Done byometrik anba GDPR a: kilè ou ka itilize yo nan Peyi Ba yo?

Done byometrik, tankou anprent dwèt, imaj vizaj oswa modèl vwa, se yon kategori espesyal done pèsonèl anba GDPR la lè yo trete li pou idantifye yon moun inikman. Nan Peyi Ba yo, tretman sa a an prensip entèdi; eksepsyon prensipal la se lè li nesesè pou otantifikasyon oswa rezon sekirite, epi pou anplwaye yo, tès sa a raman satisfè pa yon revèy oswa yon pòt biwo.

Otorite Pwoteksyon Done Olandè a (Autoriteit Persoonsgegevens, AP) aplike règ sa yo estrikteman epi li bay anplwayè ak konpayi teknoloji amann pou itilizasyon byometrik san yon baz valab. Anba a, nou eksplike sa ki konsidere kòm done byometrik, ki baz legal ki disponib, kilè ou bezwen yon evalyasyon enpak pwoteksyon done, ki garanti ki espere ak sa pou fè si yon bagay ale mal.

Ki sa done byometrik ye anba GDPR la?

Done byometrik se done pèsonèl ki soti nan yon tretman teknik espesifik sou karakteristik fizik, fizyolojik oswa konpòtman yon moun, ki pèmèt oswa konfime idantifikasyon inik moun sa a. Se objektif la ak teknik la ki deside, se pa kalite imaj la oswa anrejistreman an.

Definisyon sa a nan Atik 4(14) Règleman Jeneral sou Pwoteksyon Done (RGPD) . Yon foto yon anplwaye sou yon badj idantifikasyon se yon done pèsonèl, men se pa otomatikman yon done byometrik. Nan moman yo konvèti menm foto a an yon modèl vizaj epi yon sistèm rekonesans itilize li pou bay aksè nan yon bilding, li vin tounen done byometrik. Chanjman sa a chanje kad legal la nèt.

Men kèk egzanp idantifikatè byometrik: anprent dwèt, jeyometri vizaj, modèl iris ak retin, modèl vwa ak karakteristik konpòtman tankou ritm tape oswa fason yon moun mache. Sa yo genyen an komen se yo itilize pou rekonèt yon moun espesifik.

Poukisa GDPR a trete done byometrik yo yon fason diferan?

Anba Atik 9 GDPR a, done byometrik ki trete pou idantifye yon moun yon fason inik fè pati kategori espesyal done pèsonèl yo. Menm kategori a gen ladan done sou orijin rasyal oswa etnik, opinyon politik, kwayans relijye, sante ak lavi seksyèl.

Rezon an se paske konsekans move itilizasyon yo grav e souvan irevokab. Yon modpas ka chanje; yon anprent dwèt oswa yon iris pa ka chanje. Si yon baz done modèl byometrik konpwomèt, moun ki konsène yo fè fas ak yon risk dirab pou fwod idantite.

Ki nivo strikte apwòch Olandè a?

AP a entèprete règ sa yo yon fason strik. Pwen depa li se ke idantifikasyon byometrik entèdi, epi eksepsyon yo limite.

Lwa Aplikasyon GDPR Olandè a (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) ajoute yon eksepsyon nasyonal. Anba Atik 29 UAVG, done byometrik yo ka trete pou idantifikasyon inik si sa nesesè pou otantifikasyon oswa rezon sekirite. "Nesesè" se mo kle a. Sa vle di ke objektif la pa ka rezonab reyalize ak mwayen ki mwens anmèdan, tankou yon badj, yon kòd oswa yon kle. AP a te presize nan gid li yo ke rekonesans vizaj nan kote aksesib piblikman, tankou boutik, an prensip pa otorize.

Ki baz legal ou bezwen?

Ou bezwen de: yon baz legal anba Atik 6 GDPR pou tretman an kòm sa, ak yon eksepsyon anba Atik 9(2) GDPR oswa Atik 29 UAVG pou leve entèdiksyon an sou kategori espesyal yo. San tou de, tretman an ilegal.

Atik 6 GDPR a bay lis sis baz legal: konsantman, ekzekisyon yon kontra, yon obligasyon legal, enterè vital, yon travay nan enterè piblik la ak enterè lejitim. Sa a se premye obstak la, epi li aplike a tout done pèsonèl.

Paske done byometrik yo se yon kategori espesyal, ou dwe satisfè youn nan kondisyon Atik 9(2) GDPR a, oubyen eksepsyon Olandè a nan Atik 29 UAVG. Se sèl fason sa yo yo ka itilize pou leve entèdiksyon an. Anvan ou kòmanse, detèmine tou kiyès ki kontwolè a e kiyès ki aji kòm moun k ap trete done yo, pa egzanp founisè sistèm eskanè a. Atik nou an sou wòl kontwolè ak moun k ap trete done yo anba GDPR a eksplike diferans lan ak akò tretman ou bezwen an.

Kilè konsantman eksplisit la valab?

Konsantman eksplisit se yon estanda ki pi wo pase konsantman òdinè. Li dwe bay pa yon deklarasyon klè, afimatif epi li dwe espesifik, enfòme, san anbigwite epi bay lib.

• espesifik: Yon referans jeneral sou "rezon sekirite" pa sifi; ou dwe endike egzakteman poukisa ou bezwen done byometrik yo.
• enfòme: Moun yo dwe konnen ki done ou kolekte, kisa ou fè avèk yo, ki moun ki gen aksè ak konbyen tan ou konsève yo.
• Bay gratis: Moun nan dwe kapab refize san konsekans negatif, epi li dwe kapab retire konsantman li nenpòt ki lè.

Nan yon relasyon travay, dènye kondisyon an se pwoblèm nan. Yon anplwaye ki refize ka pè konsekans, e poutèt sa AP a konsidere ke konsantman anplwaye a raman bay lib. Yon anplwayè ki konte sou konsantman dwe kapab montre ke yon altènatif reyèl te egziste e ke yo te ofri l nan pratik, pa sèlman sou papye.

Ki lòt eksepsyon ki genyen?

Lòt eksepsyon yo limite. Tablo ki anba a konpare sa ki pi enpòtan yo.

Èske ou ka itilize anprent dwèt oswa eskanè figi pou anplwaye yo?

Se sèlman si byometrik vrèman nesesè pou otantifikasyon oswa sekirite, epi yon mwayen ki mwens anmèdan pa ta sifi. Pou anrejistreman tan, yon kès oswa yon pòt biwo òdinè, sa pa anjeneral ka a.

Tès la anba Atik 29 UAVG a se si objektif la te ka rezonab reyalize pa mwayen ki mwens antravan. Yon eskanè ki kontwole aksè nan yon kès, yon sistèm anrejistreman tan oswa yon pòt biwo nòmalman echwe tès sa a, paske yon badj, yon kòd oswa yon kle bay menm rezilta a san done byometrik. Lè yo aksepte aksè byometrik, enterè sekirite a sibstansyèl e espesifik: yon etablisman ki manyen materyèl danjere, yon laboratwa an sekirite, yon sant done oswa yon kòf fò.

Separeman, kote yon komite travay (ondernemingsraad) egziste, yon sistèm ki anrejistre oswa kontwole prezans, konpòtman oswa pèfòmans anplwaye yo, oswa ki trete done pèsonèl yo, mande konsantman li anba Atik 27(1)(k) ak (l) nan Lwa sou Konsèy Travay yo (Wet op de ondernemingsraden, WOR). Konfòmite avèk GDPR la pa retire egzijans sa a, epi yon sistèm ki entwodui san konsantman ka konteste.

Èske ou ka itilize byometrik pou kliyan yo?

Pafwa, men menm règ strik yo aplike. Avèk kliyan yo, konsantman eksplisit kapab yon baz valab, depi itilizasyon byometrik la vrèman opsyonèl epi yon altènatif ekivalan disponib.

Men kèk egzanp komen: debloke yon aplikasyon bankè ak yon anprent dwèt, verifikasyon idantite ak yon selfie lè w ap louvri yon kont sou entènèt, epi aksè nan yon jimnazyòm oswa yon evènman ak rekonesans vizaj. Lè verifikasyon byometrik la fèt antyèman sou pwòp telefòn kliyan an, lè l sèvi avèk teknoloji entegre telefòn nan, konpayi an anjeneral pa resevwa done byometrik yo li menm. Sa diminye risk la ak obligasyon pou konpayi an anpil.

Lè konpayi an trete done yo li menm, pa egzanp lè l konpare yon selfie ak yon foto paspò sou pwòp sèvè li yo, li bezwen yon rezon valab. Konsantman an egzije pou kliyan an ka chwazi yon lòt wout, tankou verifikasyon pa yon transfè labank oswa yon vizit nan yon branch, san okenn dezavantaj. Pou bank yo ak lòt enstitisyon finansye yo, obligasyon dilijans kliyan anba lejislasyon kont blanchiman lajan jwe yon wòl, men yo pa egzije tretman byometrik an tèt yo.

E kamera ki gen rekonesans vizaj?

Kamera rekonesans vizaj nan boutik, estad oswa lòt kote aksesib piblikman yo an prensip pa otorize pou fèt prive. Moun k ap pase pa ka bay konsantman eksplisit, epi raman gen yon nesesite ki satisfè tès Atik 29 UAVG la.

AP a avèti détayan yo ke itilizasyon rekonesans vizaj pou idantifye vòlè nan magazen oswa rekonèt kliyan pa otorize. Siveyans kamera òdinè, san idantifikasyon byometrik, sijè a règ diferan, mwens strik, men li toujou mande yon enterè lejitim, avi klè ak peryòd retansyon limite. Ajoute lojisyèl rekonesans vizaj nan yon sistèm kamera ki deja egziste chanje evalyasyon an nèt.

Kilè ou bezwen yon evalyasyon enpak sou pwoteksyon done?

Prèske toujou. Tretman done byometrik pou idantifye moun se yon tretman ki gen anpil risk, epi AP a mete l sou lis operasyon tretman li yo ki mande yon evalyasyon enpak sou pwoteksyon done (DPIA) anba Atik 35 GDPR la.

Yon DPIA se yon evalyasyon risk pou vi prive ki estriktire. Li fòse ou dekri sa ou gen plan fè, idantifye risk ki genyen pou moun ki enplike yo epi deside kijan pou jere risk sa yo anvan ou eskane yon sèl anprent dwèt oswa yon figi. Si risk ki rete a wo epi ou pa ka diminye l ase, ou dwe konsilte AP a anvan ou kòmanse (Atik 36 GDPR).

DPIA a baze sou baz legal la: ou premye etabli yon baz anba Atik 6 ak yon eksepsyon anba Atik 9 oswa Atik 29 UAVG, epi answit evalye si sistèm espesifik la nesesè e pwopòsyonèl.

Kisa yon DPIA genyen ladan l?

Pran yon eskanè anprent pou aksè nan yon chanm sèvè kòm egzanp. Yon DPIA kouvri kat eleman.

• Yon deskripsyon sou pwosesis la. Ki done ou kolekte: yon modèl oswa yon imaj konplè? Ki jan yo kolekte li, ki kote yo estoke li, kijan yo itilize li e ki lè yo efase li? Ki moun ki gen aksè? Èske gen yon founisè ki enplike?
• Nesesite ak pwopòsyonalite. Ki pwoblèm espesifik w ap rezoud, tankou aksè san otorizasyon nan sal sèvè a? Poukisa badj oswa kòd pa sifi nan ka sa a? Èske done ou kolekte yo se minimòm ki nesesè a?
• Risk ki genyen pou moun ki enplike yo. E si yo vòlè baz done modèl yo? Èske done yo ka pita itilize pou lòt rezon, tankou siveyans lè travay (devlopman fonksyonèl)? Kisa k ap rive anplwaye ki pa ka li anprent dwèt yo? E si sistèm nan bloke yon moun otorize pandan yon ijans?
• Mezi pou adrese risk yo. Mezi teknik tankou chifreman ak depo sou yon kat oswa aparèy la; mezi òganizasyonèl tankou yon règleman, fòmasyon ak yon plan repons pou vyolasyon sekirite; epi yon altènatif ki pa byometrik pou pèsonn pa eskli.

Revize DPIA a lè dimansyon, nati oswa kontèks tretman an chanje (Atik 35(11) GDPR). Yon analiz ki ekri sèlman apre yon plent pa gen anpil pwa ak AP a.

Ki pwoteksyon yo espere?

Kolekte mwens ke posib, pa kenbe l pi lontan pase sa nesesè epi pwoteje l ak mezi teknik ak òganizasyonèl ki solid. Prensip sa yo soti nan Atik 5 ak 32 GDPR la.

Kòmanse avèk minimizasyon done yo: kolekte sèlman done byometrik ki nesesè pou objektif espesifik ak lejitim nan. Pou kontwòl aksè, yon modèl anjeneral sifi; yon eskanè vizaj wo rezolisyon pa nesesè. Konbine sa ak limitasyon depo: fikse yon peryòd retansyon epi efase done yo an sekirite le pli vit ke yo pa nesesè ankò, pa egzanp lè yon anplwaye kite oswa pa bezwen aksè ankò.

Mezi teknik ak òganizasyonèl

Sekirite a dwe koresponn ak gwo risk la. Mezi teknik kle yo enkli:

• Chifreman done byometrik, ni an repo ni an tranzit.
• Kontwòl aksè strik, pou sèlman anplwaye otorize ki gen yon bezwen klè ka jwenn aksè a done yo.
• Depo desantralizeLè sa posib, estoke modèl yo sou aparèy la oswa sou kat itilizatè a olye pou yo nan yon baz done santral. Sa fè yon gwo vyolasyon mwens pwobab.

Teknoloji poukont li pa sifi. Mezi òganizasyonèl, tankou yon règleman alekri sou done byometrik, fòmasyon anplwaye yo, odit sekirite peryodik ak akò klè ak founisè yo, yo egalman enpòtan. Si yon founisè trete done yo pou ou, ou bezwen yon akò tretman anba Atik 28 GDPR la.

Yon avi sou vi prive klè

Moun yo gen dwa konnen sa w ap fè ak done byometrik yo (Atik 13 ak 14 GDPR). Enfòmasyon an dwe kout, fasil pou jwenn epi ekri nan yon langaj senp.

Yon avi sou konfidansyalite sou tretman byometrik ta dwe eksplike kiyès ou ye ak kijan pou kontakte ou, poukisa ou trete done yo, baz legal la anba Atik 6 la ak eksepsyon ki itilize a, ki done ou kolekte (pa egzanp yon modèl anprent), konbyen tan ou konsève yo, ak ki moun ou pataje yo, ki gen ladan founisè yo, ak ki dwa moun yo genyen, tankou aksè, rektifikasyon, efasman ak objeksyon.

Èske Lwa sou IA a aplike tou?

Wi, pou sèten sistèm byometrik. Lwa sou Entèlijans Atifisyèl Inyon Ewopeyen an (Règleman (Inyon Ewopeyen) 2024/1689) ajoute règ anplis GDPR la.

Depi 2 fevriye 2025, Lwa sou IA a entèdi yon seri pratik kareman, tankou itilizasyon san sibsèp imaj vizaj sou entènèt la oubyen anrejistreman kamera pou konstwi baz done rekonesans vizaj, rekonesans emosyon nan espas travay la ak nan edikasyon (eksepte pou rezon medikal oubyen sekirite) ak kategorizasyon byometrik pou dedwi karakteristik sansib tankou ras oubyen oryantasyon seksyèl. Gen lòt sistèm byometrik, tankou idantifikasyon byometrik a distans, ki klase kòm sistèm ki gen gwo risk epi ki sijè a egzijans strik. Tcheke tou de kad yo anvan ou entwodui yon sistèm.

Ki konsekans yo nan non-konfòmite?

Gwo amann, lòd pou sispann tretman ak reklamasyon pou domaj. Pou tretman ilegal kategori espesyal, GDPR a pèmèt amann ki rive jiska 20 milyon ero oswa 4% nan woulman anyèl mondyal la, kèlkeswa sa ki pi wo a.

Montan maksimòm sa yo soti nan Atik 83(5) GDPR la epi yo aplike, pami lòt bagay, pou tretman san yon baz valab oswa yon eksepsyon. Vyolasyon obligasyon sou sekirite ak notifikasyon vyolasyon (Atik 32 a 34 GDPR) ka mennen nan amann ki rive jiska 10 milyon ero oswa 2% nan woulman mondyal la. Amann yo dwe efikas, pwopòsyonèl epi disuasif. AP a detèmine montan an dapre pwòp politik amann li.

Kisa AP a aplike?

AP a bay amann ni anplwayè yo ni konpayi teknoloji yo pou tretman byometrik ilegal. Gen de desizyon ki remakab.

An 2020, AP te enpoze yon amann 725,000 ero sou yon konpayi ki te eskane anprent dwèt anplwaye yo pou anrejistre prezans ak lè travay. AP te jwenn ke ni youn ni lòt eksepsyon pa t aplike: konsantman anplwaye yo pa t bay lib, epi konvenyans nan anrejistre lè travay pa yon rezon sekirite ki fè tretman byometrik nesesè. An septanm 2024, AP te bay konpayi amerikèn Clearview AI yon amann 30.5 milyon ero pou li te bati yon baz done imaj vizaj, ki gen ladan imaj moun Olandè, san yon baz legal.

Kat kesyon ap travèse aplikasyon Otorite Pwoteksyon Done Olandè a. Ki objektif la, ki deklare espesyalman olye ke li se "sekirite" an jeneral? Èske yo te ka reyalize li pa mwayen ki mwens antrave moun? Si yo konte sou konsantman, èske moun yo te ka refize san konsekans? Epi èske sa te evalye epi dokimante anvan yo te entwodui sistèm nan? Atik nou an sou Otorite Pwoteksyon Done Olandè a eksplike pouvwa Otorite Pwoteksyon Done yo an plis detay.

Lòt konsekans

Yon amann se pa sèl risk la. AP a ka bay lòd pou ou sispann tretman an, sa ki ka bloke yon sistèm operasyon ou yo depann de li, epi li ka bay lòd pou ou efase done yo kolekte ilegalman. Moun ki gen done yo te trete ilegalman ka reklame konpansasyon pou domaj materyèl ak imoral anba Atik 82 GDPR a, epi nan Peyi Ba yo, reklamasyon sa yo kapab pote tou kolektifman. Domaj repitasyon yon desizyon aplikasyon piblik la ka konsiderab.

Kisa pou w fè si done byometrik yo koule?

Kontwole vyolasyon an, evalye risk la, avize AP a nan 72 èdtan epi, si risk la wo, enfòme moun ki afekte yo san pèdi tan. Prepare sa nan yon plan repons anvan nenpòt bagay ale mal.

Anba Atik 33 GDPR a, ou dwe rapòte yon vyolasyon done pèsonèl bay AP a san pèdi tan epi, lè sa posib, nan 72 èdtan apre ou fin pran konesans de li, sof si vyolasyon an gen anpil chans pou l pa reprezante yon risk pou moun ki konsène yo. Notifikasyon an dekri nati vyolasyon an, kategori yo ak kantite apwoksimatif moun ak dosye ki afekte yo, konsekans ki gen anpil chans pou yo genyen ak mezi yo te pran oswa yo pwopoze yo. Si ou pa ka bay tout enfòmasyon yo an menm tan, ou ka konplete l pita.

Etap 1: kontwole vyolasyon an epi evalye enpak la

Premye priyorite ou se pou bloke vyolasyon an. Izole sistèm ki afekte yo, prezève jounal yo ak lòt prèv pou ankèt la, epi etabli egzakteman ki done ki te afekte: imaj kri oswa modèl chiffres, ak done ki moun.

Dezyèm etap la: deside si ou pral enfòme moun ki afekte yo

Anba Atik 34 GDPR a, ou dwe enfòme moun ki afekte yo san pèdi tan si vyolasyon an gen chans pou l lakòz yon gwo risk pou dwa ak libète yo. Avèk done byometrik yo, souvan papòt sa a ap rive, paske done yo pa ka chanje. Eksepsyon an se, pa egzanp, done ki te byen chiffres epi ki gen kle ki pa te konpwomèt. Mesaj la dwe nan yon langaj senp: sa ki te pase, ki done ki te enplike ak sa moun yo ka fè pou pwoteje tèt yo.

Etap 3: egzekite epi dokimante repons lan

Anrejistre chak etap: moman dekouvèt la, desizyon yo pran, kominikasyon yo ak mezi teknik yo. Dapre Atik 33(5) GDPR a, ou dwe dokimante chak vyolasyon, menm sa ou pa t oblije rapòte yo. Bon dokimantasyon montre AP a ke ou te aji ak anpil atansyon epi li ka afekte fason li evalye ka a.

Kisa ou ta dwe verifye antanke yon anplwayè oswa yon konpayi?

Tcheke nesesite a anvan epi dokimante chak etap anvan sistèm nan antre an fonksyon. Senk verifikasyon sa yo kouvri pwen AP a ap egzamine yo.

• Ekri objektif sekirite espesifik la epi poukisa yon badj, yon kòd PIN oswa yon kle pa sifi (Atik 29 UAVG).
• Anrejistre baz legal ou anba Atik 6 GDPR la ak eksepsyon ki anba Atik 9(2) GDPR la oswa Atik 29 UAVG la.
• Ranpli DPIA a anvan premye eskanè a epi konsilte AP a si yon gwo risk toujou la (Atik 35 ak 36 GDPR).
• Mande komite travay la pou konsantman anba Atik 27(1)(k) ak (l) WOR anvan ou entwodui sistèm nan.
• Siyen yon akò tretman ak founisè a (Atik 28 GDPR) epi fikse yon peryòd konsèvasyon pou modèl yo.

Kisa ou ta dwe verifye antanke anplwaye oswa kliyan?

Ou gen dwa konnen kijan done byometrik ou yo itilize epi pou ou fè objeksyon sou tretman ilegal. Tcheke pwen sa yo si yo mande w pou w eskane yon anprent dwèt oswa figi w.

• Èske gen yon altènatif ki pa byometrik, tankou yon badj oswa yon kòd PIN, epi èske ou ka itilize li san dezavantaj?
• Èske avi sou konfidansyalite a endike objektif la, baz legal la ak peryòd konsèvasyon an (Atik 13 ak 14 GDPR)?
• Èske komite travay la te bay konsantman l ak sistèm nan, kote anplwayè w la gen youn (Atik 27 WOR)?
• Mande pou jwenn aksè a done ou yo oubyen pou efase yo; òganizasyon an dwe reponn nan yon mwa (Atik 12, 15 ak 17 GDPR).
• Si dwa ou yo pa respekte, depoze yon plent bay AP a (Atik 77 GDPR) oswa reklame domaj anba Atik 82 GDPR.

Kisa nou ka fè pou ou ak done byometrik yo?

Avoka IT nou yo ede anplwayè yo, konpayi teknoloji yo ak moun ki gen sistèm byometrik, depi premye plan an rive nan pwosedi yo devan AP a.

• Nou evalye si sistèm byometrik ou a satisfè tès nesesite Atik 29 UAVG la.
• Nou ekri oswa revize DPIA a ak avi sou vi prive a.
• Nou prepare demann konsantman an bay komite travay la anba Atik 27 WOR la.
• Nou revize akò tretman an avèk founisè ou a anba Atik 28 GDPR la.
• Nou ede w notifye yon vyolasyon done bay AP a nan delè 72 èdtan an epi reponn a aplikasyon AP a.

Rezime

• Done byometrik yo itilize pou idantifikasyon inik se yon kategori espesyal anba Atik 9 GDPR; tretman an entèdi sof si gen yon eksepsyon ki aplike.
• Nan Peyi Ba yo, Atik 29 UAVG pèmèt li sèlman lè sa nesesè pou otantifikasyon oswa sekirite; konvenyans pa sifi.
• Konsantman anplwaye a raman valab; ofri yon altènatif reyèl ki pa byometrik epi jwenn konsantman komite travay la lè sa nesesè.
• Fè yon DPIA davans, minimize done yo, estoke modèl yo lokalman epi chifre yo.
• Rapòte vyolasyon yo bay AP nan 72 èdtan; amann yo ka rive 20 milyon ero oswa 4% nan revni mondyal la.

Kesyon yo poze souvan