Abychom se pochopili pro biometrické údaje a dodržování GDPR, musíme si nejprve odpovědět na základní otázku: co přesně is biometrické údaje? Nejde jen tak o nějaké osobní údaje. Mluvíme o datech získaných z jedinečných fyzických nebo behaviorálních znaků – jako je otisk prstu, vzor duhovky nebo dokonce něčí hlas – které mohou jednoznačně identifikovat konkrétní osobu.

Představte si to jako biologický klíč, který je jedinečný pro každého jednotlivce a prakticky nemožné jej změnit.

Definice biometrických údajů podle GDPR

Podle obecného nařízení o ochraně osobních údajů (GDPR) se za „biometrický údaj“ nepovažuje typ samotných dat (jako například fotografie), ale účel pro které jej zpracováváte. Jednoduchá fotografie zaměstnance na jeho identifikačním průkazu se automaticky nepovažuje za biometrický údaj.

V okamžiku, kdy je však tatáž fotografie vložena do systému rozpoznávání obličeje pro udělení přístupu do budovy, se stává biometrickým údajem. Právní rámec se zcela mění.

Kritickým faktorem je „specifické technické zpracování“ použité pro účely jedinečné identifikace. Správné pochopení tohoto rozlišení je základním kamenem pochopení vašich povinností v oblasti dodržování předpisů. Nuance můžete hlouběji prozkoumat v našem průvodci vysvětlení zpracování biometrických údajů.

Proč GDPR zachází s biometrickými údaji odlišně

Biometrické údaje jsou klasifikovány jako „zvláštní kategorie osobních údajů“ podle článku 9 GDPR. Tato klasifikace jej řadí do stejné skupiny s vysokým rizikem jako informace o:

• Rasový nebo etnický původ
• Politické názory
• Náboženské nebo filozofické přesvědčení
• Zdraví nebo sexuální život

Toto zvýšené postavení existuje z dobrého důvodu: narušení bezpečnosti biometrických údajů má nevratné následky. Na rozdíl od hesla si nemůžete jen tak změnit otisk prstu nebo duhovku. Pokud jsou tato data ohrožena, vzniká pro danou osobu trvalé riziko krádeže identity a podvodu.

Pro lepší představu uvádíme rozpis běžných typů biometrických údajů a jejich statusu podle GDPR.

Jak ukazuje tabulka, konzistentním tématem je využití těchto dat pro jedinečná identifikace, což automaticky spouští ochranu zvláštní kategorie podle článku 9.

Nizozemský regulační přístup

Zde v Nizozemsku vynucuje nizozemský Úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens neboli AP) obzvláště přísný výklad těchto pravidel. Například jejich pokyny k technologii rozpoznávání obličeje jasně ukazují, že její použití je ve většině případů zakázáno.

Klíčovým testem je vždy to, zda je účelem zpracování jednoznačná identifikace fyzické osoby. Tento striktní postoj zdůrazňuje, jak přesvědčivé musí být vaše právní odůvodnění, než vůbec začnete uvažovat o zavedení takového systému.

Nalezení právního základu pro zpracování biometrických údajů

Pokud jde o biometrické údaje, GDPR v podstatě odstraňuje dvě samostatné právní překážky. Nejde jen o nalezení jednoho dobrého důvodu pro zpracování údajů. Potřebujete právní základ podle… Článek 6 pro obecné zpracování a poté druhou, mnohem přísnější podmínku z Článek 9 protože pracujete s daty „speciální kategorie“. Tento dvoudílný požadavek je absolutně neobchodovatelný.

Představte si to jako bankovní trezor se dvěma různými zámky. Článek 6 je prvním klíčem, tím, který potřebujete pro jakékoli zpracování osobních údajů. Ale protože biometrie je tak citlivá, Článek 9 vyžaduje druhý, specializovanější klíč, než vůbec můžete uvažovat o otevření dveří.

Dvouklíčový systém dodržování GDPR

Nejprve musíte své zpracování založit na jednom ze šesti právních základů uvedených Článek 6Toto jsou obvyklé podezřelé: souhlas, smluvní nutnost, zákonná povinnost, kterou musíte splnit, životně důležité zájmy, plnění veřejného úkolu nebo vaše vlastní oprávněné zájmy.

Jakmile si ujasníte své Článek 6 Na základě toho začíná skutečná výzva. Musíte také splnit jednu ze specifických podmínek uvedených v Článek 9 (2), které jsou jedinými branami pro zpracování dat speciální kategorie. V případě biometrie je nejznámější – a nejčastěji nepochopenou – podmínkou výslovný souhlas.

Dekonstrukce explicitního souhlasu

Nezaměňujte „výslovný souhlas“ se standardním souhlasem, který byste použili pro marketingový newsletter. Toto je mnohem vyšší laťka. Nelze jej shrnout do vašich podmínek ani jej implicitně vyvodit z něčích akcí. Musí se jednat o křišťálově jasný a pozitivní čin, který je:

• Konkrétní: Nemůžete jen tak požádat o vágní souhlas z „bezpečnostních důvodů“. Musíte přesně uvést, proč biometrické údaje potřebujete.
• informovaný: Lidé musí přesně vědět, jaká data shromažďujete, co s nimi budete dělat, kdo je uvidí a jak dlouho je budete uchovávat.
• Zdarma dané: A právě zde se to začíná komplikovat, zejména na pracovišti. Zaměstnanec se může cítit pod tlakem, aby souhlasil s biometrickým systémem, protože se obává negativních důsledků, pokud by odmítl. Tato nerovnováha moci znamená, že jeho souhlas není skutečně „svobodně udělený“, a proto je právně neplatný.

Nizozemská AP (Autoriteit Persoonsgegevens) je extrémně skeptická k používání souhlasu jako základu pro zpracování biometrických údajů zaměstnanců. Úřad vychází z toho, že takový souhlas téměř nikdy není udělen svobodně, a v důsledku toho nesplňuje přísné požadavky GDPR.

To je pro firmy v Nizozemsku klíčový bod. Spoléhání se na souhlas zaměstnanců s biometrickým odbavením nebo systémem pro přístup do kanceláře je téměř vždy slepou uličkou, pokud jde o dodržování předpisů. Je třeba hledat silnější a vhodnější právní důvody.

Nad rámec souhlasu: Zkoumání dalších výjimek podle článku 9

Zatímco výslovný souhlas se objevuje na titulních stránkách novin, Článek 9 nabízí několik dalších, velmi úzkých výjimek, které by mohly ospravedlnit použití biometrických údajů. Je nezbytné se ujistit, že vaše konkrétní situace dokonale splňuje jednu z těchto podmínek, protože chybný postup může vést k vážným problémům. Každý podnik bude muset pečlivě posoudit svou roli a odpovědnosti, o kterých si můžete přečíst v našem podrobném vysvětlení správce a zpracovatel podle GDPR.

Abychom to objasnili, porovnejme nejrelevantnější podmínky a jejich přísné požadavky.

Porovnání právních základů pro zpracování biometrických údajů

Níže uvedená tabulka rozebírá běžné podmínky článku 9, které byste mohli zvážit, a zdůrazňuje, kde fungují a kde se často mýlí.

Nakonec, výběr správného právního základu nespočívá v výběru nejjednodušší možnosti. Vyžaduje důkladnou a zdokumentovanou analýzu vašich konkrétních okolností. Pouhé uchopení té, která se zdá být nejvhodnější, je rychlou cestou k nedodržování předpisů a potenciálnímu zákazu od nizozemské AP.

Jak provést posouzení vlivu na ochranu osobních údajů

Pokud vaše organizace vůbec zvažuje zpracování biometrických údajů v reálném měřítku, pak Posouzení vlivu na ochranu osobních údajů (DPIA) Není to jen dobrý nápad – je to zákonná nutnost podle GDPR.

Představte si posouzení vlivu na ochranu osobních údajů (DPIA) jako formální posouzení rizik pro soukromí. Je to strukturovaný proces, který vás nutí přesně si naplánovat, co plánujete dělat, identifikovat potenciální nebezpečí pro jednotlivce a zjistit, jak tato rizika řídit. před naskenujete někdy jediný otisk prstu nebo obličej?

To je mnohem víc než jen jednoduché odškrtávání políček. Je to základní součást prokazování odpovědnosti a začlenění ochrany údajů do samotného návrhu vašich systémů. U jakékoli vysoce rizikové činnosti, jako je biometrie, bude nizozemský úřad pro ochranu osobních údajů (AP) v případě dotazů absolutně očekávat komplexní a dobře odůvodněné posouzení vlivu na ochranu osobních údajů.

Než vůbec začnete s posouzením vlivu na ochranu osobních údajů (DPIA) pro biometrické údaje, musíte nejprve překonat dvě základní právní překážky, jak ukazuje níže uvedený diagram.

Nejprve musíte najít právní základ podle článku 6 a poté splnit jednu z přísných, specifických podmínek podle článku 9. Teprve poté můžete pokračovat ve svém posouzení.

Základní součásti posouzení vlivu na ochranu osobních údajů (DPIA)

Důkladné posouzení vlivu na ochranu osobních údajů (DPIA) musí systematicky popisovat zpracování, posoudit, proč je nezbytné a přiměřené, a řídit rizika pro práva a svobody osob. Pojďme si projít klíčové kroky na příkladu velmi běžného scénáře: instalace skeneru otisků prstů pro kontrolu přístupu do kanceláře.

1. Popište zpracování: Buďte konkrétní. Musíte podrobně popsat celou cestu dat od začátku do konce.

   • Co přesně sbíráte? (např. šablony otisků prstů, ne celé obrázky).
   • Jak budou tato data shromažďována, kde budou uložena, jak budou používána a kdy budou smazána?
   • Kdo má přístup k těmto datům a proč?
   • Jsou zapojeni nějací dodavatelé třetích stran, například společnost, která dodala systém skeneru?

2. Posouzení nezbytnosti a přiměřenosti: Zde je místo, kde své rozhodnutí ospravedlňujete. Vyžaduje to, abyste zpochybnili své vlastní předpoklady a dokázali, že použití biometrie je nejrozumnější volbou.

   • Jaký konkrétní problém se snažíte vyřešit? (např. zabránění neoprávněnému přístupu do serveroven).
   • Proč nejsou v této konkrétní situaci dostatečně dobré méně rušivé metody, jako jsou zabezpečené karty s klíčem nebo PIN kódy?
   • Jsou data, která shromažďujete, skutečně minimem potřebným k dosažení vašeho cíle?

3. Identifikace a posouzení rizik: Vžijte se do role zaměstnance. Co by se mu mohlo pokazit?

   • Únik dat: Jaký bude reálný dopad, pokud bude databáze šablon otisků prstů ukradena?
   • Funkce Creep: Existuje riziko, že by tato data mohla být v budoucnu použita k jiným účelům, jako je sledování příchodu a odchodu zaměstnanců, aniž by jim to bylo řečeno?
   • vyloučení: Co se stane, když zaměstnanec nemůže systém používat kvůli kožním problémům nebo opotřebovaným otiskům prstů? Existuje pro něj nějaká alternativa?
   • Nepřesnost: Co když systém během požárního poplachu selže a zablokuje přístup oprávněné osoby ven?

4. Stanovte opatření ke zmírnění rizik: Nyní pro každé riziko, které jste právě uvedli, musíte navrhnout konkrétní řešení. To je nejpraktičtější část celého procesu.

   • Technická opatření: To by mohlo znamenat implementaci silného šifrování dat, používání zabezpečeného úložiště šablon (ukládání na zařízení je často vhodnější než centrální server) a vynucování přísných kontrol přístupu.
   • Organizační opatření: To zahrnuje vytvoření jasné politiky týkající se biometrických údajů, školení zaměstnanců v této oblasti a přípravu specifického plánu reakce na narušení bezpečnosti dat pro tento systém.
   • Opatření proporcionality: Vždy, když je to možné, nabídněte nebiometrickou alternativu pro přístup. Tím zajistíte, že systém nikoho nespravedlivě nevyloučí.

Dobře provedené posouzení vlivu na ochranu osobních údajů (DPIA) je živý dokument. Není to něco, co uděláte jednou a pak uložíte. Mělo by být revidováno a aktualizováno, pokud se změní rozsah, povaha nebo kontext vašeho biometrického zpracování. Slouží jako váš primární důkaz o náležité péči, pokud regulační orgán někdy zpochybní vaše postupy.

Dodržováním této struktury se posouzení vlivu na ochranu osobních údajů (DPIA) mění z náročné právní povinnosti v mocný strategický nástroj. Pomáhá zajistit, aby vaše používání biometrických údajů bylo postaveno na pevných základech předvídavosti a odpovědnosti, a chrání tak jak vaši organizaci, tak i samotné osoby, jejichž data zpracováváte.

Základní kroky pro každodenní dodržování předpisů

Správné zajištění souladu s GDPR pro biometrické údaje není jednorázová právní záležitost, kterou si můžete odškrtnout na seznamu. Je to trvalý závazek, který musí být vetkán do struktury vašeho každodenního provozu. Jakmile si vyřešíte právní základ a dokončíte posouzení vlivu na ochranu osobních údajů (DPIA), začíná skutečná práce na zodpovědné správě těchto citlivých údajů. Jde o to, proměnit právní principy v praktické, každodenní činy.

Jádrem všeho je zajistit, aby se základní principy GDPR staly výchozím nastavením vaší společnosti. Skvělým místem, kde začít, je minimalizace datJe to jednoduchý, ale neuvěřitelně účinný nápad: shromažďujte pouze biometrické údaje, které nezbytně potřebujete pro konkrétní, legitimní účel, který jste si určili. Nic víc. Pokud zavádíte systém pro přístup do kanceláře, opravdu potřebujete sken obličeje s vysokým rozlišením, když by stejně dobře zvládla mnohem jednodušší biometrická šablona? Pravděpodobně ne.

To jde ruku v ruce s omezení úložištěBiometrické údaje by neměly být uchovávány navždy. Musíte zavést a prosazovat jasné zásady uchovávání. Tato pravidla by měla přesně stanovit, jak dlouho budete data uchovávat, a zajistit jejich bezpečné smazání v okamžiku, kdy již nebudou potřeba pro svůj původní účel.

Zavádění technických a organizačních ochranných opatření

Řádná ochrana biometrických údajů vyžaduje vícevrstvou bezpečnostní strategii. To znamená spojení technických řešení a solidních interních zásad. Nejde jen o příjemné věci; jedná se o nedílné požadavky v rámci GDPR.

Zde je několik klíčových technických opatření, která byste měli mít zavedena:

• Silné šifrování: Veškeré biometrické údaje musí být šifrované, tečka. To platí jak pro ukládání na serverech, tak i pro ukládání na zařízeních (v klidu) a když je odesílán přes síť (v tranzitu). Šifrování znemožňuje čtení dat a činí je nepoužitelnými pro kohokoli, kdo by se k nim mohl dostat bez povolení.
• Přísné kontroly přístupu: Ne každý ve vaší organizaci potřebuje vidět nebo zpracovávat biometrické údaje. Používejte řízení přístupu na základě rolí k zajištění toho, aby k těmto informacím měli přístup pouze oprávnění zaměstnanci s jasným a legitimním důvodem.
• Zabezpečené úložiště: Kdykoli je to možné, vyhněte se ukládání biometrických šablon do jedné velké centrální databáze. Mnohem bezpečnějším přístupem je ukládat je lokálně na zařízení, jako je samotný skener nebo přístupová karta zaměstnance. Tento decentralizovaný model dramaticky snižuje riziko katastrofického hromadného úniku dat.

Ale samotná technologie nestačí. Stejně důležitá jsou i vaše organizační opatření. Zavedení robustních bezpečnostních opatření, jako jsou ta, která najdete v biometricky orientované přístupy k zabezpečení, může výrazně snížit riziko podvodů a posílit celkovou shodu s předpisy. To také znamená pravidelné školení zaměstnanců v oblasti zásad ochrany osobních údajů a provádění pravidelných bezpečnostních auditů, které odhalí a opraví zranitelnosti dříve, než se stanou problémem.

Vytváření transparentních a jasných oznámení o ochraně osobních údajů

Transparentnost je základním kamenem GDPR. Lidé mají absolutní právo vědět přesně, co děláte s jejich biometrickými údaji. Vaše oznámení o ochraně osobních údajů nemůže být složitý dokument plný žargonu, který se nachází v patičce vašich webových stránek. Musí být jasné, stručné a pro každého snadno dostupné a srozumitelné.

Oznámení o ochraně osobních údajů v souladu se zákonem musí jasně vysvětlovat:

1. Kdo jsi: Název a kontaktní údaje vaší společnosti.
2. Proč zpracováváte data: Konkrétní, legitimní důvod (např. „zabezpečení přístupu do naší výzkumné laboratoře“).
3. Váš právní základ: Konkrétní podmínky článku 6 a článku 9, na které se odvoláváte.
4. Jaká data se shromažďují: Buďte přesní. Neříkejte jen „biometrické údaje“, upřesněte, zda se jedná o šablonu otisku prstu, sken duhovky atd.
5. Jak dlouho si to necháte: Doba uchovávání vašich údajů.
6. S kým se o to podělíte: To zahrnuje i veškeré poskytovatele technologií třetích stran.
7. Jejich práva: Informujte je o jejich právu na přístup k údajům, jejich opravu, výmaz a vznesení námitky proti jejich zpracování.

Příklad srozumitelného jazyka: „K umožnění přístupu do serverovny používáme šablonu otisku prstu, což je zabezpečená číselná reprezentace vašeho otisku prstu. Tato šablona je uložena pouze na vaší osobní přístupové kartě a je z našeho systému smazána do 24 hodin od ukončení vašeho pracovního poměru. O zobrazení svých údajů nebo jejich smazání můžete kdykoli požádat.“

Tento druh jasnosti znamená více než jen splnění právních požadavků – buduje důvěru. Když jste otevření a transparentní ohledně toho, jak nakládáte s nejosobnějšími údaji dané osoby, projevujete tím závazek k ochraně údajů, který jde nad rámec pouhého dodržování předpisů. Z právního požadavku se stává základní kámen integrity vaší organizace.

Orientace v oblasti vymáhání práva a sankcí v Nizozemsku

Ignorování přísných pravidel GDPR týkajících se biometrických údajů není jen teoretickým rizikem; s sebou nese závažné finanční a reputační důsledky. V Nizozemsku je Úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens nebo AP) známý svým důsledným vymáháním. Potenciální následky nesprávného nakládání s údaji jsou proto pro každou organizaci kritickým faktorem, který by měla zvážit.

Pochopení situace v oblasti vymáhání práva je zásadní. Potenciální sankce nejsou jen abstraktními právními hrozbami. Jsou realitou, která zdůrazňuje, jak důležité je proaktivní dodržování předpisů. Investice do správného zpracování dat je vždy mnohem nižší než vysoké náklady na jeho provedení.

Skutečné náklady na nedodržování předpisů

Podle GDPR mají dozorové orgány, jako je nizozemský úřad pro ochranu osobních údajů (AP), pravomoc ukládat značné pokuty. Tyto sankce jsou navrženy tak, aby byly účinné, přiměřené a odrazující a odrážely, jak vážně porušení vnímají. V případě závažných porušení, jako je zpracování údajů zvláštní kategorie bez platného právního základu, mohou být pokuty ohromující.

Organizacím hrozí pokuty až do výše 20 milionů EUR, tj. 4 % jejich celkového celosvětového ročního obratu z předchozího finančního roku, podle toho, která částka je vyšší. Tento dvoustupňový systém zajišťuje, že pokuty mají významný dopad i na největší globální korporace.

Sdělení regulačních orgánů je naprosto jasné: nesprávné nakládání s biometrickými údaji je jedním z nejzávažnějších porušení zákona o ochraně osobních údajů. Finanční sankce jsou strukturovány tak, aby nedodržování předpisů nebylo pro žádný podnik, bez ohledu na jeho velikost, finančně životaschopnou možností.

Vymáhání práva s vysokým profilem v Nizozemsku a EU

Nedávné kroky nizozemské agentury AP a jejích evropských protějšků ukazují, že se nejedná o plané hrozby. Úřady aktivně vyšetřují a trestají organizace, které neplní své povinnosti. Více informací o konkrétní roli a pravomocích nizozemského úřadu naleznete v našem podrobném článku o... Nizozemský úřad pro ochranu osobních údajů.

Výrazným příkladem je nedávná akce proti Clearview AI. Dne 3. září 2024 nizozemská agentura AP uvalila na Pokuta 30.5 milionů eur proti americké společnosti zabývající se rozpoznáváním obličejů kvůli jejím nezákonným praktikám sběru dat. Tento případ zdůrazňuje významné finanční důsledky zpracování biometrických údajů bez právního základu. Je součástí širšího trendu v celé EU, kde orgány pro ochranu osobních údajů uložily pokuty v celkové výši miliard eur. Nejčastějším a nejnákladnějším porušením? Nedostatečný právní základ. Více informací naleznete v článku... Největší pokuty za GDPR a jejich příčiny.

Nad rámec finančních sankcí

Důsledky porušení GDPR sahají daleko za hranice původní pokuty. Poškození pověsti může být ještě nákladnější a dlouhodobější. Veřejnoprávní vymáhání práva může vést k významné ztrátě důvěry zákazníků, partnerů a veřejnosti.

Mezi další možné důsledky patří:

• Nápravné příkazy: AP vám může nařídit zastavení zpracování dat, čímž si vynutíte zastavení kritických obchodních operací.
• Povinnosti k vymazání dat: Může se stát, že budete muset vymazat všechny nesprávně shromážděné biometrické údaje.
• občanskoprávní spory: Dotčené osoby mají právo požadovat náhradu škody, což otevírá dveře k hromadným žalobám.

V konečném důsledku je situace v Nizozemsku v oblasti vymáhání práva robustní. Nizozemská agentura AP ukázala, že nebude váhat s využitím všech svých pravomocí k ochraně nejcitlivějších údajů jednotlivců. Díky tomu je pečlivá. biometrické údaje, soulad s GDPR zásadní obchodní prioritou.

Vytvoření plánu reakce na narušení biometrických údajů

Když jsou biometrické údaje ohroženy, nejedná se jen o další IT problém, ale o plnohodnotnou krizi. Nemůžete jen tak „resetovat“ otisk prstu nebo sken duhovky, jako byste to udělali s heslem. Způsob, jakým se vaše organizace zachová v prvních několika hodinách, je zásadní, a to nejen pro omezení škod, ale i pro to, abyste regulačním orgánům ukázali, že nesete odpovědnost.

Proto není mít robustní, předem připravený plán reakce na incidenty speciálně pro biometrické údaje jen dobrý nápad – je to nezbytné. V okamžiku, kdy se dozvíte o narušení bezpečnosti, začne běžet čas.

72hodinová lhůta pro oznámení

Podle GDPR máte přísná 72hodinové okno nahlásit porušení ochrany osobních údajů svému dozorovému úřadu poté, co o něm zjistíte. Pro jakoukoli firmu působící v Nizozemsku to znamená informovat nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens neboli AP).

Sedmdesát dva hodin není mnoho času, a proto je předem naplánovaná reakce tak důležitá. Vaše oznámení musí podrobně popisovat povahu narušení, typy dat a přibližný počet dotčených osob a pravděpodobné důsledky. Musíte také vysvětlit opatření, která jste již přijali nebo plánujete přijmout.

Krok 1: Zamezení porušení a posouzení dopadu

Vaší bezprostřední prioritou je zastavit krvácení. To vyžaduje koordinované úsilí mezi vašimi týmy IT bezpečnosti a právními odděleními, aby se hrozba omezila a přesně zjistilo, co se stalo.

• Izolujte postižené systémy: Okamžitě odpojte napadené systémy od sítě, abyste zabránili dalšímu neoprávněnému přístupu nebo úniku dat.
• Zachovat důkazy: Zabezpečte všechny protokoly a digitální důkazy. To je klíčové pro řádné forenzní vyšetřování a pro vaše regulační podávání zpráv.
• Identifikujte údaje: Uveďte konkrétně, kterých biometrických údajů se to týkalo. Jednalo se o nezpracované obrázky nebo šifrované šablony? Kdo jsou zúčastněné osoby?

Krok 2: Určete, zda musíte jednotlivce informovat

Jakmile pochopíte rozsah narušení, čelíte dalšímu kritickému rozhodnutí. GDPR vyžaduje, abyste dotčené osoby informovali přímo a „bez zbytečného odkladu“, pokud k narušení dojde. pravděpodobně povede k vysokému riziku k jejich právům a svobodám.

U biometrických údajů je tato hranice „vysokého rizika“ téměř vždy splněna. Narušení by mohlo vést k nevratné krádeži identity, finančním podvodům nebo jiné významné újmě na zdraví. Nizozemská agentura AP prokázala stále přísnější vymáhání těchto oznamovacích požadavků. Během roku 2024 úřad obdržel 37,839 oznámení o narušení bezpečnosti osobních údajů, přičemž značný počet z nich vede k následným opatřením. Postoj nizozemské agentury AP se často liší od postoje ostatních orgánů EU a považuje většinu narušení za vysoce riziková, a proto vyžadují přímé oznámení dotčeným osobám. Více informací o Přístup nizozemského úřadu pro ochranu osobních údajů k únikům dat.

Vaše oznámení jednotlivcům musí být zasláno jasně a srozumitelně. Mělo by vysvětlovat, co se stalo, o jaké informace se jednalo a jaké kroky mohou podniknout k vlastní ochraně, například být ostražití vůči phishingovým pokusům.

Krok 3: Proveďte a zdokumentujte svou odpověď

Váš plán reakce by měl být živým návodem, nikoli dokumentem, který se zapráší. Během provádění plánu dokumentujte každou jednotlivou provedenou akci. Tato dokumentace se stane vaším hlavním důkazem pro AP, že jste jednali zodpovědně a svědomitě.

To zahrnuje zaznamenávání každého rozhodnutí, komunikace a technického opatření od okamžiku jejich zjištění. Dobře zdokumentovaná reakce může významně ovlivnit to, jak regulační orgány vnímají celkovou shodu vaší organizace s předpisy, a může mít dopad na závažnost případných sankcí.

Časté otázky týkající se souladu s biometrickými údaji

Když se pustíte do praktických aspektů používání biometrických údajů v Nizozemsku, vyvstává spousta specifických otázek. Jedna věc je pochopit pravidla teoreticky, ale druhá je aplikovat v reálných obchodních scénářích. Abychom vám v tom poskytli jasno, shromáždili jsme některé z nejčastějších otázek, které nám naši klienti kladou.

Mohu od zaměstnanců vyžadovat používání biometrických hodin?

V téměř každé situaci v Nizozemsku je odpovědí firma NeNizozemská agentura AP zastává názor, že vztah mezi zaměstnavatelem a zaměstnancem má inherentní mocenskou nerovnováhu. Z tohoto důvodu nelze souhlas zaměstnance skutečně považovat za „svobodně udělený“, což z něj činí neplatný právní základ pro povinné použití.

Abyste mohli pokračovat, museli byste prokázat naléhavou a absolutní nutnost, kterou by nebylo možné splnit žádnou méně invazivní metodou. To je neuvěřitelně vysoká laťka pro něco tak jednoduchého, jako je sledování času, a je velmi nepravděpodobné, že by to uspělo.

Je používání rozpoznávání obličeje k odemknutí firemního telefonu rizikem GDPR?

Ano, pokud s tím nebudete pečlivě zacházet, představuje to rozhodně riziko GDPR. I když se to může zdát jako jednoduchá funkce, stále zpracováváte data speciální kategorie.

Klíčové je zde místo, kde jsou data uložena. Pokud je šablona obličeje bezpečně uložena pouze na samotném zařízení a nikdy se neodesílají na centrální firemní server, riziko je výrazně nižší. I tak však musíte provést posouzení vlivu na ochranu osobních údajů (DPIA), být vůči svému zaměstnanci zcela transparentní ohledně fungování a vždy nabídnout nebiometrickou alternativu, jako je například staromódní PIN nebo heslo.

Jak dlouho můžeme legálně uchovávat biometrické údaje po odchodu zaměstnance?

Musíte se jí zbavit v okamžiku, kdy již není potřeba pro svůj původní účel. Pro systém kontroly přístupu to znamená, že biometrická šablona by měla být bezpečně a trvale smazána v poslední den zaměstnance nebo velmi krátce poté.

Prostě neexistuje žádný legitimní důvod k uchovávání těchto vysoce citlivých údajů po skončení pracovního poměru. Jasná, automatizovaná politika mazání je nedílnou součástí... biometrické údaje, soulad s GDPR.

At Law & More, náš tým odborných právních zástupců vám může pomoci zorientovat se ve složitosti zákona o ochraně osobních údajů a zajistit, aby vaše obchodní operace byly plně v souladu s předpisy. Pro individuální poradenství ohledně vaší konkrétní situace nás navštivte na adrese https://lawandmore.eu.