GDPR çərçivəsində biometrik məlumatlar: Hollandiyada nə vaxt istifadə edə bilərsiniz?

Barmaq izləri, üz şəkilləri və ya səs nümunələri kimi biometrik məlumatlar, GDPR-a əsasən, şəxsin unikal şəkildə müəyyən edilməsi üçün emal edildikdə xüsusi bir şəxsi məlumat kateqoriyasıdır. Niderlandda bu cür emal prinsipcə qadağandır; əsas istisna, identifikasiya və ya təhlükəsizlik məqsədləri üçün zəruri olduğu və işçilər üçün bu testin nadir hallarda saat və ya ofis qapısı ilə qarşılandığı hallardır.

Hollandiyanın Məlumatların Mühafizəsi Orqanı (Autoriteit Persoonsgegevens, AP) bu qaydaları ciddi şəkildə tətbiq edir və işəgötürənləri və texnologiya şirkətlərini etibarlı əsas olmadan biometrik məlumatlardan istifadə etdiklərinə görə cərimələyib. Aşağıda biometrik məlumatlar kimi nəyin sayıldığını, hansı hüquqi əsasların mövcud olduğunu, məlumatların qorunmasına təsirin qiymətləndirilməsinə nə vaxt ehtiyacınız olduğunu, hansı təhlükəsizlik tədbirlərinin gözlənildiyini və bir şeyin səhv getdiyini görsəniz nə etməli olduğunuzu izah edirik.

GDPR çərçivəsində biometrik məlumatlar nədir?

Biometrik məlumatlar, şəxsin fiziki, fizioloji və ya davranış xüsusiyyətlərinin spesifik texniki emalı nəticəsində əldə edilən və həmin şəxsin unikal identifikasiyasına imkan verən və ya təsdiqləyən şəxsi məlumatlardır. Məqsəd və texnika müəyyən edir, təsvirin və ya qeydin növü deyil.

Bu tərif Ümumi Məlumatların Mühafizəsi Qaydalarının (GDPR) 4(14)-cü maddəsindədir . Şəxsiyyət vəsiqəsi nişanındakı işçinin fotoşəkili şəxsi məlumatdır, lakin avtomatik olaraq biometrik məlumat deyil. Eyni fotoşəkil üz şablonuna çevrildiyi və tanıma sistemi tərəfindən binaya giriş imkanı vermək üçün istifadə edildiyi anda biometrik məlumatlara çevrilir. Bu dəyişiklik hüquqi çərçivəni tamamilə dəyişdirir.

Biometrik identifikatorlara barmaq izləri, üz həndəsəsi, göz qüzehli qişası və tor qişa naxışları, səs naxışları və davranış xüsusiyyətləri, məsələn, yazı ritmi və ya kiminsə yeriş tərzi biometrik identifikatorlar kimi nümunələrdir. Onların ortaq cəhəti odur ki, onlar müəyyən bir fərdi tanımaq üçün istifadə olunur.

Niyə GDPR biometrik məlumatlara fərqli yanaşır?

GDPR-in 9-cu maddəsinə əsasən, şəxsin unikal şəkildə müəyyən edilməsi məqsədilə emal edilən biometrik məlumatlar şəxsi məlumatların xüsusi kateqoriyalarına aiddir. Eyni kateqoriyaya irqi və ya etnik mənşə, siyasi fikirlər, dini inanclar, sağlamlıq və cinsi həyat haqqında məlumatlar daxildir.

Səbəb sui-istifadənin nəticələrinin ciddi və çox vaxt geri dönməz olmasıdır. Şifrə dəyişdirilə bilər; barmaq izi və ya gözün qüzehli qişası dəyişdirilə bilməz. Biometrik şablonların verilənlər bazası pozularsa, müvafiq şəxslər şəxsiyyət saxtakarlığı riski ilə üzləşirlər.

Holland yanaşması nə dərəcədə sərtdir?

AP bu qaydaları ciddi şəkildə şərh edir. Onun başlanğıc nöqtəsi biometrik identifikasiyanın qadağan edilməsi və istisnaların məhdud olmasıdır.

Hollandiyanın GDPR Tətbiqi Qanunu (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) milli istisna əlavə edir. UAVG-nin 29-cu maddəsinə əsasən, biometrik məlumatlar identifikasiya və ya təhlükəsizlik məqsədləri üçün zəruri olduqda unikal identifikasiya üçün işlənə bilər. "Lazımlı" açar sözdür. Bu o deməkdir ki, məqsədə nişan, kod və ya açar kimi daha az müdaxilə vasitələri ilə ağlabatan şəkildə nail olmaq mümkün deyil. AP öz təlimatında mağazalar kimi ictimai yerlərdə üz tanımasının prinsipcə icazə verilmədiyini açıq şəkildə bildirib.

Hansı hüquqi bazaya ehtiyacınız var?

Sizə iki lazımdır: GDPR-in 6-cı maddəsinə əsasən emal üçün qanuni əsas və xüsusi kateqoriyalara qoyulan qadağanı aradan qaldırmaq üçün GDPR-in 9(2)-ci maddəsi və ya UAVG-nin 29-cu maddəsi üzrə istisna. Hər ikisi olmadan emal qanunsuzdur.

GDPR-ın 6-cı maddəsində altı qanuni əsas sadalanır: razılıq, müqavilənin icrası, hüquqi öhdəlik, həyati maraqlar, ictimai maraqlar naminə tapşırıq və qanuni maraqlar. Bu, ilk maneədir və bütün şəxsi məlumatlara aiddir.

Biometrik məlumatlar xüsusi bir kateqoriya olduğundan, GDPR-in 9(2)-ci maddəsinin şərtlərindən birini və ya UAVG-nin 29-cu maddəsindəki Hollandiya istisnasını yerinə yetirməlisiniz. Bunlar qadağanın aradan qaldırıla biləcəyi yeganə yollardır. Başlamazdan əvvəl, nəzarətçinin kim olduğunu və prosessor kimi kimin çıxış etdiyini, məsələn, skan sisteminin təchizatçısını da müəyyən edin. GDPR çərçivəsində nəzarətçi və prosessorun rolları haqqında məqaləmizdə fərq və sizə lazım olan emal müqaviləsi izah olunur.

Açıq razılıq nə vaxt etibarlıdır?

Açıq razılıq adi razılıqdan daha yüksək standartdır. Bu razılıq aydın, təsdiqləyici bir ifadə ilə verilməli, konkret, məlumatlı, birmənalı və sərbəst şəkildə verilməlidir.

• xüsusi: "Təhlükəsizlik məqsədləri"nə ümumi istinad kifayət deyil; biometrik məlumatlara nə üçün ehtiyacınız olduğunu dəqiq şəkildə bildirməlisiniz.
• məlumat: İnsanlar hansı məlumatları topladığınızı, onlarla nə etdiyinizi, kimin onlara giriş əldə etdiyini və nə qədər saxladığınızı bilməlidirlər.
• Pulsuz verilir: şəxs mənfi nəticələr olmadan imtina edə bilməli və istənilən vaxt razılığını geri götürə bilməlidir.

Əmək münasibətlərində sonuncu şərt problemdir. İmtina edən işçi nəticələrdən qorxa bilər və buna görə də AP işçinin razılığının nadir hallarda sərbəst şəkildə verildiyi qənaətindədir. Razılığa əsaslanan işəgötürən, real alternativin mövcud olduğunu və yalnız kağız üzərində deyil, praktikada təklif olunduğunu göstərə bilməlidir.

Başqa hansı istisnalar var?

Digər istisnalar məhduddur. Aşağıdakı cədvəldə ən uyğunları müqayisə edilir.

İşçilər üçün barmaq izlərindən və ya üz skanlarından istifadə edə bilərsinizmi?

Yalnız biometrik məlumatların identifikasiya və ya təhlükəsizlik üçün həqiqətən zəruri olduğu və daha az müdaxiləli vasitələrin uyğun olmadığı təqdirdə. İş vaxtı qeydiyyatı, kassa və ya adi ofis qapısı üçün bu, adətən belə deyil.

29-cu maddə UAVG-yə əsasən aparılan test, məqsədə daha az müdaxilə vasitələri ilə ağlabatan şəkildə nail olub-olmamasıdır. Kassaya, vaxt qeydiyyatı sisteminə və ya ofis qapısına girişi idarə edən skaner adətən bu testdən keçə bilmir, çünki döş nişanı, kod və ya açar biometrik məlumatlar olmadan eyni nəticəni əldə edir. Biometrik girişin qəbul edildiyi hallarda təhlükəsizlik marağı əhəmiyyətli və spesifikdir: təhlükəli materialları emal edən obyekt, təhlükəsiz laboratoriya, məlumat mərkəzi və ya seyf.

Ayrı-ayrılıqda, işçi şurasının (ondernemingsraad) mövcud olduğu yerlərdə, işçilərin davamiyyətini, davranışını və ya fəaliyyətini qeydə alan və ya izləyən, yaxud onların şəxsi məlumatlarını emal edən sistem, İş Şuraları Qanununun (Wet op de ondernemingsraden, WOR) 27(1)(k) və (l) maddələrinə əsasən onun razılığını tələb edir. GDPR-ə riayət etmək bu tələbi aradan qaldırmır və razılıq olmadan tətbiq edilən sistemə etiraz edilə bilər.

Müştərilər üçün biometrik məlumatlardan istifadə edə bilərsinizmi?

Bəzən, lakin eyni ciddi qaydalar tətbiq olunur. Biometrik məlumatların istifadəsi həqiqətən könüllü olduğu və ekvivalent alternativ mövcud olduğu təqdirdə, müştərilər üçün açıq razılıq etibarlı əsas ola bilər.

Ümumi nümunələr barmaq izi ilə bank tətbiqinin kilidini açmaq, onlayn hesab açarkən selfi ilə şəxsiyyət təsdiqləməsi və üz tanıma ilə idman zalına və ya tədbirə girişdir. Biometrik yoxlama tamamilə müştərinin öz telefonunda, telefonun daxili texnologiyasından istifadə etməklə aparıldıqda, şirkət adətən biometrik məlumatları özü almır. Bu, şirkət üçün riski və öhdəlikləri əhəmiyyətli dərəcədə azaldır.

Şirkət məlumatları özü emal etdikdə, məsələn, öz serverlərindəki pasport şəkli ilə selfini müqayisə etdikdə, bunun üçün etibarlı əsas olmalıdır. Razılıq tələb edir ki, müştəri heç bir mənfi cəhət olmadan bank köçürməsi və ya filiala baş çəkmək kimi başqa bir yolu seçə bilsin. Banklar və digər maliyyə qurumları üçün çirkli pulların yuyulmasına qarşı mübarizə qanunvericiliyinə əsasən müştəri araşdırması öhdəlikləri rol oynayır, lakin onlar öz-özlüyündə biometrik emal tələb etmir.

Bəs üz tanıma funksiyası olan kameralar haqqında nə demək olar?

Mağazalarda, stadionlarda və ya digər ictimai yerlərdə üz tanıma kameralarına prinsipcə şəxsi qonaqlıqlar üçün icazə verilmir. Yanından keçən insanlar açıq şəkildə razılıq verə bilməzlər və nadir hallarda 29-cu Maddə UAVG testinə cavab verən bir zərurət olur.

AP pərakəndə satıcılara xəbərdarlıq edib ki, mağazadan oğurluq edənləri müəyyən etmək və ya müştəriləri tanımaq üçün üz tanıma sistemindən istifadə etməyə icazə verilmir. Biometrik identifikasiya olmadan adi kamera nəzarəti fərqli, daha az sərt qaydalara tabedir, lakin yenə də qanuni maraq, aydın bildirişlər və məhdud saxlama müddətləri tələb edir. Mövcud kamera sisteminə üz tanıma proqramının əlavə edilməsi qiymətləndirməni tamamilə dəyişdirir.

Məlumatların qorunmasına təsirin qiymətləndirilməsinə nə vaxt ehtiyacınız var?

Demək olar ki, həmişə. İnsanları müəyyən etmək üçün biometrik məlumatların emalı yüksək riskli emaldır və AP onu GDPR-in 35-ci maddəsinə əsasən məlumatların qorunmasına təsirin qiymətləndirilməsini (DPIA) tələb edən emal əməliyyatları siyahısına daxil etmişdir.

DPIA strukturlaşdırılmış məxfilik risk qiymətləndirməsidir. Bu qiymətləndirmə, tək bir barmaq izini və ya üzünü skan etməzdən əvvəl nə etməyi planlaşdırdığınızı təsvir etməyə, əlaqəli insanlar üçün riskləri müəyyən etməyə və bu riskləri necə idarə edəcəyinizə qərar verməyə məcbur edir. Qalan risk yüksəkdirsə və kifayət qədər azaldıla bilmirsə, başlamazdan əvvəl AP ilə məsləhətləşməlisiniz (GDPR-in 36-cı maddəsi).

DPIA hüquqi əsas üzərində qurulur: əvvəlcə 6-cı maddəyə əsasən əsas, 9-cu maddəyə və ya 29-cu maddəyə əsasən istisna müəyyən edir və sonra konkret sistemin zəruri və mütənasib olub-olmadığını qiymətləndirirsiniz.

DPIA nələri ehtiva edir?

Nümunə olaraq server otağına giriş üçün barmaq izi skanerini götürək. DPIA dörd elementi əhatə edir.

• Emalın təsviri. Hansı məlumatları toplayırsınız: şablon, yoxsa tam şəkil? Necə toplanır, harada saxlanılır, necə istifadə olunur və nə vaxt silinir? Kimin girişi var? Təchizatçı iştirak edirmi?
• Zərurət və mütənasiblik. Server otağına icazəsiz giriş kimi hansı konkret problemi həll edirsiniz? Niyə bu halda nişanlar və ya kodlar kifayət deyil? Topladığınız məlumatlar minimum tələb olunan səviyyədədirmi?
• Əlaqəli insanlar üçün risklər. Şablonların verilənlər bazası oğurlanarsa nə olacaq? Məlumatlar sonradan iş saatlarının monitorinqi (funksiya sürünməsi) kimi digər məqsədlər üçün istifadə edilə bilərmi? Barmaq izləri oxuna bilməyən işçilərlə nə baş verir? Fövqəladə hal zamanı sistem səlahiyyətli şəxsi bloklasa nə olacaq?
• Risklərin aradan qaldırılması üçün tədbirlər. Kartda və ya cihazda şifrələmə və saxlama kimi texniki tədbirlər; siyasət, təlim və pozuntulara qarşı cavab planı kimi təşkilati tədbirlər; və heç kimin kənarda qalmaması üçün qeyri-biometrik alternativ.

İşlənmənin əhatə dairəsi, təbiəti və ya konteksti dəyişdikdə DPIA-nı nəzərdən keçirin (GDPR-ın 35(11)-ci maddəsi). Yalnız şikayətdən sonra yazılmış təhlil AP üçün az əhəmiyyət kəsb edir.

Hansı təhlükəsizlik tədbirləri gözlənilir?

Mümkün qədər az toplayın, lazım olduğundan artıq saxlamayın və güclü texniki və təşkilati tədbirlərlə qoruyun. Bu prinsiplər GDPR-in 5 və 32-ci maddələrindən irəli gəlir.

Məlumatların minimuma endirilməsi ilə başlayın: yalnız konkret, qanuni məqsəd üçün lazım olan biometrik məlumatları toplayın. Giriş nəzarəti üçün adətən şablon kifayətdir; yüksək qətnaməli üz skanına ehtiyac yoxdur. Bunu saxlama məhdudiyyəti ilə birləşdirin: saxlama müddəti təyin edin və məlumatları artıq lazım olmadıqda, məsələn, işçi işdən çıxdıqda və ya artıq girişə ehtiyac duymadıqda təhlükəsiz şəkildə silin.

Texniki və təşkilati tədbirlər

Təhlükəsizlik yüksək riskə uyğun olmalıdır. Əsas texniki tədbirlərə aşağıdakılar daxildir:

• Şifreleme həm hərəkətdə, həm də tranzitdə biometrik məlumatların.
• Sərt giriş nəzarəti, beləliklə, yalnız aydın ehtiyacı olan səlahiyyətli işçilər məlumatlara daxil ola bilərlər.
• Mərkəzləşdirilməmiş saxlamaMümkün olduqda, şablonları mərkəzi verilənlər bazasında deyil, cihazda və ya istifadəçinin öz kartında saxlayın. Bu, kütləvi pozuntu ehtimalını daha az edir.

Təkcə texnologiya kifayət deyil. Biometrik məlumatlar üzrə yazılı siyasət, işçi heyətinin təlimi, dövri təhlükəsizlik auditləri və təchizatçılarla aydın müqavilələr kimi təşkilati tədbirlər də eyni dərəcədə vacibdir. Əgər təchizatçı məlumatları sizin adınızdan emal edirsə, GDPR-in 28-ci maddəsinə əsasən emal müqaviləsinə ehtiyacınız var.

Aydın məxfilik bildirişi

İnsanların biometrik məlumatları ilə nə etdiyinizi bilmək hüququ var (GDPR-in 13 və 14-cü maddələri). Məlumat qısa, asan tapıla bilən və sadə dildə yazılmalıdır.

Biometrik emalla bağlı məxfilik bildirişində kim olduğunuz və sizinlə necə əlaqə saxlayacağınız, məlumatları niyə emal etdiyiniz, 6-cı maddəyə əsasən hüquqi əsas və istinad edilən istisna, hansı məlumatları topladığınız (məsələn, barmaq izi şablonu), onu nə qədər müddətə saxladığınız, təchizatçılar da daxil olmaqla kiminlə paylaşdığınız və insanların giriş, düzəliş, silmə və etiraz kimi hansı hüquqlara malik olduğu izah edilməlidir.

Süni İntellekt Qanunu da tətbiq olunurmu?

Bəli, müəyyən biometrik sistemlər üçün. AB Süni İntellekt Qanunu (Tənzimləmə (EU) 2024/1689) GDPR-ə əlavə qaydalar əlavə edir.

2 fevral 2025-ci ildən etibarən Süni İntellekt Qanunu bir sıra təcrübələri, o cümlədən üz tanıma məlumat bazaları yaratmaq üçün internetdən və ya kamera görüntülərindən üz şəkillərinin hədəfsiz şəkildə çıxarılması, iş yerində və təhsildə emosiyaların tanınması (tibbi və ya təhlükəsizlik səbəbləri istisna olmaqla) və irq və ya cinsi oriyentasiya kimi həssas xüsusiyyətləri müəyyən etmək üçün biometrik təsnifatı qadağan edir. Uzaqdan biometrik identifikasiya kimi digər biometrik sistemlər yüksək riskli kimi təsnif edilir və ciddi tələblərə tabedir. Sistemi tətbiq etməzdən əvvəl hər iki çərçivəni yoxlayın.

Uyğunsuzluğun nəticələri nələrdir?

Yüksək cərimələr, emalın dayandırılması əmrləri və zərərin ödənilməsi üçün iddialar. Xüsusi kateqoriyaların qanunsuz emalına görə GDPR, hansı daha yüksəkdirsə, 20 milyon avroya və ya dünya miqyasında illik dövriyyənin 4%-nə qədər cərimələrə icazə verir.

Bu maksimum məbləğlər GDPR-in 83(5)-ci maddəsindən irəli gəlir və digər məsələlərlə yanaşı, etibarlı əsas və ya istisna olmadan emal üçün də tətbiq olunur. Təhlükəsizlik və pozuntu bildirişi üzrə öhdəliklərin pozulması (GDPR-in 32-34-cü maddələri) 10 milyon avroya qədər və ya dünya miqyaslı dövriyyənin 2%-i qədər cərimələrə səbəb ola bilər. Cərimələr təsirli, mütənasib və çəkindirici olmalıdır. AP məbləği öz cərimə siyasətinə əsasən müəyyən edir.

AP nəyi tətbiq etdi?

AP qanunsuz biometrik məlumatların emalına görə həm işəgötürənləri, həm də texnologiya şirkətlərini cərimələyib. İki qərar diqqət çəkir.

2020-ci ildə AP işçilərin barmaq izlərini davamiyyət və iş vaxtının qeydiyyatı üçün skan edən bir şirkətə 725,000 avro cərimə tətbiq etdi. AP heç bir istisnanın tətbiq olunmadığını müəyyən etdi: işçilərin razılığı sərbəst şəkildə verilmədi və iş saatlarının qeydiyyatının rahatlığı biometrik emalı zəruri edən təhlükəsizlik məqsədi deyil. 2024-cü ilin sentyabr ayında AP Amerikanın Clearview AI şirkətini hüquqi əsas olmadan hollandların da daxil olduğu üz şəkillərinin məlumat bazası yaratdığına görə 30.5 milyon avro cərimələdi.

AP-nin icrası zamanı dörd sual doğurur. Məqsəd nədir, ümumiyyətlə "təhlükəsizlik" kimi deyil, konkret olaraq ifadə olunur? Buna daha az müdaxilə vasitələri ilə nail olmaq mümkündürmü? Razılığa etibar edilərsə, insanlar nəticəsiz imtina edə bilərlərmi? Və bu, sistem tətbiq olunmazdan əvvəl qiymətləndirilib sənədləşdirilibmi? Hollandiya Məlumatların Mühafizəsi Orqanı haqqında məqaləmizdə AP-nin səlahiyyətləri daha ətraflı izah olunur.

Digər nəticələr

Cərimə yeganə risk deyil. AP sizə əməliyyatlarınızın asılı olduğu sistemi dayandıra biləcək emalı dayandırmağı əmr edə bilər və qanunsuz olaraq toplanan məlumatları silməyi əmr edə bilər. Məlumatları qanunsuz olaraq emal edilmiş şəxslər 82-ci GDPR maddəsinə əsasən maddi və qeyri-maddi ziyana görə kompensasiya tələb edə bilərlər və Hollandiyada bu cür iddialar kollektiv şəkildə də qaldırıla bilər. Dövlət icrası qərarının nüfuza vurduğu ziyan xeyli ola bilər.

Biometrik məlumatlar sızdırılarsa nə edəcəksiniz?

Pozuntunu məhdudlaşdırın, riski qiymətləndirin, 72 saat ərzində AP-yə məlumat verin və risk yüksəkdirsə, təsirlənən insanlara lazımsız gecikmə olmadan məlumat verin. Hər hansı bir problem yaranmazdan əvvəl bunu cavab planında hazırlayın.

GDPR-in 33-cü maddəsinə əsasən, şəxsi məlumatların pozulması barədə məlumat əldə etdikdən sonra 72 saat ərzində və mümkün olduqda, pozuntunun müvafiq şəxslər üçün risk yaratması ehtimalı az olduğu hallar istisna olmaqla, AP-yə lazımsız gecikmə olmadan məlumat verməlisiniz. Bildirişdə pozuntunun mahiyyəti, təsirlənən insanların və qeydlərin kateqoriyaları və təxmini sayı, ehtimal olunan nəticələr və görülən və ya təklif olunan tədbirlər təsvir olunur. Bütün məlumatları birdən təqdim edə bilmirsinizsə, daha sonra əlavə edə bilərsiniz.

Addım 1: Pozuntunu məhdudlaşdırın və təsirini qiymətləndirin

İlk prioritetiniz pozuntunu dayandırmaqdır. Təsirə məruz qalan sistemləri təcrid edin, araşdırma üçün qeydləri və digər sübutları saxlayın və hansı məlumatların təsirə məruz qaldığını dəqiq müəyyən edin: xam şəkillər və ya şifrələnmiş şablonlar və kimlər.

Addım 2: təsirlənən insanları məlumatlandırmaq barədə qərar verin

GDPR-in 34-cü maddəsinə əsasən, pozuntunun onların hüquq və azadlıqlarına yüksək risk yarada biləcəyi təqdirdə, təsirə məruz qalan şəxslərə lazımsız gecikmə olmadan məlumat verməlisiniz. Biometrik məlumatlarla bu hədd çox vaxt aşılır, çünki məlumatlar dəyişdirilə bilməz. İstisna, məsələn, güclü şəkildə şifrələnmiş və açarı pozulmamış məlumatlardır. Mesaj sadə dildə olmalıdır: nə baş verib, hansı məlumatlar iştirak edib və insanlar özlərini qorumaq üçün nə edə bilərlər.

Addım 3: Cavabı icra edin və sənədləşdirin

Hər addımı qeyd edin: aşkarlanma anı, qəbul edilmiş qərarlar, rabitə və texniki tədbirlər. GDPR-in 33(5)-ci maddəsinə əsasən, bildirməli olmadığınız pozuntular da daxil olmaqla, hər bir pozuntunu sənədləşdirməlisiniz. Yaxşı sənədləşmə AP-yə diqqətlə hərəkət etdiyinizi və işi necə qiymətləndirdiyinə təsir göstərə biləcəyini göstərir.

İşəgötürən və ya şirkət olaraq nəyi yoxlamalısınız?

Əvvəlcə zərurəti yoxlayın və sistem işə düşməzdən əvvəl hər addımı sənədləşdirin. Bu beş yoxlama AP-nin baxdığı məqamları əhatə edir.

• Xüsusi təhlükəsizlik məqsədini və niyə nişan, PIN kodu və ya açarın kifayət etmədiyini yazın (Maddə 29 UAVG).
• GDPR-in 6-cı maddəsi və GDPR-in 9(2)-ci maddəsi və ya UAVG-nin 29-cu maddəsi üzrə istisnanı qeyd edin.
• İlk müayinədən əvvəl DPIA-nı tamamlayın və yüksək risk qaldıqda AP ilə məsləhətləşin (GDPR-ın 35 və 36-cı maddələri).
• Sistemi tətbiq etməzdən əvvəl İşçi Şurasından İşçilərin İşə Qəbulu Qaydalarının 27(1)(k) və (l) maddələrinə əsasən razılıq istəyin.
• Təchizatçı ilə emal müqaviləsi imzalayın (GDPR-in 28-ci maddəsi) və şablonlar üçün saxlama müddəti təyin edin.

İşçi və ya müştəri olaraq nəyi yoxlamalısınız?

Biometrik məlumatlarınızın necə istifadə olunduğunu bilmək və qanunsuz emala etiraz etmək hüququnuz var. Barmaq izinizi və ya üzünüzü skan etməyiniz istənirsə, bu məqamları yoxlayın.

• Nişan və ya PIN kodu kimi biometrik olmayan alternativ varmı və onu heç bir problem olmadan istifadə edə bilərsinizmi?
• Məxfilik bildirişində məqsəd, hüquqi əsas və saxlama müddəti göstərilirmi (GDPR-ın 13 və 14-cü maddələri)?
• İşəgötürəninizin sistemə malik olduğu (İş Məcəlləsinin 27-ci maddəsi) iş şurası sistemə razılıq verdimi?
• Məlumatlarınıza giriş və ya onların silinməsi üçün müraciət edin; təşkilat bir ay ərzində cavab verməlidir (GDPR-in 12, 15 və 17-ci maddələri).
• Hüquqlarınıza hörmət edilmirsə, AP-yə şikayət edin (GDPR-ın 77-ci maddəsi) və ya GDPR-ın 82-ci maddəsinə əsasən zərərin ödənilməsini tələb edin.

Biometrik məlumatlarla sizin üçün nə edə bilərik?

İT hüquqşünaslarımız işəgötürənlərə , texnologiya şirkətlərinə və fərdlərə ilk plandan AP-dəki proseslərə qədər biometrik sistemlərlə kömək edirlər.

• Biometrik sisteminizin 29-cu Maddə UAVG-nin zərurilik testinə cavab verib-vermədiyini qiymətləndiririk.
• Biz DPIA və məxfilik bildirişini hazırlayırıq və ya nəzərdən keçiririk.
• Biz WOR-un 27-ci maddəsinə əsasən iş şurasına razılıq sorğusunu hazırlayırıq.
• Təchizatçınızla GDPR-in 28-ci maddəsinə əsasən emal müqaviləsini nəzərdən keçiririk.
• Məlumatların sızması barədə 72 saatlıq son tarix ərzində AP-yə məlumat verməyinizə və AP-nin tətbiqinə cavab verməyinizə kömək edirik.

xülasə

• Unikal identifikasiya üçün istifadə edilən biometrik məlumatlar GDPR-ın 9-cu maddəsinə əsasən xüsusi bir kateqoriyadır; istisna tətbiq edilmədikdə, onların emalı qadağandır.
• Niderlandda UAVG-nin 29-cu maddəsi yalnız identifikasiya və ya təhlükəsizlik üçün zəruri hallarda icazə verir; rahatlıq kifayət deyil.
• İşçinin razılığı nadir hallarda etibarlı olur; real qeyri-biometrik alternativ təklif edin və lazım olduqda iş şurasının razılığını alın.
• Əvvəlcədən DPIA aparın, məlumatları minimuma endirin, şablonları lokal olaraq saxlayın və şifrələyin.
• Pozuntular barədə 72 saat ərzində AP-yə məlumat verin; cərimələr 20 milyon avroya və ya dünya miqyaslı dövriyyənin 4%-nə çata bilər.

Tez-tez soruşulan suallar