GDPR-ийн дагуух биометрийн өгөгдөл: та үүнийг Нидерландад хэзээ ашиглаж болох вэ?

Хурууны хээ, нүүрний зураг эсвэл дуу хоолойн хэв маяг зэрэг биометрийн өгөгдөл нь GDPR-ийн дагуу хүнийг өвөрмөцөөр таних зорилгоор боловсруулагддаг хувийн мэдээллийн тусгай ангилал юм. Нидерландад ийм боловсруулалтыг зарчмын хувьд хориглодог; гол үл хамаарах зүйл нь баталгаажуулалт эсвэл аюулгүй байдлын зорилгоор шаардлагатай үед, мөн ажилтнуудын хувьд цаг эсвэл оффисын хаалгаар шалгалт өгөх нь ховор байдаг.

Нидерландын Мэдээлэл Хамгаалах Газар (Autoriteit Persoonsgegevens, AP) нь эдгээр дүрмийг хатуу мөрддөг бөгөөд ажил олгогчид болон технологийн компаниудад хүчин төгөлдөр үндэслэлгүйгээр биометр ашигласан тохиолдолд торгууль ногдуулсан. Доор бид биометрийн өгөгдөлд юу тооцогддог, ямар хууль эрх зүйн үндэслэл байдаг, хэзээ өгөгдөл хамгааллын нөлөөллийн үнэлгээ шаардлагатай, ямар хамгаалалтын арга хэмжээ авах шаардлагатай, ямар нэгэн зүйл буруу болвол юу хийх талаар тайлбарлах болно.

GDPR-ийн дагуу биометрийн өгөгдөл гэж юу вэ?

Биометрийн өгөгдөл гэдэг нь тухайн хүний ​​бие махбодийн, физиологийн эсвэл зан үйлийн шинж чанарыг тусгай техникийн боловсруулалтаар боловсруулсны үр дүнд бий болсон хувийн өгөгдөл бөгөөд тухайн хүнийг өвөрмөц таних боломжийг олгодог эсвэл баталгаажуулдаг. Зураг эсвэл бичлэгийн төрөл нь бус, зорилго болон арга барил нь шийддэг.

Энэ тодорхойлолт нь Ерөнхий Мэдээлэл Хамгаалах Журам (GDPR) -ын 4(14)-р зүйлд байдаг . Үнэмлэхний тэмдэг дээрх ажилтны зураг нь хувийн мэдээлэл боловч автоматаар биометрийн мэдээлэл биш юм. Ижил зургийг нүүрний загвар болгон хувиргаж, таних систем барилга байгууламжид нэвтрэх эрх олгоход ашигласан мөчид энэ нь биометрийн мэдээлэл болдог. Энэ өөрчлөлт нь хууль эрх зүйн хүрээг бүрэн өөрчилдөг.

Биометрийн таних тэмдгийн жишээнд хурууны хээ, нүүрний геометр, солонгон бүрхэвч болон торлог бүрхэвчийн хээ, дуу хоолойн хээ, бичих хэмнэл эсвэл хэн нэгний алхах арга зэрэг зан үйлийн шинж чанарууд орно. Тэдгээрийн нийтлэг зүйл бол тэдгээрийг тодорхой нэг хүнийг танихад ашигладагт оршино.

GDPR яагаад биометрийн өгөгдлийг өөрөөр авч үздэг вэ?

GDPR-ийн 9 дүгээр зүйлийн дагуу хүнийг өвөрмөц байдлаар тодорхойлох зорилгоор боловсруулсан биометрийн өгөгдөл нь хувийн мэдээллийн тусгай ангилалд хамаарна. Үүнтэй ижил ангилалд арьс өнгө, угсаа гарал, улс төрийн үзэл бодол, шашны итгэл үнэмшил, эрүүл мэнд, бэлгийн амьдралын талаарх мэдээлэл багтана.

Учир нь буруу ашигласны үр дагавар ноцтой бөгөөд ихэвчлэн эргэлт буцалтгүй байдаг. Нууц үгийг өөрчилж болно; хурууны хээ эсвэл солонгон бүрхүүлийг өөрчилж болохгүй. Хэрэв биометрийн загваруудын мэдээллийн сан алдагдвал холбогдох хүмүүс хувийн мэдээлэл луйвардах эрсдэлтэй тулгарна.

Голландын арга барил хэр хатуу вэ?

AP нь эдгээр дүрмийг хатуу тайлбарладаг. Үүний эхлэлийн цэг нь биометрийн таних тэмдгийг хориглодог бөгөөд үл хамаарах зүйлс нь хязгаарлагдмал байдаг явдал юм.

Нидерландын GDPR-ийн хэрэгжилтийн тухай хууль (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) нь үндэсний хэмжээнд онцгой тохиолдол нэмж оруулсан. UAVG-ийн 29 дүгээр зүйлийн дагуу биометрийн өгөгдлийг баталгаажуулалт эсвэл аюулгүй байдлын зорилгоор шаардлагатай бол өвөрмөц таних зорилгоор боловсруулж болно. "Шаардлагатай" гэдэг нь түлхүүр үг юм. Энэ нь тэмдэг, код эсвэл түлхүүр гэх мэт хөндлөнгийн оролцоо багатай хэрэгслээр зорилгодоо хүрэх боломжгүй гэсэн үг юм. AP нь өөрийн удирдамждаа дэлгүүр гэх мэт олон нийтийн хүртээмжтэй газруудад нүүр царай танихыг зарчмын хувьд зөвшөөрөхгүй гэдгийг тодорхой заасан.

Танд ямар хууль эрх зүйн үндэслэл хэрэгтэй вэ?

Танд хоёр зүйл хэрэгтэй: боловсруулалтын хувьд GDPR-ийн 6-р зүйлийн дагуу хууль ёсны үндэслэл, мөн тусгай ангиллын хоригийг цуцлахын тулд GDPR-ийн 9(2)-р зүйл эсвэл UAVG-ийн 29-р зүйлийн дагуу үл хамаарах зүйл. Хоёулаа байхгүй бол боловсруулалт нь хууль бус болно.

GDPR-ийн 6-р зүйлд зургаан хууль ёсны үндэслэлийг жагсаасан болно: зөвшөөрөл, гэрээний гүйцэтгэл, хууль ёсны үүрэг, амин чухал ашиг сонирхол, олон нийтийн ашиг сонирхлын үүрэг даалгавар болон хууль ёсны ашиг сонирхол. Энэ бол эхний саад бэрхшээл бөгөөд бүх хувийн мэдээлэлд хамаарна.

Биометрийн өгөгдөл нь тусгай ангилал учраас та GDPR-ийн 9(2) зүйлийн аль нэг нөхцөл буюу UAVG-ийн 29 дүгээр зүйлд заасан Нидерландын үл хамаарах зүйлийг хангасан байх ёстой. Эдгээр нь хоригийг цуцлах цорын ганц зам юм. Эхлэхээсээ өмнө хэн хянагч, хэн процессороор ажиллаж байгааг, жишээлбэл, сканнердах системийн нийлүүлэгчийг тодорхойл. GDPR-ийн дагуу хянагч болон процессорын үүргийн талаарх бидний нийтлэлд ялгаа болон танд хэрэгтэй боловсруулалтын гэрээг тайлбарласан болно.

Ил тод зөвшөөрөл хэзээ хүчин төгөлдөр болох вэ?

Ил тод зөвшөөрөл нь ердийн зөвшөөрөлөөс илүү өндөр стандарт юм. Үүнийг тодорхой, баталгаатай мэдэгдэл хэлбэрээр өгөх ёстой бөгөөд тодорхой, мэдээлэл сайтай, хоёрдмол утгагүй, чөлөөтэй өгөх ёстой.

• Тодорхойлолт: "Аюулгүй байдлын зорилгоор" гэсэн ерөнхий лавлагаа хангалтгүй; та яагаад биометрийн мэдээлэл хэрэгтэй байгаагаа яг таг хэлэх ёстой.
• мэдээлсэн: Хүмүүс та ямар мэдээлэл цуглуулдаг, юу хийдэг, хэн хандах эрхтэй, хэр удаан хадгалдагийг мэдэх ёстой.
• Үнэгүй олгогдсон: тухайн хүн сөрөг үр дагаваргүйгээр татгалзах чадвартай байх ёстой бөгөөд хүссэн үедээ зөвшөөрлөө буцаан авах боломжтой байх ёстой.

Хөдөлмөрийн харилцаанд хамгийн сүүлийн нөхцөл бол асуудал юм. Татгалзсан ажилтан үр дагавраас айж магадгүй бөгөөд тиймээс AP нь ажилтны зөвшөөрлийг ховор тохиолдолд чөлөөтэй өгдөг гэж үздэг. Зөвшөөрөлд найддаг ажил олгогч нь зөвхөн цаасан дээр биш, бодит хувилбар байгаа бөгөөд практик дээр санал болгосон гэдгийг харуулах чадвартай байх ёстой.

Өөр ямар үл хамаарах зүйлс байна вэ?

Бусад үл хамаарах зүйлс нь нарийн юм. Доорх хүснэгтэд хамгийн хамааралтайг нь харьцуулсан болно.

Ажилтнуудад хурууны хээ эсвэл нүүрний сканнер ашиглаж болох уу?

Зөвхөн биометрийн мэдээлэл нь баталгаажуулалт эсвэл аюулгүй байдалд үнэхээр шаардлагатай бөгөөд бага хөндлөнгийн хэрэгсэл тохирохгүй тохиолдолд л болно. Цагийн бүртгэл, касс эсвэл ердийн оффисын хаалганы хувьд энэ нь ихэвчлэн тийм байдаггүй.

29 дүгээр зүйлийн дагуух UAVG шалгалт нь зорилгод бага хөндлөнгөөс оролцох замаар хүрч болох эсэх юм. Касс, цагийн бүртгэлийн систем эсвэл оффисын хаалга руу нэвтрэх эрхийг хянадаг сканнер нь ихэвчлэн энэ шалгалтанд тэнцдэггүй, учир нь тэмдэг, код эсвэл түлхүүр нь биометрийн өгөгдөлгүйгээр ижил үр дүнд хүрдэг. Биометрийн хандалтыг хүлээн зөвшөөрсөн тохиолдолд аюулгүй байдлын ашиг сонирхол нь мэдэгдэхүйц бөгөөд тодорхой байдаг: аюултай материалыг боловсруулдаг байгууламж, аюулгүй лаборатори, өгөгдлийн төв эсвэл хадгалах газар.

Тусдаа тохиолдолд, ажлын зөвлөл (ondernemingsraad) байгаа тохиолдолд ажилчдын ирц, зан байдал, гүйцэтгэлийг бүртгэдэг, хянадаг, эсвэл тэдний хувийн мэдээллийг боловсруулдаг систем нь Ажлын зөвлөлийн тухай хуулийн (Wet op de ondernemingsraden, WOR) 27(1)(k) болон (l) дүгээр зүйлийн дагуу түүний зөвшөөрлийг шаарддаг. GDPR-ийг дагаж мөрдөх нь уг шаардлагыг арилгадаггүй бөгөөд зөвшөөрөлгүйгээр нэвтрүүлсэн системийг эсэргүүцэж болно.

Та үйлчлүүлэгчдэдээ биометрийн мэдээлэл ашиглаж болох уу?

Заримдаа, гэхдээ адилхан хатуу дүрэм журам үйлчилдэг. Биометрийн мэдээлэл ашиглах нь үнэхээр сонголттой бөгөөд үүнтэй тэнцэх хувилбар байгаа тохиолдолд үйлчлүүлэгчдийн хувьд тодорхой зөвшөөрөл нь хүчин төгөлдөр үндэслэл болж чадна.

Түгээмэл жишээ бол банкны аппликейшнийг хурууны хээгээр нээх, онлайн данс нээхдээ селфигээр таних, нүүр царай таних систем ашиглан фитнесс эсвэл арга хэмжээнд оролцох зэрэг орно. Биометрийн шалгалтыг бүхэлд нь үйлчлүүлэгчийн өөрийн утсан дээр, утасны суурилуулсан технологийг ашиглан хийдэг тохиолдолд компани ихэвчлэн биометрийн өгөгдлийг өөрөө хүлээн авдаггүй. Энэ нь компанийн эрсдэл болон үүргийг эрс бууруулдаг.

Компани өгөгдлийг өөрөө боловсруулдаг, жишээлбэл, селфиг өөрийн сервер дээрх паспортын зурагтай харьцуулдаг тохиолдолд хүчин төгөлдөр үндэслэл шаардлагатай. Зөвшөөрөл авахын тулд үйлчлүүлэгч өөр замыг сонгох боломжтой, тухайлбал банкны шилжүүлгээр баталгаажуулах эсвэл салбарт очих зэрэг ямар ч сул талгүйгээр. Банк болон бусад санхүүгийн байгууллагуудын хувьд мөнгө угаахтай тэмцэх хууль тогтоомжийн дагуу үйлчлүүлэгчийг нягтлан шалгах үүрэг хариуцлага үүрэг гүйцэтгэдэг боловч тэдгээр нь өөрөө биометрийн боловсруулалт шаарддаггүй.

Нүүр царай таних камеруудын талаар юу хэлэх вэ?

Дэлгүүр, цэнгэлдэх хүрээлэн болон бусад олон нийтийн хүртээлтэй газруудад нүүр царай таних камер суурилуулахыг зарчмын хувьд хувийн үдэшлэгт ашиглахыг хориглоно. Хажуугаар нь өнгөрч буй хүмүүс тодорхой зөвшөөрөл өгөх боломжгүй бөгөөд 29 дүгээр зүйлийн UAVG шалгалтыг хангасан шаардлага ховор байдаг.

AP нь дэлгүүрээс хулгайчдыг таних эсвэл үйлчлүүлэгчдийг танихад нүүр царай таних аргыг ашиглахыг хориглоно гэж жижиглэн худалдаа эрхлэгчдэд анхааруулсан. Биометрийн таних тэмдэггүйгээр ердийн камерын хяналт нь өөр, бага хатуу дүрэм журамд захирагддаг боловч хууль ёсны ашиг сонирхол, тодорхой мэдэгдэл, хязгаарлагдмал хадгалах хугацаа шаарддаг. Одоо байгаа камерын системд нүүр царай таних програм хангамж нэмэх нь үнэлгээг бүрэн өөрчилдөг.

Өгөгдөл хамгааллын нөлөөллийн үнэлгээ хэзээ шаардлагатай вэ?

Бараг үргэлж. Хүмүүсийг танихын тулд биометрийн өгөгдлийг боловсруулах нь өндөр эрсдэлтэй боловсруулалт бөгөөд AP нь үүнийг GDPR-ийн 35 дугаар зүйлийн дагуу өгөгдөл хамгаалах нөлөөллийн үнэлгээ (DPIA) шаардлагатай боловсруулах үйл ажиллагааны жагсаалтад оруулсан.

DPIA нь бүтэцлэгдсэн нууцлалын эрсдэлийн үнэлгээ юм. Энэ нь таныг юу хийхээр төлөвлөж байгаагаа тайлбарлах, холбогдох хүмүүсийн эрсдэлийг тодорхойлох, нэг хурууны хээ эсвэл нүүр царайг сканнердахаасаа өмнө эдгээр эрсдэлийг хэрхэн зохицуулахаа шийдэхийг шаарддаг. Хэрэв үлдсэн эрсдэл өндөр бөгөөд хангалттай бууруулж чадахгүй бол эхлэхээсээ өмнө AP-тэй зөвлөлдөх шаардлагатай (GDPR-ийн 36-р зүйл).

DPIA нь хууль эрх зүйн үндэслэл дээр суурилдаг: та эхлээд 6-р зүйлийн дагуу үндэслэл, 9-р зүйл эсвэл UAVG-ийн 29-р зүйлийн дагуу үл хамаарах зүйлийг тогтоож, дараа нь тухайн систем шаардлагатай бөгөөд пропорциональ эсэхийг үнэлнэ.

DPIA юу агуулдаг вэ?

Жишээ болгон серверийн өрөөнд нэвтрэх хурууны хээ сканнерыг авч үзье. DPIA нь дөрвөн элементийг хамардаг.

• Боловсруулалтын тодорхойлолт. Та ямар өгөгдөл цуглуулдаг вэ: загвар эсвэл бүтэн зураг? Үүнийг хэрхэн цуглуулдаг, хаана хадгалдаг, хэрхэн ашигладаг, хэзээ устгадаг вэ? Хэн хандах эрхтэй вэ? Нийлүүлэгч оролцдог уу?
• Шаардлагатай байдал ба пропорциональ байдал. Серверийн өрөөнд зөвшөөрөлгүй нэвтрэх гэх мэт ямар тодорхой асуудлыг та шийдэж байна вэ? Энэ тохиолдолд яагаад тэмдэг эсвэл код хангалтгүй байна вэ? Таны цуглуулсан мэдээлэл хамгийн бага шаардлагатай юу?
• Холбогдох хүмүүст учирч болзошгүй эрсдэлүүд. Загварын мэдээллийн сан хулгайлагдсан тохиолдолд яах вэ? Өгөгдлийг дараа нь ажлын цагийг хянах (функцийн мөлхөлт) гэх мэт өөр зорилгоор ашиглаж болох уу? Хурууны хээг нь уншиж чадахгүй ажилчдад юу тохиолдох вэ? Онцгой байдлын үед систем эрх бүхий хүнийг түгжвэл яах вэ?
• Эрсдэлийг арилгах арга хэмжээ. Карт эсвэл төхөөрөмж дээр шифрлэлт болон хадгалалт зэрэг техникийн арга хэмжээ; бодлого, сургалт, зөрчлийн хариу арга хэмжээний төлөвлөгөө зэрэг зохион байгуулалтын арга хэмжээ; мөн хэнийг ч хасагдахгүй байх биометрийн бус хувилбар.

Боловсруулалтын цар хүрээ, шинж чанар эсвэл нөхцөл байдал өөрчлөгдөхөд DPIA-г хянана уу (GDPR-ийн 35(11)-р зүйл). Гомдлын дараа бичигдсэн дүн шинжилгээ нь AP-д бага ач холбогдолтой.

Ямар хамгаалалтын арга хэмжээ авахаар төлөвлөж байна вэ?

Аль болох бага цуглуулж, шаардлагатай хэмжээнээс хэтрүүлэхгүйгээр хадгалж, хүчтэй техникийн болон зохион байгуулалтын арга хэмжээ авч хамгаална. Эдгээр зарчмууд нь GDPR-ийн 5 болон 32 дугаар зүйлээс үүдэлтэй.

Өгөгдлийг багасгахаас эхэл: зөвхөн тодорхой, хууль ёсны зорилгоор шаардлагатай биометрийн өгөгдлийг цуглуул. Хандалтыг хянахын тулд загвар нь ихэвчлэн хангалттай байдаг; өндөр нягтралтай нүүрний сканнердах шаардлагагүй. Үүнийг хадгалах хязгаарлалттай хослуул: хадгалах хугацааг тогтоож, өгөгдлийг шаардлагагүй болсон даруйд, жишээлбэл, ажилтан ажлаасаа гарсан эсвэл хандах шаардлагагүй болсон үед аюулгүй устгана уу.

Техникийн болон зохион байгуулалтын арга хэмжээ

Аюулгүй байдал өндөр эрсдэлтэй тохирч байх ёстой. Техникийн гол арга хэмжээнүүдэд дараахь зүйлс орно.

• Encryption биометрийн өгөгдлийн хувьд, амрах болон тээвэрлэх үед хоёуланд нь.
• Хандалтын хатуу хяналтингэснээр зөвхөн тодорхой хэрэгцээтэй эрх бүхий ажилтнууд л өгөгдөлд хандах боломжтой.
• Төвлөрсөн бус хадгалалтБоломжтой бол загваруудыг төв мэдээллийн санд биш харин төхөөрөмж дээр эсвэл хэрэглэгчийн өөрийн карт дээр хадгална уу. Энэ нь олон нийтийн мэдээллийн санд нэвтрэх магадлалыг бууруулдаг.

Технологи дангаараа хангалтгүй. Биометрийн өгөгдлийн талаар бичгээр бодлого боловсруулах, ажилтнуудын сургалт явуулах, үечилсэн аюулгүй байдлын аудит хийх, нийлүүлэгчидтэй тодорхой гэрээ байгуулах зэрэг зохион байгуулалтын арга хэмжээнүүд нь адил чухал юм. Хэрэв нийлүүлэгч таны өмнөөс өгөгдлийг боловсруулдаг бол танд GDPR-ийн 28 дугаар зүйлийн дагуу боловсруулах гэрээ хэрэгтэй.

Нууцлалын тодорхой мэдэгдэл

Хүмүүс та тэдний биометрийн өгөгдлөөр юу хийдгийг мэдэх эрхтэй (GDPR-ийн 13, 14-р зүйл). Мэдээлэл нь товч, олоход хялбар, энгийн хэлээр бичигдсэн байх ёстой.

Биометрийн боловсруулалтын нууцлалын мэдэгдэлд та хэн бэ, тантай хэрхэн холбоо барих, яагаад өгөгдлийг боловсруулдаг, 6-р зүйлийн дагуу хууль эрх зүйн үндэслэл, ашигласан үл хамаарах зүйл, та ямар мэдээлэл цуглуулдаг (жишээлбэл, хурууны хээний загвар), хэр удаан хадгалдаг, хэнтэй, түүний дотор нийлүүлэгчидтэй хуваалцдаг, мөн хүмүүс ямар эрхтэй, тухайлбал мэдээлэлд хандах, залруулах, устгах, татгалзах зэрэг талаар тайлбарлах ёстой.

Хиймэл оюун ухааны тухай хууль бас үйлчлэх үү?

Тийм ээ, тодорхой биометрийн системийн хувьд. Европын Холбооны Хиймэл Оюун Ухааны тухай хууль (Зохицуулалт (ЕХ) 2024/1689) нь GDPR-ээс гадна дүрмийг нэмдэг.

2025 оны 2-р сарын 2-ноос хойш Хиймэл Оюун Ухааны тухай хууль нь нүүр царай таних мэдээллийн сан үүсгэхийн тулд интернет эсвэл камерын бичлэгээс нүүрний зургийг зорилгогүйгээр хусах, ажлын байран дээр болон боловсролд сэтгэл хөдлөлийг таних (эмнэлгийн болон аюулгүй байдлын шалтгаанаас бусад тохиолдолд), арьс өнгө, бэлгийн чиг баримжаа зэрэг мэдрэмтгий шинж чанарыг тодорхойлохын тулд биометрийн ангилалд оруулах зэрэг хэд хэдэн үйлдлийг бүрмөсөн хориглосон. Алсын зайнаас биометрийн таних зэрэг бусад биометрийн системүүд нь өндөр эрсдэлтэй гэж ангилагддаг бөгөөд хатуу шаардлага тавьдаг. Системийг нэвтрүүлэхээсээ өмнө хоёр хүрээг шалгана уу.

Дагаж мөрдөхгүй байх нь ямар үр дагаварт хүргэх вэ?

Өндөр торгууль, боловсруулалтыг зогсоох тушаал болон хохирлын нэхэмжлэл. Тусгай ангиллын хууль бус боловсруулалтын хувьд GDPR нь 20 сая евро буюу дэлхийн жилийн эргэлтийн 4%-ийн аль өндөр байгаагаас нь торгууль ногдуулахыг зөвшөөрдөг.

Эдгээр дээд хэмжээ нь GDPR-ийн 83(5)-р зүйлээс үүдэлтэй бөгөөд бусад зүйлсийн дотор хүчин төгөлдөр үндэслэл эсвэл үл хамаарах зүйлгүйгээр боловсруулалтад хамаарна. Аюулгүй байдал болон зөрчлийн талаарх мэдэгдлийн үүргийг зөрчсөн (GDPR-ийн 32-34-р зүйлүүд) нь 10 сая евро хүртэлх торгууль буюу дэлхийн эргэлтийн 2%-ийг ногдуулж болзошгүй. Торгууль нь үр дүнтэй, пропорциональ бөгөөд урьдчилан сэргийлэх ёстой. AP нь хэмжээг өөрийн торгуулийн бодлогын дагуу тодорхойлдог.

AP юуг хэрэгжүүлсэн бэ?

AP нь хууль бус биометрийн боловсруулалтын хэргээр ажил олгогчид болон технологийн компаниудыг хоёуланг нь торгосон. Хоёр шийдвэр онцгойлон дурдагдсан.

2020 онд AP нь ажилчдын хурууны хээг ирц болон цагийн бүртгэлд сканнердсан компанид 725,000 еврогийн торгууль ногдуулсан. AP нь аль ч үл хамаарах зүйл хамаарахгүй болохыг тогтоожээ: ажилчдын зөвшөөрлийг чөлөөтэй өгөөгүй бөгөөд цагийн бүртгэлд хялбар байх нь биометрийн боловсруулалтыг зайлшгүй болгодог аюулгүй байдлын зорилго биш юм. 2024 оны 9-р сард AP нь Америкийн Clearview AI компанийг хууль ёсны үндэслэлгүйгээр Голланд хүмүүсийн нүүр царайны зургийг багтаасан мэдээллийн сан үүсгэснийх нь төлөө 30.5 сая еврогийн торгууль ногдуулсан.

AP-ийн хэрэгжилтэд дөрвөн асуулт гарч ирж байна. Зорилго нь юу вэ, ерөнхийдөө "аюулгүй байдал" гэж хэлэхийн оронд тусгайлан дурдсан уу? Үүнийг бага хөндлөнгийн оролцоотой аргаар хийж болох уу? Хэрэв зөвшөөрөлд найдвал хүмүүс үр дагаваргүйгээр татгалзаж болох уу? Системийг нэвтрүүлэхээс өмнө үүнийг үнэлж, баримтжуулсан уу? Нидерландын Мэдээлэл Хамгаалах Газрын тухай бидний нийтлэлд AP-ийн эрх мэдлийг илүү дэлгэрэнгүй тайлбарласан болно.

Бусад үр дагавар

Торгууль нь цорын ганц эрсдэл биш юм. AP нь танд боловсруулалтыг зогсоохыг тушааж болох бөгөөд энэ нь таны үйл ажиллагаа хамааралтай системийг зогсоож, хууль бусаар цуглуулсан өгөгдлийг устгахыг тушааж болно. Мэдээллийг нь хууль бусаар боловсруулсан хүмүүс GDPR-ийн 82 дугаар зүйлийн дагуу материаллаг болон материаллаг бус хохирлын нөхөн төлбөрийг нэхэмжлэх боломжтой бөгөөд Нидерландад ийм нэхэмжлэлийг хамтад нь гаргаж болно. Олон нийтийн хэрэгжилтийн шийдвэрийн нэр хүндэд учруулах хохирол нь ихээхэн байж болно.

Биометрийн мэдээлэл алдагдсан тохиолдолд юу хийх вэ?

Зөрчлийг хязгаарлаж, эрсдэлийг үнэлж, AP-д 72 цагийн дотор мэдэгдэж, хэрэв эрсдэл өндөр байвал нэрвэгдсэн хүмүүст хэт хойшлуулалгүйгээр мэдэгдээрэй. Ямар нэгэн асуудал гарахаас өмнө үүнийг хариу арга хэмжээний төлөвлөгөөнд бэлтгэнэ үү.

GDPR-ийн 33 дугаар зүйлийн дагуу та хувийн мэдээллийн алдагдлыг AP-д хэт хойшлуулалгүйгээр, боломжтой бол мэдсэнээс хойш 72 цагийн дотор мэдэгдэх ёстой, хэрэв уг алдагдлыг холбогдох хүмүүст эрсдэл учруулах магадлал багатай бол. Мэдэгдэлд зөрчлийн мөн чанар, нөлөөлөлд өртсөн хүмүүсийн ангилал, ойролцоо тоо, болзошгүй үр дагавар, авсан эсвэл санал болгож буй арга хэмжээг тайлбарласан болно. Хэрэв та бүх мэдээллийг нэг дор өгөх боломжгүй бол дараа нь нэмж оруулж болно.

Алхам 1: Зөрчлийг хязгаарлаж, нөлөөллийг үнэлэх

Таны хамгийн түрүүнд хийх ёстой зүйл бол зөрчлийг зогсоох явдал юм. Нөлөөлөлд өртсөн системийг тусгаарлаж, мөрдөн байцаалтын бүртгэл болон бусад нотлох баримтыг хадгалж, яг ямар өгөгдөлд нөлөөлсөн болохыг тогтооно уу: түүхий зураг эсвэл шифрлэгдсэн загвар, хэнийх нь.

Алхам 2: нөлөөлөлд өртсөн хүмүүст мэдэгдэх эсэхээ шийднэ үү

GDPR-ийн 34 дүгээр зүйлийн дагуу хэрэв зөрчил нь тэдний эрх, эрх чөлөөнд өндөр эрсдэл учруулах магадлалтай бол та хохирсон хүмүүст хэт хойшлуулалгүйгээр мэдэгдэх ёстой. Биометрийн өгөгдлийн хувьд энэ босгыг ихэвчлэн хангадаг, учир нь өгөгдлийг өөрчлөх боломжгүй. Жишээлбэл, хүчтэй шифрлэгдсэн, түлхүүр нь алдагдаагүй өгөгдөл нь үл хамаарах зүйл юм. Мэдээлэл нь энгийн хэлээр байх ёстой: юу болсон, ямар өгөгдөлд оролцсон, хүмүүс өөрсдийгөө хамгаалахын тулд юу хийж чадах вэ.

Алхам 3: Хариултыг гүйцэтгэж, баримтжуулна уу

Алхам бүрийг тэмдэглэ: илрүүлсэн мөч, гаргасан шийдвэр, харилцаа холбоо болон техникийн арга хэмжээ. GDPR-ийн 33(5)-р зүйлийн дагуу та мэдээлэх шаардлагагүй зөрчлүүдийг оролцуулан бүх зөрчлийг баримтжуулах ёстой. Сайн баримтжуулалт нь AP-д та болгоомжтой хандсаныг харуулж байгаа бөгөөд хэргийг хэрхэн үнэлэхэд нөлөөлж болно.

Ажил олгогч эсвэл компанийн хувьд та юуг шалгах ёстой вэ?

Системийг ажиллуулахаас өмнө эхлээд шаардлагатай эсэхийг шалгаж, алхам бүрийг баримтжуулна. Эдгээр таван шалгалт нь AP-ийн анхаарч үздэг зүйлсийг хамардаг.

• Аюулгүй байдлын тодорхой зорилго болон яагаад тэмдэг, ПИН код эсвэл түлхүүр хангалтгүй байгааг бичнэ үү (UAVG-ийн 29-р зүйл).
• GDPR-ийн 6 дугаар зүйлийн дагуу хууль ёсны үндэслэлээ болон GDPR-ийн 9(2) дугаар зүйл эсвэл UAVG-ийн 29 дүгээр зүйлийн дагуух үл хамаарах зүйлийг тэмдэглэнэ үү.
• Эхний скан хийхээс өмнө DPIA-г бөглөж, өндөр эрсдэл хэвээр байвал AP-тэй зөвлөлдөнө үү (GDPR-ийн 35 ба 36 дугаар зүйлүүд).
• Системийг нэвтрүүлэхээсээ өмнө WOR-ийн 27(1)(k) болон (l) зүйлийн дагуу ажлын зөвлөлөөс зөвшөөрөл хүснэ үү.
• Нийлүүлэгчтэй боловсруулах гэрээнд гарын үсэг зурна уу (GDPR-ийн 28-р зүйл), загваруудыг хадгалах хугацааг тогтооно уу.

Ажилтан эсвэл үйлчлүүлэгчийн хувьд та юуг шалгах ёстой вэ?

Та биометрийн мэдээллээ хэрхэн ашиглаж байгааг мэдэх, хууль бус боловсруулалтыг эсэргүүцэх эрхтэй. Хэрэв танаас хурууны хээ эсвэл нүүрээ уншуулахыг хүсвэл эдгээр зүйлийг шалгана уу.

• Тэмдэг эсвэл ПИН код гэх мэт биометрийн бус хувилбар байгаа юу, та үүнийг ямар ч асуудалгүйгээр ашиглаж чадах уу?
• Нууцлалын мэдэгдэлд зорилго, хууль эрх зүйн үндэслэл болон хадгалах хугацааг заасан уу (GDPR-ийн 13, 14-р зүйл)?
• Танай ажил олгогч ийм системтэй байдаг (Ажлын зөвлөлийн 27-р зүйл) системийг зөвшөөрсөн үү?
• Өгөгдөлдөө хандах эсвэл устгах хүсэлт гаргах; байгууллага нэг сарын дотор хариу өгөх ёстой (GDPR-ийн 12, 15, 17-р зүйлүүд).
• Хэрэв таны эрхийг хүндэтгэхгүй бол AP-д гомдол гаргах (GDPR-ийн 77-р зүйл) эсвэл GDPR-ийн 82-р зүйлийн дагуу хохирлыг нөхөн төлүүлэхийг шаардана уу.

Биометрийн өгөгдлийн тусламжтайгаар бид танд юу хийж чадах вэ?

Манай мэдээллийн технологийн хуульчид ажил олгогчид, технологийн компаниуд болон хувь хүмүүст анхны төлөвлөгөөнөөс эхлээд AP-ийн өмнөх шүүх хурал хүртэл биометрийн системээр тусалдаг.

• Бид таны биометрийн систем UAVG-ийн 29 дүгээр зүйлийн зайлшгүй шалгуурыг хангаж байгаа эсэхийг үнэлнэ.
• Бид DPIA болон нууцлалын мэдэгдлийг боловсруулж эсвэл хянадаг.
• Бид WOR-ийн 27 дугаар зүйлийн дагуу ажлын зөвлөлд зөвшөөрөл авах хүсэлтийг бэлтгэдэг.
• Бид танай нийлүүлэгчтэй байгуулсан боловсруулалтын гэрээг GDPR-ийн 28 дугаар зүйлийн дагуу хянаж байна.
• Бид танд өгөгдлийн алдагдлыг AP-д 72 цагийн дотор мэдэгдэж, AP-ийн хэрэгжилтийг хангах арга хэмжээнд хариу өгөхөд тусална.

Дүгнэлт

• Өвөрмөц таних тэмдэгт ашигласан биометрийн өгөгдөл нь GDPR-ийн 9 дүгээр зүйлийн дагуу тусгай ангилалд багтдаг; онцгой тохиолдол хамаарахгүй бол боловсруулахыг хориглоно.
• Нидерландад UAVG-ийн 29 дүгээр зүйлд зөвхөн баталгаажуулалт эсвэл аюулгүй байдлын үүднээс шаардлагатай тохиолдолд л зөвшөөрдөг; тав тухтай байдал хангалтгүй.
• Ажилтны зөвшөөрөл ховор тохиолдолд хүчин төгөлдөр байдаг; биометрийн бус бодит хувилбарыг санал болгож, шаардлагатай бол ажлын зөвлөлийн зөвшөөрлийг аваарай.
• DPIA-г урьдчилан хийж, өгөгдлийг багасгаж, загваруудыг орон нутагт хадгалж, шифрлээрэй.
• Зөрчлийн талаар AP-д 72 цагийн дотор мэдээлнэ үү; торгууль нь 20 сая евро буюу дэлхийн хэмжээний эргэлтийн 4%-д хүрч болзошгүй.

Түгээмэл асуултууд