Ostatnio holenderski urząd ochrony danych (AP) nałożył wysoką grzywnę, mianowicie 725,000 9 euro, na firmę, która skanowała odciski palców pracowników w celu obecności i rejestracji czasu. Dane biometryczne, takie jak odcisk palca, są specjalnymi danymi osobowymi w rozumieniu art.9 RODO. Są to unikalne cechy, które można przypisać konkretnej osobie. Jednak dane te często zawierają więcej informacji niż jest to konieczne na przykład do identyfikacji. Przetwarzanie tych danych stanowi zatem duże ryzyko w dziedzinie podstawowych praw i wolności człowieka. Jeśli te dane dostaną się w niepowołane ręce, może to potencjalnie doprowadzić do nieodwracalnego uszkodzenia. Dane biometryczne są zatem dobrze chronione, a ich przetwarzanie jest zabronione na mocy art. XNUMX RODO, chyba że istnieje wyjątek prawny. W tym przypadku AP stwierdził, że dane przedsiębiorstwo nie było uprawnione do otrzymania wyjątek do przetwarzania specjalnych danych osobowych.
Odcisk palca
O odcisk palca w kontekście RODO i jednym z wyjątków, a mianowicie konieczność, wcześniej pisaliśmy na jednym z naszych blogów: „Odcisk palca narusza RODO”. Ten blog skupia się na innej alternatywnej podstawie wyjątku: pozwolenie. Kiedy pracodawca wykorzystuje dane biometryczne, takie jak odciski palców w swojej firmie, czy może, w odniesieniu do prywatności, wystarczyć za zgodą swojego pracownika?
Przez pozwolenie rozumie się konkretne, świadome i jednoznaczne wyrażenie woli z którym ktoś akceptuje przetwarzanie jego danych osobowych za pomocą oświadczenia lub jednoznacznego czynnego działania, zgodnie z art. 4 ust. 11 RODO. W kontekście tego wyjątku pracodawca musi zatem nie tylko wykazać, że jego pracownicy udzielili pozwolenia, ale także, że było to jednoznaczne, konkretne i poinformowane. Podpisanie umowy o pracę lub podpisanie umowy z personelem, w której pracodawca zarejestrował wyłącznie zamiar wpisania odcisków palców, jest w tym kontekście niewystarczające. Jako dowód pracodawca musi na przykład przedłożyć politykę, procedury lub inną dokumentację, która pokazuje, że jego pracownicy są w wystarczającym stopniu informowani o przetwarzaniu danych biometrycznych oraz że (również) wyrazili zgodę na ich przetwarzanie.
Jeśli pracownik udziela zezwolenia, musi ono nie tylko oznaczać „wyraźny' ale również 'dobrowolnie podane”, według AP. „Jawne” to na przykład pisemne pozwolenie, podpis, wysłanie wiadomości e-mail w celu udzielenia zgody lub pozwolenie z weryfikacją dwuetapową. `` Dowolne '' oznacza, że nie może za tym kryć się żaden przymus (jak miało to miejsce w omawianym przypadku: odmowa zeskanowania odcisku palca, odbyła się rozmowa z dyrektorem / zarządem) lub że zezwolenie może być warunkiem czegoś różne. Warunek „dobrowolne przekazanie” nie jest w żadnym przypadku spełniony przez pracodawcę, gdy pracownicy są zobowiązani lub, jak w przedmiotowym przypadku, traktują go jako obowiązek zarejestrowania odcisków palców. Generalnie w ramach tego wymogu AP uznał, że biorąc pod uwagę zależność wynikającą ze stosunku między pracodawcą a pracownikiem, jest mało prawdopodobne, aby pracownik mógł swobodnie wyrazić zgodę. Pracodawca będzie musiał udowodnić coś przeciwnego.
Czy pracownik prosi swoich pracowników o pozwolenie na przetwarzanie odcisków palców? Następnie AP uczy się w kontekście tej sprawy, że w zasadzie jest to niedozwolone. W końcu pracownicy są zależni od pracodawcy i dlatego często nie są w stanie odmówić. Nie oznacza to, że pracodawca nigdy nie może skutecznie polegać na podstawie zezwolenia. Pracodawca musi jednak dysponować wystarczającymi dowodami, aby odwołać się od zgody na podstawie zgody w celu przetworzenia danych biometrycznych swoich pracowników, takich jak odciski palców. Czy zamierzasz wykorzystywać dane biometryczne w swojej firmie, czy też pracodawca prosi Cię na przykład o pozwolenie na użycie odcisku palca? W takim przypadku ważne jest, aby nie podejmować natychmiastowych działań i udzielić zezwolenia, ale najpierw uzyskać odpowiednie informacje. Law & More prawnicy są ekspertami w dziedzinie prywatności i mogą udzielać informacji. Czy masz jeszcze jakieś pytania dotyczące tego bloga? Proszę się skontaktować Law & More.
