Biometriske data under GDPR: når kan du bruke dem i Nederland?

Biometriske data, som fingeravtrykk, ansiktsbilder eller stemmemønstre, er en spesiell kategori av personopplysninger under GDPR når de behandles for å identifisere en person unikt. I Nederland er slik behandling i prinsippet forbudt; hovedunntaket er der det er nødvendig for autentisering eller sikkerhetsformål, og for ansatte oppfylles denne testen sjelden av en stempelklokke eller en kontordør.

Den nederlandske datatilsynet (Autoriteit Persoonsgegevens, AP) anvender disse reglene strengt og har bøtelagt arbeidsgivere og teknologiselskaper for å bruke biometri uten gyldig grunnlag. Nedenfor forklarer vi hva som teller som biometriske data, hvilke juridiske grunnlag som er tilgjengelige, når du trenger en konsekvensanalyse for personvern, hvilke garantier som forventes og hva du skal gjøre hvis noe går galt.

Hva er biometriske data i henhold til GDPR?

Biometriske data er personopplysninger som følge av spesifikk teknisk behandling av en persons fysiske, fysiologiske eller atferdsmessige egenskaper, som tillater eller bekrefter personens unike identifikasjon. Formålet og teknikken avgjør, ikke typen bilde eller opptak.

Denne definisjonen finnes i artikkel 4(14) i personvernforordningen (GDPR) . Et fotografi av en ansatt på et ID-kort er personopplysninger, men ikke automatisk biometriske data. I det øyeblikket det samme fotografiet konverteres til en ansiktsmal og brukes av et gjenkjenningssystem for å gi tilgang til en bygning, blir det biometriske data. Dette skiftet endrer det juridiske rammeverket fullstendig.

Eksempler på biometriske identifikatorer er fingeravtrykk, ansiktsgeometri, iris- og netthinnemønstre, stemmemønstre og atferdstrekk som skriverytme eller måten noen går på. Det de har til felles er at de brukes til å gjenkjenne ett bestemt individ.

Hvorfor behandler GDPR biometriske data annerledes?

I henhold til artikkel 9 i GDPR tilhører biometriske data som behandles med det formål å unikt identifisere en person, de spesielle kategoriene av personopplysninger. Den samme kategorien omfatter opplysninger om rasemessig eller etnisk opprinnelse, politiske meninger, religiøs tro, helse og sexliv.

Årsaken er at konsekvensene av misbruk er alvorlige og ofte irreversible. Et passord kan endres; et fingeravtrykk eller en iris kan ikke. Hvis en database med biometriske maler kompromitteres, står de berørte personene overfor en varig risiko for identitetssvindel.

Hvor streng er den nederlandske tilnærmingen?

AP tolker disse reglene strengt. Utgangspunktet er at biometrisk identifikasjon er forbudt, og at unntakene er snevre.

Den nederlandske implementeringsloven av GDPR (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) legger til et nasjonalt unntak. I henhold til artikkel 29 i UAVG kan biometriske data behandles for unik identifikasjon dersom dette er nødvendig for autentiserings- eller sikkerhetsformål. «Nødvendig» er nøkkelordet. Det betyr at formålet ikke med rimelighet kan oppnås med mindre inngripende midler, for eksempel et navneskilt, en kode eller en nøkkel. AP har gjort det klart i sin veiledning at ansiktsgjenkjenning på offentlig tilgjengelige steder, for eksempel butikker, i prinsippet ikke er tillatt.

Hvilket juridisk grunnlag trenger du?

Du trenger to: et lovlig grunnlag i henhold til artikkel 6 i GDPR for behandlingen som sådan, og et unntak i henhold til artikkel 9(2) i GDPR eller artikkel 29 i UAVG for å oppheve forbudet mot spesielle kategorier. Uten begge deler er behandlingen ulovlig.

Artikkel 6 i GDPR lister opp seks rettslige grunnlag: samtykke, oppfyllelse av en kontrakt, en juridisk forpliktelse, vitale interesser, en oppgave i offentlig interesse og legitime interesser. Det er den første hindringen, og den gjelder alle personopplysninger.

Fordi biometriske data er en spesiell kategori, må du da oppfylle et av vilkårene i artikkel 9(2) i GDPR, eller det nederlandske unntaket i artikkel 29 i UAVG. Dette er de eneste måtene forbudet kan oppheves på. Før du starter, bør du også finne ut hvem som er behandlingsansvarlig og hvem som fungerer som databehandler, for eksempel leverandøren av skannesystemet. Artikkelen vår om rollene til behandlingsansvarlig og databehandler i henhold til GDPR forklarer forskjellen og hvilken databehandleravtale du trenger.

Når er et uttrykkelig samtykke gyldig?

Eksplisitt samtykke er en høyere standard enn vanlig samtykke. Det må gis gjennom en klar og bekreftende erklæring, og det må være spesifikt, informert, utvetydig og gitt fritt.

• Spesifikk: En generell referanse til «sikkerhetsformål» er ikke nok; du må angi nøyaktig hvorfor du trenger de biometriske dataene.
• informert: Folk må vite hvilke data du samler inn, hva du gjør med dem, hvem som har tilgang og hvor lenge du oppbevarer dem.
• Fritt gitt: Personen må kunne nekte uten negative konsekvenser, og må kunne trekke tilbake samtykket når som helst.

I et arbeidsforhold er den siste betingelsen problemet. En ansatt som nekter kan frykte konsekvenser, og arbeidsgiveren mener derfor at ansattes samtykke sjelden gis fritt. En arbeidsgiver som er avhengig av samtykke må kunne vise at et reelt alternativ eksisterte og ble tilbudt i praksis, ikke bare på papiret.

Hvilke andre unntak finnes det?

De andre unntakene er smale. Tabellen nedenfor sammenligner de mest relevante.

Kan dere bruke fingeravtrykk eller ansiktsskanninger for ansatte?

Bare hvis biometri virkelig er nødvendig for autentisering eller sikkerhet, og en mindre inngripende metode ikke ville duge. For tidsregistrering, en kasse eller en vanlig kontordør, er det vanligvis ikke tilfelle.

Testen under artikkel 29 i UAVG er om formålet med rimelighet kan oppnås med mindre inngripende metoder. En skanner som kontrollerer tilgang til en kasse, et tidsregistreringssystem eller en kontordør, består vanligvis ikke denne testen fordi et kort, en kode eller en nøkkel oppnår samme resultat uten biometriske data. Der biometrisk tilgang aksepteres, er sikkerhetsinteressen betydelig og spesifikk: et anlegg som håndterer farlige materialer, et sikkert laboratorium, et datasenter eller et hvelv.

Separat, der det finnes et arbeidsutvalg (ondernemingsraad), krever et system som registrerer eller overvåker ansattes oppmøte, oppførsel eller ytelse, eller som behandler deres personopplysninger, samtykke i henhold til artikkel 27(1)(k) og (l) i arbeidsutvalgsloven (Wet op de ondernemingsraden, WOR). Overholdelse av GDPR fjerner ikke dette kravet, og et system innført uten samtykke kan anfægtes.

Kan dere bruke biometri for kunder?

Noen ganger, men de samme strenge reglene gjelder. Med kunder kan eksplisitt samtykke være et gyldig grunnlag, forutsatt at bruk av biometri er helt valgfritt og et tilsvarende alternativ er tilgjengelig.

Vanlige eksempler er å låse opp en bankapp med fingeravtrykk, identitetsverifisering med en selfie når man åpner en konto på nett, og tilgang til et treningsstudio eller arrangement med ansiktsgjenkjenning. Der den biometriske sjekken foregår utelukkende på kundens egen telefon, ved hjelp av telefonens innebygde teknologi, mottar selskapet vanligvis ikke de biometriske dataene selv. Det reduserer risikoen og forpliktelsene for selskapet betydelig.

Der selskapet behandler dataene selv, for eksempel ved å sammenligne en selfie med et passbilde på sine egne servere, trenger det et gyldig grunnlag. Samtykke krever at kunden kan velge en annen rute, for eksempel verifisering via bankoverføring eller et besøk i en filial, uten ulempe. For banker og andre finansinstitusjoner spiller kundevurderingsplikter i henhold til hvitvaskingslovgivningen en rolle, men de krever ikke i seg selv biometrisk behandling.

Hva med kameraer med ansiktsgjenkjenning?

Ansiktsgjenkjenningskameraer i butikker, stadioner eller andre offentlig tilgjengelige steder er i prinsippet ikke tillatt for private selskaper. Personer som går forbi kan ikke gi eksplisitt samtykke, og det er sjelden et krav som oppfyller UAVG-testen i artikkel 29.

AP har advart forhandlere om at det ikke er tillatt å bruke ansiktsgjenkjenning for å identifisere butikktyver eller gjenkjenne kunder. Vanlig kameraovervåking, uten biometrisk identifikasjon, er underlagt andre, mindre strenge regler, men krever fortsatt en legitim interesse, tydelige varsler og begrensede oppbevaringsperioder. Å legge til ansiktsgjenkjenningsprogramvare til et eksisterende kamerasystem endrer vurderingen fullstendig.

Når trenger du en konsekvensutredning for personvern?

Nesten alltid. Behandling av biometriske data for å identifisere personer er høyrisikobehandling, og AP har satt det på listen over behandlingsoperasjoner som krever en konsekvensanalyse av personvern (DPIA) i henhold til artikkel 35 i GDPR.

En DPIA er en strukturert risikovurdering for personvern. Den tvinger deg til å beskrive hva du planlegger å gjøre, identifisere risikoene for de involverte personene og bestemme hvordan du skal håndtere disse risikoene før du skanner et enkelt fingeravtrykk eller ansikt. Hvis den gjenværende risikoen er høy og ikke kan reduseres tilstrekkelig, må du konsultere AP før du starter (artikkel 36 i GDPR).

DPIA-en bygger på det juridiske grunnlaget: du etablerer først et grunnlag i henhold til artikkel 6 og et unntak i henhold til artikkel 9 eller artikkel 29 i UAVG, og vurderer deretter om det spesifikke systemet er nødvendig og forholdsmessig.

Hva inneholder en DPIA?

Ta en fingeravtrykkskanner for tilgang til et serverrom som et eksempel. En DPIA dekker fire elementer.

• En beskrivelse av behandlingen. Hvilke data samler dere inn: en mal eller et fullstendig bilde? Hvordan samles de inn, hvor lagres de, hvordan brukes de og når slettes de? Hvem har tilgang? Er en leverandør involvert?
• Nødvendighet og proporsjonalitet. Hvilket spesifikt problem løser du, for eksempel uautorisert tilgang til serverrommet? Hvorfor er ikke adgangskort eller koder tilstrekkelig i dette tilfellet? Er dataene du samler inn minimumskravet?
• Risikoene for de involverte personene. Hva om maldatabasen blir stjålet? Kan dataene senere brukes til andre formål, for eksempel overvåking av arbeidstid (funksjonskryp)? Hva skjer med ansatte hvis fingeravtrykk ikke kan leses? Hva om systemet låser ute en autorisert person i en nødsituasjon?
• Tiltak for å håndtere risikoene. Tekniske tiltak som kryptering og lagring på et kort eller enheten; organisatoriske tiltak som en policy, opplæring og en håndteringsplan for brudd; og et ikke-biometrisk alternativ slik at ingen blir ekskludert.

Gjennomgå DPIA når omfanget, arten eller konteksten for behandlingen endres (artikkel 35(11) i GDPR). En analyse som bare er skrevet etter en klage har liten vekt i AP.

Hvilke sikkerhetstiltak forventes?

Samle inn så lite som mulig, ikke lagre det lenger enn nødvendig og beskytt det med sterke tekniske og organisatoriske tiltak. Disse prinsippene følger av artikkel 5 og 32 i GDPR.

Start med dataminimering: samle kun inn de biometriske dataene som trengs for det spesifikke, legitime formålet. For tilgangskontroll er en mal vanligvis nok; en ansiktsskanning med høy oppløsning er ikke nødvendig. Kombiner dette med lagringsbegrensning: angi en oppbevaringsperiode og slett dataene sikkert så snart de ikke lenger er nødvendige, for eksempel når en ansatt slutter eller ikke lenger trenger tilgang.

Tekniske og organisatoriske tiltak

Sikkerheten må samsvare med den høye risikoen. Viktige tekniske tiltak inkluderer:

• kryptering av biometriske data, både i ro og under overføring.
• Strenge tilgangskontroller, slik at bare autorisert personale med et klart behov har tilgang til dataene.
• Desentralisert lagringLagre maler på enheten eller på brukerens eget kort der det er mulig, i stedet for i en sentral database. Det gjør et massebrudd mye mindre sannsynlig.

Teknologi alene er ikke nok. Organisatoriske tiltak, som skriftlige retningslinjer for biometriske data, opplæring av ansatte, periodiske sikkerhetsrevisjoner og klare avtaler med leverandører, er like viktige. Hvis en leverandør behandler dataene på dine vegne, trenger du en behandlingsavtale i henhold til artikkel 28 i GDPR.

En tydelig personvernerklæring

Folk har rett til å vite hva du gjør med deres biometriske data (artikkel 13 og 14 i GDPR). Informasjonen må være konsis, lett å finne og skrevet på et enkelt språk.

En personvernerklæring om biometrisk behandling bør forklare hvem du er og hvordan vi kan kontakte deg, hvorfor du behandler dataene, det rettslige grunnlaget i henhold til artikkel 6 og unntaket som brukes, hvilke data du samler inn (for eksempel en fingeravtrykksmal), hvor lenge du oppbevarer dem, hvem du deler dem med, inkludert leverandører, og hvilke rettigheter folk har, som tilgang, retting, sletting og innsigelse.

Gjelder også KI-loven?

Ja, for visse biometriske systemer. EUs lov om kunstig intelligens (forordning (EU) 2024/1689) legger til regler i tillegg til GDPR.

Siden 2. februar 2025 har AI-loven forbudt en rekke praksiser direkte, inkludert umålrettet skraping av ansiktsbilder fra internett eller kameraopptak for å bygge ansiktsgjenkjenningsdatabaser, følelsesgjenkjenning på arbeidsplassen og i utdanning (unntatt av medisinske eller sikkerhetsmessige årsaker) og biometrisk kategorisering for å utlede sensitive egenskaper som rase eller seksuell legning. Andre biometriske systemer, som fjernbiometrisk identifikasjon, er klassifisert som høyrisiko og er underlagt strenge krav. Sjekk begge rammeverkene før du introduserer et system.

Hva er konsekvensene av manglende overholdelse?

Høye bøter, pålegg om å stanse behandling og erstatningskrav. For ulovlig behandling av spesielle kategorier tillater GDPR bøter på opptil 20 millioner euro eller 4 % av den globale årlige omsetningen, avhengig av hva som er høyest.

Disse maksimalbeløpene følger av artikkel 83(5) i GDPR og gjelder blant annet behandling uten gyldig grunnlag eller unntak. Brudd på forpliktelsene til sikkerhet og varsling av brudd (artikkel 32 til 34 i GDPR) kan føre til bøter på opptil 10 millioner euro eller 2 % av den globale omsetningen. Bøtene må være effektive, forholdsmessige og avskrekkende. AP fastsetter beløpet i henhold til sin egen bøtepolicy.

Hva har AP håndhevet?

AP har bøtelagt både arbeidsgivere og teknologiselskaper for ulovlig biometrisk behandling. To avgjørelser skiller seg ut.

I 2020 ila AP en bot på 725 000 euro til et selskap som skannet ansattes fingeravtrykk for oppmøte- og tidsregistrering. AP fant at ingen av unntakene gjaldt: de ansattes samtykke ble ikke gitt fritt, og bekvemmeligheten ved registrering av timer er ikke et sikkerhetsformål som gjør biometrisk behandling nødvendig. I september 2024 ila AP det amerikanske selskapet Clearview AI en bot på 30.5 millioner euro for å ha bygget en database med ansiktsbilder, inkludert av nederlendere, uten juridisk grunnlag.

Fire spørsmål går igjennom håndhevingen av personopplysningsmyndighetene. Hva er formålet, angitt spesifikt snarere enn som «sikkerhet» generelt? Kan det oppnås med mindre inngripende metoder? Hvis samtykke er basert på, kan folk nekte uten konsekvenser? Og ble dette vurdert og dokumentert før systemet ble innført? Artikkelen vår om den nederlandske databeskyttelsestilsynet forklarer personopplysningsmyndighetenes fullmakter mer detaljert.

Andre konsekvenser

En bot er ikke den eneste risikoen. Offentlig håndhevingsmyndighet kan pålegge deg å stoppe behandlingen, noe som kan stanse et system driften din er avhengig av, og den kan pålegge deg å slette ulovlig innsamlede data. Personer hvis data ble behandlet ulovlig kan kreve erstatning for materiell og ikke-materiell skade i henhold til artikkel 82 i GDPR, og i Nederland kan slike krav også fremmes samlet. Omdømmeskaden ved en offentlig håndhevingsavgjørelse kan være betydelig.

Hva gjør du hvis biometriske data lekker ut?

Begrens bruddet, vurder risikoen, varsle AP innen 72 timer, og hvis risikoen er høy, informer de berørte personene uten unødig forsinkelse. Forbered dette i en responsplan før noe går galt.

I henhold til artikkel 33 i GDPR må du rapportere et brudd på personopplysninger til AP uten unødig forsinkelse, og der det er mulig, innen 72 timer etter at du ble oppmerksom på det, med mindre bruddet sannsynligvis ikke vil medføre en risiko for de berørte personene. Varselet beskriver bruddets art, kategoriene og det omtrentlige antallet personer og registre som er berørt, de sannsynlige konsekvensene og tiltakene som er iverksatt eller foreslått. Hvis du ikke kan oppgi all informasjon samtidig, kan du supplere den senere.

Trinn 1: begrense bruddet og vurder konsekvensene

Din første prioritet er å stoppe sikkerhetsbruddet. Isoler de berørte systemene, behold logger og andre bevis for etterforskningen, og fastslå nøyaktig hvilke data som ble berørt: rådata eller krypterte maler, og av hvem.

Trinn 2: avgjør om de berørte skal informeres

I henhold til artikkel 34 i GDPR må du informere de berørte personene uten unødig forsinkelse dersom bruddet sannsynligvis vil føre til en høy risiko for deres rettigheter og friheter. Med biometriske data vil denne terskelen ofte være oppfylt, fordi dataene ikke kan endres. Unntaket er for eksempel data som var sterkt kryptert og hvis nøkkel ikke ble kompromittert. Meldingen må være i et enkelt språk: hva som skjedde, hvilke data det var snakk om, og hva folk kan gjøre for å beskytte seg selv.

Trinn 3: Utfør og dokumenter responsen

Registrer hvert trinn: oppdagelsesøyeblikket, beslutningene som er tatt, kommunikasjonen og de tekniske tiltakene. I henhold til artikkel 33(5) i GDPR må du dokumentere alle brudd, inkludert de du ikke måtte rapportere. God dokumentasjon viser AP at du handlet forsiktig og kan påvirke hvordan den vurderer saken.

Hva bør du sjekke som arbeidsgiver eller bedrift?

Sjekk nødvendigheten først og dokumenter hvert trinn før systemet tas i bruk. Disse fem kontrollene dekker punktene AP ser på.

• Skriv ned det spesifikke sikkerhetsformålet og hvorfor et kort, en PIN-kode eller en nøkkel ikke er nok (artikkel 29 i UAVG).
• Registrer ditt rettslige grunnlag i henhold til artikkel 6 i GDPR og unntaket i henhold til artikkel 9(2) i GDPR eller artikkel 29 i UAVG.
• Fullfør DPIA-en før den første skanningen, og kontakt AP hvis det fortsatt er høy risiko (artikkel 35 og 36 i GDPR).
• Be bedriftsutvalget om samtykke i henhold til artikkel 27(1)(k) og (l) i WOR før du innfører systemet.
• Signer en behandlingsavtale med leverandøren (artikkel 28 i GDPR) og sett en oppbevaringsperiode for maler.

Hva bør du sjekke som ansatt eller kunde?

Du har rett til å vite hvordan dine biometriske data brukes og til å protestere mot ulovlig behandling. Sjekk disse punktene hvis du blir bedt om å skanne et fingeravtrykk eller ansiktet ditt.

• Finnes det et ikke-biometrisk alternativ, som for eksempel et navneskilt eller en PIN-kode, og kan du bruke det uten ulempe?
• Angir personvernerklæringen formålet, det juridiske grunnlaget og oppbevaringsperioden (artikkel 13 og 14 i GDPR)?
• Samtykket bedriftsutvalget til systemet, der arbeidsgiveren din har et (artikkel 27 i WOR)?
• Be om tilgang til eller sletting av dine data; organisasjonen må svare innen én måned (artikkel 12, 15 og 17 i GDPR).
• Hvis dine rettigheter ikke respekteres, kan du sende inn en klage til AP (artikkel 77 i GDPR) eller kreve erstatning i henhold til artikkel 82 i GDPR.

Hva kan vi gjøre for deg med biometriske data?

Våre IT-advokater bistår arbeidsgivere, teknologiselskaper og enkeltpersoner med biometriske systemer, fra den første planen til saksbehandlingen for AP.

• Vi vurderer om ditt biometriske system oppfyller nødvendighetstesten i artikkel 29 i UAVG.
• Vi utarbeider eller gjennomgår DPIA-en og personvernerklæringen.
• Vi utarbeider forespørselen om samtykke til bedriftsutvalget i henhold til artikkel 27 i arbeidsloven.
• Vi gjennomgår behandlingsavtalen med leverandøren din i henhold til artikkel 28 i GDPR.
• Vi hjelper deg med å varsle AP om datainnbrudd innen 72-timersfristen og svare på AP-håndhevelse.

Sammendrag

• Biometriske data som brukes til unik identifikasjon er en spesialkategori i henhold til artikkel 9 i GDPR; behandling er forbudt med mindre det gjelder et unntak.
• I Nederland tillater artikkel 29 i UAVG det bare der det er nødvendig for autentisering eller sikkerhet; bekvemmelighet er ikke nok.
• Samtykke fra ansatte er sjelden gyldig; tilby et reelt ikke-biometrisk alternativ og innhent samtykke fra bedriftsrådet der det er nødvendig.
• Utfør en DPIA på forhånd, minimer dataene, lagre maler lokalt og krypter dem.
• Rapporter brudd til AP innen 72 timer; bøter kan nå 20 millioner euro eller 4 % av den globale omsetningen.

Ofte stilte spørsmål