Biometric data ug ang GDPR: mga lagda sa Netherlands

Ang biometric data, sama sa mga fingerprint, mga imahe sa nawong o mga sumbanan sa tingog, usa ka espesyal nga kategorya sa personal nga datos ubos sa GDPR kung kini giproseso aron mailhan ang usa ka tawo nga talagsaon. Sa Netherlands, ang ingon nga pagproseso gidili sa prinsipyo; ang panguna nga eksepsiyon kung kini gikinahanglan alang sa mga katuyoan sa pag-authenticate o seguridad, ug alang sa mga empleyado nga ang pagsulay talagsa ra nga masugatan sa orasan o pultahan sa opisina.

Ang Dutch Data Protection Authority (Autoriteit Persoonsgegevens, AP) hugot nga nagpatuman niini nga mga lagda ug nagmulta sa mga amo ug mga kompanya sa teknolohiya tungod sa paggamit sa biometrics nga walay balido nga basehan. Sa ubos among gipasabot kung unsa ang giisip nga biometric data, unsang mga legal nga basehan ang magamit, kanus-a nimo kinahanglan ang usa ka data protection impact assessment, unsang mga panalipod ang gilauman ug unsa ang buhaton kung adunay sayup nga mahitabo.

Unsa ang biometric data ubos sa GDPR?

Ang biometric data kay personal nga data nga resulta sa espesipikong teknikal nga pagproseso sa pisikal, pisyolohikal o pamatasan nga mga kinaiya sa usa ka tawo, nga nagtugot o nagpamatuod sa talagsaon nga pag-ila sa maong tawo. Ang katuyoan ug ang teknik ang magdesisyon, dili ang klase sa imahe o recording.

Kini nga kahulugan anaa sa Artikulo 4(14) sa General Data Protection Regulation (GDPR) . Ang litrato sa usa ka empleyado sa ID badge kay personal nga datos, apan dili awtomatikong biometric data. Sa higayon nga ang samang litrato mabag-o ngadto sa facial template ug gamiton sa usa ka recognition system aron tugotan ang pag-access sa usa ka bilding, kini mahimong biometric data. Kana nga pagbag-o hingpit nga makausab sa legal nga balangkas.

Ang mga ehemplo sa biometric identifiers mao ang mga fingerprints, facial geometry, iris ug retina patterns, voice patterns ug mga kinaiya sa pamatasan sama sa typing rhythm o ang paagi sa paglakaw sa usa ka tawo. Ang ilang managsama mao nga kini gigamit sa pag-ila sa usa ka piho nga indibidwal.

Ngano nga lahi ang pagtratar sa GDPR sa biometric data?

Ubos sa Artikulo 9 GDPR, ang biometric data nga giproseso alang sa katuyoan sa talagsaong pag-ila sa usa ka tawo nahisakop sa espesyal nga mga kategorya sa personal nga datos. Ang parehas nga kategorya naglakip sa datos sa rasa o etnikong gigikanan, mga opinyon sa politika, relihiyosong mga gituohan, kahimsog ug kinabuhi sa sekso.

Ang hinungdan kay ang mga sangputanan sa sayop nga paggamit seryoso ug kasagaran dili na mabalik. Ang password mahimong usbon; ang fingerprint o iris dili mahimo. Kung ang database sa mga biometric template makompromiso, ang mga tawo nga hingtungdan mag-atubang sa dugay nga risgo sa pagpangilad sa identidad. Ang talaan sa ubos nagpakita sa kasagarang mga aplikasyon.

Ang komon nga hilo mao ang katuyoan sa talagsaon nga pag-ila. Kung naa kana nga katuyoan, ang pagdili sa Artikulo 9 magamit ug kinahanglan nimo ang usa sa mga piho nga eksepsiyon.

Unsa ka estrikto ang pamaagi sa mga Dutch?

Hugot nga gihubad sa AP kini nga mga lagda. Ang sinugdanan niini mao nga gidili ang biometric identification, ug nga limitado ang mga eksepsiyon.

Ang Dutch GDPR Implementation Act (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) nagdugang og usa ka nasudnong eksepsiyon. Ubos sa Artikulo 29 UAVG, ang biometric data mahimong iproseso alang sa talagsaon nga pag-ila kon kini gikinahanglan alang sa mga katuyoan sa authentication o seguridad. Ang "Gikinahanglan" mao ang yawe nga pulong. Kini nagpasabot nga ang katuyoan dili makatarunganon nga makab-ot gamit ang dili kaayo makabalda nga mga paagi, sama sa badge, code o yawe. Giklaro sa AP sa giya niini nga ang pag-ila sa nawong sa mga lugar nga ma-access sa publiko, sama sa mga tindahan, sa prinsipyo dili gitugotan.

Unsang legal nga basehan ang imong gikinahanglan?

Kinahanglan nimo ang duha: usa ka legal nga basehan ubos sa Artikulo 6 GDPR para sa pagproseso niini, ug usa ka eksepsiyon ubos sa Artikulo 9(2) GDPR o Artikulo 29 UAVG aron tangtangon ang pagdili sa mga espesyal nga kategorya. Kung wala ang duha, ang pagproseso ilegal.

Ang Artikulo 6 sa GDPR naglista og unom ka legal nga basehan: pagtugot, pagtuman sa usa ka kontrata, legal nga obligasyon, importanteng mga interes, buluhaton alang sa interes sa publiko ug lehitimong mga interes. Kana ang unang babag, ug kini magamit sa tanang personal nga datos.

Tungod kay ang biometric data usa ka espesyal nga kategorya, kinahanglan nimo nga matuman ang usa sa mga kondisyon sa Artikulo 9(2) GDPR, o ang Dutch exception sa Artikulo 29 UAVG. Kini ra ang mga ruta diin ang pagdili mahimong tangtangon. Sa dili pa ka magsugod, tinoa usab kung kinsa ang controller ug kinsa ang molihok isip processor, pananglitan ang supplier sa scanning system. Ang among artikulo bahin sa mga tahas sa controller ug processor ubos sa GDPR nagpatin-aw sa kalainan ug sa kasabutan sa pagproseso nga imong gikinahanglan.

Kanus-a balido ang klaro nga pagtugot?

Ang klaro nga pagtugot usa ka mas taas nga sukdanan kay sa ordinaryong pagtugot. Kinahanglan kini ihatag pinaagi sa usa ka klaro ug positibo nga pahayag ug kinahanglan nga espesipiko, may kasayuran, dili maduhaduhaon ug gawasnon nga gihatag.

• Piho: Dili igo ang kinatibuk-ang paghisgot sa "mga katuyoan sa seguridad"; kinahanglan nimong isulti gyud kung ngano nga kinahanglan nimo ang biometric data.
• gipahibalo: kinahanglan mahibal-an sa mga tawo kung unsang datos ang imong gikolekta, unsa ang imong gibuhat niini, kinsa ang adunay access ug kung unsa ka dugay nimo kini tipigan.
• Libre nga gihatag: ang tawo kinahanglan nga makahimo sa pagdumili nga walay negatibo nga mga sangputanan, ug kinahanglan nga makahimo sa pag-bawi sa iyang pagtugot bisan unsang orasa.

Sa usa ka relasyon sa panarbaho, ang katapusang kondisyon mao ang problema. Ang usa ka empleyado nga mobalibad mahimong mahadlok sa mga sangputanan, ug busa ang AP nag-ingon nga ang pagtugot sa empleyado talagsa ra ihatag nga gawasnon. Ang usa ka amo nga nagsalig sa pagtugot kinahanglan nga makapakita nga adunay tinuod nga alternatibo ug gitanyag sa praktis, dili lamang sa papel.

Para sa mga kustomer, ang pagtugot mahimong molihok, basta ang partisipasyon tinuod nga boluntaryo. Ang kustomer nga mopili sa pagbayad gamit ang facial recognition, nga adunay katumbas nga alternatibo nga magamit sa parehas nga counter, naa sa lahi nga posisyon gikan sa empleyado nga kinahanglan mogamit og fingerprint scanner aron magsugod sa trabaho.

Unsa pa ang ubang mga eksepsiyon?

Ang ubang mga eksepsiyon pig-ot ra. Ang talaan sa ubos nagtandi sa labing may kalabutan.

Ang pagpili sa husto nga basehan nanginahanglan ug dokumentado nga pag-analisar sa imong piho nga sitwasyon. Ang pagpili sa labing sayon ​​nga basehan nga wala kana nga pag-analisar usa ka dali nga dalan padulong sa dili pagsunod.

Mahimo ba nga mogamit og mga fingerprint o face scan para sa mga empleyado?

Kon ang biometrics tinuod nga gikinahanglan alang sa authentication o seguridad, ug ang usa ka dili kaayo makabalda nga paagi dili igo. Alang sa time registration, usa ka till o usa ka ordinaryong pultahan sa opisina, kasagaran dili kana ang kaso.

Ang pagsulay ubos sa Artikulo 29 UAVG mao kung ang katuyoan makatarunganon ba nga makab-ot pinaagi sa dili kaayo makabalda nga mga paagi. Ang usa ka scanner nga nagkontrol sa pag-access sa usa ka till, usa ka time-registration system o usa ka pultahan sa opisina kasagaran mapakyas sa maong pagsulay, tungod kay ang usa ka badge, usa ka code o usa ka yawe makab-ot sa parehas nga resulta kung wala ang biometric data. Kung gidawat ang biometric access, ang interes sa seguridad dako ug espesipiko: usa ka pasilidad nga nagdumala sa mga delikado nga materyales, usa ka luwas nga laboratoryo, usa ka data center o usa ka vault.

Ang pagtugot talagsa ra makaluwas sa ingon nga sistema, tungod sa mga hinungdan nga gipasabut sa ibabaw. Ug adunay ikaduha, lahi nga kinahanglanon. Kung adunay konseho sa mga trabaho (ondernemingsraad), ang usa ka sistema nga nagparehistro o nagmonitor sa pagtambong, pamatasan o pasundayag sa mga empleyado, o nga nagproseso sa ilang personal nga datos, nanginahanglan sa pagtugot niini ubos sa Artikulo 27(1)(k) ug (l) sa Works Councils Act (Wet op de ondernemingsraden, WOR). Ang pagsunod sa GDPR dili magtangtang niana nga kinahanglanon, ug ang usa ka sistema nga gipaila nga wala’y pagtugot mahimong kuwestiyonon.

Mahimo ba nimo gamiton ang biometrics para sa mga kustomer?

Usahay, apan parehas ra gihapon ang estrikto nga mga lagda nga magamit. Sa mga kustomer, ang klaro nga pagtugot mahimong balido nga basehan, basta ang paggamit sa biometrics opsyonal gyud ug adunay katumbas nga alternatibo nga magamit.

Ang kasagarang mga ehemplo mao ang pag-unlock sa usa ka banking app gamit ang fingerprint, pag-verify sa identidad gamit ang selfie kung mag-abli og account online, ug pag-access sa gym o kalihokan nga adunay facial recognition. Kung ang biometric check gihimo lang sa kaugalingong telepono sa kustomer, gamit ang built-in nga teknolohiya sa telepono, ang kompanya kasagaran dili makadawat sa biometric data mismo. Kana makapakunhod pag-ayo sa risgo ug mga obligasyon sa kompanya.

Kon ang kompanya mismo ang moproseso sa datos, pananglitan pinaagi sa pagtandi sa selfie sa litrato sa pasaporte sa kaugalingon niining mga server, kinahanglan niini ang balido nga basehan. Ang pagtugot nagkinahanglan nga ang kustomer makapili og laing ruta, sama sa beripikasyon pinaagi sa bank transfer o pagbisita sa usa ka sanga, nga walay disbentaha. Para sa mga bangko ug uban pang institusyon sa panalapi, ang mga obligasyon sa due diligence sa kustomer ubos sa balaod batok sa money laundering adunay papel, apan dili kini sa ilang kaugalingon magkinahanglan og biometric processing.

Kumusta man ang mga camera nga adunay facial recognition?

Ang mga facial recognition camera sa mga tindahan, stadium o uban pang pampublikong lugar dili gitugotan para sa mga pribadong grupo. Ang mga tawo nga moagi dili makahatag og klaro nga pagtugot, ug talagsa ra adunay kinahanglanon nga makatuman sa Article 29 UAVG test.

Ang AP nagpasidaan sa mga retailer nga ang paggamit sa facial recognition aron mailhan ang mga kawatan sa tindahan o pag-ila sa mga kustomer dili gitugotan. Ang ordinaryong camera surveillance, nga walay biometric identification, gipailalom sa lahi ug dili kaayo estrikto nga mga lagda, apan nanginahanglan gihapon og lehitimong interes, klaro nga mga pahibalo, ug limitado nga mga panahon sa pagtipig. Ang pagdugang og facial recognition software sa usa ka kasamtangang camera system hingpit nga makausab sa assessment.

Kanus-a nimo kinahanglan ang usa ka data protection impact assessment?

Halos kanunay. Ang pagproseso sa biometric data aron mailhan ang mga tawo usa ka proseso nga taas og risgo, ug gibutang kini sa AP sa listahan sa mga operasyon sa pagproseso nga nanginahanglan og data protection impact assessment (DPIA) ubos sa Article 35 GDPR.

Ang DPIA usa ka structured privacy risk assessment. Kini mopugos kanimo sa paghulagway sa imong plano nga buhaton, pag-ila sa mga risgo sa mga tawo nga nalambigit ug pagdesisyon kon unsaon pagdumala niadtong mga risgo sa dili pa nimo i-scan ang usa ka fingerprint o nawong. Kon ang nahibiling risgo taas ug dili igo nga makunhuran, kinahanglan kang mokonsulta sa AP sa dili pa ka magsugod (Artikulo 36 GDPR).

Ang DPIA gibase sa legal nga basehan: una nimong tukuron ang usa ka basehan ubos sa Artikulo 6 ug usa ka eksepsiyon ubos sa Artikulo 9 o Artikulo 29 UAVG, ug dayon susihon kung ang espesipikong sistema gikinahanglan ug proporsyonal ba.

Unsa ang sulod sa DPIA?

Pananglitan, gamita ang fingerprint scanner para makasulod sa server room. Ang DPIA naglangkob sa upat ka elemento.

• Usa ka paghulagway sa pagproseso. Unsang datos ang imong gikolekta: usa ka template o usa ka kompletong imahe? Giunsa kini pagkolekta, asa kini gitipigan, giunsa kini gigamit ug kanus-a kini gipapas? Kinsa ang adunay access? Nalambigit ba ang usa ka supplier?
• Kinahanglanon ug proporsyonalidad. Unsang piho nga problema ang imong gisulbad, sama sa wala gitugutan nga pag-access sa server room? Ngano nga ang mga badge o code dili igo niini nga kaso? Ang datos ba nga imong nakolekta mao ang minimum nga gikinahanglan?
• Ang mga risgo alang sa mga tawo nga nalambigit. Unsa man kon ang database sa mga template kawaton? Mahimo ba nga gamiton ang datos sa ulahi alang sa ubang mga katuyoan, sama sa pagmonitor sa mga oras sa pagtrabaho (function creep)? Unsa ang mahitabo sa mga empleyado kansang mga fingerprint dili mabasa? Unsa man kon ang sistema mo-lock out sa usa ka awtorisado nga tawo atol sa usa ka emerhensya?
• Mga lakang aron masulbad ang mga risgo. Mga teknikal nga lakang sama sa pag-encrypt ug pagtipig sa usa ka kard o device; mga organisasyonal nga lakang sama sa usa ka palisiya, pagbansay ug usa ka plano sa pagtubag sa paglapas; ug usa ka dili-biometric nga alternatibo aron walay bisan kinsa nga dili iapil.

Ang DPIA dili usa ka dokumento nga mahitabo lang kausa. Ribyuha kini kon mausab ang gilapdon, kinaiya, o konteksto sa pagproseso. Kini ang imong pangunang ebidensya nga imong gikonsiderar pag-ayo ang pagpadala. Ang pag-analisar nga gisulat human sa usa ka reklamo gamay ra ang gibug-aton; ang samang pag-analisar nga gihimo daan nagpakita nga ang desisyon gikonsiderar pag-ayo.

Unsang mga panalipod ang gilauman?

Pagkolekta og gamay kutob sa mahimo, ayaw kini itago nga mas dugay kay sa gikinahanglan ug panalipdan kini gamit ang lig-on nga teknikal ug organisasyonal nga mga lakang. Kini nga mga prinsipyo naggikan sa Artikulo 5 ug 32 sa GDPR.

Sugdi sa pagminus sa datos: kolektaha lang ang biometric data nga gikinahanglan para sa espesipiko ug lehitimong katuyoan. Para sa pagkontrol sa pag-access, kasagaran igo na ang template; dili na kinahanglan ang high-resolution facial scan. Iuban kini sa limitasyon sa pagtipig: pagbutang og retention period ug papasa ang datos nga luwas sa higayon nga dili na kini kinahanglan, pananglitan kung ang usa ka empleyado mobiya o dili na kinahanglan og access.

Teknikal ug organisasyonal nga mga lakang

Ang seguridad kinahanglan nga mohaom sa taas nga risgo. Ang mga importanteng teknikal nga lakang naglakip sa:

• encryption sa biometric data, sa wala ug sa gibiyahe.
• Hugot nga mga kontrol sa pag-access, aron ang awtorisado nga kawani lamang nga adunay klaro nga panginahanglan ang maka-access sa datos.
• Desentralisadong pagtipigKon mahimo, tipigi ang mga template sa device o sa kaugalingong card sa user imbes sa usa ka central database. Kana makapamenos sa posibilidad sa usa ka mass breach.

Dili pa igo ang teknolohiya lamang. Ang mga lakang sa organisasyon, sama sa sinulat nga palisiya sa biometric data, pagbansay sa kawani, pana-panahong pag-awdit sa seguridad ug klaro nga mga kasabutan sa mga supplier, parehas nga hinungdanon. Kung ang usa ka supplier nagproseso sa datos alang kanimo, kinahanglan nimo ang usa ka kasabutan sa pagproseso ubos sa Artikulo 28 GDPR.

Usa ka klaro nga pahibalo sa pribasiya

Ang mga tawo adunay katungod nga mahibal-an kung unsa ang imong buhaton sa ilang biometric data (Artikulo 13 ug 14 GDPR). Ang impormasyon kinahanglan nga mubo, dali pangitaon ug gisulat sa yano nga pinulongan.

Ang usa ka pahibalo sa pribasiya sa pagproseso sa biometric kinahanglan nga magpasabut kung kinsa ka ug unsaon pagkontak kanimo, nganong imong giproseso ang datos, ang legal nga basehan ubos sa Artikulo 6 ug ang eksepsiyon nga gisaligan, unsang datos ang imong gikolekta (pananglitan usa ka template sa fingerprint), kung unsa kadugay nimo kini tipigan, kinsa ang imong ipaambit niini, lakip ang mga supplier, ug unsang mga katungod ang naa sa mga tawo, sama sa pag-access, pagtul-id, pagpapas ug pagsupak.

Usa ka ehemplo sa klaro nga mga pulong: “Mogamit mi og fingerprint template, usa ka numerical nga representasyon sa imong fingerprint, aron mahatagan ka og access sa server room. Ang template gitipigan lamang sa imong personal nga access card. Among papason kini gikan sa among mga sistema kung matapos na ang imong access. Mahimo kang mangayo nga makita o mapapas ang imong data bisan unsang orasa.”

Aplikable ba usab ang AI Act?

Oo, para sa pipila ka biometric system. Ang EU Artificial Intelligence Act (Regulation (EU) 2024/1689) nagdugang og mga lagda dugang sa GDPR.

Sukad sa Pebrero 2, 2025, gidili sa AI Act ang daghang mga pamaagi, lakip ang wala gitarget nga pagkuha sa mga imahe sa nawong gikan sa internet o footage sa camera aron makahimo og mga database sa pag-ila sa nawong, pag-ila sa emosyon sa trabahoan ug sa edukasyon (gawas sa mga hinungdan sa medikal o kaluwasan) ug biometric categorization aron mahibal-an ang sensitibo nga mga kinaiya sama sa rasa o sekswal nga oryentasyon. Ang ubang mga biometric system, sama sa remote biometric identification, giklasipikar nga high-risk ug gipailalom sa estrikto nga mga kinahanglanon. Susiha ang duha ka framework sa dili pa ipaila ang usa ka sistema.

Unsa ang mga sangputanan sa dili pagsunod?

Taas nga multa, mando nga ihunong ang pagproseso ug mga pag-angkon og danyos. Alang sa ilegal nga pagproseso sa mga espesyal nga kategorya, gitugotan sa GDPR ang mga multa nga hangtod sa 20 milyon nga euro o 4% sa tinuig nga kita sa tibuok kalibutan, hain man ang mas taas.

Kining pinakataas nga kantidad nagsunod sa Artikulo 83(5) GDPR ug magamit, lakip sa ubang mga butang, sa pagproseso nga walay balido nga basehan o eksepsiyon. Ang mga paglapas sa mga obligasyon sa seguridad ug pagpahibalo sa paglapas (Mga Artikulo 32 hangtod 34 GDPR) mahimong mosangpot sa mga multa nga hangtod sa 10 milyon nga euro o 2% sa tibuok kalibutan nga turnover. Ang mga multa kinahanglan nga epektibo, proporsyonal ug dili makababag. Ang AP ang magtino sa kantidad ubos sa kaugalingon nga palisiya sa pagmulta.

Unsa may gipatuman sa AP?

Gipahamtangan sa AP og multa ang mga amo ug mga kompanya sa teknolohiya tungod sa ilegal nga pagproseso sa biometric. Duha ka desisyon ang mipatigbabaw.

Niadtong 2020, ang AP nagpahamtang og multa nga 725,000 euros sa usa ka kompanya nga nag-scan sa mga fingerprint sa mga empleyado para sa attendance ug time registration. Nakita sa AP nga walay eksepsiyon nga magamit: ang pagtugot sa mga empleyado wala gihatag nga gawasnon, ug ang kasayon ​​sa oras sa pagparehistro dili usa ka katuyoan sa seguridad nga naghimo sa biometric processing nga gikinahanglan. Niadtong Septyembre 2024, ang AP nagmulta sa Amerikanong kompanya nga Clearview AI og 30.5 milyon nga euros tungod sa paghimo og database sa mga imahe sa nawong, lakip ang mga Dutch, nga walay legal nga basehan.

Upat ka pangutana ang giatubang sa pagpatuman sa AP. Unsa ang katuyoan, nga espesipikong giingon imbes nga "seguridad" sa kinatibuk-an? Mahimo ba kini nga makab-ot pinaagi sa dili kaayo makabalda nga paagi? Kung ang pagtugot gisaligan, mahimo ba nga mobalibad ang mga tawo nga walay mga sangputanan? Ug kini ba gisusi ug gidokumento sa wala pa gipaila ang sistema? Ang among artikulo bahin sa Dutch Data Protection Authority nagpatin-aw sa mga gahum sa AP sa mas detalyado.

Ubang mga sangputanan

Dili lang multa ang risgo. Mahimong mandoan ka sa AP nga ihunong ang pagproseso, nga makapahunong sa sistema nga gisaligan sa imong operasyon, ug mahimo ka usab nga mandoan nga papason ang ilegal nga nakolekta nga datos. Ang mga tawo kansang datos giproseso sa ilegal nga paagi mahimong mangayo og bayad alang sa materyal ug dili materyal nga kadaot ubos sa Artikulo 82 GDPR, ug sa Netherlands, ang maong mga reklamo mahimo usab nga ipasaka sa kinatibuk-an. Ang kadaot sa reputasyon sa usa ka desisyon sa pagpatuman sa publiko mahimong dako.

Unsay imong buhaton kon adunay mogawas nga biometric data?

Pugngan ang paglapas, susiha ang risgo, ipahibalo sa AP sulod sa 72 oras ug, kon taas ang risgo, ipahibalo dayon ang mga tawo nga apektado. Andama kini sa usa ka plano sa pagtubag sa dili pa adunay mahitabong dili maayo.

Ubos sa Artikulo 33 GDPR, kinahanglan nimong ireport ang usa ka paglapas sa personal nga datos sa AP nga walay paglangan ug, kung mahimo, sulod sa 72 oras human nimo kini mahibaw-i, gawas kung ang paglapas dili lagmit nga moresulta sa peligro sa mga tawo nga nalambigit. Ang pahibalo naghulagway sa kinaiya sa paglapas, ang mga kategorya ug gibanabana nga gidaghanon sa mga tawo ug mga rekord nga apektado, ang lagmit nga mga sangputanan ug ang mga lakang nga gihimo o gisugyot. Kung dili nimo mahatag ang tanan nga impormasyon sa usa ka higayon, mahimo nimo kini dugangan sa ulahi.

Lakang 1: pugngan ang paglapas ug timbangtimbanga ang epekto

Ang imong unang prayoridad mao ang pagpahunong sa paglapas. Ilain ang mga apektadong sistema, tipigi ang mga log ug uban pang ebidensya para sa imbestigasyon, ug tinoa kung unsang datos ang naapektuhan: hilaw nga mga imahe o naka-encrypt nga mga template, ug kinsa ang naapektuhan.

Lakang 2: pagdesisyon kung ipahibalo ba ang mga tawo nga apektado

Ubos sa Artikulo 34 GDPR, kinahanglan nimong ipahibalo dayon sa mga tawo nga naapektuhan kung ang paglapas lagmit nga moresulta sa taas nga peligro sa ilang mga katungod ug kagawasan. Sa biometric data, kana nga threshold kanunay nga matuman, tungod kay ang datos dili mausab. Ang eksepsiyon, pananglitan, mao ang datos nga hugot nga gi-encrypt ug kansang yawe wala makompromiso. Ang mensahe kinahanglan nga sa yano nga pinulongan: unsa ang nahitabo, unsang datos ang nalambigit ug unsa ang mahimo sa mga tawo aron mapanalipdan ang ilang kaugalingon.

Lakang 3: ipatuman ug idokumento ang tubag

Irekord ang matag lakang: ang higayon sa pagkadiskobre, ang mga desisyon nga gihimo, ang mga komunikasyon ug ang mga teknikal nga lakang. Ubos sa Artikulo 33(5) GDPR kinahanglan nimong idokumento ang matag paglapas, lakip na kadtong wala nimo kinahanglana nga ireport. Ang maayong dokumentasyon nagpakita sa AP nga ikaw milihok nga maampingon ug makaapekto sa kung giunsa niini pagtimbang-timbang ang kaso.

Giunsa kini pagtrabaho sa praktis?

Kadaghanan sa mga pangutana nga among nakita gikan sa mga amo nga gusto nga ilisan ang mga badge og mga fingerprint o face scan, ug gikan sa mga kompanya nga gusto mogamit og biometrics para sa pag-verify sa kustomer. Ang resulta nagdepende sa panginahanglan ug sa mga alternatibo nga magamit.

Pananglit usa ka kompanya sa logistik nga gusto mogamit og fingerprint scanner sa entrada sa ilang bodega. Gipakita sa DPIA nga ang tumong mao ang pagpugong sa pagpaambit sa badge, apan ang personal nga mga badge nga adunay PIN code makasulbad sa maong problema. Ang kompanya mipili og mga badge ug PIN code, ug nagtipig og biometric access alang lamang sa usa ka gamay nga vault room nga adunay mga butang nga mahalon, diin nagtanyag kini og alternatibo nga dili biometric, nagtipig og mga template sa personal nga mga kard ug nakakuha og pagtugot sa works council. Mao kana ang klase sa pangatarungan nga gilauman sa AP nga makita.

Sa sumada

• Ang biometric data nga gigamit para sa talagsaong pag-ila usa ka espesyal nga kategorya ubos sa Artikulo 9 GDPR; gidili ang pagproseso gawas kung adunay eksepsiyon nga magamit.
• Sa Netherlands, ang Artikulo 29 sa UAVG nagtugot lamang niini kung gikinahanglan alang sa authentication o seguridad; ang kasayon ​​dili igo.
• Ang pagtugot sa empleyado talagsa ra balido; pagtanyag og tinuod nga dili biometric nga alternatibo ug pagkuha sa pagtugot sa works council kon gikinahanglan.
• Paghimo og DPIA daan, i-minimize ang datos, tipigi ang mga template sa imong lugar ug i-encrypt kini.
• Ireport ang mga paglapas sa balaod ngadto sa AP sulod sa 72 oras; ang mga multa mahimong moabot sa 20 milyon nga euro o 4% sa tibuok kalibutan nga kita.

Kanunayng pangutana

Law & More nagtambag sa mga amo ug mga kompanya sa teknolohiya bahin sa mga biometric system, DPIA, mga paglapas sa datos ug mga proseso sa atubangan sa AP. Dili sigurado kung unsa ang imong baruganan? Sultihi kami bahin sa imong sitwasyon. Ipahibalo namo kanimo ang imong mga kapilian sulod sa usa ka adlaw sa trabaho.

sa unsa nga paagi Law & More makatabang kanimo niini nga gipasabut sa among Abogado sa IT panid.