehnoloģiju uzņēmumiem un privātpersonām ar biometriskajām sistēmām, sākot no sākotnējā plāna līdz pat tiesvedībai AP.

• Mēs izvērtējam, vai jūsu biometriskā sistēma atbilst UAVG 29. panta nepieciešamības pārbaudei.
• Mēs izstrādājam vai pārskatām DPIA un paziņojumu par privātumu.
• Mēs sagatavojam darba padomes piekrišanas pieprasījumu saskaņā ar WOR 27. pantu.
• Mēs pārskatām apstrādes līgumu ar jūsu piegādātāju saskaņā ar VDAR 28. pantu.
• Mēs palīdzam jums paziņot piekļuves punktam (AP) par datu noplūdi 72 stundu laikā un reaģēt uz AP prasībām.

Kopsavilkums

• Biometriskie dati, ko izmanto unikālai identifikācijai, ir īpaša kategorija saskaņā ar VDAR 9. pantu; apstrāde ir aizliegta, ja vien nav piemērojams izņēmums.
• Nīderlandē UAVG 29. pants to atļauj tikai tad, ja tas ir nepieciešams autentifikācijai vai drošībai; ērtības vien nav pietiekamas.
• Darbinieka piekrišana reti ir derīga; piedāvājiet reālu nebiometrisku alternatīvu un, ja nepieciešams, iegūstiet darba padomes piekrišanu.
• Iepriekš veiciet datu aizsardzības novērtējumu (DPIA), samaziniet datu apjomu, saglabājiet veidnes lokāli un šifrējiet tās.
• Ziņojiet par pārkāpumiem AP 72 stundu laikā; naudas sodi var sasniegt 20 miljonus eiro vai 4% no pasaules apgrozījuma.

Biežāk uzdotie jautājumi