Behandling av biometriske data forklart
Nylig ila den nederlandske datatilsynet (AP) en stor bot, nemlig 725,000 euro, til et selskap som skannet fingeravtrykk av ansatte for oppmøte og tidsregistrering. Biometriske data, for eksempel et fingeravtrykk, er spesielle personopplysninger i henhold til artikkel 9 GDPR. Dette er unike egenskaper som kan spores tilbake til én bestemt person. Disse dataene inneholder imidlertid ofte mer informasjon enn det som er nødvendig for for eksempel identifikasjon.
Behandlingen deres utgjør derfor stor risiko på området grunnleggende rettigheter og friheter til mennesker. Hvis disse dataene kommer i feil hender, kan dette potensielt føre til uopprettelig skade. Biometriske data er derfor godt beskyttet, og behandling av disse er forbudt i henhold til artikkel 9 GDPR, med mindre det er et juridisk unntak for dette. I denne saken kom AP til at det aktuelle selskapet ikke hadde krav på en unntak for behandling av spesielle personopplysninger.
Fingeravtrykk
Om fingeravtrykket i sammenheng med GDPR og et av unntakene, nemlig nødvendighet, skrev vi tidligere i en av bloggene våre: 'Fingeravtrykk i strid med GDPR'. Denne bloggen fokuserer på det andre alternative grunnlaget for unntak: tillatelse. Når en arbeidsgiver bruker biometriske data som fingeravtrykk i selskapet sitt, kan han, med hensyn til personvern, være tilstrekkelig med tillatelsen fra den ansatte?
Med tillatelse menes a spesifikk, informert og entydig uttrykk for vilje som noen aksepterer en behandling av hans personopplysninger med en uttalelse eller en utvetydig aktiv handling, i henhold til artikkel 4, seksjon 11, GDPR. I forbindelse med dette unntaket må arbeidsgiver derfor ikke bare godtgjøre at hans ansatte har gitt tillatelse, men også at denne har vært entydig, konkret og informert.
Å signere arbeidskontrakten eller motta personalhåndboken der arbeidsgiver kun har ført inn intensjonen om å klokke helt inn med fingeravtrykket, er utilstrekkelig i denne sammenheng, konkluderte AP. Som bevis skal arbeidsgiver for eksempel fremlegge policy, prosedyrer eller annen dokumentasjon som viser at hans ansatte er tilstrekkelig informert om behandlingen av de biometriske dataene og at de også har gitt (eksplisitt) tillatelse til behandlingen av disse.
Hvis tillatelsen gis av den ansatte, må den dessuten ikke bare være "eksplisitt' men også 'fritt gitt', ifølge AP. 'Eksplisitt' er for eksempel skriftlig tillatelse, signatur, å sende en e-post for å gi tillatelse, eller tillatelse med totrinnsverifisering. 'Fri gitt' betyr at det ikke skal ligge tvang bak (slik som tilfellet var i den aktuelle saken: ved avslag på å få fingeravtrykket skannet, en samtale med direktør/styret) eller at tillatelse kan være et vilkår for noe forskjellig.
Vilkåret «fritt gitt» er uansett ikke oppfylt av arbeidsgiver når arbeidstakere er forpliktet eller som i det aktuelle tilfellet opplever det som en plikt å få tatt opp fingeravtrykk. Generelt, under dette kravet, mente AP at gitt avhengigheten som følger av forholdet mellom arbeidsgiver og arbeidstaker, er det usannsynlig at arbeidstakeren fritt kan gi sitt samtykke. Det motsatte må bevises av arbeidsgiver.
Ber en ansatt om tillatelse fra sine ansatte til å behandle fingeravtrykket sitt? Så får AP vite i denne sakens sammenheng at dette i utgangspunktet ikke er lov. Tross alt er ansatte avhengige av sin arbeidsgiver og er derfor ofte ikke i stand til å nekte. Dette er ikke å si at arbeidsgiver aldri kan stole på tillatelsesgrunnlaget.
Arbeidsgiveren må imidlertid ha tilstrekkelig bevis for å få anken på grunnlag av samtykke vellykket, for å kunne behandle biometriske data om sine ansatte, for eksempel fingeravtrykk. Har du tenkt å bruke biometriske data i din bedrift eller ber arbeidsgiveren din deg om tillatelse til for eksempel å bruke fingeravtrykket ditt? I så fall er det viktig å ikke handle umiddelbart og gi tillatelse, men først å bli ordentlig informert. Law & More advokater er eksperter innen personvern og kan gi deg informasjon. Har du andre spørsmål om denne bloggen? Ta kontakt Law & More.
