Co zaliczane jest do danych biometrycznych?

Dane biometryczne to wszelkie dane, które wynikają z przetwarzania technicznego przy pomocy specjalnych urządzeń (np. skanera siatkówki oka lub czytnika linii papilarnych). Dane biometryczne dotyczą szczególnych cech fizycznych, fizjologicznych lub behawioralnych, przy ich pomocy można bezsprzecznie i jednoznacznie zidentyfikować osobę fizyczną. Co może być uznane za dane biometryczne? Wizerunek twarzy, odciski palców, wzór siatkówki to tylko kilka przykładów. Dane biometryczne są jednym z rodzajów danych, należących do kategorii szczególnych danych osobowych (inaczej danych wrażliwych).

Znajomość zagadnień w zakresie danych biometrycznych i możliwości ich przetwarzania jest bardzo istotna szczególnie w działach HR, rekrutacji i zatrudnienia. Dla przedstawicieli tej branży eksperci stworzyli specjalne szkolenia. Szkolenie RODO to praktyczna wiedza o przetwarzaniu i przechowywaniu danych osobowych w ramach prowadzonych rekrutacji i zatrudnienia, w zgodzie z aktualnie obowiązującymi przepisami.

Dane biometryczne - co można za nie uznać?

Przepisy określone przez RODO zezwalają na przetwarzanie tego rodzaju danych tylko w określonych sytuacjach. Najpowszechniejszą jest wyrażenie zgody na ich przetwarzanie (dobrowolne i świadome) przez właściciela biometrycznych danych osobowych. Inną tego rodzaju sytuacją, gdy przetwarzanie danych biometrycznych jest zgodne z prawem, jest przetwarzanie niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Przykładem na to jest przetwarzanie przez pracodawcę danych w celu potwierdzenia, czy pracownik był obecny w pracy danego dnia lub o określonej godzinie.

Dane biometryczne a zasada adekwatności

Zasada adekwatności według RODO polega na tym, że przetwarzać można wyłącznie dane adekwatne i pasujące do określonej sytuacji oraz osiągnięcia wskazanego przez administratora danych osobowych celu. Niedozwolone są czynności, takie jak gromadzenie zbyt dużej liczby danych osobowych, jak również takich, które nie są potrzebne do osiągnięcia wskazanych celów. Danych nie gromadzić należy na zapas, bez powodu, podobnie wygląda sprawa ich przetwarzania - zakres powinien odpowiadać dokładnie temu, na co zgodę wyraził ich właściciel. Również wtedy, gdy zbieranie i przetwarzanie szczególnych kategorii danych, czyli danych wrażliwych (należą do nich np. dane biometryczne) nie jest konieczne, nie należy wymagać ich od swoich pracowników, klientów lub innych osób, które dane osobowe posiadamy. Zanim administrator danych osobowych podejmie decyzję, że dane biometryczne są niezbędne, powinien przeanalizować sytuację i rozważyć, czy innego rodzaju dane (nie ze szczególnej kategorii danych) nie wystarczą, by osiągnąć taki sam skutek. Zamiast linii papilarnych wystarczające mogą być karty dostępowe z indywidualnym numerem, przypisanym do każdego pracownika.

Dane biometryczne a ocena skutków

Ocena skutków według RODO to procedura, którą należy przeprowadzić w określonych sytuacjach, wyszczególnionych w rozporządzeniu (artykuł 35.). Ocena skutków jest wymagana przede wszystkim tam, gdzie przetwarzanie odbywa się przy użyciu nowych technologii i może powodować ryzyko naruszenia praw lub wolności osób fizycznych. Przykładem takiej sytuacji jest przetwarzanie na dużą skalę danych biometrycznych. Ocena skutków jest wskazana m.in. w obszarach, takich jak systemy kontrolujące przepracowany przez zatrudnionego czas i systemy kontrolujące wejścia do konkretnych pomieszczeń. Ponadto również wszędzie tam, gdzie stosowane są systemy rozliczeniowo-ewidencyjne operacji bankowych, handlowych, ubezpieczeniowych, a także kontrolujące wejścia do miejsc, takich jak kluby fitness czy hotele.