Til að ná tökum á líffræðilegum gögnum og samræmi við GDPR þurfum við fyrst að svara grundvallarspurningu: hvað nákvæmlega... is líffræðileg gögn? Þetta eru ekki bara einhverjar persónuupplýsingar. Við erum að tala um gögn sem eru dregin úr einstökum líkamlegum eða hegðunarlegum eiginleikum — eins og fingraförum, lithimnumynstri eða jafnvel rödd einhvers — sem geta ótvírætt bera kennsl á tiltekna manneskju.

Hugsaðu um það sem líffræðilegan lykil, einn sem er einstakur fyrir einstaklinginn og nánast ómögulegt að breyta.

Skilgreining á líffræðilegum gögnum samkvæmt GDPR

Samkvæmt almennu persónuverndarreglugerðinni (GDPR) er það ekki það sem gerir eitthvað að „líffræðilegum gögnum“ tegund af gögnum sjálfum (eins og ljósmynd), en Tilgangur sem þú ert að vinna úr. Einföld ljósmynd af starfsmanni á skilríkjum hans telst ekki sjálfkrafa líffræðileg gögn.

Hins vegar, um leið og sama ljósmyndin er færð inn í andlitsgreiningarkerfi til að veita aðgang að byggingu, verður hún að líffræðilegum gögnum. Lagaumgjörðin breytist gjörsamlega.

Lykilatriðið er „sértæk tæknileg vinnsla“ sem notuð er til að auðkenna einstaka auðkenningu. Að greina þennan greinarmun rétt er hornsteinninn í því að skilja skyldur þínar varðandi reglufylgni. Þú getur kafað dýpra í smáatriðin í handbók okkar um útskýring á vinnslu líffræðilegra gagna.

Af hverju GDPR meðhöndlar líffræðileg gögn á annan hátt

Líffræðileg gögn eru flokkuð sem „sérstakur flokkur persónuupplýsinga“ samkvæmt 9. grein GDPR. Þessi flokkun setur það í sama áhættuhóp og upplýsingar um:

• Kynþáttur eða þjóðernisuppruni
• Pólitískar skoðanir
• Trúarleg eða heimspekileg viðhorf
• Heilsa eða kynlíf

Þessi hækkaða staða er til staðar af góðri ástæðu: brot sem varðar líffræðileg gögn hefur óafturkræfar afleiðingar. Ólíkt lykilorði er ekki hægt að breyta fingrafarinu eða augnlitnum bara. Ef þessum gögnum er stefnt í hættu skapar það varanlega hættu á auðkennisþjófnaði og svikum fyrir viðkomandi.

Til að gefa skýrari mynd er hér sundurliðun á algengum gerðum líffræðilegra gagna og stöðu þeirra samkvæmt GDPR.

Eins og taflan sýnir er samræmt þema notkun þessara gagna fyrir einstök auðkenning, sem virkjar sjálfkrafa vernd sérstakra flokka samkvæmt 9. gr.

Hollenska reglugerðaraðferðin

Hér í Hollandi framfylgir Persónuverndarstofnun Hollands (Autoriteit Persoonsgegevens eða AP) sérstaklega ströngum túlkunum á þessum reglum. Leiðbeiningar þeirra um andlitsgreiningartækni, til dæmis, gera það alveg ljóst að notkun hennar er bönnuð í flestum tilfellum.

Lykilprófið er alltaf hvort vinnslan eigi að bera kennsl á einstakling með ótvíræðum hætti. Þessi stranga afstaða undirstrikar hversu sannfærandi lagaleg réttlæting þín þarf að vera áður en þú íhugar jafnvel að innleiða slíkt kerfi.

Að finna lögmætan grundvöll fyrir vinnslu líffræðilegra gagna

Þegar þú ert að fást við líffræðileg gögn, þá setur GDPR í raun tvær aðskildar lagalegar hindranir í vegi fyrir þér. Það snýst ekki bara um að finna eina góða ástæðu til að vinna úr gögnunum. Þú þarft lagalegan grundvöll samkvæmt... Grein 6 fyrir almenna vinnslu, og síðan annað, mun strangari skilyrði frá Grein 9 vegna þess að þú ert að meðhöndla gögn af „sérstakri flokkun“. Þessi tvíþætta krafa er alls ekki samningsatriði.

Hugsaðu um það eins og bankahvelfingu með tveimur mismunandi lásum. Grein 6 er fyrsti lykillinn, sá sem þú þarft fyrir hvers konar vinnslu persónuupplýsinga. En vegna þess að líffræðileg gögn eru svo viðkvæm, Grein 9 krefst annars, sérhæfðari lykils áður en þú getur jafnvel hugsað um að opna hurðina.

Tvöfalt lykilkerfi fyrir GDPR-samræmi

Í fyrsta lagi þarftu að byggja vinnslu þína á einni af sex lögmætum ástæðum frá Grein 6Þetta eru algengustu ástæðurnar: samþykki, samningsbundin nauðsyn, lagaleg skylda sem þú verður að uppfylla, brýnir hagsmunir, framkvæmd opinbers verkefnis eða þínir eigin lögmætu hagsmunir.

Þegar þú hefur neglt niður þinn Grein 6 grunni, þá hefst hin raunverulega áskorun. Þú verður einnig að uppfylla eitt af þeim sérstöku skilyrðum sem talin eru upp í Grein 9 (2), sem eru einu gáttin fyrir vinnslu gagna í sérstökum flokkum. Fyrir líffræðilegar auðkenningar er frægasta – og oftast misskilna – skilyrðið skýrt samþykki.

Að afbyggja skýrt samþykki

Ekki rugla saman „skýru samþykki“ og hefðbundnu samþykki sem þú gætir notað fyrir markaðsfréttabréf. Þetta er mun hærra skilyrði. Það er ekki hægt að fela það inn í skilmála þína eða gefa í skyn af gjörðum einhvers. Það verður að vera skýr, jákvæð aðgerð sem er:

• Sérstakur: Þú getur ekki bara beðið um óljóst samþykki í „öryggisskyni“. Þú þarft að útskýra nákvæmlega hvers vegna þú þarft líffræðileg gögnin.
• upplýst: Fólk verður að vita nákvæmlega hvaða gögnum þú ert að safna, hvað þú gerir við þau, hverjir fá að sjá þau og hversu lengi þú geymir þau.
• Gefið frjálslega: Þetta er þar sem þetta verður erfitt, sérstaklega á vinnustað. Starfsmaður gæti fundið fyrir þrýstingi til að samþykkja líffræðilegt kerfi, af ótta við neikvæðar afleiðingar ef hann neitar. Þetta valdaójafnvægi þýðir að samþykki þeirra er ekki sannarlega „gefið af fúsum og frjálsum vilja“ og er því lagalega ógilt.

Hollenska AP-yfirvöldin (Autoriteit Persoonsgegevens) eru afar efins um að nota samþykki sem grundvöll fyrir vinnslu líffræðilegra upplýsinga starfsmanna. Útgangspunktur yfirvaldsins er sá að slíkt samþykki er næstum aldrei gefið af fúsum og frjálsum vilja og uppfyllir þar af leiðandi ekki strangar kröfur GDPR.

Þetta er lykilatriði fyrir fyrirtæki í Hollandi. Að reiða sig á samþykki starfsmanna fyrir líffræðilega stimplaklukku eða aðgangskerfi á skrifstofu er næstum alltaf blindgata í samræmi við reglur. Þú þarft að leita að sterkari og viðeigandi lagalegum forsendum.

Meira en samþykki: Könnun á öðrum undantekningum samkvæmt 9. grein

Þó að skýrt samþykki sé í öllum fréttum, Grein 9 býður upp á nokkrar aðrar, mjög þröngar, undantekningar sem gætu réttlætt notkun líffræðilegra gagna. Það er mikilvægt að ganga úr skugga um að þínar sérstöku aðstæður falli fullkomlega að einu af þessum skilyrðum, því að gera mistök getur leitt til alvarlegra vandræða. Sérhvert fyrirtæki þarf að meta vandlega hlutverk sitt og ábyrgð, sem þú getur lesið um í ítarlegri útskýringu okkar á ábyrgðaraðili og vinnsluaðili samkvæmt GDPR.

Til að gera þetta skýrara skulum við bera saman viðeigandi skilyrði og ströngustu kröfur þeirra.

Samanburður á lagalegum grundvelli fyrir vinnslu líffræðilegra gagna

Taflan hér að neðan greinir algeng skilyrði samkvæmt 9. grein sem þú gætir íhugað, þar sem fram kemur hvar þau virka og hvar þau fara oft úrskeiðis.

Að lokum snýst val á réttum lagalegum grundvelli ekki um að velja auðveldasta kostinn. Það krefst ítarlegrar, skjalfestrar greiningar á þínum sérstökum aðstæðum. Að velja einfaldlega þann sem virðist þægilegastur er flýtileið til að brjóta gegn reglum og hugsanleg bank á dyrnar frá hollenska lögmannsstofunni.

Hvernig á að framkvæma áhrifamat á persónuvernd

Ef fyrirtækið þitt er jafnvel að íhuga að vinna úr líffræðilegum gögnum í raunverulegum mæli, þá Mat á áhrifum gagnaverndar (DPIA) er ekki bara góð hugmynd — það er lagaleg skylda samkvæmt GDPR.

Hugsaðu um DPIA sem formlegt áhættumat á friðhelgi einkalífsins. Það er skipulagt ferli sem neyðir þig til að kortleggja nákvæmlega hvað þú ætlar að gera, greina hugsanlegar hættur fyrir einstaklinga og finna út hvernig á að stjórna þeirri áhættu. áður þú skannar nokkurn tímann eitt fingrafar eða andlit.

Þetta er miklu meira en einföld æfing í að haka við reitina. Það er grundvallaratriði í því að sýna fram á ábyrgð og fella gagnavernd inn í sjálfa hönnun kerfa þinna. Fyrir allar áhættusamar aðgerðir eins og líffræðilegar auðkenningar, mun Persónuverndarstofnun Hollands (AP) örugglega búast við að sjá ítarlega og vel rökstudda DPIA ef hún kemur einhvern tíma með spurningar.

Áður en þú getur jafnvel hafið DPIA fyrir líffræðilegar auðkenningar þarftu fyrst að yfirstíga tvær grundvallar lagalegar hindranir, eins og skýringarmyndin hér að neðan sýnir.

Þú verður fyrst að finna lagalegan grundvöll samkvæmt 6. grein og síðan uppfylla eitt af ströngu, sértæku skilyrðunum samkvæmt 9. grein. Þá fyrst geturðu haldið áfram með matið.

Kjarnaþættir DPIA

Í traustri mati á persónuvernd þarf að lýsa vinnslunni kerfisbundið, meta hvers vegna hún er nauðsynleg og í réttu hlutfalli við hlutfall og stjórna áhættu fyrir réttindi og frelsi fólks. Við skulum fara í gegnum lykilskrefin með mjög algengu atburðarás: uppsetningu fingrafaraskannara fyrir aðgangsstýringu á skrifstofum.

1. Lýstu vinnslunni: Vertu nákvæmur. Þú þarft að lýsa allri gagnaleiðinni frá upphafi til enda.

   • Hvað nákvæmlega ertu að safna? (t.d. fingrafaramyndum, ekki öllum myndunum).
   • Hvernig verða þessum gögnum safnað, hvar eru þau geymd, hvernig eru þau notuð og hvenær verður þeim eytt?
   • Hverjir hafa aðgang að þessum gögnum og hvers vegna?
   • Eru einhverjir þriðju aðilar að verki, eins og fyrirtækið sem útvegaði skannakerfið?

2. Metið nauðsyn og meðalhóf: Hér réttlætir þú ákvörðun þína. Það krefst þess að þú véfengir þínar eigin forsendur og sannir að notkun líffræðilegra auðkenninga sé skynsamlegasta ákvörðunin.

   • Hvaða nákvæmlega vandamál ertu að reyna að laga? (t.d. að koma í veg fyrir óheimilan aðgang að netþjónsrýmum).
   • Hvers vegna eru minna ífarandi aðferðir, eins og örugg lykilkort eða PIN-númer, ekki nógu góðar í þessari tilteknu stöðu?
   • Eru gögnin sem þú ert að safna virkilega lágmarkið sem þarf til að ná markmiði þínu?

3. Greina og meta áhættu: Settu þig í spor starfsmanns. Hvað gæti hugsanlega farið úrskeiðis hjá honum/henni?

   • Gagnabrot: Hverjar eru raunverulegar afleiðingar þess ef gagnagrunnur með fingrafarafyrirmyndum verður stolinn?
   • Virkniskreið: Er hætta á að þessi gögn verði notuð í aðra hluti síðar meir, eins og að fylgjast með komu og brottför starfsmanna, án þess að láta þá vita?
   • Útilokun: Hvað gerist ef starfsmaður getur ekki notað kerfið vegna húðsjúkdóms eða slitinna fingraföra? Er til valkostur fyrir viðkomandi?
   • Ónákvæmni: Hvað ef kerfið bilar og læsir óviðkomandi aðila úti meðan á brunaviðvörun stendur?

4. Finndu ráðstafanir til að draga úr áhættu: Nú, fyrir hverja áhættu sem þú hefur rétt í þessu nefnt, þarftu að leggja til raunhæfa lausn. Þetta er hagnýtasti hluti ferlisins.

   • Tæknilegar ráðstafanir: Þetta gæti þýtt að innleiða sterka dulkóðun fyrir gögnin, nota örugga sniðmátageymslu (á tækinu er oft betra en miðlægur netþjónn) og framfylgja ströngum aðgangsstýringum.
   • Skipulagsráðstafanir: Þetta felur í sér að móta skýra stefnu um líffræðileg gögn, þjálfa starfsfólk í þeim málum og hafa tilbúna sérstaka viðbragðsáætlun vegna gagnaleka fyrir þetta kerfi.
   • Meðalhófsráðstafanir: Bjóðið alltaf upp á aðgang án líffræðilegra upplýsinga ef mögulegt er. Þetta tryggir að kerfið útiloki engan á óréttlátan hátt.

Vel útfærð DPIA er lifandi skjal. Það er ekki eitthvað sem þú gerir einu sinni og skilar svo til hliðar. Það ætti að endurskoða og uppfæra ef umfang, eðli eða samhengi líffræðilegrar vinnslu þinnar breytist. Það þjónar sem aðal sönnun þín á áreiðanleikakönnun ef eftirlitsaðili dregur einhvern tíma í efa starfshætti þína.

Með því að fylgja þessari uppbyggingu breytist DPIA úr yfirþyrmandi lagalegri skyldu í öflugt stefnumótandi verkfæri. Það hjálpar til við að tryggja að notkun líffræðilegra auðkenninga byggist á traustum grunni framsýni og ábyrgðar, sem verndar bæði fyrirtækið þitt og þá einstaklinga sem þú vinnur úr gögnum um.

Nauðsynleg skref fyrir daglegt eftirlit

Að tryggja að líffræðileg gögn séu í samræmi við GDPR er ekki einskiptis lagalegt verkefni sem hægt er að haka við af lista. Þetta er viðvarandi skuldbinding sem þarf að flétta inn í daglegan rekstur. Þegar þú hefur fundið út lagalegan grundvöll og lokið DPIA, hefst raunverulega vinnan við að meðhöndla þessi viðkvæmu gögn á ábyrgan hátt. Þetta snýst allt um að breyta lagalegum meginreglum í hagnýtar, daglegar aðgerðir.

Kjarninn í þessu er að tryggja að meginreglur GDPR verði sjálfgefin stilling fyrirtækisins. Gott er að byrja á... gagnalágmörkunÞetta er einföld en ótrúlega öflug hugmynd: safnaðu aðeins þeim líffræðilegu gögnum sem þú þarft algerlega á að halda í þeim tiltekna, lögmæta tilgangi sem þú hefur skilgreint. Ekkert meira. Ef þú ert að setja upp aðgangskerfi fyrir skrifstofu, þarftu þá virkilega andlitsskönnun í hárri upplausn þegar mun einfaldara líffræðilegt sniðmát myndi duga alveg eins vel? Sennilega ekki.

Þetta fer hönd í hönd með geymslutakmörkunLíffræðileg gögn ættu ekki að vera geymd að eilífu. Þú þarft að setja og framfylgja skýrum varðveislustefnum. Þessar reglur ættu að tilgreina nákvæmlega hversu lengi þú munt geyma gögnin og tryggja að þeim sé eytt á öruggan hátt um leið og þeirra er ekki lengur þörf í upprunalegum tilgangi.

Innleiðing tæknilegra og skipulagslegra öryggisráðstafana

Að vernda líffræðileg gögn á réttan hátt krefst marglaga öryggisstefnu. Þetta þýðir að sameina bæði tæknilegar lausnir og trausta innri stefnu. Þetta eru ekki bara hlutir sem eru þægilegir; þetta eru óumflýjanlegar kröfur samkvæmt GDPR.

Hér eru nokkrar helstu tæknilegar ráðstafanir sem þú ættir að hafa til staðar:

• Sterk dulkóðun: Öll líffræðileg gögn verða að vera dulkóðuð, punktur. Þetta á við bæði þegar þau eru geymd á netþjónum eða tækjum (hestahvíld) og þegar það er sent yfir net (í flutningiDulkóðun gerir gögnin ólesanleg og gagnslaus fyrir alla sem gætu komist yfir þau án heimildar.
• Strangar aðgangsstýringar: Ekki þurfa allir í fyrirtækinu þínu að sjá eða meðhöndla líffræðileg gögn. Notaðu hlutverkatengda aðgangsstýringu til að læsa hlutunum og tryggja að aðeins viðurkenndir starfsmenn með skýra og lögmæta þörf geti nokkurn tímann fengið aðgang að þessum upplýsingum.
• Örugg geymsla: Forðastu að geyma líffræðileg sniðmát í einum stórum miðlægum gagnagrunni ef mögulegt er. Mun öruggari aðferð er að geyma þau staðbundið á tæki, eins og skannanum sjálfum eða aðgangskorti starfsmanns. Þessi dreifða líkan dregur verulega úr hættu á stórfelldum fjöldabrotum á gagnavernd.

En tækni ein og sér er ekki nóg. Skipulagsráðstafanir þínar eru jafn mikilvægar. Innleiðing á öflugum öryggisráðstöfunum, eins og þeim sem finnast í Lífræn öryggisaðferðir sem fyrst og fremst byggja á líffræðilegum aðferðum, getur dregið verulega úr hættu á svikum og styrkt almenna reglufylgni. Þetta þýðir einnig að þjálfa starfsfólk reglulega um gagnaverndarstefnu og framkvæma reglulegar öryggisúttektir til að finna og laga veikleika áður en þeir verða að vandamáli.

Að búa til gagnsæjar og skýrar persónuverndaryfirlýsingar

Gagnsæi er hornsteinn GDPR. Fólk á algeran rétt á að vita nákvæmlega hvað þú ert að gera við líffræðileg gögn þeirra. Persónuverndaryfirlýsing þín getur ekki verið þétt skjal fullt af fagorðum grafið í síðufót vefsíðunnar þinnar. Hún verður að vera skýr, hnitmiðuð og auðveld fyrir alla að finna og skilja.

Í persónuverndaryfirlýsingu sem uppfyllir kröfur um vinnslu líffræðilegra gagna verður að útskýra skýrt:

1. Hver þú ert: Nafn fyrirtækis þíns og upplýsingar um tengilið.
2. Af hverju þú vinnur úr gögnunum: Sérstök, lögmæt ástæða (t.d. „til að tryggja aðgang að rannsóknarstofu okkar“).
3. Löglegur grundvöllur þinn: Sérstök skilyrði samkvæmt 6. og 9. grein sem þú byggir á.
4. Hvaða gögnum er verið að safna: Vertu nákvæmur. Ekki bara segja „líffræðilegar upplýsingar“; tilgreindu hvort það sé fingrafaramynd, augnskanna o.s.frv.
5. Hversu lengi þú ætlar að geyma það: Geymslutími gagna þinna.
6. Með hverjum þú munt deila því: Þetta á einnig við um alla þriðju aðila sem bjóða upp á tækni.
7. Réttindi þeirra: Láttu þá vita um rétt sinn til aðgangs að, leiðréttingar, eyðingar og andmæla vinnslu gagna sinna.

Dæmi um skýrt tungumál: „Við notum fingrafaramyndasniðmát, sem er örugg töluleg framsetning á fingrafarafinu þínu, til að veita þér aðgang að netþjónsherberginu. Þetta sniðmát er eingöngu geymt á persónulegu aðgangskorti þínu og er eytt úr kerfinu okkar innan sólarhrings frá því að ráðning þín lýkur. Þú getur óskað eftir að sjá eða eyða gögnum þínum hvenær sem er.“

Þessi tegund skýrleika gerir meira en bara að merkja við lagalegan reit - hún byggir upp traust. Þegar þú ert opinská og gegnsær um hvernig þú meðhöndlar persónuupplýsingar einhvers sýnir þú skuldbindingu við gagnavernd sem nær lengra en einfaldlega að fylgja lögum. Það breytir lagalegri kröfu í hornstein heilleika fyrirtækisins.

Að sigla um framkvæmd og refsingar í Hollandi

Að hunsa strangar reglur GDPR um líffræðileg gögn er ekki bara fræðileg áhætta; það hefur í för með sér alvarlegar fjárhagslegar og orðsporsáhrif. Í Hollandi er Persónuverndarstofnunin (Autoriteit Persoonsgegevens eða AP) þekkt fyrir strangar framkvæmdir. Þetta gerir hugsanlegar afleiðingar misnotkunar gagna að mikilvægum þætti fyrir allar stofnanir að íhuga.

Það er nauðsynlegt að skilja þetta landslag í eftirliti. Hugsanleg refsing er ekki bara óhlutstæð lagaleg ógn. Þau eru veruleiki sem undirstrikar hversu mikilvægt það er að fylgja reglum fyrirbyggjandi. Fjárfestingin í að tryggja rétta gagnavinnslu er óhjákvæmilega mun minni en sá mikli kostnaður sem fylgir því að gera mistök.

Raunverulegur kostnaður við að fylgja ekki reglum

Samkvæmt persónuverndarreglugerðinni hafa eftirlitsstofnanir eins og hollenska eftirlitsstofnunin heimild til að leggja á verulegar sektir. Þessar refsingar eru hannaðar til að vera árangursríkar, í réttu hlutfalli við brot og letjandi, og endurspegla hversu alvarlegt brotið er metið. Fyrir alvarleg brot, eins og vinnslu sérstakra gagna án gilds lagalegs grundvallar, geta sektirnar verið svimandi háar.

Stofnanir geta átt yfir höfði sér allt að sektum 20 milljónir evra eða 4% af heildarveltu þeirra á heimsvísu á ári frá fyrra fjárhagsári, hvort sem er hærra. Þetta tvíþætta kerfi tryggir að sektirnar hafi veruleg áhrif jafnvel á stærstu alþjóðlegu fyrirtækin.

Skilaboðin frá eftirlitsaðilum eru skýr: rang meðferð líffræðilegra gagna er eitt alvarlegasta brotið á lögum um persónuvernd. Fjárhagslegar sektir eru hannaðar til að tryggja að brot á reglum séu aldrei fjárhagslega hagkvæmur kostur fyrir neitt fyrirtæki, óháð stærð þess.

Áberandi löggæsla í Hollandi og ESB

Nýlegar aðgerðir hollenska AP og evrópskra starfsbræðra þess sýna að þetta eru ekki innantómar hótanir. Yfirvöld eru virkir að rannsaka og refsa fyrirtækjum sem ekki standa við skyldur sínar. Nánari upplýsingar um hlutverk og valdsvið hollensku yfirvaldanna er að finna í ítarlegri grein okkar um... Persónuverndarstofnun Hollands.

Öflugt dæmi um þetta eru nýlegar aðgerðir gegn Clearview AI. Þann 3. september 2024 lagði hollenska AP á ... 30.5 milljón evra sekt gegn bandaríska andlitsgreiningarfyrirtækinu fyrir ólöglega gagnasöfnun þess. Þetta mál undirstrikar verulegar fjárhagslegar afleiðingar þess að vinna úr líffræðilegum upplýsingum án lagalegs grundvallar. Þetta er hluti af víðtækari þróun innan ESB, þar sem persónuverndaryfirvöld hafa lagt á sektir sem nema milljörðum evra. Algengasta og kostnaðarsamasta brotið? Ófullnægjandi lagalegur grundvöllur. Þú getur skoðað meira um Stærstu sektirnar samkvæmt GDPR og orsakir þeirra.

Meira en fjárhagslegar refsingar

Afleiðingar brots á GDPR ná langt út fyrir upphaflega sektina. Mannorðstjónið getur verið enn dýrara og varanlegt. Opinberar aðgerðir geta leitt til verulegs traustsmissis viðskiptavina, samstarfsaðila og almennings.

Aðrar mögulegar afleiðingar eru meðal annars:

• Leiðréttingarfyrirmæli: Lögreglan getur fyrirskipað þér að hætta vinnslu gagna, sem neyðir þig til að stöðva mikilvæga viðskiptastarfsemi.
• Umboð til eyðingar gagna: Þú gætir verið beðinn um að eyða öllum líffræðilegum gögnum sem hafa verið söfnuð á óréttmætan hátt.
• Almannamál: Einstaklingar sem fyrir áhrifum hafa rétt til að krefjast bóta fyrir tjón, sem opnar leiðir til hópmálsókna.

Að lokum er löggæsluumhverfið í Hollandi traust. Hollenska lögreglan hefur sýnt að hún mun ekki hika við að beita öllum völdum sínum til að vernda viðkvæmustu gögn einstaklinga. Þetta gerir það að verkum að eftirlit er vandað. Líffræðileg gögn í samræmi við GDPR nauðsynleg forgangsverkefni í viðskiptum.

Að búa til viðbragðsáætlun vegna brota á líffræðilegum gögnum

Þegar líffræðileg gögn eru í hættu er það ekki bara annað vandamál í upplýsingatækni; það er algert neyðarástand. Það er ekki hægt að „endurstilla“ fingrafar eða augnskanna eins og lykilorð. Það skiptir miklu máli hvernig fyrirtækið þitt bregst við fyrstu klukkustundunum, ekki aðeins til að takmarka skaðann heldur einnig til að sýna eftirlitsaðilum að þú berð ábyrgð.

Þess vegna er það ekki bara góð hugmynd að hafa trausta, fyrirfram undirbúna viðbragðsáætlun fyrir líffræðileg gögn, heldur nauðsynlega. Um leið og þú verður var við brot fer klukkan að líða.

72 klukkustunda tilkynningarfrestur

Samkvæmt GDPR hefur þú stranga skyldur. 72 tíma gluggi að tilkynna brot á persónuupplýsingum til eftirlitsyfirvalds eftir að þú uppgötvar það. Fyrir öll fyrirtæki sem starfa í Hollandi þýðir þetta að tilkynna það til Persónuverndarstofnunar Hollands (Autoriteit Persoonsgegevens, eða AP).

Sjötíu og tvær klukkustundir eru ekki langur tími og þess vegna er svo mikilvægt að viðbrögð séu fyrirfram skipulögð. Í tilkynningu þinni verður að vera lýst eðli brotsins, gerð gagna og áætlaður fjöldi einstaklinga sem verða fyrir áhrifum, og líklegar afleiðingar. Þú verður einnig að útskýra þær ráðstafanir sem þú hefur þegar gripið til eða hyggst grípa til.

Skref 1: Innsigla brotið og meta áhrifin

Fyrsta forgangsverkefni þitt er að stöðva blæðinguna. Þetta krefst samræmds átaks milli upplýsingatækniöryggis- og lögfræðiteyma þinna til að hefta ógnina og komast að því nákvæmlega hvað gerðist.

• Einangraðu kerfi sem verða fyrir áhrifum: Taktu kerfi sem hafa orðið fyrir áhrifum af skemmdum tafarlaust úr sambandi til að koma í veg fyrir frekari óheimilan aðgang eða gagnaleka.
• Varðveittu sönnunargögn: Tryggið allar skrár og stafræn sönnunargögn. Þetta er mikilvægt fyrir rétta réttarlæknisfræðilega rannsókn og fyrir skýrslugjöf ykkar samkvæmt eftirliti.
• Þekkja gögnin: Fáðu nákvæmar upplýsingar um hvaða líffræðileg gögn voru fyrir áhrifum. Var um að ræða hráar myndir eða dulkóðaðar sniðmát? Hverjir voru einstaklingarnir sem um ræðir?

Skref 2: Ákvarða hvort þú verður að tilkynna einstaklingum

Þegar þú hefur skilið umfang brotsins stendur þú frammi fyrir annarri mikilvægri ákvörðun. Persónuverndarreglugerðin krefst þess að þú tilkynnir viðkomandi einstaklingum beint og „án ótilhlýðilegrar tafar“ ef brotið er... líklegt til að leiða til mikillar áhættu að réttindum sínum og frelsi.

Með líffræðilegum gögnum er þessu „hááhættumörkum“ næstum alltaf náð. Brot gæti leitt til óafturkræfs auðkennisþjófnaðar, fjársvika eða annars verulegs persónulegs tjóns. Hollenska AP hefur sýnt fram á sífellt strangari framfylgd þessara tilkynningarkrafna. Árið 2024 fékk yfirvaldið... 37,839 Tilkynningar um öryggisbrot á persónuupplýsingum, þar sem umtalsverður fjöldi þeirra leiðir til eftirfylgniaðgerða. Afstaða hollenska upplýsingalögreglunnar er oft frábrugðin afstöðu annarra yfirvalda ESB, þar sem flest öryggisbrot eru talin áhættusöm og því þarf að tilkynna viðkomandi einstaklingum beint. Þú getur fengið frekari innsýn í Aðferð hollensku persónuverndarstofnunarinnar við gagnaleka.

Tilkynning þín til einstaklinga verður að vera á skýru og einföldu máli. Hún ætti að útskýra hvað gerðist, hvaða upplýsingar voru um að ræða og hvaða skref þeir geta gripið til til að vernda sig, svo sem að vera á varðbergi gagnvart phishing-tilraunum.

Skref 3: Framkvæmdu og skráðu svar þitt

Viðbragðsáætlun þín ætti að vera lifandi handbók, ekki skjal sem safnar ryki. Þegar þú framkvæmir áætlunina skaltu skrásetja hverja einustu aðgerð sem tekin er. Þessi skjöl verða aðal sönnun þín fyrir viðbragðsaðilanum um að þú hafir brugðist ábyrgt og vandlega við.

Þetta felur í sér að skrá allar ákvarðanir, samskipti og tæknilegar ráðstafanir frá því að þær uppgötvast. Vel skjalfest viðbrögð geta haft veruleg áhrif á hvernig eftirlitsaðilar líta á heildarreglufylgni fyrirtækisins og geta haft áhrif á alvarleika hugsanlegra refsinga.

Algengar spurningar um samræmi við líffræðilegar upplýsingar

Þegar maður skoðar hagnýta notkun líffræðilegra auðkenninga í Hollandi koma upp margar sérstakar spurningar. Það er eitt að skilja reglurnar í orði kveðnu, en annað að beita þeim í raunverulegum viðskiptaaðstæðum. Við höfum tekið saman nokkrar af algengustu spurningunum sem viðskiptavinir okkar spyrja til að skýra málið betur.

Get ég krafist þess að starfsmenn noti líffræðilega tímaklukku?

Í nánast öllum aðstæðum í Hollandi er svarið fastmótað nrHollenska fréttastofan AP telur að í sambandi vinnuveitanda og starfsmanns sé í eðli sínu valdaójafnvægi. Vegna þessa er ekki hægt að líta á samþykki starfsmanns sem „gefið af fúsum og frjálsum vilja“, sem gerir það að ógildum lagalegum grundvelli fyrir skyldubundna notkun.

Til að halda áfram þyrftirðu að sanna knýjandi og algera nauðsyn sem ekki væri hægt að uppfylla með neinum minna ífarandi aðferðum. Það er ótrúlega há staðlaður grunnur að einhverju eins einföldu og tímaskráningu, og það er mjög ólíklegt að það takist.

Er notkun andlitsgreiningar til að opna fyrirtækjasíma áhættusöm samkvæmt GDPR?

Já, þetta er klárlega áhætta samkvæmt GDPR ef þú stjórnar því ekki vandlega. Þó að þetta virðist kannski vera einföld þægindaaðgerð, þá ertu samt að vinna úr gögnum í sérstökum flokkum.

Lykilatriðið hér er hvar gögnin eru geymd. Ef andlitssniðmátið er geymt á öruggan hátt bara á tækinu sjálfu og aldrei sent á miðlægan netþjón fyrirtækisins, þá er áhættan mun minni. Engu að síður verður þú samt að framkvæma DPIA, vera fullkomlega gagnsær við starfsmanninn þinn um hvernig hún virkar og alltaf bjóða upp á ólíffræðilegan valkost, eins og gamla góða PIN-númerið eða lykilorð.

Hversu lengi megum við löglega geyma líffræðilegar upplýsingar eftir að starfsmaður hættir störfum?

Þú verður að losa þig við það um leið og það er ekki lengur þörf á því í upprunalegum tilgangi. Fyrir aðgangsstýrikerfi þýðir þetta að líffræðilega sniðmátið ætti að vera örugglega og varanlega eytt á síðasta starfsdegi, eða mjög stuttu síðar.

Það er einfaldlega engin lögmæt ástæða til að geyma þessi mjög viðkvæmu gögn eftir að ráðningarsambandi lýkur. Það er óumdeilanlegt að hafa skýra, sjálfvirka eyðingarstefnu. Líffræðileg gögn í samræmi við GDPR.

At Law & More, okkar sérfræðingateymi í lögfræði getur aðstoðað þig við að skilja flækjustig persónuverndarlaga til að tryggja að rekstur þinn sé í fullu samræmi við reglur. Fyrir persónulega ráðgjöf um þínar sérstöku aðstæður, heimsæktu okkur á https://lawandmore.eu.