Биометрическая отметка (отпечаток или лицо): что говорят GDPR и AEPD
Разворот AEPD в отношении биометрии
В ноябре 2023 года Испанское агентство по защите данных (AEPD) выпустило руководство, ужесточившее использование биометрических данных для учёта присутствия. Биометрические данные — это особая категория по статье 9 GDPR, поэтому их обработка требует усиленного правового основания, и, как правило, согласия работника недостаточно из-за неравенства в трудовых отношениях.
Незаконна ли отметка по отпечатку?
Это не является автоматически незаконным, но AEPD считает, что, если только закон прямо не разрешает это, использование биометрии для простого учёта времени непропорционально при наличии менее навязчивых альтернатив. Компания обязана провести оценку воздействия (DPIA) до внедрения.
Одного согласия работника недостаточно для обработки его отпечатка или лица в целях отметок.
Требования, если вы всё же используете биометрию
- Определить действительное правовое основание по статье 9(2) GDPR.
- Провести предварительную оценку воздействия.
- Применять принципы минимизации и пропорциональности.
- Прозрачно информировать и предлагать альтернативу.
Безопасные альтернативы
Большинство МСП могут вести учёт времени небиометрическими методами: PIN-код, карта, мобильное приложение с разовой геолокацией или веб-отметка. Они надёжны, прослеживаемы и не обрабатывают особые категории данных.
С RegulaKit ваш персонал отмечается с телефона или браузера без отпечатков, соблюдая GDPR. Оцените стоимость нарушения с помощью нашего калькулятора штрафов.
Заключение
После критерия AEPD разумно избегать биометрии для отметок, если нет специального правового основания. Цифровые альтернативы работают не хуже и снижают риск штрафа.
Часто задаваемые вопросы
Можно ли использовать отпечаток для отметок персонала?
Только при усиленном правовом основании по статье 9 GDPR и предварительной оценке воздействия; при наличии альтернатив AEPD считает это непропорциональным.
Достаточно ли согласия работника?
Само по себе нет. Трудовые отношения неравны, поэтому согласие не является достаточным основанием.
Незаконна ли биометрическая отметка?
Не автоматически, но требует строгих условий и при отсутствии правового основания обычно непропорциональна.
Какие у меня альтернативы?
PIN-код, карта, мобильное приложение или веб-отметка — надёжные методы, не обрабатывающие биометрию.
Нужна ли оценка воздействия?
Да, DPIA обязательна до внедрения биометрической системы учёта присутствия.