Vzhľadom na tento pokračujúci trend sme sa preto rozhodli priblížiť Vám v akých prípadoch a za akých podmienok je spracúvanie biometrických údajov možné z hľadiska ochrany osobných údajov.

Podľa GDPR[2] sú biometrickými údajmi všetky „osobné údaje, ktoré sú výsledkom osobitného technického spracúvania, ktoré sa týka fyzických, fyziologických alebo behaviorálnych charakteristických znakov fyzickej osoby a ktoré umožňujú alebo potvrdzujú jedinečnú identifikáciu tejto fyzickej osoby, ako napríklad vyobrazenia tváre alebo daktyloskopické údaje“. Ide teda o nezameniteľné údaje slúžiace na identifikáciu konkrétnej osoby, ktoré nie je možné zmeniť. To im priznáva citlivý charakter.

Na to, aby sa akýkoľvek údaj považoval za biometrický, musia byť teda splnené dve podmienky. Tou prvou je, že pôjde o údaj biologických vlastností, fyziologických znakov alebo čŕt alebo behaviorálnych znakov alebo čŕt špecifických pre konkrétnu osobu. Druhou podmienkou je merateľnosť biometrického údaju. To znamená, že údaj musí byť možné „zmerať“ v zmysle zaznamenať spôsobom jedinečne určujúcim konkrétnu fyzickú osobu, v opačnom prípade nemôže ísť o biometrický údaj.

Spracúvanie biometrických údajov v zmysle GDPR musí byť „výsledkom osobitného technického spracúvania“. Napríklad kamerový alebo hlasový záznam sám osebe nepredstavuje biometrický údaj, pretože nejde o výsledok špecifického technického procesu, za účelom identifikácie osoby na základe jej jedinečných vlastností. Jedná sa len o vyhotovovanie záznamov bez toho, aby dochádzalo ku technickému spracúvaniu zaznamenávaných údajov. Osobitným technickým spracúvaním je možné rozumieť využitie technologického postupu nad rámec bežného premietnutia zvuku a obrazu, napr. počítačového programu schopného analyzovať dáta z vyhotovených záznamov. Ak kamerové alebo hlasové záznamy budú podliehať inteligentnej technologickej analýze, ktorej výsledkom bude rozpoznanie údajov, ktorými sú biologické, fyziologické alebo behaviorálne znaky alebo črty konkrétnych osôb na zázname a zároveň sa takáto technológia použije za účelom jednoznačnej identifikácie fyzickej osoby, pôjde o spracúvanie biometrických údajov podľa GDPR.

S ohľadom na citlivú povahu biometrických údajov je ich spracúvanie prísne regulované a podľa GDPR je možné len ak bola splnená aspoň jedna z nasledujúcich podmienok:

1. dotknutá osoba udelila výslovný súhlas na spracúvanie týchto údajov;
2. spracúvanie je nevyhnutné na účely plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva a práva sociálneho zabezpečenia a sociálnej ochrany, pokiaľ je to povolené právom členského štátu;
3. spracúvanie je nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby v prípade, že dotknutá osoba nie je fyzicky alebo právne spôsobilá vyjadriť svoj súhlas;
4. spracúvanie vykonáva v rámci svojej zákonnej činnosti s primeranými zárukami nadácia, združenie alebo akýkoľvek iný neziskový subjekt s politickým, filozofickým, náboženským alebo odborárskym zameraním pod podmienkou, že takto spracúvané údaje sa týkajú iba členov takéhoto subjektu;
5. spracúvanie sa týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila;
6. osobitné kategórie osobných údajov sú spracúvane pri výkone súdnej právomoci;
7. spracúvanie je nevyhnutné z dôvodov významného verejného záujmu;
8. spracúvanie je nevyhnutné na účely lekárstva a iných vybraných činností[3];
9. spracúvanie je nevyhnutné z dôvodov verejného záujmu v oblasti verejného zdravia; alebo
10. spracúvanie je nevyhnutné na účely archivácie vo verejnom záujme, alebo na účely vedeckého alebo historického výskumu či na štatistické účely podľa práva členského štátu.

V podnikateľskom prostredí dochádza k spracúvaniu biometrických údajov zvyčajne na základe výslovného súhlasu dotknutej osoby. Tak>>> tu).

Hoci sú podmienky spracúvania biometrických údajov určené v GDPR pomerne stroho, Európsky výbor pre ochranu údajov (ang. European Data Protection Board; ďalej len „EDPB“) poskytuje v tejto súvislosti pomerne extenzívny a detailný výklad. Do právomoci EDPB okrem iného patrí aj vydávanie všeobecných usmernení pre objasnenie európskych právnych predpisov v oblasti ochrany osobných údajov, poskytovanie ich jednotného výkladu či prijímanie záväzných rozhodnutí voči dozorným úradom členských štátov pre zabezpečenie konzistentného uplatňovania predpisov o ochrane osobných údajov.

Podľa názoru EDPB[4] napríklad platí, že prevádzkovateľ nesmie podmieniť prístup k svojim službám akceptáciou spracúvania biometrických údajov. Dotknutej osobe musí ponúknuť aj alternatívne riešenie spracúvania osobných údajov, a to bez obmedzení alebo dodatočných nákladov. EDPB ďalej odporúča prevádzkovateľom spracúvajúcim biometrické údaje prijať špecifické opatrenia za účelom minimalizácie rizík[5] takéhoto spracúvania osobných údajov. Medzi tieto špecifické opatrenia patria napríklad:

• uloženie šablón[6] na individuálnom zariadení, ktoré je vo výlučnom dosahu používateľa (t.j. dotknutej osoby), ako napr. smartfón, občiansky preukaz a pod. alebo v centralizovanej databáze, zašifrované prostredníctvom kľúča, ktorý je výlučne v dispozícii prevádzkovateľa;
• zašifrovanie šablón pomocou kryptografického algoritmu;
• rozčlenenie údajov počas prenosu a uchovávania;
• ukladanie biometrických šablón a nespracovaných údajov alebo údajov o identite v rôznych databázach (t.j. nekumulovať ich);
• zavedenie organizačných a technických opatrení na zistenie podvodu; alebo
• zákaz akéhokoľvek externého prístupu k biometrickým údajom.

Okrem vyššie uvedených odporúčaní spracúvania podľa EDPB, ktoré sú špecifické pre biometrické údaje, je pri spracúvaní biometrických údajov stále potrebné dodržiavať aj všeobecné zásady spracúvania osobných údajov podľa GDPR, ktorými sú najmä:

• splnenie podmienky zákonnosti spracúvania, tzn. že pre spracúvanie osobných údajov existuje právny základ, ktorý pripúšťa GDPR[7];
• dodržiavanie zásady transparentnosti, t.j. zrozumiteľne poskytnúť dotknutým osobám informácie o tom kto osobné údaje spracúva, akým spôsobom sú spracúvané a po akú dlhú dobu;
• obmedzenie účelu spracúvania – osobné údaje nie je možné spracúvať na iné ako vopred určené legitímne účely, ktoré sú konkrétne a o ktorých bola dotknutá osoba informovaná;
• minimalizácia spracúvania – podľa GDPR je prípustné iba spracúvanie osobných údajov v rozsahu nevyhnutnom pre dosiahnutie určeného účelu spracúvania;
• zachovávanie primeranej doby uchovávania – osobné údaje môže prevádzkovateľ uchovávať iba počas doby nevyhnutnej na dosiahnutie stanoveného účelu spracúvania a po skončení ich spracúvania na daný účel ich zlikvidovať;
• spracúvanie iba správnych osobných údajov – prevádzkovateľ zodpovedá za správnosť údajov, ktoré spracúva a v prípade zistenia ich nesprávnosti a/alebo neaktuálnosti je povinný zabezpečiť opravu, doplnenie alebo výmaz takýchto údajov;
• prijatie primeraných technických a organizačných opatrení pre zabezpečenie dostatočnej miery ochrany pomernej ku povahe spracúvaných údajov.

Jednou z najdôležitejších vecí, na ktoré by prevádzkovateľ, ktorý spracúva biometrické údaje nemal zabudnúť je povinnosť zabezpečiť  výmaz nespracovaných údajov, t.j. údajov, ktoré nie sú využívané pre splnenie účelov spracúvania určených prevádzkovateľom (napr. podobizne tváre, zaznamenávanie hlasu, črty chôdze a i.). Ak neexistuje právny základ pre spracúvanie, všetky biometrické údaje musia byť bezodkladne zlikvidované.

Spracúvanie biometrických údajov v praxi môže predstavovať jeden z dôvodov pre vznik povinnosti prevádzkovateľa vypracovať posúdenie vplyvu na ochranu osobných údajov (ang . Data Protection Impact Assessment; ďalej len „DPIA“). DPIA je mechanizmom na vyhodnotenie rizík spracúvania osobných údajov, ktorého účelom je zamedziť negatívnym vplyvom na práva a právom chránené záujmy dotknutých osôb (napr. na ich právo na súkromie, právo na ochranu osobnosti, a pod.). GDPR neurčuje konkrétne náležitosti DPIA, ani výslednú formu jej spracovania, avšak je potrebné mať zaznamenané, že prevádzkovateľ takéto posúdenie vykonal a ku spracúvaniu biometrických údajov môže dôjsť až po tom, ak podľa vyhodnotenia na základe DPIA neprevažujú riziká vyplývajúce pre dotknuté osoby nad účelmi sledovanými prevádzkovateľom. Podľa názoru EDPB samotné spracúvanie biometrických údajov nepodlieha povinnosti vykonať DPIA, avšak ak ide o spracúvanie biometrických údajov za účelom individuálnej identifikácie dotknutej osoby v spojení s aspoň jedným ďalším kritériom pre vypracovanie DPIA[8] bude jej vypracovanie pre prevádzkovateľa povinnosťou.

Veríme, že náš článok Vám pomohol lepšie porozumieť problematike spracúvania biometrických údajov v podnikateľskom prostredí. Ak máte záujem o ďalšie informácie v oblasti GDPR neváhajte nás kontaktovať.