Elaborazione dei dati biometrici spiegata
Di recente, l'Autorità olandese per la protezione dei dati (AP) ha imposto una multa elevata, pari a 725,000 euro, a un'azienda che ha scansionato le impronte digitali dei dipendenti per la registrazione delle presenze e degli orari. I dati biometrici, come le impronte digitali, sono dati personali speciali ai sensi dell'articolo 9 del GDPR. Si tratta di caratteristiche uniche che possono essere ricondotte a una persona specifica. Tuttavia, questi dati contengono spesso più informazioni di quelle necessarie, ad esempio, per l'identificazione.
Il loro trattamento presenta quindi grandi rischi nell'ambito dei diritti e delle libertà fondamentali delle persone. Se questi dati finiscono nelle mani sbagliate, ciò potrebbe potenzialmente portare a danni irreparabili. I dati biometrici sono quindi ben protetti e il loro trattamento è vietato ai sensi dell'articolo 9 del GDPR, a meno che non vi sia un'eccezione legale per questo. In questo caso, l'AP ha concluso che la società in questione non aveva diritto a un eccezione per l'elaborazione di dati personali speciali.
Fingerprint
Informazioni sull'impronta digitale nel contesto del GDPR e una delle eccezioni, vale a dire necessità, abbiamo già scritto in uno dei nostri blog: "Impronta digitale in violazione del GDPR". Questo blog si concentra sull'altro motivo alternativo di eccezione: autorizzazione. Quando un datore di lavoro utilizza dati biometrici come le impronte digitali nella sua azienda, può, per quanto riguarda la privacy, basarsi con il permesso del suo dipendente?
Per autorizzazione si intende a specifico, informato e inequivocabile espressione di volontà con cui qualcuno accetta un trattamento dei suoi dati personali con una dichiarazione o un'azione attiva inequivocabile, ai sensi dell'articolo 4, sezione 11, GDPR. Nel contesto di questa eccezione, il datore di lavoro deve quindi dimostrare non solo che i suoi dipendenti hanno concesso l'autorizzazione, ma anche che questa è stata inequivocabile, specifica e informata.
Firmare il contratto di lavoro o ricevere il manuale del personale in cui il datore di lavoro ha solo registrato l'intenzione di timbrare completamente con l'impronta digitale, non è sufficiente in questo contesto, ha concluso l'AP. Come prova, il datore di lavoro deve, ad esempio, presentare policy, procedure o altra documentazione, che dimostri che i suoi dipendenti sono sufficientemente informati sull'elaborazione dei dati biometrici e che hanno anche dato (esplicita) autorizzazione per l'elaborazione degli stessi.
Se l'autorizzazione è concessa dal dipendente, deve inoltre essere non solo "esplicito' ma anche 'dato liberamente', secondo l'AP. 'Esplicito' è, ad esempio, un permesso scritto, una firma, l'invio di un'e-mail per dare il permesso o un permesso con verifica in due passaggi. 'Liberamente concesso' significa che non deve esserci alcuna coercizione dietro (come nel caso in questione: quando ci si è rifiutati di far scansionare l'impronta digitale, è seguito un colloquio con il direttore/consiglio di amministrazione) o che il permesso può essere una condizione per qualcosa di diverso.
La condizione "liberamente prestata" non è in ogni caso soddisfatta dal datore di lavoro quando i dipendenti sono obbligati o, come nel caso in questione, la vivono come un obbligo a farsi rilevare le impronte digitali. In generale, in base a tale requisito, l'AP ha ritenuto che, data la dipendenza derivante dal rapporto tra datore di lavoro e dipendente, è improbabile che il dipendente possa liberamente prestare il proprio consenso. Il contrario dovrà essere dimostrato dal datore di lavoro.
Un dipendente chiede il permesso ai propri dipendenti di elaborare la propria impronta digitale? Quindi l'AP apprende nel contesto di questo caso che in linea di principio ciò non è consentito. Dopo tutto, i dipendenti dipendono dal loro datore di lavoro e quindi spesso non sono in grado di rifiutare. Ciò non significa che il datore di lavoro non possa mai fare affidamento con successo sul motivo del permesso.
Tuttavia, il datore di lavoro deve avere prove sufficienti per rendere valido il suo ricorso sulla base del consenso, al fine di elaborare i dati biometrici dei suoi dipendenti, come le impronte digitali. Hai intenzione di utilizzare i dati biometrici all'interno della tua azienda o il tuo datore di lavoro ti chiede il permesso di utilizzare la tua impronta digitale, ad esempio? In tal caso, è importante non agire immediatamente e concedere il permesso, ma essere prima adeguatamente informati. Legge & More sono esperti nel campo della privacy e possono fornirti informazioni. Hai altre domande su questo blog? Contatta Law & More.
