ბიომეტრიული მონაცემები GDPR-ის მიხედვით: როდის შეიძლება მათი გამოყენება ნიდერლანდებში?

ბიომეტრიული მონაცემები, როგორიცაა თითის ანაბეჭდები, სახის გამოსახულება ან ხმის ნიმუშები, GDPR-ის მიხედვით პერსონალური მონაცემების განსაკუთრებული კატეგორიაა, როდესაც ისინი მუშავდება პირის უნიკალურად იდენტიფიცირებისთვის. ნიდერლანდებში ასეთი დამუშავება, პრინციპში, აკრძალულია; მთავარი გამონაკლისია შემთხვევები, როდესაც ეს აუცილებელია ავთენტიფიკაციის ან უსაფრთხოების მიზნებისთვის, ხოლო თანამშრომლებისთვის ამ ტესტს იშვიათად აკმაყოფილებს დროის საათი ან ოფისის კარი.

ნიდერლანდების მონაცემთა დაცვის ორგანო (Autoriteit Persoonsgegevens, AP) მკაცრად იყენებს ამ წესებს და დააჯარიმა დამსაქმებლები და ტექნოლოგიური კომპანიები ბიომეტრიული მონაცემების გამოყენებისთვის საფუძვლიანი საფუძვლის გარეშე. ქვემოთ განვმარტავთ, თუ რა ითვლება ბიომეტრიულ მონაცემებად, რა სამართლებრივი საფუძვლებია ხელმისაწვდომი, როდის გჭირდებათ მონაცემთა დაცვაზე ზემოქმედების შეფასება, რა დამცავი ზომებია მოსალოდნელი და რა უნდა გააკეთოთ, თუ რამე არასწორად წავა.

რა არის ბიომეტრიული მონაცემები GDPR-ის მიხედვით?

ბიომეტრიული მონაცემები არის პერსონალური მონაცემები, რომლებიც წარმოიქმნება პირის ფიზიკური, ფიზიოლოგიური ან ქცევითი მახასიათებლების სპეციფიკური ტექნიკური დამუშავების შედეგად, რაც საშუალებას იძლევა ან ადასტურებს ამ პირის უნიკალურ იდენტიფიკაციას. გადამწყვეტია მიზანი და ტექნიკა და არა გამოსახულების ან ჩანაწერის ტიპი.

ეს განმარტება მოცემულია მონაცემთა დაცვის ზოგადი რეგულაციის (GDPR) მე-4(14) მუხლში . თანამშრომლის ფოტოსურათი პირადობის მოწმობაზე პერსონალური მონაცემია, მაგრამ ავტომატურად არა ბიომეტრიული მონაცემი. როგორც კი იგივე ფოტოსურათი სახის შაბლონად გარდაიქმნება და ამოცნობის სისტემა შენობაში წვდომის ნებართვის მისაღებად გამოიყენებს, ის ბიომეტრიულ მონაცემად იქცევა. ეს ცვლილება მთლიანად ცვლის სამართლებრივ ჩარჩოს.

ბიომეტრიული იდენტიფიკატორების მაგალითებია თითის ანაბეჭდები, სახის გეომეტრია, ფერადი გარსისა და ბადურას ნიმუშები, ხმის ნიმუშები და ქცევითი თავისებურებები, როგორიცაა აკრეფის რიტმი ან სიარულის მანერა. მათ საერთო ის აქვთ, რომ ისინი გამოიყენება ერთი კონკრეტული ინდივიდის ამოსაცნობად.

რატომ ეპყრობა GDPR ბიომეტრიულ მონაცემებს განსხვავებულად?

GDPR-ის მე-9 მუხლის თანახმად, პირის უნიკალურად იდენტიფიცირების მიზნით დამუშავებული ბიომეტრიული მონაცემები პერსონალური მონაცემების სპეციალურ კატეგორიებს მიეკუთვნება. იგივე კატეგორია მოიცავს მონაცემებს რასობრივი ან ეთნიკური წარმომავლობის, პოლიტიკური შეხედულებების, რელიგიური შეხედულებების, ჯანმრთელობისა და სექსუალური ცხოვრების შესახებ.

მიზეზი ის არის, რომ ბოროტად გამოყენების შედეგები სერიოზული და ხშირად შეუქცევადია. პაროლის შეცვლა შესაძლებელია; თითის ანაბეჭდის ან თვალის ფერადი გარსის შეცვლა - არა. თუ ბიომეტრიული შაბლონების მონაცემთა ბაზა კომპრომეტირებულია, შესაბამისი პირები პირადობის გაყალბების ხანგრძლივი რისკის წინაშე დგანან.

რამდენად მკაცრია ჰოლანდიური მიდგომა?

AP ამ წესებს მკაცრად განმარტავს. მისი ამოსავალი წერტილი ის არის, რომ ბიომეტრიული იდენტიფიკაცია აკრძალულია და გამონაკლისები ვიწროა.

ნიდერლანდების GDPR-ის იმპლემენტაციის აქტი (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) ეროვნულ გამონაკლისს ამატებს. UAVG-ის 29-ე მუხლის თანახმად, ბიომეტრიული მონაცემების დამუშავება შესაძლებელია უნიკალური იდენტიფიკაციისთვის, თუ ეს აუცილებელია ავთენტიფიკაციის ან უსაფრთხოების მიზნებისთვის. „აუცილებელია“ არის საკვანძო სიტყვა. ეს ნიშნავს, რომ მიზნის გონივრულად მიღწევა შეუძლებელია ნაკლებად ინტრუზიული საშუალებებით, როგორიცაა სამკერდე ნიშანი, კოდი ან გასაღები. AP-მ თავის ინსტრუქციებში ნათლად განაცხადა, რომ სახის ამოცნობა საჯაროდ ხელმისაწვდომ ადგილებში, როგორიცაა მაღაზიები, პრინციპში დაუშვებელია.

რა სამართლებრივი საფუძველი გჭირდებათ?

თქვენ გჭირდებათ ორი: GDPR-ის მე-6 მუხლით გათვალისწინებული კანონიერი საფუძველი, როგორც ასეთი, დამუშავებისთვის და გამონაკლისი GDPR-ის მე-9(2) მუხლით ან UAVG-ის 29-ე მუხლით გათვალისწინებული გამონაკლისი, რათა მოიხსნას სპეციალური კატეგორიების აკრძალვა. ორივეს გარეშე, დამუშავება უკანონოა.

GDPR-ის მე-6 მუხლი ექვს სამართლებრივ საფუძველს ასახელებს: თანხმობა, ხელშეკრულების შესრულება, სამართლებრივი ვალდებულება, სასიცოცხლო ინტერესები, საზოგადოებრივი ინტერესებიდან გამომდინარე ამოცანა და კანონიერი ინტერესები. ეს პირველი დაბრკოლებაა და ის ყველა პერსონალურ მონაცემზე ვრცელდება.

რადგან ბიომეტრიული მონაცემები განსაკუთრებული კატეგორიაა, თქვენ უნდა დააკმაყოფილოთ GDPR-ის მე-9(2) მუხლის ან UAVG-ის 29-ე მუხლის ჰოლანდიური გამონაკლისის ერთ-ერთი პირობა. ეს არის ერთადერთი გზები, რომლითაც შესაძლებელია აკრძალვის მოხსნა. დაწყებამდე, ასევე დაადგინეთ, ვინ არის კონტროლიორი და ვინ მოქმედებს როგორც დამმუშავებელი, მაგალითად, სკანირების სისტემის მიმწოდებელი. ჩვენი სტატია GDPR-ის მიხედვით კონტროლიორისა და დამმუშავებლის როლების შესახებ განმარტავს განსხვავებას და დამუშავების ხელშეკრულებას, რომელიც გჭირდებათ.

როდის არის აშკარა თანხმობა ძალაში?

აშკარა თანხმობა ჩვეულებრივ თანხმობაზე უფრო მაღალი სტანდარტია. ის უნდა იყოს მოცემული მკაფიო, დადებითი განცხადებით და უნდა იყოს კონკრეტული, ინფორმირებული, ცალსახა და თავისუფლად მოცემული.

• კონკრეტული: „უსაფრთხოების მიზნებზე“ ზოგადი მითითება საკმარისი არ არის; თქვენ ზუსტად უნდა მიუთითოთ, თუ რატომ გჭირდებათ ბიომეტრიული მონაცემები.
• ინფორმირებული: ადამიანებმა უნდა იცოდნენ, რომელ მონაცემებს აგროვებთ, რას აკეთებთ მათთან, ვის აქვს წვდომა და რამდენ ხანს ინახავთ მათ.
• უფასოდ გაცემული: პირს უნდა შეეძლოს უარის თქმა უარყოფითი შედეგების გარეშე და ნებისმიერ დროს უნდა შეეძლოს თანხმობის გაუქმება.

დასაქმების ურთიერთობებში, ბოლო პირობა პრობლემაა. თანამშრომელს, რომელიც უარს ამბობს, შეიძლება შედეგების შიში ჰქონდეს და შესაბამისად, დამსაქმებელთა ასოციაცია მიიჩნევს, რომ თანამშრომლის თანხმობა იშვიათად არის თავისუფლად მოცემული. დამსაქმებელს, რომელიც თანხმობას ეყრდნობა, უნდა შეეძლოს დაამტკიცოს, რომ რეალური ალტერნატივა არსებობდა და პრაქტიკაშიც იყო შეთავაზებული და არა მხოლოდ ქაღალდზე.

კიდევ რა გამონაკლისები არსებობს?

სხვა გამონაკლისები მცირერიცხოვანია. ქვემოთ მოცემულ ცხრილში ყველაზე აქტუალური გამონაკლისებია შედარებული.

შესაძლებელია თუ არა თანამშრომლებისთვის თითის ანაბეჭდების ან სახის სკანირების გამოყენება?

მხოლოდ იმ შემთხვევაში, თუ ბიომეტრია ნამდვილად აუცილებელია ავთენტიფიკაციის ან უსაფრთხოებისთვის და ნაკლებად ინტრუზიული საშუალება არ გამოდგება. დროის რეგისტრაციისთვის, სალარო ან ჩვეულებრივი ოფისის კარი, როგორც წესი, ასე არ არის.

UAVG-ის 29-ე მუხლით გათვალისწინებული ტესტი არის ის, შესაძლებელია თუ არა მიზნის გონივრულად მიღწევა ნაკლებად ინტრუზიული საშუალებებით. სკანერი, რომელიც აკონტროლებს წვდომას სალაროზე, დროის რეგისტრაციის სისტემაზე ან ოფისის კარზე, როგორც წესი, ვერ აკმაყოფილებს ამ ტესტს, რადგან სამკერდე ნიშანი, კოდი ან გასაღები იგივე შედეგს აღწევს ბიომეტრიული მონაცემების გარეშე. იმ შემთხვევაში, თუ ბიომეტრიული წვდომა მიღებულია, უსაფრთხოების ინტერესი არსებითი და სპეციფიკურია: საშიში მასალების დამუშავების ობიექტი, უსაფრთხო ლაბორატორია, მონაცემთა ცენტრი ან საცავი.

ცალკე, სადაც არსებობს სამუშაო საბჭო (ondernemingsraad), სისტემა, რომელიც არეგისტრირებს ან აკონტროლებს თანამშრომლების დასწრებას, ქცევას ან შესრულებას, ან რომელიც ამუშავებს მათ პერსონალურ მონაცემებს, მოითხოვს მის თანხმობას სამუშაო საბჭოების შესახებ კანონის (Wet op de ondernemingsraden, WOR) 27(1)(k) და (l) მუხლების შესაბამისად. GDPR-ის დაცვა არ ხსნის ამ მოთხოვნას და თანხმობის გარეშე დანერგილი სისტემა შეიძლება გასაჩივრდეს.

შეგიძლიათ გამოიყენოთ ბიომეტრია მომხმარებლებისთვის?

ზოგჯერ, მაგრამ იგივე მკაცრი წესები მოქმედებს. მომხმარებლებთან დაკავშირებით, აშკარა თანხმობა შეიძლება იყოს ვალიდური საფუძველი, იმ პირობით, რომ ბიომეტრიული მონაცემების გამოყენება ნამდვილად არჩევითია და ხელმისაწვდომია ეკვივალენტური ალტერნატივა.

გავრცელებული მაგალითებია საბანკო აპლიკაციის განბლოკვა თითის ანაბეჭდით, პირადობის დადასტურება სელფის საშუალებით ონლაინ ანგარიშის გახსნისას და სახის ამოცნობის გამოყენებით სპორტდარბაზში ან ღონისძიებაზე წვდომა. იმ შემთხვევაში, თუ ბიომეტრიული შემოწმება მთლიანად მომხმარებლის საკუთარ ტელეფონზე, ტელეფონის ჩაშენებული ტექნოლოგიის გამოყენებით ხორციელდება, კომპანია, როგორც წესი, თავად არ იღებს ბიომეტრიულ მონაცემებს. ეს მნიშვნელოვნად ამცირებს რისკს და კომპანიის ვალდებულებებს.

იმ შემთხვევაში, თუ კომპანია თავად ამუშავებს მონაცემებს, მაგალითად, საკუთარ სერვერებზე სელფის პასპორტის ფოტოსთან შედარებით, მას სჭირდება ვალიდური საფუძველი. თანხმობა მოითხოვს, რომ მომხმარებელს შეეძლოს სხვა გზის არჩევა, როგორიცაა საბანკო გადარიცხვით დადასტურება ან ფილიალში ვიზიტი, უარყოფითი მხარეების გარეშე. ბანკებისა და სხვა ფინანსური ინსტიტუტებისთვის, ფულის გათეთრების საწინააღმდეგო კანონმდებლობით გათვალისწინებული მომხმარებლის სათანადო შემოწმების ვალდებულებები მნიშვნელოვან როლს ასრულებს, მაგრამ ისინი თავისთავად არ საჭიროებენ ბიომეტრიულ დამუშავებას.

რაც შეეხება სახის ამოცნობის მქონე კამერებს?

სახის ამოცნობის კამერების განთავსება მაღაზიებში, სტადიონებსა თუ სხვა საჯაროდ ხელმისაწვდომ ადგილებში, პრინციპში, კერძო წვეულებებისთვის დაუშვებელია. გამვლელებს არ შეუძლიათ ცალსახა თანხმობის მიცემა და იშვიათად არსებობს აუცილებლობა, რომელიც აკმაყოფილებს UAVG-ის 29-ე მუხლის ტესტს.

AP-მ გააფრთხილა საცალო ვაჭრობის კომპანიები, რომ სახის ამოცნობის გამოყენება მაღაზიის ქურდების იდენტიფიცირებისთვის ან მომხმარებლების ამოსაცნობად დაუშვებელია. ჩვეულებრივი კამერით თვალთვალი, ბიომეტრიული იდენტიფიკაციის გარეშე, ექვემდებარება განსხვავებულ, ნაკლებად მკაცრ წესებს, მაგრამ მაინც მოითხოვს ლეგიტიმურ ინტერესს, მკაფიო შეტყობინებებს და შეზღუდულ შენახვის პერიოდებს. სახის ამოცნობის პროგრამული უზრუნველყოფის არსებულ კამერის სისტემაში დამატება მთლიანად ცვლის შეფასებას.

როდის გჭირდებათ მონაცემთა დაცვაზე ზემოქმედების შეფასება?

თითქმის ყოველთვის. ბიომეტრიული მონაცემების დამუშავება ადამიანების იდენტიფიცირების მიზნით მაღალი რისკის შემცველი დამუშავებაა და AP-მ ის შეიტანა იმ დამუშავების ოპერაციების სიაში, რომლებიც GDPR-ის 35-ე მუხლის შესაბამისად მონაცემთა დაცვაზე ზემოქმედების შეფასებას (DPIA) საჭიროებენ.

DPIA არის კონფიდენციალურობასთან დაკავშირებული რისკების სტრუქტურირებული შეფასება. ის გაიძულებთ აღწეროთ, თუ რას გეგმავთ, განსაზღვროთ ჩართული პირებისთვის რისკები და გადაწყვიტოთ, თუ როგორ მართოთ ეს რისკები, სანამ ერთი თითის ანაბეჭდის ან სახის სკანირებას დაიწყებთ. თუ დარჩენილი რისკი მაღალია და მისი საკმარისად შემცირება შეუძლებელია, დაწყებამდე უნდა გაიაროთ კონსულტაცია AP-თან (GDPR-ის 36-ე მუხლი).

DPIA ეფუძნება სამართლებრივ საფუძველს: თქვენ ჯერ ადგენთ საფუძველს მე-6 მუხლის შესაბამისად და გამონაკლისს UAVG-ის მე-9 ან 29-ე მუხლის შესაბამისად, შემდეგ კი აფასებთ, არის თუ არა კონკრეტული სისტემა აუცილებელი და პროპორციული.

რას შეიცავს DPIA?

მაგალითად, ავიღოთ თითის ანაბეჭდის სკანერი სერვერის ოთახში შესასვლელად. DPIA ოთხ ელემენტს მოიცავს.

• დამუშავების აღწერა. რომელ მონაცემებს აგროვებთ: შაბლონს თუ სრულ სურათს? როგორ ხდება მათი შეგროვება, სად ინახება, როგორ გამოიყენება და როდის იშლება? ვის აქვს წვდომა? ჩართულია თუ არა მომწოდებელი?
• აუცილებლობა და პროპორციულობა. კონკრეტულად რომელ პრობლემას აგვარებთ, მაგალითად, სერვერის ოთახში არაავტორიზებული წვდომის საკითხს? რატომ არ არის ამ შემთხვევაში საკმარისი სამკერდე ნიშნები ან კოდები? თქვენს მიერ შეგროვებული მონაცემები მინიმალურია საჭირო?
• რისკები ჩართული ადამიანებისთვის. რა მოხდება, თუ შაბლონების მონაცემთა ბაზა მოიპარება? შესაძლებელია თუ არა მონაცემების მოგვიანებით გამოყენება სხვა მიზნებისთვის, მაგალითად, სამუშაო საათების მონიტორინგისთვის (ფუნქციების ცვლილება)? რა მოხდება იმ თანამშრომლებთან, რომელთა თითის ანაბეჭდების წაკითხვა შეუძლებელია? რა მოხდება, თუ სისტემა საგანგებო სიტუაციის დროს უფლებამოსილ პირს დაბლოკავს?
• რისკების მოსაგვარებლად მიღებული ზომები. ტექნიკური ზომები, როგორიცაა დაშიფვრა და შენახვა ბარათზე ან მოწყობილობაზე; ორგანიზაციული ზომები, როგორიცაა პოლიტიკა, ტრენინგი და დარღვევაზე რეაგირების გეგმა; და არაბიომეტრიული ალტერნატივა, რათა არავინ იყოს გამორიცხული.

გადახედეთ მონაცემთა დამუშავების ანგარიშს (DPIA), როდესაც იცვლება დამუშავების ფარგლები, ხასიათი ან კონტექსტი (GDPR-ის 35(11) მუხლი). მხოლოდ საჩივრის შემდეგ დაწერილ ანალიზს მცირე წონა აქვს AP-სთვის.

რა დამცავი ზომებია მოსალოდნელი?

შეაგროვეთ რაც შეიძლება ნაკლები, შეინახეთ არაუმეტეს საჭირო დროისა და დაიცავით იგი ძლიერი ტექნიკური და ორგანიზაციული ზომებით. ეს პრინციპები გამომდინარეობს GDPR-ის მე-5 და 32-ე მუხლებიდან.

დაიწყეთ მონაცემთა მინიმიზაციით: შეაგროვეთ მხოლოდ კონკრეტული, ლეგიტიმური მიზნისთვის საჭირო ბიომეტრიული მონაცემები. წვდომის კონტროლისთვის, როგორც წესი, საკმარისია შაბლონი; მაღალი გარჩევადობის სახის სკანირება საჭირო არ არის. შეუთავსეთ ეს შენახვის შეზღუდვას: დააყენეთ შენახვის პერიოდი და უსაფრთხოდ წაშალეთ მონაცემები, როგორც კი ისინი აღარ იქნება საჭირო, მაგალითად, როდესაც თანამშრომელი წავა ან აღარ სჭირდება წვდომა.

ტექნიკური და ორგანიზაციული ზომები

უსაფრთხოება უნდა შეესაბამებოდეს მაღალ რისკს. ძირითადი ტექნიკური ზომები მოიცავს:

• შიფრაცია ბიომეტრიული მონაცემების, როგორც დასვენების, ასევე ტრანსპორტირების დროს.
• მკაცრი წვდომის კონტროლი, რათა მონაცემებზე წვდომა მხოლოდ მკაფიო საჭიროების მქონე უფლებამოსილ პერსონალს ჰქონდეს.
• დეცენტრალიზებული საცავიშესაძლებლობის შემთხვევაში, შაბლონები შეინახეთ მოწყობილობაზე ან მომხმარებლის ბარათზე და არა ცენტრალურ მონაცემთა ბაზაში. ეს მასობრივი დარღვევის ალბათობას გაცილებით ამცირებს.

მხოლოდ ტექნოლოგია საკმარისი არ არის. არანაკლებ მნიშვნელოვანია ორგანიზაციული ზომები, როგორიცაა ბიომეტრიული მონაცემების შესახებ წერილობითი პოლიტიკა, პერსონალის ტრენინგი, პერიოდული უსაფრთხოების აუდიტი და მომწოდებლებთან მკაფიო შეთანხმებები. თუ მომწოდებელი თქვენი სახელით ამუშავებს მონაცემებს, თქვენ დაგჭირდებათ დამუშავების ხელშეკრულება GDPR-ის 28-ე მუხლის შესაბამისად.

მკაფიო კონფიდენციალურობის შეტყობინება

ადამიანებს აქვთ უფლება იცოდნენ, რას აკეთებთ მათ ბიომეტრიულ მონაცემებთან დაკავშირებით (GDPR-ის მე-13 და მე-14 მუხლები). ინფორმაცია უნდა იყოს ლაკონური, ადვილად მოსაძებნი და დაწერილი გასაგებ ენაზე.

ბიომეტრიული დამუშავების შესახებ კონფიდენციალურობის შეტყობინებაში უნდა აიხსნას თქვენი ვინაობა და როგორ დაგიკავშირდეთ, რატომ ამუშავებთ მონაცემებს, მე-6 მუხლით გათვალისწინებული სამართლებრივი საფუძველი და გამონაკლისი, რომელ მონაცემებს აგროვებთ (მაგალითად, თითის ანაბეჭდის შაბლონი), რამდენ ხანს ინახავთ მათ, ვისთან უზიარებთ მათ, მათ შორის მომწოდებლებთან, და რა უფლებები აქვთ ადამიანებს, როგორიცაა წვდომა, გასწორება, წაშლა და წინააღმდეგობის გაწევა.

ხელოვნური ინტელექტის შესახებ კანონიც ვრცელდება?

დიახ, გარკვეული ბიომეტრიული სისტემებისთვის. ევროკავშირის ხელოვნური ინტელექტის შესახებ კანონი (რეგულაცია (EU) 2024/1689) GDPR-ის გარდა წესებსაც ამატებს.

2025 წლის 2 თებერვლიდან ხელოვნური ინტელექტის შესახებ კანონი კატეგორიულად კრძალავს რიგ პრაქტიკას, მათ შორის სახის ამოცნობის მონაცემთა ბაზების შესაქმნელად ინტერნეტიდან ან კამერიდან გადაღებული კადრების არამიზნობრივად შეგროვებას, ემოციების ამოცნობას სამუშაო ადგილზე და განათლებაში (გარდა სამედიცინო ან უსაფრთხოების მიზეზებისა) და ბიომეტრიულ კატეგორიზაციას ისეთი მგრძნობიარე მახასიათებლების დასადგენად, როგორიცაა რასა ან სექსუალური ორიენტაცია. სხვა ბიომეტრიული სისტემები, როგორიცაა დისტანციური ბიომეტრიული იდენტიფიკაცია, კლასიფიცირდება, როგორც მაღალი რისკის მქონე და ექვემდებარება მკაცრ მოთხოვნებს. სისტემის დანერგვამდე შეამოწმეთ ორივე ჩარჩო.

რა შედეგები მოჰყვება შეუსრულებლობას?

მაღალი ჯარიმები, დამუშავების შეჩერების ბრძანებები და ზიანის ანაზღაურების მოთხოვნები. სპეციალური კატეგორიების უკანონო დამუშავებისთვის, GDPR ითვალისწინებს 20 მილიონ ევრომდე ან მსოფლიო წლიური ბრუნვის 4%-მდე ჯარიმის დაკისრებას, რომელიც უფრო მაღალია.

ეს მაქსიმალური ოდენობები გამომდინარეობს GDPR-ის 83(5) მუხლიდან და, სხვა საკითხებთან ერთად, ვრცელდება დამუშავებაზე, რომელიც არ ითვალისწინებს საფუძველს ან გამონაკლისს. უსაფრთხოებისა და დარღვევის შესახებ შეტყობინების ვალდებულებების დარღვევამ (GDPR-ის 32-ე და 34-ე მუხლები) შეიძლება გამოიწვიოს 10 მილიონ ევრომდე ან მსოფლიო ბრუნვის 2%-მდე ჯარიმა. ჯარიმები უნდა იყოს ეფექტური, პროპორციული და დამაჯერებელი. AP-ის ოდენობა განისაზღვრება საკუთარი ჯარიმების პოლიტიკის შესაბამისად.

რა დააწესა AP-მ?

AP-მ დააჯარიმა როგორც დამსაქმებლები, ასევე ტექნოლოგიური კომპანიები ბიომეტრიული მონაცემების უკანონო დამუშავებისთვის. ორი გადაწყვეტილება გამოირჩევა.

2020 წელს AP-მ 725 000 ევროს ოდენობის ჯარიმა დააკისრა კომპანიას, რომელმაც თანამშრომლების თითის ანაბეჭდები დასწრებისა და დროის რეგისტრაციისთვის დაასკანირა. AP-მ დაადგინა, რომ არც ერთი გამონაკლისი არ ვრცელდებოდა: თანამშრომლების თანხმობა თავისუფლად არ იყო მოცემული და საათების რეგისტრაციის მოხერხებულობა არ არის უსაფრთხოების მიზანი, რომელიც ბიომეტრიული დამუშავების აუცილებლობას ხდის. 2024 წლის სექტემბერში AP-მ ამერიკული კომპანია Clearview AI 30.5 მილიონი ევროთი დააჯარიმა სახის სურათების, მათ შორის ნიდერლანდების მოქალაქეების, მონაცემთა ბაზის შექმნისთვის სამართლებრივი საფუძვლის გარეშე.

ოთხი კითხვა ჩნდება AP-ის აღსრულებაში. რა არის მიზანი, კონკრეტულად მითითებული და არა ზოგადად „უსაფრთხოების“ სახით? შესაძლებელია თუ არა ამის მიღწევა ნაკლებად ინტრუზიული საშუალებებით? თუ თანხმობაზეა დამოკიდებული, შეუძლიათ თუ არა ადამიანებს უარი თქვან შედეგების გარეშე? და შეფასდა და დოკუმენტირდა თუ არა ეს სისტემის დანერგვამდე? ჩვენი სტატია ნიდერლანდების მონაცემთა დაცვის ორგანოს შესახებ უფრო დეტალურად განმარტავს AP-ის უფლებამოსილებებს.

სხვა შედეგები

ჯარიმა ერთადერთი რისკი არ არის. AP-ს შეუძლია მოგთხოვოთ დამუშავების შეჩერება, რამაც შეიძლება შეაჩეროს სისტემა, რომელზეც თქვენი ოპერაციებია დამოკიდებული, და ასევე, მოგთხოვოთ უკანონოდ შეგროვებული მონაცემების წაშლა. პირებს, რომელთა მონაცემებიც უკანონოდ დამუშავდა, შეუძლიათ მოითხოვონ მატერიალური და არამატერიალური ზიანის ანაზღაურება GDPR-ის 82-ე მუხლის შესაბამისად, ხოლო ნიდერლანდებში ასეთი სარჩელების შეტანა ასევე შესაძლებელია კოლექტიურად. სახელმწიფო აღსრულების გადაწყვეტილების რეპუტაციისთვის მიყენებული ზიანი შეიძლება მნიშვნელოვანი იყოს.

რა უნდა გააკეთოთ, თუ ბიომეტრიული მონაცემები გაჟონავს?

დარღვევის შეკავება, რისკის შეფასება, ზემოქმედების ქვეშ მყოფ პირს 72 საათის განმავლობაში აცნობება და, თუ რისკი მაღალია, დაზარალებულ პირებს დაუყოვნებლივ აცნობებს. ეს ყველაფერი რეაგირების გეგმაში მოამზადეთ, სანამ რამე არასწორად წავა.

GDPR-ის 33-ე მუხლის თანახმად, თქვენ ვალდებული ხართ დაუყოვნებლივ და, შესაძლებლობის შემთხვევაში, AP-ს აცნობოთ პერსონალური მონაცემების დარღვევის შესახებ დაგვიანების გარეშე და, შესაძლებლობის შემთხვევაში, ამის შესახებ შეტყობინებიდან 72 საათის განმავლობაში, თუ დარღვევა, სავარაუდოდ, საფრთხეს არ შეუქმნის დაინტერესებულ პირებს. შეტყობინებაში აღწერილია დარღვევის ხასიათი, დაზარალებული პირებისა და ჩანაწერების კატეგორიები და სავარაუდო რაოდენობა, სავარაუდო შედეგები და მიღებული ან შემოთავაზებული ზომები. თუ ერთდროულად ვერ მოგვაწვდით ყველა ინფორმაციას, შეგიძლიათ მოგვიანებით შეავსოთ იგი.

ნაბიჯი 1: დარღვევის შეკავება და ზემოქმედების შეფასება

თქვენი პირველი პრიორიტეტი დარღვევის შეჩერებაა. იზოლირეთ დაზარალებული სისტემები, შეინახეთ ჟურნალები და სხვა მტკიცებულებები გამოძიებისთვის და ზუსტად დაადგინეთ, რომელი მონაცემები დაზარალდა: ნედლი სურათები თუ დაშიფრული შაბლონები და ვისი.

ნაბიჯი 2: გადაწყვიტეთ, აცნობოთ თუ არა დაზარალებულ ადამიანებს

GDPR-ის 34-ე მუხლის თანახმად, თქვენ ვალდებული ხართ დაუყოვნებლივ აცნობოთ დაზარალებულ პირებს, თუ დარღვევა, სავარაუდოდ, მათ უფლებებსა და თავისუფლებებს მაღალ რისკს შეუქმნის. ბიომეტრიული მონაცემების შემთხვევაში, ეს ზღვარი ხშირად დაკმაყოფილდება, რადგან მონაცემების შეცვლა შეუძლებელია. გამონაკლისია, მაგალითად, მონაცემები, რომლებიც მკაცრად იყო დაშიფრული და რომელთა გასაღებიც არ იყო კომპრომეტირებული. შეტყობინება უნდა იყოს მარტივი ენით: რა მოხდა, რომელი მონაცემები იყო ჩართული და რა შეუძლიათ ადამიანებს გააკეთონ საკუთარი თავის დასაცავად.

ნაბიჯი 3: პასუხის შესრულება და დოკუმენტირება

ჩაიწერეთ ყველა ნაბიჯი: აღმოჩენის მომენტი, მიღებული გადაწყვეტილებები, კომუნიკაციები და ტექნიკური ზომები. GDPR-ის 33(5) მუხლის თანახმად, თქვენ უნდა დოკუმენტიროთ ყველა დარღვევა, მათ შორის ის დარღვევები, რომელთა შესახებაც შეტყობინება არ მოგიწიათ. კარგი დოკუმენტაცია აჩვენებს AP-ს, რომ თქვენ ფრთხილად იმოქმედეთ და შეიძლება გავლენა იქონიოს საქმის შეფასებაზე.

რა უნდა შეამოწმოთ, როგორც დამსაქმებელმა ან კომპანიამ?

სისტემის გაშვებამდე ჯერ აუცილებლობა შეამოწმეთ და ყველა ნაბიჯი დოკუმენტირებული უნდა იყოს. ეს ხუთი შემოწმება მოიცავს იმ პუნქტებს, რომლებსაც AP აკვირდება.

• ჩამოწერეთ კონკრეტული უსაფრთხოების მიზანი და რატომ არ არის საკმარისი სამკერდე ნიშანი, PIN კოდი ან გასაღები (UAVG-ის 29-ე მუხლი).
• მიუთითეთ თქვენი კანონიერი საფუძველი GDPR-ის მე-6 მუხლის შესაბამისად და გამონაკლისი GDPR-ის მე-9(2) მუხლის ან UAVG-ის 29-ე მუხლის შესაბამისად.
• პირველ სკანირებამდე შეავსეთ DPIA და თუ მაღალი რისკი კვლავ არსებობს, გაიარეთ კონსულტაცია AP-თან (GDPR-ის 35-ე და 36-ე მუხლები).
• სისტემის დანერგვამდე, სამუშაო საბჭოსგან თანხმობა მოითხოვეთ სამუშაო ხელშეკრულების 27(1)(k) და (l) მუხლების შესაბამისად.
• მომწოდებელთან ხელი მოაწერეთ დამუშავების ხელშეკრულებას (GDPR-ის 28-ე მუხლი) და დააწესეთ შაბლონების შენახვის პერიოდი.

რა უნდა შეამოწმოთ, როგორც თანამშრომელმა ან მომხმარებელმა?

თქვენ გაქვთ უფლება იცოდეთ, როგორ გამოიყენება თქვენი ბიომეტრიული მონაცემები და გააპროტესტოთ უკანონო დამუშავება. შეამოწმეთ ეს პუნქტები, თუ თქვენგან თითის ანაბეჭდის ან სახის სკანირებას მოითხოვენ.

• არსებობს თუ არა არაბიომეტრიული ალტერნატივა, როგორიცაა სამკერდე ნიშანი ან PIN კოდი, და შეგიძლიათ თუ არა მისი გამოყენება უპრობლემოდ?
• კონფიდენციალურობის შესახებ შეტყობინებაში მითითებულია თუ არა მიზანი, სამართლებრივი საფუძველი და შენახვის ვადა (GDPR-ის მე-13 და მე-14 მუხლები)?
• დაეთანხმა თუ არა სამუშაო საბჭო სისტემას, თუ თქვენს დამსაქმებელს აქვს ასეთი (მუშათა საბჭომ 27-ე მუხლი)?
• მოითხოვეთ თქვენს მონაცემებზე წვდომა ან მათზე წაშლა; ორგანიზაციამ პასუხი უნდა გასცეს ერთი თვის განმავლობაში (GDPR-ის მე-12, მე-15 და მე-17 მუხლები).
• თუ თქვენი უფლებები არ არის დაცული, შეიტანეთ საჩივარი AP-ში (GDPR-ის 77-ე მუხლი) ან მოითხოვეთ ზიანის ანაზღაურება GDPR-ის 82-ე მუხლის შესაბამისად.

რა შეგვიძლია გავაკეთოთ თქვენთვის ბიომეტრიული მონაცემებით?

ჩვენი IT იურისტები ეხმარებიან დამსაქმებლებს, ტექნოლოგიურ კომპანიებს და ფიზიკურ პირებს ბიომეტრიული სისტემების საკითხებში, პირველი დაგეგმვიდან დაწყებული, AP-ში საქმის განხილვით დამთავრებული.

• ჩვენ ვაფასებთ, აკმაყოფილებს თუ არა თქვენი ბიომეტრიული სისტემა UAVG-ის 29-ე მუხლის აუცილებლობის ტესტს.
• ჩვენ ვწერთ ან განვიხილავთ DPIA-ს და კონფიდენციალურობის შესახებ შეტყობინებას.
• ჩვენ ვამზადებთ სამუშაო საბჭოსთვის თანხმობის მოთხოვნას სამუშაოთა შესახებ კანონის 27-ე მუხლის შესაბამისად.
• ჩვენ განვიხილავთ თქვენს მომწოდებელთან დადებულ დამუშავების შეთანხმებას GDPR-ის 28-ე მუხლის შესაბამისად.
• ჩვენ დაგეხმარებით მონაცემთა დარღვევის შესახებ AP-სთვის 72-საათიანი ვადის განმავლობაში შეტყობინების გაგზავნაში და AP-ის აღსრულების მოთხოვნებზე რეაგირებაში.

შემაჯამებელი

• უნიკალური იდენტიფიკაციისთვის გამოყენებული ბიომეტრიული მონაცემები GDPR-ის მე-9 მუხლის შესაბამისად განსაკუთრებული კატეგორიაა; დამუშავება აკრძალულია, თუ გამონაკლისი არ გამოიყენება.
• ნიდერლანდებში, UAVG-ის 29-ე მუხლი ამას მხოლოდ მაშინ უშვებს, როდესაც ეს აუცილებელია ავთენტიფიკაციის ან უსაფრთხოებისთვის; მოხერხებულობა საკმარისი არ არის.
• თანამშრომლის თანხმობა იშვიათად არის ვალიდური; შესთავაზეთ რეალური არაბიომეტრიული ალტერნატივა და საჭიროების შემთხვევაში მიიღეთ სამუშაო საბჭოს თანხმობა.
• წინასწარ ჩაატარეთ DPIA, მინიმუმამდე დაიყვანეთ მონაცემები, შეინახეთ შაბლონები ლოკალურად და დაშიფრეთ ისინი.
• დარღვევების შესახებ AP-ს 72 საათის განმავლობაში შეატყობინეთ; ჯარიმებმა შეიძლება 20 მილიონი ევრო ან მსოფლიო ბრუნვის 4% მიაღწიოს.

ხშირად დასმული შეკითხვები