Vodič za usklađenost biometrijskih podataka s GDPR-om u Nizozemskoj

Kako bismo se uhvatili u koštac s biometrijskim podacima i usklađenošću s GDPR-om, prvo moramo odgovoriti na temeljno pitanje: što su točno biometrijski podaci? To nisu bilo kakvi osobni podaci. Govorimo o podacima dobivenim iz jedinstvenih fizičkih ili bihevioralnih karakteristika - poput otiska prsta, uzorka šarenice ili čak nečijeg glasa - koji mogu nedvosmisleno identificirati određenu osobu.

Zamislite to kao biološki ključ, onaj koji je jedinstven za pojedinca i praktički ga je nemoguće promijeniti.

Definiranje biometrijskih podataka prema GDPR-u

Prema Općoj uredbi o zaštiti podataka (GDPR), ono što nešto čini "biometrijskim podatkom" nije sama vrsta podatka (poput fotografije), već svrha u koju se obrađuje. Jednostavna fotografija zaposlenika na njegovoj identifikacijskoj znački ne smatra se automatski biometrijskim podatkom.

Međutim, u trenutku kada se ta ista fotografija unese u sustav za prepoznavanje lica kako bi se odobrio pristup zgradi, ona postaje biometrijski podatak. Pravni okvir se potpuno mijenja.

Ključni faktor je "specifična tehnička obrada" koja se koristi u svrhu jedinstvene identifikacije. Ispravno razlikovanje je temelj razumijevanja vaših obveza usklađenosti. Možete detaljnije istražiti nijanse u našem vodiču o obradi biometrijskih podataka.

Zašto GDPR drugačije tretira biometrijske podatke

Biometrijski podaci klasificirani su kao „posebna kategorija osobnih podataka“ prema članku 9. GDPR-a. Ova klasifikacija ih svrstava u istu skupinu visokog rizika kao i informacije o:

• Rasno ili etničko podrijetlo
• Politička mišljenja
• Religijska ili filozofska uvjerenja
• Zdravlje ili seksualni život

Ovaj povišeni status postoji s dobrim razlogom: povreda biometrijskih podataka ima nepovratne posljedice. Za razliku od lozinke, ne možete samo promijeniti otisak prsta ili šarenicu. Ako su ovi podaci kompromitirani, to stvara trajni rizik od krađe identiteta i prijevare za tu osobu.

Radi boljeg razumijevanja, evo pregleda uobičajenih vrsta biometrijskih podataka i njihovog statusa prema GDPR-u.

Kao što tablica pokazuje, dosljedna tema je korištenje ovih podataka za jedinstvenu identifikaciju , što automatski aktivira posebne kategorije zaštite prema članku 9.

Nizozemski regulatorni pristup

Ovdje u Nizozemskoj, nizozemsko tijelo za zaštitu podataka (Autoriteit Persoonsgegevens ili AP) provodi posebno strogo tumačenje ovih pravila. Njihove smjernice o tehnologiji prepoznavanja lica, na primjer, jasno daju do znanja da je njezina upotreba zabranjena u većini okolnosti.

Ključni test je uvijek je li obrada namijenjena nedvosmislenoj identifikaciji fizičke osobe. Ovaj strogi stav naglašava koliko uvjerljivo mora biti vaše pravno opravdanje prije nego što uopće razmotrite implementaciju takvog sustava.

Pronalaženje vaše zakonite osnove za obradu biometrijskih podataka

Kada se radi o biometrijskim podacima, GDPR u biti uklanja dvije odvojene pravne prepreke. Ne radi se samo o pronalaženju jednog dobrog razloga za obradu podataka. Za opću obradu potrebna vam je pravna osnova prema članku 6. , a zatim drugi, mnogo stroži uvjet iz članka 9. jer se radi o podacima „posebne kategorije“. Ovaj dvodijelni zahtjev apsolutno je nepregovarački.

Zamislite to kao bankovni sef s dvije različite brave. Članak 6. je prvi ključ, onaj koji vam je potreban za bilo kakvu obradu osobnih podataka. No, budući da su biometrijski podaci toliko osjetljivi, članak 9. zahtijeva drugi, specijaliziraniji ključ prije nego što uopće možete pomisliti na otvaranje vrata.

Dvoključni sustav usklađenosti s GDPR-om

Prvo, obradu morate utemeljiti na jednoj od šest zakonitih osnova iz članka 6. To su uobičajeni osumnjičenici: privola, ugovorna nužda, zakonska obveza koju morate ispuniti, vitalni interesi, obavljanje javnog zadatka ili vaši vlastiti legitimni interesi.

Nakon što ste utvrdili osnovu za članak 6 , počinje pravi izazov. Također morate zadovoljiti jedan od specifičnih uvjeta navedenih u članku 9(2) , koji su jedini pristupi za obradu podataka posebne kategorije. Za biometriju, najpoznatiji - i najčešće pogrešno shvaćen - uvjet je izričita privola.

Dekonstrukcija eksplicitnog pristanka

Nemojte brkati 'izričitu suglasnost' sa standardnom suglasnošću koju biste mogli koristiti za marketinški bilten. Ovo je puno viša ljestvica. Ne može biti izdvojena iz vaših uvjeta i odredbi niti se podrazumijevati iz nečijih postupaka. Mora biti kristalno jasna, pozitivna radnja koja je:

• Specifično: Ne možete samo tražiti nejasnu suglasnost iz "sigurnosnih razloga". Morate precizno navesti zašto su vam potrebni biometrijski podaci.
• informirani: Ljudi moraju točno znati koje podatke prikupljate, što ćete s njima učiniti, tko ih može vidjeti i koliko dugo ćete ih čuvati.
• Besplatno dano: Tu stvari postaju komplicirane, posebno na radnom mjestu. Zaposlenik bi se mogao osjećati prisiljenim pristati na biometrijski sustav, bojeći se negativnih posljedica ako odbije. Ta neravnoteža moći znači da njihov pristanak nije uistinu 'slobodno dan' i stoga je pravno nevažeći.

Nizozemska AP (Autoriteit Persoonsgegevens) izuzetno je skeptična prema korištenju privole kao osnove za obradu biometrijskih podataka zaposlenika. Polazište tijela je da se takva privola gotovo nikada ne daje slobodno i, kao rezultat toga, ne ispunjava stroge zahtjeve GDPR-a.

Ovo je ključna točka za tvrtke u Nizozemskoj. Oslanjanje na pristanak zaposlenika za biometrijski sat za evidenciju radnog vremena ili sustav za pristup uredu gotovo je uvijek slijepa ulica u pogledu usklađenosti. Morate potražiti jače, prikladnije pravne osnove.

Više od pristanka: istraživanje drugih iznimki iz članka 9.

Iako izričita privola puni naslovnice, članak 9. nudi nekoliko drugih, vrlo uskih iznimaka koje bi mogle opravdati korištenje biometrijskih podataka. Ključno je osigurati da se vaša specifična situacija savršeno uklapa u jedan od ovih uvjeta, jer pogrešno određivanje može dovesti do ozbiljnih problema. Svako poduzeće morat će pažljivo procijeniti svoju ulogu i odgovornosti, o čemu možete pročitati u našem detaljnom objašnjenju kontrolora i obrađivača prema GDPR-u.

Da bismo ovo pojasnili, usporedimo najrelevantnije uvjete i njihove stroge zahtjeve.

Usporedba zakonskih osnova za obradu biometrijskih podataka

Donja tablica analizira uobičajene uvjete iz članka 9 koje biste mogli uzeti u obzir, ističući gdje funkcioniraju, a gdje često krenu po zlu.

Na kraju, odabir prave pravne osnove ne svodi se na odabir najlakše opcije. Zahtijeva temeljitu, dokumentiranu analizu vaših specifičnih okolnosti. Samo odabir one koja se čini najpogodnijom brz je put do nepoštivanja propisa i potencijalnog udarca nizozemske AP-e.

Kako provesti procjenu utjecaja na zaštitu podataka

Ako vaša organizacija uopće razmatra obradu biometrijskih podataka u stvarnom opsegu, procjena utjecaja na zaštitu podataka (DPIA) nije samo dobra ideja - to je zakonska obveza prema GDPR-u.

Zamislite DPIA kao formalnu procjenu rizika za privatnost. To je strukturirani proces koji vas prisiljava da točno isplanirate što planirate učiniti, uočite potencijalne opasnosti za pojedince i shvatite kako upravljati tim rizicima prije nego što uopće skenirate ijedan otisak prsta ili lice.

Ovo je puno više od pukog označavanja kućica. To je temeljni dio demonstracije odgovornosti i ugradnje zaštite podataka u sam dizajn vaših sustava. Za bilo koju visokorizičnu aktivnost poput biometrije, nizozemsko tijelo za zaštitu podataka (AP) apsolutno će očekivati ​​​​sveobuhvatnu i dobro obrazloženu DPIA ako ikada postave pitanja.

Prije nego što uopće možete započeti s DPIA-om za biometriju, prvo morate ukloniti dvije temeljne pravne prepreke, kao što je prikazano na donjem dijagramu.

Prvo morate pronaći zakonitu osnovu prema članku 6, a zatim ispuniti jedan od strogih, specifičnih uvjeta prema članku 9. Tek tada možete nastaviti s procjenom.

Ključne komponente DPIA-e

Dobra DPIA mora sustavno opisati obradu, procijeniti zašto je potrebna i proporcionalna te upravljati rizicima za prava i slobode ljudi. Prođimo kroz ključne korake koristeći vrlo uobičajen scenarij: instaliranje skenera otiska prsta za kontrolu pristupa uredu.

1. Opišite obradu: Budite precizni. Morate detaljno opisati cijeli put podataka od početka do kraja.

   • Što točno skupljate? (npr. predloške otisaka prstiju, a ne cijele slike).
   • Kako će se ovi podaci prikupljati, gdje će se pohranjivati, kako će se koristiti i kada će se izbrisati?
   • Tko može pristupiti ovim podacima i zašto?
   • Jesu li uključeni neki treći dobavljači, poput tvrtke koja je isporučila sustav za skeniranje?

2. Procijenite nužnost i proporcionalnost: Ovdje opravdavate svoju odluku. To zahtijeva da osporite vlastite pretpostavke i dokažete da je korištenje biometrije najrazumniji izbor.

   • Koji točno problem pokušavate riješiti? (npr. sprječavanje neovlaštenog pristupa serverskim sobama).
   • Zašto manje nametljive metode, poput sigurnih kartica s ključem ili PIN kodova, nisu dovoljno dobre za ovu specifičnu situaciju?
   • Jesu li podaci koje prikupljate zaista minimum potreban za postizanje vašeg cilja?

3. Prepoznajte i procijenite rizike: Stavite se u poziciju zaposlenika. Što bi moglo poći po zlu za njih?

   • Povreda podataka: Kakav je utjecaj na stvarni svijet ako se baza podataka predložaka otisaka prstiju ukrade?
   • Funkcija puzanja: Postoji li rizik da se ovi podaci mogu koristiti za druge stvari kasnije, poput praćenja dolaska i odlaska zaposlenika, bez da im se to kaže?
   • Isključenje: Što se događa ako zaposlenik ne može koristiti sustav zbog stanja kože ili istrošenih otisaka prstiju? Postoji li alternativa za njih?
   • Netočnost: Što ako se sustav pokvari i blokira ovlaštenu osobu izvan sustava tijekom požarnog alarma?

4. Odredite mjere za ublažavanje rizika: Sada, za svaki rizik koji ste upravo naveli, morate predložiti konkretno rješenje. Ovo je najpraktičniji dio procesa.

   • Tehničke mjere: To bi moglo značiti implementaciju snažne enkripcije podataka, korištenje sigurne pohrane predložaka (na uređaju je često poželjnije od centralnog poslužitelja) i provođenje strogih kontrola pristupa.
   • Organizacijske mjere: To uključuje stvaranje jasne politike o biometrijskim podacima, obuku osoblja o tome i pripremu specifičnog plana odgovora na povredu podataka za ovaj sustav.
   • Mjere proporcionalnosti: Uvijek ponudite nebiometrijsku alternativu za pristup gdje je to moguće. To osigurava da sustav ne isključuje nikoga nepravedno.

Dobro izrađena DPIA je živi dokument. To nije nešto što napravite jednom i zatim spremite. Treba ga pregledati i ažurirati ako se promijeni opseg, priroda ili kontekst vaše biometrijske obrade. Služi kao vaš primarni dokaz dubinske analize ako regulator ikada dovede u pitanje vaše prakse.

Slijedeći ovu strukturu, DPIA se mijenja od zastrašujuće pravne obveze u moćan strateški alat. Pomaže osigurati da je vaša upotreba biometrije izgrađena na čvrstim temeljima predviđanja i odgovornosti, štiteći i vašu organizaciju i same ljude čije podatke obrađujete.

Bitni koraci za svakodnevnu usklađenost

Ispravno usklađivanje s GDPR-om za biometrijske podatke nije jednokratni pravni zadatak koji možete ispuniti na popisu. To je trajna obveza koja mora biti utkana u tkivo vašeg svakodnevnog poslovanja. Nakon što ste riješili svoju pravnu osnovu i dovršili DPIA, pravi posao odgovornog upravljanja ovim osjetljivim podacima zaista počinje. Sve se svodi na pretvaranje pravnih načela u praktične, svakodnevne radnje.

U središtu svega je osigurati da temeljna načela GDPR-a postanu zadana postavka vaše tvrtke. Izvrsno mjesto za početak je minimizacija podataka . To je jednostavna, ali nevjerojatno moćna ideja: prikupljajte samo biometrijske podatke koji su vam apsolutno potrebni za određenu, legitimnu svrhu koju ste odredili. Ništa više. Ako postavljate sustav za pristup uredu, trebate li zaista skeniranje lica visoke rezolucije kada bi puno jednostavniji biometrijski predložak jednako dobro obavio posao? Vjerojatno ne.

To ide ruku pod ruku s ograničenjem pohrane . Biometrijski podaci ne bi se trebali čuvati zauvijek. Morate uspostaviti i provoditi jasne politike čuvanja. Ta pravila trebaju točno navesti koliko dugo ćete čuvati podatke i osigurati da se sigurno izbrišu čim više nisu potrebni za svoju izvornu svrhu.

Implementacija tehničkih i organizacijskih zaštitnih mjera

Pravilna zaštita biometrijskih podataka zahtijeva višeslojnu sigurnosnu strategiju. To znači objedinjavanje tehničkih rješenja i čvrstih internih politika. To nisu samo poželjne stvari; to su neizostavni zahtjevi prema GDPR-u.

Evo nekih ključnih tehničkih mjera koje biste trebali imati na snazi:

• Jaka enkripcija: Svi biometrijski podaci moraju biti šifrirani, točka. To se odnosi i na pohranu na poslužiteljima ili uređajima (u mirovanju) i kada se šalje preko mreže (u tranzitu). Šifriranje čini podatke nečitljivima i beskorisnima za svakoga tko bi im mogao doći do ruku bez ovlaštenja.
• Stroge kontrole pristupa: Ne moraju svi u vašoj organizaciji vidjeti ili obrađivati ​​biometrijske podatke. Koristite kontrole pristupa temeljene na ulogama kako biste osigurali pristup tim informacijama samo ovlašteno osoblje s jasnom i legitimnom potrebom.
• Sigurna pohrana: Kad god možete, izbjegavajte pohranjivanje biometrijskih predložaka u jednoj velikoj centralnoj bazi podataka. Mnogo sigurniji pristup je pohranjivanje lokalno na uređaj, poput samog skenera ili pristupne kartice zaposlenika. Ovaj decentralizirani model dramatično smanjuje rizik od katastrofalnog masovnog kršenja podataka.

Ali sama tehnologija nije dovoljna. Vaše organizacijske mjere su jednako važne. Implementacija robusnih sigurnosnih mjera, poput onih koje se nalaze u biometrijskim pristupima sigurnosti , može ozbiljno smanjiti rizik od prijevare i ojačati vašu ukupnu usklađenost. To također znači redovitu obuku osoblja o politikama zaštite podataka i provođenje periodičnih sigurnosnih revizija kako bi se pronašle i ispravile ranjivosti prije nego što postanu problem.

Izrada transparentnih i jasnih obavijesti o privatnosti

Transparentnost je temelj GDPR-a. Ljudi imaju apsolutno pravo znati točno što radite s njihovim biometrijskim podacima. Vaša obavijest o privatnosti ne može biti gusti, žargonski dokument zakopan u podnožju vaše web stranice. Mora biti jasna, sažeta i lako dostupna i razumljiva svima.

Sukladna obavijest o privatnosti za obradu biometrijskih podataka mora jasno objasniti:

1. Tko si ti: Naziv i kontaktni podaci vaše tvrtke.
2. Zašto obrađujete podatke: Konkretan, legitimni razlog (npr. „osiguravanje pristupa našem istraživačkom laboratoriju“).
3. Vaša pravna osnova: Specifični uvjeti iz članka 6. i članka 9. na koje se pozivate.
4. Koji se podaci prikupljaju: Budite precizni. Nemojte samo reći "biometrijski podaci"; navedite je li to predložak otiska prsta, skeniranje šarenice itd.
5. Koliko dugo ćete ga čuvati: Razdoblje čuvanja vaših podataka.
6. S kim ćete to podijeliti: To uključuje sve dobavljače tehnologije trećih strana.
7. Njihova prava: Obavijestite ih o njihovom pravu na pristup, ispravak, brisanje i prigovor na obradu svojih podataka.

Primjer jasnog jezika: „Koristimo predložak otiska prsta, koji je siguran numerički prikaz vašeg otiska prsta, kako bismo vam omogućili pristup serverskoj sobi. Ovaj predložak pohranjuje se samo na vašoj osobnoj pristupnoj kartici i briše se iz našeg sustava u roku od 24 sata od prestanka vašeg zaposlenja. Možete zatražiti pregled ili brisanje svojih podataka u bilo kojem trenutku.“

Ovakva vrsta jasnoće čini više od pukog ispunjavanja pravnih uvjeta - ona gradi povjerenje. Kada ste otvoreni i transparentni o tome kako postupate s nečijim najosobnijim podacima, pokazujete predanost zaštiti podataka koja nadilazi puko poštivanje propisa. Ona pretvara pravni zahtjev u temelj integriteta vaše organizacije.

Snalaženje u provedbi zakona i kaznama u Nizozemskoj

Ignoriranje strogih pravila GDPR-a o biometrijskim podacima nije samo teoretski rizik; ono nosi ozbiljne financijske i reputacijske posljedice. U Nizozemskoj je Tijelo za zaštitu podataka (Autoriteit Persoonsgegevens ili AP) poznato po svojoj čvrstoj provedbi. Zbog toga su potencijalne posljedice nepravilnog rukovanja podacima ključni faktor koji svaka organizacija treba uzeti u obzir.

Razumijevanje ovog krajolika provedbe je ključno. Potencijalne kazne nisu samo apstraktne pravne prijetnje. One su stvarnost koja ističe koliko je proaktivna usklađenost zapravo važna. Ulaganje u ispravnu obradu podataka uvijek je daleko manje od visokih troškova pogrešne obrade.

Pravi trošak nepoštivanja propisa

Prema GDPR-u, nadzorna tijela poput nizozemskog AP-a imaju ovlasti izreći značajne novčane kazne. Te su kazne osmišljene da budu učinkovite, proporcionalne i odvraćajuće, odražavajući koliko ozbiljno shvaćaju kršenje. Za teška kršenja, poput obrade podataka posebne kategorije bez valjane pravne osnove, kazne mogu biti vrtoglave.

Organizacije se mogu suočiti s kaznama do 20 milijuna eura ili 4% njihovog ukupnog godišnjeg prometa na svjetskoj razini iz prethodne financijske godine, ovisno o tome što je veće. Ovaj dvostupanjski sustav osigurava da kazne imaju značajan utjecaj čak i na najveće globalne korporacije.

Poruka regulatora je kristalno jasna: nepravilno rukovanje biometrijskim podacima jedno je od najozbiljnijih kršenja zakona o zaštiti podataka. Financijske kazne su strukturirane kako bi se osiguralo da nepoštivanje propisa nikada ne bude financijski održiva opcija za bilo koje poduzeće, bez obzira na njegovu veličinu.

Visokoprofilna provedba zakona u Nizozemskoj i EU

Nedavne akcije nizozemske agencije AP i njezinih europskih kolega pokazuju da ovo nisu prazne prijetnje. Vlasti aktivno istražuju i kažnjavaju organizacije koje ne ispunjavaju svoje obveze. Za više informacija o specifičnoj ulozi i ovlastima nizozemskog tijela, možete pročitati naš detaljni članak o nizozemskom Agenciji za zaštitu podataka.

Snažan primjer toga je nedavna akcija protiv Clearview AI-a. Dana 3. rujna 2024. nizozemska AP izrekla je kaznu od 30.5 milijuna eura američkoj tvrtki za prepoznavanje lica zbog nezakonitih praksi prikupljanja podataka. Ovaj slučaj snažno naglašava značajne financijske posljedice obrade biometrijskih podataka bez zakonite osnove. To je dio šireg trenda diljem EU-a, gdje su tijela za zaštitu podataka izrekla kazne u ukupnom iznosu od milijardi eura. Najčešći i najskuplji prekršaj? Nedovoljna pravna osnova. Možete istražiti više o najvećim kaznama za GDPR i njihovim uzrocima.

Osim financijskih kazni

Posljedice kršenja GDPR-a protežu se daleko izvan početne kazne. Šteta na ugledu može biti još skuplja i dugotrajnija. Javna provedbena mjera može dovesti do značajnog gubitka povjerenja kupaca, partnera i javnosti.

Druge potencijalne posljedice uključuju:

• Korektivne naredbe: AP vam može narediti da prestanete obrađivati ​​podatke, prisiljavajući tako zaustavljanje ključnih poslovnih operacija.
• Nalozi za brisanje podataka: Možda ćete morati izbrisati sve nepravilno prikupljene biometrijske podatke.
• Građanski sporovi: Pogođene osobe imaju pravo tražiti naknadu štete, što otvara vrata kolektivnim tužbama.

U konačnici, provedbeni krajolik u Nizozemskoj je snažan. Nizozemska AP pokazala je da neće oklijevati upotrijebiti sve svoje ovlasti kako bi zaštitila najosjetljivije podatke pojedinaca. Zbog toga je pažljivo usklađivanje biometrijskih podataka s GDPR-om ključni poslovni prioritet.

Izrada plana za odgovor na povredu biometrijskih podataka

Zato imati robustan, unaprijed pripremljen plan odgovora na incidente posebno za biometrijske podatke nije samo dobra ideja - to je ključno. Čim postanete svjesni kršenja sigurnosti, vrijeme počinje otkucavati.

Rok za obavještavanje od 72 sata

Prema GDPR-u, imate strogi rok od 72 sata za prijavu povrede osobnih podataka nadzornom tijelu nakon što je otkrijete. Za svako poduzeće koje posluje u Nizozemskoj to znači obavještavanje nizozemskog tijela za zaštitu podataka (Autoriteit Persoonsgegevens ili AP).

Sedamdeset dva sata nije puno vremena, zbog čega je unaprijed planirani odgovor toliko važan. Vaša obavijest mora detaljno opisati prirodu kršenja, vrste podataka i približan broj pogođenih osoba te vjerojatne posljedice. Također morate objasniti mjere koje ste već poduzeli ili planirate poduzeti.

Korak 1: obuzdavanje kršenja i procjena utjecaja

Vaš je neposredni prioritet zaustaviti krvarenje. To zahtijeva koordinirani napor između vaših IT sigurnosnih i pravnih timova kako bi se obuzdala prijetnja i točno utvrdilo što se dogodilo.

• Izolirajte pogođene sustave: Odmah isključite kompromitirane sustave iz mreže kako biste spriječili daljnji neovlašteni pristup ili krađu podataka.
• Sačuvajte dokaze: Osigurajte sve zapisnike i digitalne dokaze. To je ključno za pravilnu forenzičku istragu i za vaše regulatorno izvještavanje.
• Identificirajte podatke: Navedite konkretne biometrijske podatke koji su bili pogođeni. Jesu li se radilo o sirovim slikama ili šifriranim predlošcima? Tko su bili uključeni pojedinci?

Korak 2: utvrdite morate li obavijestiti pojedince

Nakon što shvatite opseg kršenja, suočavate se s još jednom ključnom odlukom. GDPR zahtijeva da izravno i "bez nepotrebnog odgađanja" obavijestite pogođene pojedince ako je vjerojatno da će kršenje rezultirati visokim rizikom za njihova prava i slobode.

S biometrijskim podacima, ovaj prag „visokog rizika“ gotovo je uvijek dosegnut. Kršenje bi moglo dovesti do nepovratne krađe identiteta, financijske prijevare ili druge značajne osobne štete. Nizozemska AP pokazala je sve strožu provedbu ovih zahtjeva za obavještavanje. Tijekom 2024. godine tijelo je primilo 37,839 obavijesti o kršenju osobnih podataka, a značajan broj njih pokrenuo je daljnje radnje. Stav nizozemske AP često se razlikuje od stavova drugih tijela EU-a, smatrajući većinu kršenja visokorizičnima te stoga zahtijevajući izravno obavještavanje pogođenih pojedinaca. Više uvida o pristupu nizozemske DPA-e kršenjima podataka možete pronaći ovdje.

Vaša obavijest pojedincima mora biti napisana jasnim i jednostavnim jezikom. Trebala bi objasniti što se dogodilo, o kojim se informacijama radilo i koje korake mogu poduzeti kako bi se zaštitili, poput opreza zbog pokušaja krađe identiteta (phishinga).

Korak 3: izvršite i dokumentirajte svoj odgovor

Vaš plan odgovora trebao bi biti živi priručnik, a ne dokument koji skuplja prašinu. Dok izvršavate plan, dokumentirajte svaku poduzetu radnju. Ova dokumentacija postat će vaš glavni dokaz AP-u da ste djelovali odgovorno i marljivo.

To uključuje bilježenje svake odluke, komunikacije i tehničke mjere od trenutka otkrivanja. Dobro dokumentiran odgovor može značajno utjecati na to kako regulatori gledaju na ukupnu usklađenost vaše organizacije i može utjecati na ozbiljnost potencijalnih kazni.

Česta pitanja o usklađenosti s biometrijskim podacima

Otisci prstiju na radnom mjestu: gdje je test nužnosti bitan

Iznimka u nizozemskom Zakonu o provedbi GDPR-a dopušta biometrijsku obradu za identifikaciju ili autentifikaciju gdje je to potrebno za autentifikaciju ili sigurnosne svrhe. Nužno je ključna riječ i procjenjuje se pitanjem može li se svrha razumno postići manje nametljivim sredstvima. Skener koji kontrolira pristup blagajni, sustavu za registraciju vremena ili vratima ureda obično ne prolazi taj test, jer značka, kod ili ključ postižu isti rezultat bez obrade biometrijskih podataka.

Privola rijetko spašava takav sustav. U radnom odnosu privola je rijetko dovoljno slobodna da bi bila valjana, jer zaposlenik koji odbija nije u poziciji reći ne bez posljedica. Tamo gdje se poslodavac oslanja na privolu, mora biti u mogućnosti dokazati da je postojala stvarna alternativa i da je ponuđena u praksi, a ne samo na papiru.

Nizozemska sudska praksa zauzela je isti stav. U slučaju o trgovačkom lancu koji je od osoblja zahtijevao da se prijavi u blagajnički sustav otiskom prsta, sud je utvrdio da poslodavac nije dokazao da je skeniranje potrebno iz sigurnosnih razloga te da se od zaposlenika ne može zahtijevati sudjelovanje. Tamo gdje je biometrijska identifikacija prihvaćena, sigurnosni interes bio je značajan i specifičan: objekt za rukovanje opasnim materijalima, sigurni laboratorij, podatkovni centar, trezor.

Što je regulator proveo

Nizozemska Agencija za zaštitu podataka izrekla je kaznu od 725,000 eura tvrtki koja je skenirala otiske prstiju zaposlenika radi evidencije prisutnosti i vremena, smatrajući da se nijedna iznimka ne primjenjuje: privola nije bila besplatna, a praktičnost registracije sati nije sigurnosna svrha koja čini obradu potrebnom.

Četiri pitanja provlače se kroz praksu provedbe. Koja je svrha, konkretno navedena, a ne kao sigurnost općenito? Može li se postići manje nametljivim sredstvima? Ako se oslanja na pristanak, je li odbijanje zaista bilo bez posljedica? I je li ta procjena dokumentirana prije implementacije, a ne nakon pritužbe? Posljednja točka je ono u čemu organizacije gube: analiza napisana nakon događaja ima vrlo malu težinu, dok je ista analiza provedena prethodno, uz procjenu utjecaja na zaštitu podataka, dokaz da je implementacija razmatrana.

Izbor dizajna također je važan. Sustav koji pohranjuje predložak na kartici ili na korisnikovom uređaju, umjesto središnje baze podataka biometrijskih zapisa, znatno je lakše opravdati i znatno je manje štetan ako dođe do njegovog kršenja.

Radničko vijeće

Uz analizu zaštite podataka, sustav koji registrira ili prati zaposlenike zahtijeva suglasnost radničkog vijeća, ako ono postoji. To je neovisan zahtjev: ispunjavanje GDPR-a ne isključuje ga, a sustav instaliran bez njega može se obustaviti.