REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

UODO: wykorzystywanie danych biometrycznych wyjątkowo

UODO: wykorzystywanie danych biometrycznych wyjątkowo/Fot. Shutterstock
UODO: wykorzystywanie danych biometrycznych wyjątkowo/Fot. Shutterstock
fot.Shutterstock

REKLAMA

REKLAMA

UODO podkreśla, iż wykorzystywanie danych biometrycznych może mieć miejsce tylko w wyjątkowych sytuacjach. Jakie są zagrożenia?

Dane biometryczne mogą być wykorzystywane tylko w wyjątkowych sytuacjach

Przetwarzanie danych biometrycznych mocno ingeruje w prywatność osób, powoduje liczne zagrożenia, jak np. możliwość ujawnienia danych szczególnych kategorii czy doprowadzenie do dyskryminacji. Dlatego budowa każdego systemu przetwarzania danych biometrycznych powinna być poprzedzona przeprowadzeniem oceny skutków dla ochrony danych, a ostateczna decyzja o jego zastosowaniu uwzględniać podstawowe zasady ochrony danych osobowych, takie jak niezbędność, celowość oraz proporcjonalność.

Autopromocja

Rozporządzenie ogólne o ochronie danych osobowych (RODO) nieprzypadkowo co do zasady zabrania przetwarzania danych biometrycznych, poza pewnymi wyjątkami. Dane takie jak odciski palców, wizerunek twarzy, siatkówka czy tęczówka oka, czy behawioralne lub psychiczne cechy danej osoby, przetwarzane specjalnymi metodami technicznymi, pozwalają nie tylko jednoznacznie nas zidentyfikować i określić, ale są to dane niezmienne. A więc w ciągu całego naszego życia nie da się ich zmienić, tak jak np. nazwiska, numeru identyfikacyjnego, adresu zamieszkania. Ewentualny wyciek tej szczególnej kategorii danych osobowych - spowodowałby wysokie ryzyko naruszenia praw i wolności osób, których dotyczą. Negatywne konsekwencje takiego zdarzenia mogą mieć miejsce przez całe dalsze życie. Dlatego przetwarzanie danych biometrycznych dopuszczone jest tylko wyjątkowo na podstawie art. 9 ust. 2 RODO gdy m.in.  pozwala na to przepis bądź osoba, której dane dotyczą wyraziła na to zgodę.

Zgoda również z warunkami

RODO określa, że zgoda musi być jednoznaczna, dobrowolna, świadoma i wyrażona wprost przez osoby, których dane dotyczą i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. A więc podstawowymi przesłankami konstrukcyjnymi zgody są dobrowolność, konkretność, świadomość i jednoznaczność. Ponadto wyrażający zgodę powinien wiedzieć, w jakim celu i komu danej zgody udziela.

Wymóg dobrowolności zgody oznacza zaś, że osoba, której dane dotyczą, ma rzeczywisty i wolny wybór co do udzielenia zgody oraz może jej odmówić lub ją wycofać bez niekorzystnych konsekwencji. A więc brak zgody osoby na przetwarzanie jej danych nie może powodować np. dyskryminacji, pogorszenia jakości świadczonej usługi czy niemożliwości skorzystania z niej.

Biometria kusi

Coraz częściej administratorzy danych chcą jednak sięgać po dane biometryczne. Jednym z powodów jest choćby łatwość pozyskania  niektórych takich danych (np. poprzez przyłożenie palca do czytnika lub oka do skanera) i późniejszej weryfikacji osoby na ich podstawie. Przykładem może być kontrola wejść do pomieszczeń czy budynków na podstawie np. odcisku palca, a więc danych daktyloskopijnych. Dużo łatwiej i szybciej jest przyłożyć palec do czytnika linii papilarnych niż wbijać kod dostępu czy korzystać z karty zbliżeniowej, którą można zgubić lub udostępnić innej, nieuprawnionej osobie.

Dalszy ciąg materiału pod wideo

Upowszechnianie się wykorzystanie biometrii powoduje, że coraz częściej kwestiami z nią związanymi zajmują się europejskie organy nadzoru w swoich postępowaniach.

Przetwarzanie danych biometrycznych nie może się odbywać z pominięciem zasady minimalizacji określonej w art. 5 ust. 1 lit. c) RODO. Zgodnie z nią administrator danych może pozyskiwać tylko te dane, które są niezbędne dla zrealizowania konkretnych celów.

Zwrócił na to uwagę holenderski organ nadzoru w decyzji z 28 kwietnia 2020 r..  Podkreślił on, że należy ocenić, czy identyfikacja za pomocą danych biometrycznych jest konieczna i proporcjonalna do celów uwierzytelniania lub bezpieczeństwa. Organ ten wskazał, że o ile biometria może być wykorzystywana do kontroli wstępu do pomieszczeń z uwagi na bardzo wysoką potrzebę zapewnienia bezpieczeństwa, to jej zastosowanie nie jest zasadne przy wejściu do innych pomieszczeń, jak np. warsztat.

Z kolei szwedzki organ nadzoru badał przetwarzanie danych biometrycznych przez jedną ze szkół. Wprowadziła ona możliwość przetwarzania danych biometrycznych w postaci rysów twarzy uczniów w celu automatycznego potwierdzania ich obecności w klasie. Szkoła ta wskazywała zgodę, jako podstawę przetwarzania danych. Szwedzki organ nałożył w tej sprawie karę na szkołę. Uznał on, że przetwarzanie szczególnych kategorii danych musi mieć oparcie zarówno w przesłankach legalizujących , a także jednocześnie musi być zgodne z zasadami przetwarzania danych. Czyli np. zgoda, nie może być przesłanką legalizującą przetwarzanie danych, jeżeli jednocześnie nie spełnia ona zasad określonych w RODO, takich jak np. dobrowolność wyrażenia zgody.

Sąd Administracyjny w Marsylii zakwestionował zgodę jako podstawę przetwarzania danych biometrycznych przez dwie szkoły, które na podstawie decyzji rady regionalnej regionu Prowansja-Alpy-Lazurowe Wybrzeże wykorzystywały technologie rozpoznawania twarzy do kontrolowania wejścia i wyjścia uczniów do budynku. Sąd ten uznał, że uczniowie nie mogli wyrazić „zgody na zbieranie danych osobowych w sposób swobodny i świadomy”, ze względu na stosunek zwierzchnictwa wiążący uczniów z administracją szkoły.

Biometria a dyskryminacja

Również w Polsce różne podmioty chętnie sięgają po dane biometryczne. Nie zawsze chęć przetwarzania takich danych idzie w parze z odpowiednio przeprowadzoną oceną ryzyka bądź analizą, czy tych samych celów nie można osiągnąć w inny, mniej ingerujący w prywatność, sposób, przy którym nie będzie konieczne przetwarzanie danych biometrycznych.

W jednym z takich przypadków dane biometryczne przetwarzała szkoła. Wprowadziła ona system identyfikacji biometrycznej przy wejściu do stołówki szkolnej, który pozwala dokonać  weryfikacji wśród dzieci uiszczenia opłaty za posiłek. UODO prowadząc postępowanie administracyjne wobec tego administratora ustalił, że przepisy prawa powszechnie obowiązującego w Polsce wskazujące rodzaj danych jakie szkoła może pozyskiwać od swoich uczniów. I żaden z nich nie zezwala szkole na przetwarzanie danych biometrycznych. Szkoła w tym przypadku pozyskiwała dane biometryczne w postaci odcisku palca i przetwarzała je na podstawie pisemnej zgody rodziców lub opiekunów prawnych.

UODO w swojej decyzji stwierdził, że przetwarzanie danych biometrycznych nie jest niezbędne dla osiągnięcia celu, jakim jest identyfikacja uprawnienia dziecka do odebrania obiadu. Szkoła może przeprowadzić identyfikację za pomocą innych środków, które nie ingerują tak dalece w prywatność dziecka. Ponadto szkoła obok systemu identyfikacji na podstawie odcisku linii papilarnych, miała system identyfikacji w oparciu o karty elektroniczne. Weryfikacja uczniów z opłaconymi posiłkami odbywała się również na podstawie nazwiska i numeru umowy. Zatem, w szkole były alternatywne formy identyfikacji uprawnienia dziecka do odebrania obiadu.

Jednak te dzieci, których rodzice nie wyrazili zgody na przetwarzanie ich danych biometrycznych, musiały przepuścić w kolejce na stołówce wszystkich tych, którzy identyfikowani byli na podstawie odcisku paca. Organ nadzoru uznał więc, że doszło do dyskryminacji tych osób. Ponadto wykorzystywanie danych biometrycznych w zestawieniu z celem, w jakim są one przetwarzane, było w tym przypadku nieproporcjonalne.

WSA inaczej podszedł do danych niż w dotychczasowym orzecznictwie NSA

Prezes UODO nałożył więc na szkołę karę w wysokości 20 tys. zł za to, że przetwarzała dane biometryczne dzieci i nakazał jej usunąć te dane. Jednak decyzja ta została zaskarżona do Wojewódzkiego Sądu Administracyjnego, który ją uchylił. WSA uznał w tej sprawie, że wyrażenie zgody przewidziane w art. 9 ust. 1 lit. a RODO legalizuje pobieranie i przetwarzanie danych biometrycznych dzieci.

UODO jednak nie może się z tym zgodzić. Udzielona przez rodziców zgoda na przetwarzanie danych biometrycznych ich dzieci nie może być uznana za dobrowolną, skoro jej brak wywoływał negatywne skutki w postaci konieczności przepuszczenia w kolejce po posiłek, tych dzieci, których rodzice taką zgodę wyrazili.

Sądy administracyjne w Polsce zajmowały się już przetwarzaniem danych biometrycznych. Naczelny Sąd Administracyjny w wyroku z 1 grudnia 2009 r. sygn. akt I OSK 249/09 uznał, że wykorzystywanie danych biometrycznych pracowników do kontroli czasu pracy narusza zasadę adekwatności. Sąd ten wskazał, że wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania.

Wyrok WSA, który uchylił decyzję Prezesa UODO nakładającą karę na szkołę, przetwarzającą dane biometryczne uczniów jest w opozycji do wcześniejszego orzecznictwa NSA.

Cel nie może uświęcać środków

WSA uznał, że UODO zbyt rygorystycznie podszedł do zasady minimalizacji danych. Sąd ten stwierdził, że wymóg niezbędności należy odczytywać łącznie z wymogiem adekwatności i stosowności, co powinno pozwolić na uwzględnienie okoliczności i dopuszczenie przetwarzania danych, które w istotny sposób mogą pomóc osiągnąć cele przetwarzania.

UODO nie może się zgodzić z takim stwierdzeniem. Administrator może bowiem przetwarzać tylko te dane, które są mu niezbędne do realizacji określonego celu. Umożliwienie przetwarzania danych, które nie są niezbędne, a jedynie mogą pomóc osiągnąć cel może prowadzić do przetwarzania pod takim pretekstem nieograniczonego zakresu danych. Administrator mógłby wówczas tłumaczyć, że dane nie są niezbędne, ale mogą okazać się przydatne w realizacji danego celu. Takie podejście naruszałoby zasady minimalizacji i adekwatności.

Biorąc pod uwagę ryzyka związane z przetwarzaniem danych, zasady określone w RODO, Prezes UODO złożył do Naczelnego Sądu Administracyjnego kasację od wspomnianego wyroku WSA (sygn. akt II SA/Wa 809/20), który uchylił decyzję organu nadzorczego. Zdaniem UODO w sprawie doszło nie tylko do naruszenia zasad określonych w RODO, tj. minimalizacji i adekwatności, dobrowolności wyrażenia zgody, ale i do dyskryminacji niektórych uczniów.

Ponadto RODO duży nacisk kładzie na ochronę danych osobowych dzieci, gdyż mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych. Tymczasem negatywne konsekwencje ewentualnego naruszenia ochrony danych biometrycznych w takim przypadku będą miały miejsce przez całe życie tych osób, nawet po osiągnięciu przez nie pełnoletności, z uwagi na niezmienność tych danych.

Autopromocja

REKLAMA

Źródło: UODO
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie - zapraszamy do subskrybcji naszego newslettera
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code
    Uprawnienia rodzicielskie
    certificate
    Jak zdobyć Certyfikat:
    • Czytaj artykuły
    • Rozwiązuj testy
    • Zdobądź certyfikat
    1/10
    Ile tygodni urlopu macierzyńskiego można maksymalnie wykorzystać jeszcze przed porodem?
    nie ma takiej możliwości
    3
    6
    9 - tylko jeśli pracodawca wyrazi na to zgodę
    Następne
    Kadry
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    4-dniowy tydzień pracy - badanie opinii polskich pracodawców

    4-dniowy tydzień pracy dla niektórych pracodawców jest niewykonalny ze względu na specyfikę branży. Sprawdź, którzy pracodawcy rozważają 4-dniowy tydzień pracy dla swoich pracowników.

    PFRON dofinansuje nawet 85% ceny zakupu samochodu. Masz pytania? Zadzwoń do PFRON!

    Od 1 marca 2024 r. od godz. 10.00 można składać wnioski o dofinansowanie ze środków PFRON do ceny zakupu samochodu osobowego. Pracownicy PFRON udzielą odpowiedzi na pytania zainteresowanych. Przedstawiamy listę numerów telefonów do Oddziałów PFRON.

    Wyższe emerytury, renty, dodatki z KRUS już od 1 marca 2024 r.

    Już od jutra, 1 marca 2024 roku, emerytury i renty z KRUS będą wyższe. Podwyżka dotknie również takich świadczeń KRUS: najniższa emerytura, emerytura matczyna, świadczenie dla sołtysa, świadczenia uzupełniające dla osób niezdolnych do samodzielnej egzystencji, świadczenia wyrównawcze dla działaczy opozycji antykomunistycznej i osób represjonowanych z powodów politycznych oraz dodatki do emerytur np. dodatek pielęgnacyjny.

    Od 1 marca 2024 r. wynagrodzenie pracowników młodocianych wyniesie od 527,83 zł do 754,04 zł

    Od 1 marca 2024 r. wzrasta wynagrodzenie pracowników młodocianych odbywających naukę zawodu oraz przyuczanych do wykonywania określonej pracy. Wysokość ich wynagrodzenia wyniesie od 527,83 zł do 754,04 zł.

    REKLAMA

    Uwaga! 3065,16 zł – tyle od 1 marca 2024 r. pracodawca wpłaci co miesiąc na PFRON za pracownika

    Od 1 marca 2024 r. wzrasta wysokość miesięcznej wpłaty na PFRON. Pracodawcy wpłacą 3065,16 zł składki za pracownika.

    Niezależni konsultanci cenią sobie możliwość wyboru miejsca pracy i stawkę godzinową. Na brak ofert pracy nie narzekają

    Aż 80 proc. niezależnych konsultantów nie jest skłonnych zrezygnować ze swojej niezależności na poczet zatrudnienia w pełnym wymiarze godzinowym, również w czasach niepewności gospodarczej i wysokich stóp procentowych.

    29 lutego – dodatkowy dzień w roku? Jak to jest z tym czasem i czy masz go dla siebie?

    Dziś 29 lutego 2024 roku – masz dodatkowy dzień w roku i zastanawiasz się co z nim zrobić? Czym dla Ciebie jest czas? Czy umiesz nadać mu priorytet? Poznaj 8 zasad efektywnego zarządzania czasem i znajdź czas dla siebie. Finalnie „nie chodzi o to, żeby mieć czas. Chodzi o to, żeby z niego korzystać”. Praktycznych rad udziela psycholog Aleksandra Kolińska.

    Od 1 kwietnia nowe stawki za wypadki przy pracy. 1431 zł za 1% uszczerbku [Obwieszczenie z 21 lutego 2024 r.]

    Są już znane stawki odszkodowań za wypadki przy pracy. 1% uszczerbku na zdrowiu wyceniono na 1431 zł.

    REKLAMA

    Czy 10 marca 2024 to niedziela handlowa?

    Czy 10 marca 2024 to niedziela handlowa? Czy w marcu 2024 jest niedziela handlowa? Kiedy wypadają niedziele handlowe w 2024 roku? Gdzie nie obowiązuje zakaz handlu? 

    Urlop macierzyński dla rodziców wcześniaków i noworodków wymagających hospitalizacji - ruszyły prace

    W dniu 15 lutego 2024 roku ruszyły prace w Ministerstwie Rodziny, Pracy i Polityki Społecznej nad opracowaniem prawnych rozwiązań w zakresie uprawnień rodzicielskich dla rodziców dzieci przedwcześnie urodzonych oraz dzieci hospitalizowanych po urodzeniu. To poważny problem. Środowiska reprezentujące rodziców wcześniaków wskazują, że mama każdego wcześniaka, który wymaga hospitalizacji po narodzinach, miała prawo skorzystać z pełnopłatnego zwolnienia lekarskiego z tytułu opieki nad dzieckiem, a urlop macierzyński, żeby zaczynał się wraz z wypisem dziecka do domu. Dodatkowo, mamy wcześniaków aktualnie przebywające na urlopie macierzyńskim proszą o wydłużenie im tego urlopu o czas, jaki dziecko spędziło w szpitalu. 

    REKLAMA