Dejta bijometrika taħt il-GDPR: meta tista' tużaha fl-Olanda?

Id-dejta bijometrika, bħal marki tas-swaba', immaġni tal-wiċċ jew mudelli tal-vuċi, hija kategorija speċjali ta' dejta personali skont il-GDPR meta tiġi pproċessata biex tidentifika persuna b'mod uniku. Fin-Netherlands tali pproċessar huwa fil-prinċipju pprojbit; l-eċċezzjoni ewlenija hija fejn ikun meħtieġ għal skopijiet ta' awtentikazzjoni jew sigurtà, u għall-impjegati dak it-test rarament jintlaħaq minn arloġġ tal-ħin jew bieb tal-uffiċċju.

L-Awtorità Olandiża għall-Protezzjoni tad-Data (Autoriteit Persoonsgegevens, AP) tapplika dawn ir-regoli b'mod strett u mmultat lil min iħaddem u kumpaniji tat-teknoloġija talli użaw il-bijometrija mingħajr bażi valida. Hawn taħt nispjegaw x'jgħodd bħala data bijometrika, liema bażijiet legali huma disponibbli, meta teħtieġ valutazzjoni tal-impatt fuq il-protezzjoni tad-data, liema salvagwardji huma mistennija u x'għandek tagħmel jekk xi ħaġa tmur ħażin.

X'inhi d-dejta bijometrika skont il-GDPR?

Id-dejta bijometrika hija dejta personali li tirriżulta minn ipproċessar tekniku speċifiku tal-karatteristiċi fiżiċi, fiżjoloġiċi jew ta' mġiba ta' persuna, li tippermetti jew tikkonferma l-identifikazzjoni unika ta' dik il-persuna. L-iskop u t-teknika jiddeċiedu, mhux it-tip ta' immaġni jew reġistrazzjoni.

Din id-definizzjoni tinsab fl-Artikolu 4(14) tar- Regolament Ġenerali dwar il-Protezzjoni tad-Data (GDPR) . Ritratt ta' impjegat fuq badge tal-identità huwa data personali, iżda mhux awtomatikament data bijometrika. Fil-mument li l-istess ritratt jiġi kkonvertit f'mudell tal-wiċċ u użat minn sistema ta' rikonoxximent biex tagħti aċċess għal bini, dan isir data bijometrika. Dik il-bidla tbiddel il-qafas legali kompletament.

Eżempji ta’ identifikaturi bijometriċi huma marki tas-swaba’, ġeometrija tal-wiċċ, mudelli tal-iris u tar-retina, mudelli tal-vuċi u karatteristiċi ta’ mġiba bħar-ritmu tat-tajping jew il-mod kif xi ħadd jimxi. Dak li għandhom komuni huwa li jintużaw biex jagħrfu individwu speċifiku wieħed.

Għaliex il-GDPR jittratta d-dejta bijometrika b'mod differenti?

Skont l-Artikolu 9 tal-GDPR, id-dejta bijometrika pproċessata għall-iskop li persuna tiġi identifikata b'mod uniku tappartjeni għall-kategoriji speċjali ta' dejta personali. L-istess kategorija tinkludi dejta dwar l-oriġini razzjali jew etnika, l-opinjonijiet politiċi, it-twemmin reliġjuż, is-saħħa u l-ħajja sesswali.

Ir-raġuni hija li l-konsegwenzi tal-użu ħażin huma serji u ħafna drabi irriversibbli. Password tista’ tinbidel; marki tas-swaba’ jew iris ma jistgħux. Jekk database ta’ mudelli bijometriċi tiġi kompromessa, il-persuni kkonċernati jiffaċċjaw riskju dejjiemi ta’ frodi tal-identità.

Kemm hu strett l-approċċ Olandiż?

L-AP tinterpreta dawn ir-regoli b'mod strett. Il-punt tat-tluq tagħha huwa li l-identifikazzjoni bijometrika hija pprojbita, u li l-eċċezzjonijiet huma limitati.

L-Att Olandiż dwar l-Implimentazzjoni tal-GDPR (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) iżid eċċezzjoni nazzjonali. Skont l-Artikolu 29 UAVG, id-dejta bijometrika tista' tiġi pproċessata għal identifikazzjoni unika jekk dan ikun meħtieġ għal skopijiet ta' awtentikazzjoni jew sigurtà. "Meħtieġ" hija l-kelma ewlenija. Dan ifisser li l-iskop ma jistax jintlaħaq b'mod raġonevoli b'mezzi inqas intrużivi, bħal badge, kodiċi jew ċavetta. L-AP għamlitha ċara fil-gwida tagħha li r-rikonoxximent tal-wiċċ f'postijiet aċċessibbli għall-pubbliku, bħal ħwienet, fil-prinċipju mhux permess.

Liema bażi legali għandek bżonn?

Għandek bżonn tnejn: bażi legali skont l-Artikolu 6 tal-GDPR għall-ipproċessar bħala tali, u eċċezzjoni skont l-Artikolu 9(2) tal-GDPR jew l-Artikolu 29 tal-UAVG biex tneħħi l-projbizzjoni fuq kategoriji speċjali. Mingħajr it-tnejn, l-ipproċessar huwa illegali.

L-Artikolu 6 tal-GDPR jelenka sitt bażijiet legali: kunsens, eżekuzzjoni ta’ kuntratt, obbligu legali, interessi vitali, kompitu fl-interess pubbliku u interessi leġittimi. Dak huwa l-ewwel ostaklu, u japplika għad-dejta personali kollha.

Peress li d-dejta bijometrika hija kategorija speċjali, imbagħad trid tissodisfa waħda mill-kundizzjonijiet tal-Artikolu 9(2) tal-GDPR, jew l-eċċezzjoni Olandiża fl-Artikolu 29 tal-UAVG. Dawn huma l-uniċi rotot li permezz tagħhom il-projbizzjoni tista' titneħħa. Qabel tibda, iddetermina wkoll min hu l-kontrollur u min jaġixxi bħala proċessur, pereżempju l-fornitur tas-sistema tal-iskannjar. L-artiklu tagħna dwar ir- rwoli tal-kontrollur u l-proċessur taħt il-GDPR jispjega d-differenza u l-ftehim tal-ipproċessar li għandek bżonn.

Meta jkun validu l-kunsens espliċitu?

Il-kunsens espliċitu huwa standard ogħla mill-kunsens ordinarju. Irid jingħata permezz ta’ dikjarazzjoni ċara u affermattiva u jrid ikun speċifiku, infurmat, mhux ambigwu u mogħti liberament.

• Speċifiku: Referenza ġenerali għal “finijiet ta’ sigurtà” mhijiex biżżejjed; trid tiddikjara preċiżament għaliex għandek bżonn id-dejta bijometrika.
• Informat: In-nies iridu jkunu jafu liema dejta tiġbor, x'tagħmel biha, min għandu aċċess u kemm iżżommha.
• Mogħti b'xejn: Il-persuna trid tkun tista’ tirrifjuta mingħajr konsegwenzi negattivi, u trid tkun tista’ tirtira l-kunsens fi kwalunkwe ħin.

F'relazzjoni ta' impjieg, l-aħħar kundizzjoni hija l-problema. Impjegat li jirrifjuta jista' jibża' minn konsegwenzi, u għalhekk l-AP hija tal-fehma li l-kunsens tal-impjegat rarament jingħata liberament. Min iħaddem li jiddependi fuq il-kunsens irid ikun jista' juri li kienet teżisti alternattiva reali u li ġiet offruta fil-prattika, mhux biss fuq il-karta.

X'eċċezzjonijiet oħra hemm?

L-eċċezzjonijiet l-oħra huma limitati. It-tabella t'hawn taħt tqabbel dawk l-aktar rilevanti.

Tista' tuża marki tas-swaba' jew skens tal-wiċċ għall-impjegati?

Biss jekk il-bijometrija hija tassew meħtieġa għall-awtentikazzjoni jew is-sigurtà, u mezz inqas intrużiv ma jkunx adattat. Għar-reġistrazzjoni tal-ħin, kassa jew bieb ta' uffiċċju ordinarju, dan ġeneralment mhux il-każ.

It-test skont l-Artikolu 29 UAVG huwa jekk l-iskop jistax jintlaħaq b'mod raġonevoli b'mezzi inqas intrużivi. Skaner li jikkontrolla l-aċċess għal kassa, sistema ta' reġistrazzjoni tal-ħin jew bieb ta' uffiċċju normalment ifalli dak it-test, għaliex badge, kodiċi jew ċavetta jiksbu l-istess riżultat mingħajr dejta bijometrika. Fejn jiġi aċċettat aċċess bijometriku, l-interess tas-sigurtà huwa sostanzjali u speċifiku: faċilità li timmaniġġja materjali perikolużi, laboratorju sigur, ċentru tad-dejta jew kaxxa-forti.

Separatament, fejn jeżisti kunsill tax-xogħol (ondernemingsraad), sistema li tirreġistra jew timmonitorja l-attendenza, l-imġieba jew il-prestazzjoni tal-impjegati, jew li tipproċessa d-dejta personali tagħhom, teħtieġ il-kunsens tiegħu skont l-Artikolu 27(1)(k) u (l) tal-Att dwar il-Kunsilli tax-Xogħol (Wet op de ondernemingsraden, WOR). Il-konformità mal-GDPR ma tneħħix dak ir-rekwiżit, u sistema introdotta mingħajr kunsens tista' tiġi kkontestata.

Tista' tuża l-bijometrija għall-klijenti?

Xi kultant, iżda japplikaw l-istess regoli stretti. Mal-klijenti, il-kunsens espliċitu jista' jkun bażi valida, sakemm l-użu tal-bijometrija jkun tassew fakultattiv u tkun disponibbli alternattiva ekwivalenti.

Eżempji komuni huma l-ftuħ ta' app bankarja b'marka tas-swaba', verifika tal-identità b'selfie meta tiftaħ kont online, u aċċess għal ġinnasju jew avveniment b'rikonoxximent tal-wiċċ. Fejn il-verifika bijometrika ssir kompletament fuq it-telefon tal-klijent stess, bl-użu tat-teknoloġija integrata tat-telefon, il-kumpanija ġeneralment ma tirċevix id-dejta bijometrika hi stess. Dan inaqqas b'mod sinifikanti r-riskju u l-obbligi għall-kumpanija.

Fejn il-kumpanija tipproċessa d-dejta hi stess, pereżempju billi tqabbel selfie ma’ ritratt tal-passaport fuq is-servers tagħha stess, teħtieġ bażi valida. Il-kunsens jirrikjedi li l-klijent ikun jista’ jagħżel rotta oħra, bħal verifika permezz ta’ trasferiment bankarju jew żjara f’fergħa, mingħajr żvantaġġ. Għall-banek u istituzzjonijiet finanzjarji oħra, l-obbligi ta’ diliġenza dovuta mal-klijenti skont il-leġiżlazzjoni kontra l-ħasil tal-flus għandhom rwol, iżda dawn fihom infushom ma jeħtiġux ipproċessar bijometriku.

Xi ngħidu dwar kameras b'rikonoxximent tal-wiċċ?

Kameras ta' rikonoxximent tal-wiċċ f'ħwienet, grawnds jew postijiet oħra aċċessibbli għall-pubbliku fil-prinċipju mhumiex permessi għal festi privati. Nies li jgħaddu minn ħdejhom ma jistgħux jagħtu kunsens espliċitu, u rarament ikun hemm neċessità li tissodisfa t-test tal-Artikolu 29 UAVG.

L-AP wissiet lill-bejjiegħa bl-imnut li l-użu tar-rikonoxximent tal-wiċċ biex jidentifikaw lil dawk li jisirqu mill-ħwienet jew jagħrfu lill-klijenti mhuwiex permess. Is-sorveljanza ordinarja bil-kamera, mingħajr identifikazzjoni bijometrika, hija soġġetta għal regoli differenti u inqas stretti, iżda xorta teħtieġ interess leġittimu, avviżi ċari u perjodi ta’ żamma limitati. Iż-żieda ta’ softwer ta’ rikonoxximent tal-wiċċ ma’ sistema ta’ kamera eżistenti tbiddel il-valutazzjoni kompletament.

Meta għandek bżonn valutazzjoni tal-impatt fuq il-protezzjoni tad-dejta?

Kważi dejjem. L-ipproċessar ta’ dejta bijometrika biex jiġu identifikati n-nies huwa pproċessar ta’ riskju għoli, u l-AP poġġietu fil-lista tagħha ta’ operazzjonijiet ta’ pproċessar li jeħtieġu valutazzjoni tal-impatt fuq il-protezzjoni tad-dejta (DPIA) skont l-Artikolu 35 tal-GDPR.

DPIA hija valutazzjoni strutturata tar-riskju għall-privatezza. Din iġġiegħlek tiddeskrivi x'tippjana li tagħmel, tidentifika r-riskji għan-nies involuti u tiddeċiedi kif timmaniġġja dawk ir-riskji qabel ma tiskennja marka tas-swaba' jew wiċċ wieħed. Jekk ir-riskju li jifdal huwa għoli u ma jistax jitnaqqas biżżejjed, trid tikkonsulta l-AP qabel tibda (Artikolu 36 GDPR).

Id-DPIA tibni fuq il-bażi legali: l-ewwel tistabbilixxi bażi skont l-Artikolu 6 u eċċezzjoni skont l-Artikolu 9 jew l-Artikolu 29 tal-UAVG, u mbagħad tivvaluta jekk is-sistema speċifika hijiex meħtieġa u proporzjonata.

X'fiha DPIA?

Ħu bħala eżempju skaner tal-marki tas-swaba' għall-aċċess għal kamra tas-servers. DPIA tkopri erba' elementi.

• Deskrizzjoni tal-ipproċessar. Liema dejta tiġbor: template jew immaġni sħiħa? Kif tinġabar, fejn tinħażen, kif tintuża u meta titħassar? Min għandu aċċess? Hemm xi fornitur involut?
• Neċessità u proporzjonalità. Liema problema speċifika qed issolvi, bħal aċċess mhux awtorizzat għall-kamra tas-servers? Għaliex il-badges jew il-kodiċijiet mhumiex biżżejjed f'dan il-każ? Id-dejta li tiġbor hija l-minimu meħtieġ?
• Ir-riskji għan-nies involuti. Xi ngħidu jekk id-database tat-templates tinsteraq? Tista' d-dejta tintuża aktar tard għal skopijiet oħra, bħall-monitoraġġ tas-sigħat tax-xogħol (funzjoni creep)? X'jiġri mill-impjegati li l-marki tas-swaba' tagħhom ma jistgħux jinqraw? Xi ngħidu jekk is-sistema tissakkar persuna awtorizzata waqt emerġenza?
• Miżuri biex jiġu indirizzati r-riskji. Miżuri tekniċi bħal kriptaġġ u ħażna fuq kard jew fuq l-apparat; miżuri organizzattivi bħal politika, taħriġ u pjan ta’ rispons għal ksur tas-sigurtà; u alternattiva mhux bijometrika sabiex ħadd ma jiġi eskluż.

Irrevedi d-DPIA meta l-ambitu, in-natura jew il-kuntest tal-ipproċessar jinbidlu (Artikolu 35(11) GDPR). Analiżi miktuba biss wara lment ftit li xejn għandha piż mal-AP.

Liema salvagwardji huma mistennija?

Iġbor kemm jista' jkun ftit, żommu mhux aktar milli meħtieġ u pproteġih b'miżuri tekniċi u organizzattivi qawwija. Dawn il-prinċipji jsegwu mill-Artikoli 5 u 32 tal-GDPR.

Ibda bil-minimizzazzjoni tad-dejta: iġbor biss id-dejta bijometrika meħtieġa għall-iskop speċifiku u leġittimu. Għall-kontroll tal-aċċess, mudell ġeneralment ikun biżżejjed; sken tal-wiċċ b'riżoluzzjoni għolja mhux meħtieġ. Għaqqad dan mal-limitazzjoni tal-ħażna: issettja perjodu ta' żamma u ħassar id-dejta b'mod sigur hekk kif ma tkunx aktar meħtieġa, pereżempju meta impjegat jitlaq jew ma jkollux aktar bżonn aċċess.

Miżuri tekniċi u organizzattivi

Is-sigurtà trid taqbel mar-riskju għoli. Miżuri tekniċi ewlenin jinkludu:

• Encryption tad-dejta bijometrika, kemm meta tkun wieqfa kif ukoll fi tranżitu.
• Kontrolli stretti ta 'aċċess, sabiex il-persunal awtorizzat biss bi ħtieġa ċara jkun jista' jaċċessa d-dejta.
• Ħażna deċentralizzataFejn possibbli, aħżen il-mudelli fuq l-apparat jew fuq il-kard tal-utent stess minflok f'database ċentrali. Dan jagħmel ksur tal-massa ħafna inqas probabbli.

It-teknoloġija waħedha mhix biżżejjed. Miżuri organizzattivi, bħal politika bil-miktub dwar id-dejta bijometrika, taħriġ tal-persunal, verifiki tas-sigurtà perjodiċi u ftehimiet ċari mal-fornituri, huma daqstant importanti. Jekk fornitur jipproċessa d-dejta f'ismek, għandek bżonn ftehim ta' pproċessar skont l-Artikolu 28 tal-GDPR.

Avviż ċar dwar il-privatezza

In-nies għandhom id-dritt li jkunu jafu x’tagħmel bid-dejta bijometrika tagħhom (Artikoli 13 u 14 tal-GDPR). L-informazzjoni trid tkun konċiża, faċli biex tinstab u miktuba b’lingwaġġ sempliċi.

Avviż ta’ privatezza dwar l-ipproċessar bijometriku għandu jispjega min int u kif nikkuntattjawk, għaliex tipproċessa d-dejta, il-bażi legali skont l-Artikolu 6 u l-eċċezzjoni li fuqha qed tiġi invokata, liema dejta tiġbor (pereżempju mudell ta’ marki tas-swaba’), kemm iżżommha, ma’ min taqsamha, inklużi l-fornituri, u liema drittijiet għandhom in-nies, bħal aċċess, rettifika, tħassir u oġġezzjoni.

Japplika wkoll l-Att dwar l-IA?

Iva, għal ċerti sistemi bijometriċi. L-Att tal-UE dwar l-Intelliġenza Artifiċjali (Regolament (UE) 2024/1689) iżid regoli apparti l-GDPR.

Mit-2 ta' Frar 2025, l-Att dwar l-IA jipprojbixxi għadd ta' prattiki għalkollox, inkluż l-iskrappjar mhux immirat ta' immaġnijiet tal-wiċċ mill-internet jew filmati tal-kamera biex jinbnew databases ta' rikonoxximent tal-wiċċ, rikonoxximent tal-emozzjonijiet fil-post tax-xogħol u fl-edukazzjoni (ħlief għal raġunijiet mediċi jew ta' sigurtà) u kategorizzazzjoni bijometrika biex jiġu dedotti karatteristiċi sensittivi bħar-razza jew l-orjentazzjoni sesswali. Sistemi bijometriċi oħra, bħall-identifikazzjoni bijometrika mill-bogħod, huma kklassifikati bħala ta' riskju għoli u huma soġġetti għal rekwiżiti stretti. Iċċekkja ż-żewġ oqfsa qabel ma tintroduċi sistema.

X'inhuma l-konsegwenzi ta' nuqqas ta' konformità?

Multi għoljin, ordnijiet biex jitwaqqaf l-ipproċessar u talbiet għal danni. Għall-ipproċessar illegali ta' kategoriji speċjali, il-GDPR jippermetti multi sa 20 miljun ewro jew 4% tal-fatturat annwali dinji, skont liema jkun l-ogħla.

Dawn l-ammonti massimi jsegwu mill-Artikolu 83(5) tal-GDPR u japplikaw, fost affarijiet oħra, għall-ipproċessar mingħajr bażi jew eċċezzjoni valida. Ksur tal-obbligi dwar is-sigurtà u n-notifika ta' ksur (Artikoli 32 sa 34 tal-GDPR) jista' jwassal għal multi sa 10 miljun ewro jew 2% tal-fatturat dinji. Il-multi għandhom ikunu effettivi, proporzjonati u dissważivi. L-AP jiddetermina l-ammont skont il-politika ta' multi tiegħu stess.

X'infurzat l-AP?

L-AP immultat kemm lil min iħaddem kif ukoll lil kumpaniji tat-teknoloġija għal ipproċessar bijometriku illegali. Jispikkaw żewġ deċiżjonijiet.

Fl-2020 l-AP imponiet multa ta’ 725,000 ewro fuq kumpanija li kienet tiskennja l-marki tas-swaba’ tal-impjegati għar-reġistrazzjoni tal-attendenza u l-ħin. L-AP sabet li l-ebda eċċezzjoni ma kienet tapplika: il-kunsens tal-impjegati ma ngħatax liberament, u l-konvenjenza fir-reġistrazzjoni tas-sigħat mhijiex skop ta’ sigurtà li jagħmel l-ipproċessar bijometriku neċessarju. F’Settembru 2024 l-AP immultat lill-kumpanija Amerikana Clearview AI 30.5 miljun ewro talli bniet database ta’ immaġni tal-wiċċ, inklużi ta’ nies Olandiżi, mingħajr bażi legali.

Erba’ mistoqsijiet jgħaddu mill-infurzar tal-AP. X’inhu l-iskop, iddikjarat speċifikament aktar milli bħala “sigurtà” b’mod ġenerali? Jista’ jinkiseb b’mezzi inqas intrużivi? Jekk wieħed jiddependi fuq il-kunsens, in-nies jistgħu jirrifjutaw mingħajr konsegwenzi? U dan ġie vvalutat u dokumentat qabel ma ġiet introdotta s-sistema? L-artiklu tagħna dwar l- Awtorità Olandiża għall-Protezzjoni tad-Data jispjega s-setgħat tal-AP f’aktar dettall.

Konsegwenzi oħra

Multa mhijiex l-uniku riskju. L-AP jista’ jordnalek twaqqaf l-ipproċessar, li jista’ jwaqqaf sistema li l-operazzjonijiet tiegħek jiddependu fuqha, u jista’ jordnalek tħassar dejta miġbura illegalment. Persuni li d-dejta tagħhom ġiet ipproċessata illegalment jistgħu jitolbu kumpens għal danni materjali u mhux materjali skont l-Artikolu 82 tal-GDPR, u fin-Netherlands tali talbiet jistgħu wkoll jinġiebu kollettivament. Il-ħsara lir-reputazzjoni ta’ deċiżjoni ta’ infurzar pubbliku tista’ tkun konsiderevoli.

X'tagħmel jekk tiġi żvelata dejta bijometrika?

Ikkontrolla l-ksur tas-sigurtà, ivvaluta r-riskju, avża lill-AP fi żmien 72 siegħa u, jekk ir-riskju jkun għoli, informa lin-nies affettwati mingħajr dewmien żejjed. Ipprepara dan fi pjan ta' rispons qabel ma xi ħaġa tmur ħażin.

Skont l-Artikolu 33 tal-GDPR, trid tirrapporta ksur ta’ dejta personali lill-AP mingħajr dewmien żejjed u, fejn fattibbli, fi żmien 72 siegħa minn meta ssir taf bih, sakemm il-ksur x’aktarx ma jirriżultax f’riskju għall-persuni kkonċernati. In-notifika tiddeskrivi n-natura tal-ksur, il-kategoriji u n-numru approssimattiv ta’ persuni u rekords affettwati, il-konsegwenzi probabbli u l-miżuri meħuda jew proposti. Jekk ma tistax tipprovdi l-informazzjoni kollha f’daqqa, tista’ tissupplimentaha aktar tard.

Pass 1: ikkontrolla l-ksur u vvaluta l-impatt

L-ewwel prijorità tiegħek hija li twaqqaf il-ksur. Iżola s-sistemi affettwati, ippreserva l-logs u evidenza oħra għall-investigazzjoni, u stabbilixxi eżattament liema dejta ġiet affettwata: immaġni mhux ipproċessati jew mudelli kriptati, u ta' min.

Pass 2: iddeċiedi jekk tinformax lill-persuni affettwati

Skont l-Artikolu 34 tal-GDPR, trid tinforma lill-persuni affettwati mingħajr dewmien żejjed jekk il-ksur x'aktarx jirriżulta f'riskju għoli għad-drittijiet u l-libertajiet tagħhom. Bid-dejta bijometrika, dak il-limitu spiss jintlaħaq, għaliex id-dejta ma tistax tinbidel. L-eċċezzjoni hija, pereżempju, dejta li kienet kriptata b'mod qawwi u li ċ-ċavetta tagħha ma ġietx kompromessa. Il-messaġġ irid ikun f'lingwaġġ sempliċi: x'ġara, liema dejta kienet involuta u x'jistgħu jagħmlu n-nies biex jipproteġu lilhom infushom.

Pass 3: wettaq u ddokumenta r-rispons

Irreġistra kull pass: il-mument tal-iskoperta, id-deċiżjonijiet meħuda, il-komunikazzjonijiet u l-miżuri tekniċi. Skont l-Artikolu 33(5) tal-GDPR trid tiddokumenta kull ksur, inklużi dawk li ma kellekx għalfejn tirrapporta. Dokumentazzjoni tajba turi lill-AP li aġixxejt bir-reqqa u tista' taffettwa kif tivvaluta l-każ.

X'għandek tiċċekkja bħala min iħaddem jew kumpanija?

Iċċekkja l-ħtieġa l-ewwel u iddokumenta kull pass qabel ma s-sistema tibda taħdem. Dawn il-ħames kontrolli jkopru l-punti li l-AP tħares lejhom.

• Ikteb l-iskop speċifiku tas-sigurtà u għaliex badge, kodiċi PIN jew ċavetta mhumiex biżżejjed (Artikolu 29 UAVG).
• Irreġistra l-bażi legali tiegħek skont l-Artikolu 6 tal-GDPR u l-eċċezzjoni skont l-Artikolu 9(2) tal-GDPR jew l-Artikolu 29 tal-UAVG.
• Imla d-DPIA qabel l-ewwel skenn u kkonsulta l-AP jekk jibqa' riskju għoli (Artikoli 35 u 36 tal-GDPR).
• Itlob il-kunsens tal-kunsill tax-xogħol skont l-Artikolu 27(1)(k) u (l) tal-WOR qabel ma tintroduċi s-sistema.
• Iffirma ftehim ta' pproċessar mal-fornitur (Artikolu 28 tal-GDPR) u stabbilixxi perjodu ta' żamma għall-mudelli.

X'għandek tiċċekkja bħala impjegat jew klijent?

Għandek id-dritt li tkun taf kif qed tintuża d-dejta bijometrika tiegħek u li toġġezzjona għal ipproċessar illegali. Iċċekkja dawn il-punti jekk tintalab tiskennja marka tas-swaba' jew wiċċek.

• Hemm alternattiva mhux bijometrika, bħal badge jew kodiċi PIN, u tista' tużaha mingħajr żvantaġġ?
• L-avviż tal-privatezza jiddikjara l-iskop, il-bażi legali u l-perjodu ta' żamma (Artikoli 13 u 14 tal-GDPR)?
• Il-kunsill tax-xogħol ta l-kunsens tiegħu għas-sistema, fejn min iħaddmek għandu waħda (Artikolu 27 WOR)?
• Itlob aċċess għad-dejta tiegħek jew tħassir tagħha; l-organizzazzjoni trid twieġeb fi żmien xahar (Artikoli 12, 15 u 17 tal-GDPR).
• Jekk id-drittijiet tiegħek ma jiġux rispettati, ippreżenta lment mal-AP (Artikolu 77 GDPR) jew talba għal danni skont l-Artikolu 82 GDPR.

X'nistgħu nagħmlu għalik bid-dejta bijometrika?

L-avukati tal-IT tagħna jgħinu lil min iħaddem, kumpaniji tat-teknoloġija u individwi b'sistemi bijometriċi, mill-ewwel pjan sal-proċedimenti quddiem l-AP.

• Aħna nivvalutaw jekk is-sistema bijometrika tiegħek tissodisfax it-test tan-neċessità tal-Artikolu 29 UAVG.
• Aħna nabbozzaw jew nirrevedu d-DPIA u l-avviż tal-privatezza.
• Aħna nippreparaw it-talba għall-kunsens lill-kunsill tax-xogħol skont l-Artikolu 27 WOR.
• Aħna nirrevedu l-ftehim tal-ipproċessar mal-fornitur tiegħek skont l-Artikolu 28 tal-GDPR.
• Aħna ngħinuk tinnotifika ksur tad-dejta lill-AP fi żmien 72 siegħa u nwieġbu għall-infurzar tal-AP.

sommarju

• Id-dejta bijometrika użata għall-identifikazzjoni unika hija kategorija speċjali skont l-Artikolu 9 tal-GDPR; l-ipproċessar huwa pprojbit sakemm ma tapplikax eċċezzjoni.
• Fl-Olanda, l-Artikolu 29 tal-UAVG jippermettih biss fejn ikun meħtieġ għall-awtentikazzjoni jew is-sigurtà; il-konvenjenza mhijiex biżżejjed.
• Il-kunsens tal-impjegati rarament ikun validu; offri alternattiva reali mhux bijometrika u ikseb il-kunsens tal-kunsill tax-xogħol fejn meħtieġ.
• Agħmel DPIA minn qabel, imminimizza d-dejta, aħżen il-mudelli lokalment u kkriptahom.
• Irrapporta ksur lill-AP fi żmien 72 siegħa; il-multi jistgħu jilħqu l-20 miljun ewro jew 4% tal-fatturat dinji.

Mistoqsijiet frekwenti