Otisak prsta na ulazu u preduzeće: biometrijski podaci, alternative i brisanje

Čitač otiska prsta na ulazu u preduzeće djeluje jednostavno: zaposleni prisloni prst, vrata se otvore i pristup se zabilježi. Sa stanovišta zaštite podataka to nije samo tehničko pitanje ulaska. Ako se otisak obrađuje radi jedinstvenog prepoznavanja osobe, sistem koristi biometrijske podatke, odnosno posebnu kategoriju ličnih podataka.

Ovaj tekst obrađuje biometrijski ulaz na radno mjesto u radnom odnosu. U fokusu su član 9 GDPR-a, pouzdan pravni osnov, stvarne alternative, procjena uticaja, zaštitne mjere i brisanje. Video-nadzor, opšta prava pristupa podacima zaposlenih i prepoznavanje lica u javnom prostoru imaju druge svrhe. Širi okvir prikazuje oblast zaštite podataka zaposlenih.

Član 4 tačka 14 GDPR-a definiše biometrijske podatke kao lične podatke nastale posebnom tehničkom obradom fizičkih, fizioloških ili ponašajnih obilježja koja omogućavaju ili potvrđuju jedinstveni identitet. Sistem koji od otiska prsta pravi predložak i upoređuje ga s identitetom osobe radi ulaska zato može spadati pod član 9 GDPR-a. Ne odlučuje naziv proizvođača, nego stvarna funkcija sistema.

Član 9 stav 1 GDPR-a izričito navodi biometrijske podatke koji služe jedinstvenom prepoznavanju fizičkog lica kao posebnu kategoriju. Obrada je u pravilu zabranjena. Pored opšteg pravnog osnova prema članu 6 GDPR-a mora postojati i izuzetak iz člana 9 stav 2. Pretvaranje otiska u predložak ne uklanja automatski njegovu osjetljivost.

Svrha treba biti uska. Ulaz u posebno zaštićen prostor razlikuje se od stalne evidencije vremena ili analize kretanja na radu. Ako se isti predlošci koriste za više svrha, tokove podataka, nužnost, pravni osnov i rok čuvanja treba procijeniti odvojeno. Pregled posebnih kategorija ličnih podataka daje početnu strukturu.

Preduzeće prvo mora odrediti obradu prema članu 6 GDPR-a. Zavisno od stvarnog procesa mogu biti važni različiti pravni osnovi. Kod biometrijskih podataka ta procjena nije dovoljna. Član 9 stav 2 GDPR-a dodatno traži odgovarajući izuzetak, na primjer izričitu saglasnost ili dozvolu povezanu s radnim i socijalnim pravom koja uključuje odgovarajuće garancije.

Član 9 stav 2 tačka b GDPR-a traži da obaveza ili pravo u oblasti rada budu predviđeni pravom Unije, države članice ili kolektivnim ugovorom i da postoje odgovarajuće garancije. Interna politika ulaska ne zamjenjuje taj uslov. Legitimni interes prema članu 6 stav 1 tačka f GDPR-a sam po sebi ne uklanja zabranu iz člana 9 stav 1.

Dokumentacija treba pokazati svrhu, pogođene osobe, kategorije podataka, korake sistema, primaoce i konkretno obrazloženje za oba nivoa. Član 5 stav 2 i član 24 GDPR-a traže dokazivu odgovornost. U evidenciji aktivnosti obrade treba navesti i brisanje i tehničke mjere. Za organizacioni okvir korisna je oblast usklađenosti i upravljanja privatnošću.

Prema članu 7 GDPR-a saglasnost mora biti dokaziva, informisana i slobodno data. Radni odnos ipak obično uključuje zavisnost. Smjernice EDPB 05/2020 zato objašnjavaju da saglasnost zaposlenog često nije slobodna kada odbijanje donosi nepovoljan položaj ili ne postoji stvaran izbor.

Potpis svih zaposlenih ne čini biometrijski ulaz automatski zakonitim. Prije saglasnosti treba objasniti predložak, svrhe, pristup, čuvanje i način povlačenja. Povlačenje mora biti jednostavno kao davanje saglasnosti. Preduzeće mora imati stvaran i ravnopravan put za ulazak bez biometrijskog prepoznavanja.

Zavisno od sigurnosnih potreba moguće su personalizovane kartice, PIN, ključevi, metode s dva faktora ili njihova kombinacija. Važno nije da alternativa bude jednako udobna, nego da zaštitnu potrebu ispuni uz manje zadiranje u prava. Uporedite zloupotrebu, gubitak, prosljeđivanje, blokadu, zamjenu i hitni ulaz i sačuvajte obrazloženje.

Član 35 GDPR-a traži procjenu uticaja na zaštitu podataka kada je vjerovatno da će obrada prouzrokovati visok rizik za prava i slobode fizičkih lica. Nova tehnologija, posebne kategorije, radni odnos, sistematski ulaz i posljedice pogrešnog prepoznavanja razlog su da se obaveza provjeri na vrijeme. Odluka pripada periodu prije početka sistema.

Procjena treba obuhvatiti cijeli proces: snimanje otiska, izradu i čuvanje predloška, poređenje na čitaču, slanje prema centralnim sistemima, evidentiranje, pristup dobavljača, blokadu, zamjensku karticu i brisanje. Procijenite pogrešna odbijanja, neovlaštenu rekonstrukciju, curenje podataka i posljedice za osobe koje ne mogu koristiti biometrijski put.

Članovi 25 i 32 GDPR-a traže zaštitu podataka kroz dizajn i nivo sigurnosti koji odgovara riziku. Mjere mogu uključiti lokalnu obradu gdje je moguće, odvojene i zaštićene predloške, šifrovanje, stroge uloge, lične administratorske naloge, evidenciju, oporavak i testiran hitni put. Pregled procjene uticaja i tehničkih i organizacionih mjera pomažu pri pripremi.

Član 5 stav 1 tačka e GDPR-a traži ograničenje čuvanja. Predložak se zato ne treba čuvati po automatizmu kada biometrijski ulaz više nije potreban. Pri odlasku, trajnom prelasku na drugi način ulaza ili prestanku zaštite prostora treba pokrenuti i dokazati brisanje, osim ako posebna zakonska obaveza traži čuvanje. Tekst o konceptu brisanja daje srodnu organizacionu strukturu, ali konkretan rok treba procijeniti za ovaj sistem.

Zapisi o ulasku imaju drugu svrhu od predložaka. Mogu biti potrebni za sigurnosne događaje, kontrolu pristupa ili dokazivanje odgovornosti, ali ne treba da automatski postanu neograničena evidencija kretanja. Za svaku vrstu podataka odredite svrhu, pristup, čuvanje, ograničenje i brisanje. Duže čuvanje jednog događaja traži konkretan razlog i dokumentovano obrazloženje.

Provjerite sigurnosne kopije, testne sisteme, izvoze i sisteme pružaoca usluge. Rutina brisanja je pouzdana tek kada obuhvati sve kopije ili objasni zašto sigurnosna kopija ostaje zaštićena do uobičajenog prepisivanja. Promjene tehnologije, softvera ili zaštićenog prostora trebaju pokrenuti novu provjeru brisanja i rizika.

Član 88 GDPR-a dopušta državama članicama da propišu posebna pravila za podatke zaposlenih. Ta pravila treba da štite transparentnost, ljudsko dostojanstvo, legitimne interese i sisteme nadzora na radu. U Austriji zato pored GDPR-a može biti potrebna i radnopravna provjera. § 96 stav 1 tačka 3 ArbVG-a odnosi se na mjere kontrole i tehničke sisteme kada mogu zadirati u ljudsko dostojanstvo.

Da li je potrebna saglasnost radničkog vijeća ne može se odgovoriti samo nazivom „sistem ulaza“. Važni su obim evidencije, mogućnost kontrole ponašanja ili učinka, povezivanje s podacima o radnom vremenu i stvarna analiza. Procjenu treba napraviti prije instalacije, a ne nakon prvog spora.

Zaposleni trebaju razumljivo saznati koji se podaci obrađuju, kako se vrši poređenje, ko odobrava izuzetke i kome se prijavljuje pogrešno odbijanje. Uvedite i redovnu provjeru: da li se štite isti prostori, postoje li alternative, rade li brisanje i blokada i koristi li se biometrijski zapis samo za dogovorenu svrhu? Tekst o pravima pristupa podacima zaposlenih obrađuje uloge i kontrole.

Tehnika se smatra pravnim osnovom: Izjava proizvođača ili jako šifrovanje ne odgovaraju na pitanje da li su ispunjeni članovi 6 i 9 GDPR-a.

Saglasnost se dijeli kao obavezan obrazac: Potpis ne dokazuje slobodan izbor niti ravnopravan alternativni put.

Predlošci se tretiraju kao obični podaci ulaza: Biometrijski podaci traže posebnu provjeru svrhe, pristupa i brisanja.

Ulaz i evidencija vremena spajaju se bez provjere: Dodatna analiza širi svrhu, tokove podataka i moguće radnopravne rizike.

Hitni put nije uređen: Osoba koja nije prepoznata ili ne može koristiti biometriju treba siguran, dokumentovan i nediskriminatoran alternativni pristup.

Počnite konkretnim opisom sistema. Koja vrata se štite, kome treba pristup, koji rizik se smanjuje i koji podaci nastaju pri registraciji, ulasku, odbijanju, blokadi i odlasku? Biometrijski predložak odvojite od zapisa o ulazu i eventualnih podataka o radnom vremenu.

Zatim uporedite najmanje jednu alternativu bez biometrijskog prepoznavanja. Procijenite sigurnost, greške, gubitak, prosljeđivanje, blokadu, zamjenu, pristupačnost i hitni rad. Odluku obrazložite stvarnom potrebom zaštite i zadiranjem u prava zaposlenih, a ne opštom sklonošću prema novoj tehnologiji.

Završni dosije treba sadržati dvostruku provjeru pravnog osnova, informacije, odluku o procjeni uticaja, tehničku konfiguraciju, matricu uloga, plan brisanja, provjeru pružaoca, radnopravnu procjenu i kriterije testiranja. Tekst o video-nadzoru prikazuje srodnu, ali različitu obradu sa sopstvenim pitanjima čuvanja i pristupa.

Provjeravamo svrhu, tokove podataka, pravne osnove, alternative, procjenu uticaja, tehničku zaštitu, brisanje i radnopravnu procjenu vašeg sistema ulaza. Ako planirate uvođenje ili želite provjeriti postojeći sistem, dostavite opis sistema, dokumentaciju pružaoca, koncept ulaza i brisanja te planirane informacije za zaposlene.