Moderní docházkové a zabezpečovací systémy čím dál častěji využívají identifikaci na základě otisků prstů.

Co na to GDPR?

Nejprve stručně technicky, s jakými  otisky prstů se můžete potkat:

  • nasnímaný obrázek (brrr, z hlediska zabezpečení na tuto formu ihned zapomeňte)
  • otisk prsů se vezme, vytáhne se z něj x bodů a ty se převedou do tzv. šablony – zahešované interpretace otisku, ze které se zpětně otisk nedá vytvořit

Z hlediska zpracování se pak tyto šablony mohou ukládat

  • někde v cloudu, do kterého pak sahají všechny ověřovací terminály, které jsou do stejného systému napojené
  • obdobně ale v interní síti na centrálním počítači
  • jen na tom jednom jediném terminálu
  • na čipové kartě, kterou nosí dotyčný člověk u sebe

No a z toho už je zřejmé, jak bezpečný asi ten který systém bude, jaká je jeho zranitelnost a rizika.

Proč je kolem biometrických údajů takový humbuk?

Inu protože je „nepřevléknete“.

Když vám někdo prolomí heslo, tak si ho můžete přenastavit, ale co když se někdo dostane k vašemu otisku palce?

Proto se po nás chce, abychom se o tyto údaje starali obzvláště opatrně a jejich využití se nepřehánělo. Má to smysl, ne?

Co na to ochrana osobních údajů?

Na webu ÚOOÚ najdete několik článků, věnujících se tomuto tématu. Názory dozorových institucí se postupně vyvíjejí a s rozvojem technologií se určitě i vyvíjet budou.

Můj dojem je, že náš milý ÚOOÚ nemá otisky prstů vůbec, ale vůbec rád a jejich využití je tedy potřeba velmi dobře promyslet a zdůvodnit.

 

Článek 9

Zpracování zvláštních kategorií osobních údajů

  1. Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.
  2. Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:
    a) subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie nebo členského státu stanoví, že zákaz uvedený v odstavci 1 nemůže být subjektem údajů zrušen;
    b) zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů;
    c) zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas;
    d) zpracování provádí v rámci svých oprávněných činností a s vhodnými zárukami nadace, sdružení nebo jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, a za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy tohoto subjektu nebo na osoby, které s ním udržují pravidelné styky související s jeho cíli, a že tyto osobní údaje nejsou bez souhlasu subjektu údajů zpřístupňovány mimo tento subjekt;
    e) zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů;
    f) zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo pokud soudy jednají v rámci svých soudních pravomocí;
    g) zpracování je nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů;
    h) zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovní schopnosti zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče či léčby nebo řízení systémů a služeb zdravotní nebo sociální péče na základě práva Unie nebo členského státu nebo podle smlouvy se zdravotnickým pracovníkem a při splnění podmínek a záruk uvedených v odstavci 4;
    i)zpracování je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění přísných norem kvality a bezpečnosti zdravotní péče a léčivých přípravků nebo zdravotnických prostředků, na základě práva Unie nebo členského státu, které stanoví odpovídající a zvláštní opatření pro zajištění práv a svobod subjektu údajů, zejména služebního tajemství; 4.5.2016 L 119/38 Úřední věstník Evropské unie CS
    j) zpracování je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely v souladu s čl. 89 odst. 1 na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů.
  3. Osobní údaje uvedené v odstavci 1 mohou být zpracovávány pro účely uvedené v odst. 2 písm. h), jsou-li tyto údaje zpracovány pracovníkem vázaným služebním tajemstvím nebo na jeho odpovědnost podle práva Unie nebo členského státu nebo pravidel stanovených příslušnými vnitrostátními orgány nebo jinou osobou, na niž se rovněž vztahuje povinnost mlčenlivosti podle práva Unie nebo členského státu nebo pravidel stanovených příslušnými vnitrostátními orgány.
  4. Členské státy mohou zachovat nebo zavést další podmínky, včetně omezení, pokud jde o zpracování genetických údajů, biometrických údajů či údajů o zdravotním stavu.

Definice:

14)„biometrickými údaji“ jsou osobní údaje vyplývající z konkrétního technického zpracování týkající se fyzických či fyziologických znaků nebo znaků chování fyzické osoby, které umožňuje nebo potvrzuje jedinečnou identifikaci, například zobrazení obličeje nebo daktyloskopické údaje;

A co tedy s tím?

A. promyslete koncept

Pokud uvažujete o nasazení systému, který bude otisky prstů využívat, řádně to promyslete.

  • Je to opravdu nezbytné?
  • Nemáme nějaké jiné řešení?
  • Dokážeme vše řádně zabezpečit?

B. vyberte dobrého dodavatele

Zjistěte, jak dodavatel s otisky pracuje a jak se stará o jejich zabezpečení. Zpracovává je v souladu s GDPR? Je připraven na případný další vývoj systému?

C. zajistěte si souhlasy zaměstnanců

Ale pozor, souhlas je jedna věc, ale jste připravení, že zaměstnanec souhlas nemusí udělit nebo ho může odvolat?

Máte připravené náhradní řešení?

A nezapomeňte, že neudělením souhlasu nebo jeho odvoláním nesmí zaměstnanec utrpět žádnou újmu – viz Stanovisko 2/2017 ke zpracování osobních údajů na pracovišti (WP 249) .

D. nastavte procesy

Připravte si dobře procesy pro nástup nového pracovníka – zaznamenání otisků, podepsání souhlasu, evidence souhlasu,…

Ale i pro odvolání souhlasu (vymazání otisku, záznam do evidence, nastavení náhradního řešení, …).

No a nezapomeňte na odchod pracovníka a následné rychlé vymazání jeho otisků.