Pēdējā laikā Datu valsts inspekcija saņem arvien vairāk jautājumu par biometrisko datu (pirkstu nospiedumu un sejas attēlu) apstrādi darba vietās, kas liecina par šīs tehnoloģijas pieaugošo popularitāti un tās izplatīšanos uzņēmējdarbības vidē. Kā novērots praksē, tad lielākais “klupšanas akmens” darba devējiem, ieviešot biometrisko datu apstrādes sistēmu, nav drošība, bet gan – kā apstrādāt datus likumīgi?
- Jāsaprot, ja vēlamo mērķi- piemēram, darba laika uzskaiti vai iekļūšanu ofisā- var sasniegt ar mazāku iejaukšanos darbinieka privātumā, tad biometrisko datu izmantošanu var uzskatīt par pārmērīgu no darba devēja puses un neatbilstošu normatīvo aktu prasībām. Piemēram, izmantojot to pašu čipkarti, var panākt minētos mērķus, neapstrādājot darbinieka biometriskos datus. Lai darba devējs ievērotu savu padoto personas datu aizsardzības prasības un respektētu darbinieku tiesības uz privātumu, ir skaidri jādefinē, kamdēļ ir vajadzīga tieši biometrisko datu apstrāde. Piemēram, ja uzņēmumā ir nepieciešams paaugstināt drošības līmeni un nepieļaut nepiederošu personu iekļūšanu telpās.
- Jāatceras, ka biometriskie dati ir īpašās kategorijas dati, kuru apstrāde darba devējiem ir pieļaujama tikai noteiktos gadījumos, kas minēti Datu regulā. Sīkāk par biometriskajiem datiem esam skaidrojuši šeit- https://www.dvi.gov.lv/lv/jaunums/dviskaidro-biometrijas-datu-apstradi-mazumtirdznieciba
- Uzņēmumi, kas iekļūšanai darba vietā plāno izmantot savu darbinieku pirkstu nospiedumu vai sejas skenēšanu, biometrisko datu apstrādi varētu pamatot ar darbinieku piekrišanu. Jāatceras, ka darbinieka piekrišanai ir jābūt brīvi sniegtai, konkrētai un apzinātai. Nedrīkst būt situācija, kad darbiniekam iestājas negatīvas sekas, jo viņš nav sniedzis savu piekrišanu.
Par tiesisko pamatu – “piekrišana” datu apstrādei esam skaidrojuši jau iepriekš- https://www.dvi.gov.lv/lv/jaunums/dviskaidro-09122022
Piekrišana – brīvi sniegta. Tas norāda uz reālu izvēles iespēju un darbinieka kontroli pār saviem datiem.
Konkrēta. Darba devējs nodrošina darbiniekam kontroli un pārredzamību pār saviem datiem. Darba devējam ir jānosaka konkrēts un likumīgs mērķis, kādēļ nepieciešams apstrādāt darbinieka biometriskos datus.
Apzināta. Darba devējam skaidri un saprotami jāsniedz precīza informācija par visiem būtiskajiem jautājumiem saistībā ar plānoto datu apstrādi, tostarp biometrisko datu apstrādi. Darbiniekam ir jāzina, kā dati tiks apstrādāti, kādas ir iespējamās sekas no datu apstrādes tieši viņiem. Darba devējam jāsniedz arī cita informācija pārredzamības nodrošināšanai – attiecībā pret darbiniekiem var piemērot līdzīgus principus kā pret klientiem, par kuru informēšanu esam skaidrojuši –https://www.dvi.gov.lv/lv/jaunums/dviskaidro-privatuma-politika.
Lai izvairītos no nelabvēlīgām sekām, pirms biometrisko datu apstrādes ieviešanas uzņēmumiem būtu lietderīgi veikt datu aizsardzības risku izvērtējumu. Šo procesu zinām kā Novērtējumu par ietekmi uz datu aizsardzību jeb NIDA, ar kura palīdzību uzņēmums var veikt dažādu risku analīzi, kas izriet no konkrētās datu apstrādes. Sīkāk par NIDA lasiet šeit- https://www.dvi.gov.lv/lv/jaunums/dviskaidro-NIDA.
Tāpat aicinām darba devējus, kuri ieviesuši biometrisko datu apstrādi savā uzņēmumā (kontroles sistēma, darba laika uzskaite vai tamlīdzīga biometrisko datu apstrāde), pārskatīt jau ieviestās sistēmas un ar tām saistīto dokumentāciju, lai datu apstrāde atbilstu Datu regulas prasībām.
