Bearbetning av biometriska data förklaras

Nyligen utdömde den holländska dataskyddsmyndigheten (AP) en stor böter, nämligen 725,000 9 euro, på ett företag som skannade fingeravtryck av anställda för närvaro och tidsregistrering. Biometriska uppgifter, såsom ett fingeravtryck, är speciella personuppgifter i den mening som avses i artikel XNUMX GDPR. Dessa är unika egenskaper som kan spåras tillbaka till en specifik person. Dessa uppgifter innehåller dock ofta mer information än vad som är nödvändigt för till exempel identifiering.

Deras behandling utgör därför stora risker inom området för människors grundläggande rättigheter och friheter. Om dessa data hamnar i fel händer kan detta potentiellt leda till irreparabel skada. Biometriska uppgifter är därför väl skyddade, och behandling av dem är förbjuden enligt artikel 9 GDPR, såvida det inte finns ett juridiskt undantag för detta. I detta fall kom AP fram till att företaget i fråga inte hade rätt till en undantag för behandling av speciella personuppgifter.

Fingeravtryck

Om fingeravtrycket i samband med GDPR och ett av undantagen, nämligen nödvändighet, skrev vi tidigare i en av våra bloggar: 'Fingerprint in violation of GDPR'. Denna blogg fokuserar på den andra alternativa grunden för undantag: tillstånd. När en arbetsgivare använder biometriska uppgifter som fingeravtryck i sitt företag, kan han, när det gäller integritet, räcka med medarbetarens tillstånd?

Med tillstånd menas a specifik, informerad och entydig uttryck för vilja med vilken någon accepterar en behandling av sina personuppgifter med ett uttalande eller entydig aktiv handling, enligt artikel 4, avsnitt 11, GDPR. Inom ramen för detta undantag ska arbetsgivaren därför inte bara visa att hans anställda har lämnat tillstånd utan även att detta varit entydigt, specifikt och informerat.

Att skriva på anställningsavtalet eller att få personalhandboken där arbetsgivaren endast har antecknat avsikten att klocka in helt med fingeravtrycket är otillräckligt i sammanhanget, konstaterade AP. Som bevis ska arbetsgivaren till exempel lämna policy, rutiner eller annan dokumentation, som visar att hans anställda är tillräckligt informerade om behandlingen av de biometriska uppgifterna och att de även har gett (uttryckligt) tillstånd till behandlingen av dessa.

Om tillståndet beviljas av den anställda måste det dessutom inte bara vara "explicit' men också 'fritt ges', enligt AP. 'Explicit' är till exempel skriftligt tillstånd, signatur, att skicka ett e-postmeddelande för att ge tillstånd eller tillstånd med tvåstegsverifiering. 'Fritt givet' innebär att det inte får ligga något tvång bakom (som var fallet i det aktuella fallet: vid vägran att få fingeravtrycket skannat följde ett samtal med direktören/styrelsen) eller att tillstånd kan vara ett villkor för något olik.

Villkoret 'fritt givet' är i vart fall inte uppfyllt av arbetsgivaren när arbetstagare är skyldiga eller som i det aktuella fallet upplever det som en skyldighet att få sitt fingeravtryck registrerat. Generellt sett, enligt detta krav, ansåg AP att med tanke på beroendet som följer av förhållandet mellan arbetsgivaren och arbetstagaren, är det osannolikt att arbetstagaren fritt kan ge sitt samtycke. Motsatsen måste bevisas av arbetsgivaren.

Begär en anställd tillstånd från sina anställda att behandla deras fingeravtryck? Sedan får AP i samband med detta ärende veta att detta i princip inte är tillåtet. När allt kommer omkring är anställda beroende av sin arbetsgivare och har därför ofta inte möjlighet att vägra. Därmed inte sagt att arbetsgivaren aldrig framgångsrikt kan förlita sig på tillståndsgrunden.

Arbetsgivaren måste dock ha tillräckliga bevis för att göra sitt överklagande på grundval av samtycke framgångsrikt, för att kunna behandla biometriska uppgifter om sina anställda, såsom fingeravtryck. Tänker du använda biometriska data inom ditt företag eller ber din arbetsgivare dig om tillåtelse att använda ditt fingeravtryck till exempel? I så fall är det viktigt att inte agera omedelbart och att ge tillstånd, utan att först vara ordentligt informerad. Lag & More jurister är experter på integritetsområdet och kan ge dig information. Har du några andra frågor om den här bloggen? Vänligen kontakta Law & More.