Biometriske data og GDPR: regler i Holland

Biometriske data, såsom fingeraftryk, ansigtsbilleder eller stemmemønstre, er en særlig kategori af personoplysninger i henhold til GDPR, når de behandles for at identificere en person unikt. I Holland er sådan behandling i princippet forbudt; den primære undtagelse er, hvor det er nødvendigt af hensyn til autentificering eller sikkerhedsmæssige formål, og for medarbejdere er denne test sjældent opfyldt af et stempelur eller en kontordør.

Den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) anvender disse regler strengt og har pålagt arbejdsgivere og teknologivirksomheder bøder for at bruge biometri uden et gyldigt grundlag. Nedenfor forklarer vi, hvad der tæller som biometriske data, hvilke juridiske grundlag der er tilgængelige, hvornår du har brug for en konsekvensanalyse vedrørende databeskyttelse, hvilke sikkerhedsforanstaltninger der forventes, og hvad du skal gøre, hvis noget går galt.

Hvad er biometriske data i henhold til GDPR?

Biometriske data er personoplysninger, der er et resultat af en specifik teknisk behandling af en persons fysiske, fysiologiske eller adfærdsmæssige karakteristika, som muliggør eller bekræfter personens unikke identifikation. Formålet og teknikken er afgørende, ikke typen af ​​billede eller optagelse.

Denne definition findes i artikel 4(14) i den generelle forordning om databeskyttelse (GDPR) . Et fotografi af en medarbejder på et ID-kort er personoplysninger, men ikke automatisk biometriske data. I det øjeblik det samme fotografi konverteres til en ansigtsskabelon og bruges af et genkendelsessystem til at give adgang til en bygning, bliver det til biometriske data. Dette skift ændrer den juridiske ramme fuldstændigt.

Eksempler på biometriske identifikatorer er fingeraftryk, ansigtsgeometri, iris- og nethindemønstre, stemmemønstre og adfærdstræk såsom skriverytme eller måden, en person går på. Det, de har til fælles, er, at de bruges til at genkende en specifik person.

Hvorfor behandler GDPR biometriske data anderledes?

I henhold til artikel 9 i GDPR tilhører biometriske data, der behandles med det formål entydigt at identificere en person, de særlige kategorier af personoplysninger. Den samme kategori omfatter oplysninger om racemæssig eller etnisk oprindelse, politiske holdninger, religiøs overbevisning, helbred og sexliv.

Årsagen er, at konsekvenserne af misbrug er alvorlige og ofte uoprettelige. En adgangskode kan ændres; et fingeraftryk eller en iris kan ikke. Hvis en database med biometriske skabeloner kompromitteres, står de berørte personer over for en vedvarende risiko for identitetssvindel. Tabellen nedenfor viser almindelige anvendelser.

Den fælles tråd er formålet med unik identifikation. Hvor dette formål er til stede, gælder forbuddet i artikel 9, og du har brug for en af ​​de specifikke undtagelser.

Hvor streng er den hollandske tilgang?

AP fortolker disse regler strengt. Udgangspunktet er, at biometrisk identifikation er forbudt, og at undtagelserne er snævre.

Den hollandske implementeringslov for GDPR (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) tilføjer en national undtagelse. I henhold til artikel 29 i UAVG må biometriske data behandles med henblik på unik identifikation, hvis dette er nødvendigt af hensyn til autentificering eller sikkerhedsformål. "Nødvendig" er nøgleordet. Det betyder, at formålet ikke med rimelighed kan opnås med mindre indgribende midler, såsom et kort, en kode eller en nøgle. AP har i sin vejledning gjort det klart, at ansigtsgenkendelse på offentligt tilgængelige steder, såsom butikker, i princippet ikke er tilladt.

Hvilket juridisk grundlag har du brug for?

Du behøver to: et lovligt grundlag i henhold til artikel 6 i GDPR for selve behandlingen, og en undtagelse i henhold til artikel 9(2) i GDPR eller artikel 29 i UAVG for at ophæve forbuddet mod særlige kategorier. Uden begge er behandlingen ulovlig.

Artikel 6 i GDPR opregner seks retsgrundlag: samtykke, opfyldelse af en kontrakt, en retlig forpligtelse, vitale interesser, en opgave i samfundets interesse og legitime interesser. Det er den første hindring, og den gælder for alle personoplysninger.

Da biometriske data er en særlig kategori, skal du opfylde en af ​​betingelserne i artikel 9(2) i GDPR eller den hollandske undtagelse i artikel 29 i UAVG. Dette er de eneste måder, hvorpå forbuddet kan ophæves. Før du starter, skal du også afgøre, hvem der er den dataansvarlige, og hvem der fungerer som databehandler, for eksempel leverandøren af ​​scanningssystemet. Vores artikel om den dataansvarliges og databehandlerens roller i henhold til GDPR forklarer forskellen og den databehandleraftale, du har brug for.

Hvornår er udtrykkeligt samtykke gyldigt?

Eksplicit samtykke er en højere standard end almindeligt samtykke. Det skal gives i form af en klar, bekræftende erklæring og skal være specifikt, informeret, utvetydigt og givet frit.

• Bestemt: En generel henvisning til "sikkerhedsformål" er ikke tilstrækkelig; du skal angive præcist, hvorfor du har brug for de biometriske data.
• informeret: Folk skal vide, hvilke data du indsamler, hvad du gør med dem, hvem der har adgang, og hvor længe du opbevarer dem.
• Frit givet: Personen skal kunne nægte uden negative konsekvenser og skal til enhver tid kunne trække samtykket tilbage.

I et ansættelsesforhold er den sidste betingelse problemet. En medarbejder, der nægter, kan frygte konsekvenser, og AP mener derfor, at medarbejdersamtykke sjældent gives frivilligt. En arbejdsgiver, der er afhængig af samtykke, skal kunne vise, at der eksisterede og blev tilbudt et reelt alternativ i praksis, ikke kun på papiret.

For kunder kan samtykke fungere, forudsat at deltagelse er helt frivillig. En kunde, der vælger at betale med ansigtsgenkendelse, hvor et tilsvarende alternativ er tilgængeligt ved samme skranke, er i en anden position end en medarbejder, der skal bruge en fingeraftryksscanner for at begynde at arbejde.

Hvilke andre undtagelser er der?

De andre undtagelser er snævre. Tabellen nedenfor sammenligner de mest relevante.

At vælge det rigtige grundlag kræver en dokumenteret analyse af din specifikke situation. At vælge det mest bekvemme grundlag uden denne analyse er en hurtig vej til manglende overholdelse.

Må I bruge fingeraftryk eller ansigtsscanninger på medarbejdere?

Kun hvis biometri virkelig er nødvendigt for autentificering eller sikkerhed, og en mindre indgribende metode ikke ville være tilstrækkelig. For tidsregistrering, en kasse eller en almindelig kontordør er det normalt ikke tilfældet.

Testen i henhold til artikel 29 i UAVG er, om formålet med rimelighed kan opnås ved mindre indgribende midler. En scanner, der kontrollerer adgang til en kasse, et tidsregistreringssystem eller en kontordør, består normalt ikke denne test, fordi et adgangskort, en kode eller en nøgle opnår det samme resultat uden biometriske data. Hvor biometrisk adgang accepteres, er sikkerhedsinteressen væsentlig og specifik: et anlæg, der håndterer farlige materialer, et sikkert laboratorium, et datacenter eller en hvælving.

Samtykke redder sjældent et sådant system af de ovenfor forklarede grunde. Og der er et andet, separat krav. Hvor der findes et samarbejdsudvalg (ondernemingsraad), kræver et system, der registrerer eller overvåger medarbejdernes fremmøde, adfærd eller præstation, eller som behandler deres personoplysninger, dets samtykke i henhold til artikel 27(1)(k) og (l) i samarbejdsudvalgsloven (Wet op de ondernemingsraden, WOR). Overholdelse af GDPR fjerner ikke dette krav, og et system, der er indført uden samtykke, kan anfægtes.

Kan I bruge biometri til kunder?

Nogle gange, men de samme strenge regler gælder. Med kunder kan udtrykkeligt samtykke være et gyldigt grundlag, forudsat at brugen af ​​biometri er fuldt ud valgfri, og et tilsvarende alternativ er tilgængeligt.

Almindelige eksempler er oplåsning af en bankapp med et fingeraftryk, identitetsbekræftelse med en selfie ved åbning af en onlinekonto og adgang til et fitnesscenter eller et arrangement med ansigtsgenkendelse. Hvor den biometriske kontrol udelukkende foregår på kundens egen telefon ved hjælp af telefonens indbyggede teknologi, modtager virksomheden normalt ikke selv de biometriske data. Det reducerer risikoen og forpligtelserne for virksomheden betydeligt.

Hvor virksomheden selv behandler dataene, for eksempel ved at sammenligne en selfie med et pasfoto på sine egne servere, skal den have et gyldigt grundlag. Samtykke kræver, at kunden kan vælge en anden rute, såsom verifikation via en bankoverførsel eller et besøg i en filial, uden ulempe. For banker og andre finansielle institutioner spiller kundekendskabskrav i henhold til lovgivningen om bekæmpelse af hvidvaskning af penge en rolle, men de kræver ikke i sig selv biometrisk behandling.

Hvad med kameraer med ansigtsgenkendelse?

Ansigtsgenkendelseskameraer i butikker, stadioner eller andre offentligt tilgængelige steder er i princippet ikke tilladt for private fester. Forbipasserende personer kan ikke give udtrykkeligt samtykke, og der er sjældent en nødvendighed, der opfylder UAVG-testen i artikel 29.

AP har advaret detailhandlere om, at det ikke er tilladt at bruge ansigtsgenkendelse til at identificere butikstyve eller genkende kunder. Almindelig kameraovervågning uden biometrisk identifikation er underlagt andre, mindre strenge regler, men kræver stadig en legitim interesse, klare meddelelser og begrænsede opbevaringsperioder. Tilføjelse af ansigtsgenkendelsessoftware til et eksisterende kamerasystem ændrer vurderingen fuldstændigt.

Hvornår har du brug for en konsekvensanalyse af databeskyttelse?

Næsten altid. Behandling af biometriske data til at identificere personer er højrisikobehandling, og AP har placeret det på sin liste over behandlingsaktiviteter, der kræver en konsekvensanalyse vedrørende databeskyttelse (DPIA) i henhold til artikel 35 i GDPR.

En DPIA er en struktureret risikovurdering af privatlivets fred. Den tvinger dig til at beskrive, hvad du planlægger at gøre, identificere risiciene for de involverede personer og beslutte, hvordan du håndterer disse risici, før du scanner et enkelt fingeraftryk eller ansigt. Hvis den resterende risiko er høj og ikke kan reduceres tilstrækkeligt, skal du konsultere AP'en, før du starter (artikel 36 i GDPR).

DPIA'en bygger på det juridiske grundlag: Du etablerer først et grundlag i henhold til artikel 6 og en undtagelse i henhold til artikel 9 eller artikel 29 i UAVG, og derefter vurderer du, om det specifikke system er nødvendigt og forholdsmæssigt.

Hvad indeholder en DPIA?

Tag en fingeraftryksscanner til adgang til et serverrum som eksempel. En DPIA dækker fire elementer.

• En beskrivelse af behandlingen. Hvilke data indsamler I: en skabelon eller et fuldt billede? Hvordan indsamles de, hvor gemmes de, hvordan bruges de, og hvornår slettes de? Hvem har adgang? Er en leverandør involveret?
• Nødvendighed og proportionalitet. Hvilket specifikt problem løser I, såsom uautoriseret adgang til serverrummet? Hvorfor er adgangskort eller koder ikke tilstrækkelige i dette tilfælde? Er de data, I indsamler, det nødvendige minimum?
• Risiciene for de involverede personer. Hvad hvis skabelondatabasen bliver stjålet? Kan dataene senere bruges til andre formål, såsom overvågning af arbejdstid (funktionscreep)? Hvad sker der med medarbejdere, hvis fingeraftryk ikke kan læses? Hvad hvis systemet låser en autoriseret person ude under en nødsituation?
• Foranstaltninger til at imødegå risiciene. Tekniske foranstaltninger såsom kryptering og lagring på et kort eller enheden; organisatoriske foranstaltninger såsom en politik, træning og en håndteringsplan for brud; og et ikke-biometrisk alternativ, så ingen udelukkes.

En DPIA er ikke et engangsdokument. Gennemgå det, når omfanget, arten eller konteksten af ​​behandlingen ændrer sig. Det er dit primære bevis for, at du har overvejet implementeringen nøje. En analyse skrevet efter en klage har ringe vægt; den samme analyse, der blev udført på forhånd, viser, at beslutningen var velovervejet.

Hvilke sikkerhedsforanstaltninger forventes?

Indsaml så lidt som muligt, opbevar det ikke længere end nødvendigt, og beskyt det med stærke tekniske og organisatoriske foranstaltninger. Disse principper følger af artikel 5 og 32 i GDPR.

Start med dataminimering: Indsaml kun de biometriske data, der er nødvendige til det specifikke, legitime formål. Til adgangskontrol er en skabelon normalt tilstrækkelig; en ansigtsscanning i høj opløsning er ikke nødvendig. Kombiner dette med lagringsbegrænsning: Indstil en opbevaringsperiode, og slet dataene sikkert, så snart de ikke længere er nødvendige, for eksempel når en medarbejder forlader virksomheden eller ikke længere har brug for adgang.

Tekniske og organisatoriske foranstaltninger

Sikkerheden skal stå i forhold til den høje risiko. Vigtige tekniske foranstaltninger omfatter:

• Kryptering af biometriske data, både i hvile og under transit.
• Strenge adgangskontrol, således at kun autoriseret personale med et klart behov har adgang til dataene.
• Decentraliseret opbevaringGem skabeloner på enheden eller på brugerens eget kort, hvor det er muligt, i stedet for i en central database. Det gør et masseindbrud meget mindre sandsynligt.

Teknologi alene er ikke nok. Organisatoriske foranstaltninger, såsom en skriftlig politik om biometriske data, personaleuddannelse, periodiske sikkerhedsrevisioner og klare aftaler med leverandører, er lige så vigtige. Hvis en leverandør behandler dataene på dine vegne, skal du have en databehandleraftale i henhold til artikel 28 i GDPR.

En klar privatlivsmeddelelse

Folk har ret til at vide, hvad du gør med deres biometriske data (artikel 13 og 14 i GDPR). Oplysningerne skal være præcise, lette at finde og skrevet i et letforståeligt sprog.

En privatlivsmeddelelse om biometrisk behandling bør forklare, hvem du er, og hvordan vi kan kontakte dig, hvorfor du behandler dataene, retsgrundlaget i henhold til artikel 6 og den undtagelse, der påberåbes, hvilke data du indsamler (f.eks. en fingeraftryksskabelon), hvor længe du opbevarer dem, hvem du deler dem med, herunder leverandører, og hvilke rettigheder folk har, såsom adgang, berigtigelse, sletning og indsigelse.

Et eksempel på klar formulering: "Vi bruger en fingeraftryksskabelon, en numerisk repræsentation af dit fingeraftryk, til at give dig adgang til serverrummet. Skabelonen gemmes kun på dit personlige adgangskort. Vi sletter den fra vores systemer, når din adgang ophører. Du kan til enhver tid bede om at se eller slette dine data."

Gælder AI-loven også?

Ja, for visse biometriske systemer. EU's lov om kunstig intelligens (forordning (EU) 2024/1689) tilføjer regler oven i GDPR.

Siden den 2. februar 2025 har AI-loven forbudt en række praksisser direkte, herunder målrettet scraping af ansigtsbilleder fra internettet eller kameraoptagelser med henblik på at opbygge ansigtsgenkendelsesdatabaser, følelsesgenkendelse på arbejdspladsen og i uddannelsessektoren (undtagen af ​​medicinske eller sikkerhedsmæssige årsager) og biometrisk kategorisering for at udlede følsomme karakteristika såsom race eller seksuel orientering. Andre biometriske systemer, såsom fjernbiometrisk identifikation, er klassificeret som højrisikosystemer og er underlagt strenge krav. Tjek begge rammer, før du introducerer et system.

Hvad er konsekvenserne af manglende overholdelse?

Høje bøder, påbud om at stoppe behandling og erstatningskrav. For ulovlig behandling af særlige kategorier tillader GDPR bøder på op til 20 millioner euro eller 4 % af den globale årlige omsætning, alt efter hvad der er højest.

Disse maksimumbeløb følger af artikel 83(5) i GDPR og gælder blandt andet for behandling uden gyldigt grundlag eller undtagelse. Overtrædelse af forpligtelserne vedrørende sikkerhed og anmeldelse af brud (artikel 32-34 i GDPR) kan føre til bøder på op til 10 millioner euro eller 2% af den globale omsætning. Bøderne skal være effektive, forholdsmæssige og afskrækkende. AP fastsætter beløbet i henhold til sin egen bødepolitik.

Hvad har AP håndhævet?

AP har idømt bøder til både arbejdsgivere og teknologivirksomheder for ulovlig biometrisk behandling. To afgørelser skiller sig ud.

I 2020 pålagde AP en bøde på 725,000 euro til en virksomhed, der scannede medarbejderes fingeraftryk til registrering af fremmøde og tid. AP fandt, at ingen af ​​undtagelserne fandt anvendelse: medarbejdernes samtykke var ikke givet frivilligt, og bekvemmeligheden ved registrering af timer er ikke et sikkerhedsformål, der gør biometrisk behandling nødvendig. I september 2024 pålagde AP den amerikanske virksomhed Clearview AI en bøde på 30.5 millioner euro for at have opbygget en database med ansigtsbilleder, herunder af hollændere, uden et juridisk grundlag.

Fire spørgsmål gennemgår AP's håndhævelse. Hvad er formålet, angivet specifikt snarere end som "sikkerhed" generelt? Kan det opnås med mindre indgribende midler? Hvis samtykke påberåbes, kan folk så nægte uden konsekvenser? Og blev dette vurderet og dokumenteret, før systemet blev indført? Vores artikel om den hollandske databeskyttelsesmyndighed forklarer AP's beføjelser mere detaljeret.

Andre konsekvenser

En bøde er ikke den eneste risiko. Offentlig håndhævelsesmyndighed kan pålægge dig at stoppe behandlingen, hvilket kan stoppe et system, som din drift er afhængig af, og den kan pålægge dig at slette ulovligt indsamlede data. Personer, hvis data er blevet behandlet ulovligt, kan kræve erstatning for materiel og immateriel skade i henhold til artikel 82 i GDPR, og i Holland kan sådanne krav også fremsættes kollektivt. Omdømmeskaden ved en offentlig håndhævelsesafgørelse kan være betydelig.

Hvad gør man, hvis biometriske data lækkes?

Inddæm bruddet, vurder risikoen, underret AP inden for 72 timer, og hvis risikoen er høj, underret de berørte personer uden unødig forsinkelse. Forbered dette i en handlingsplan, før noget går galt.

I henhold til artikel 33 i GDPR skal du anmelde et brud på persondatasikkerheden til AP uden unødig forsinkelse og, hvor det er muligt, inden for 72 timer efter, at du er blevet opmærksom på det, medmindre det er usandsynligt, at bruddet vil medføre en risiko for de berørte personer. Underretningen beskriver bruddets art, de berørte kategorier og det omtrentlige antal personer og registre, de sandsynlige konsekvenser og de trufne eller foreslåede foranstaltninger. Hvis du ikke kan give alle oplysninger på én gang, kan du supplere dem senere.

Trin 1: Inddæm bruddet og vurder konsekvenserne

Din første prioritet er at stoppe bruddet. Isoler de berørte systemer, behold logfiler og andet bevismateriale til efterforskningen, og fastslå præcis hvilke data der var berørt: rå billeder eller krypterede skabeloner, og af hvem.

Trin 2: Beslut, om de berørte personer skal informeres

I henhold til artikel 34 i GDPR skal du uden unødig forsinkelse informere de berørte personer, hvis bruddet sandsynligvis vil medføre en høj risiko for deres rettigheder og friheder. Med biometriske data vil denne tærskel ofte være opfyldt, fordi dataene ikke kan ændres. Undtagelsen er f.eks. data, der var stærkt krypteret, og hvis nøgle ikke blev kompromitteret. Meddelelsen skal være i et letforståeligt sprog: hvad der skete, hvilke data der var involveret, og hvad folk kan gøre for at beskytte sig selv.

Trin 3: Udfør og dokumenter svaret

Registrer hvert trin: opdagelsesøjeblikket, de trufne beslutninger, kommunikationen og de tekniske foranstaltninger. I henhold til artikel 33(5) i GDPR skal du dokumentere alle brud, inklusive dem, du ikke skulle anmelde. God dokumentation viser AP, at du har handlet omhyggeligt, og kan påvirke, hvordan sagen vurderes.

Hvordan fungerer det i praksis?

De fleste spørgsmål, vi ser, kommer fra arbejdsgivere, der ønsker at erstatte adgangskort med fingeraftryk eller ansigtsscanninger, og fra virksomheder, der ønsker at bruge biometri til kundeverifikation. Resultatet afhænger af nødvendighed og de tilgængelige alternativer.

Tag en logistikvirksomhed, der ønsker at bruge fingeraftryksscannere ved indgangen til sit lager. DPIA'en viser, at målet er at forhindre deling af adgangskort, men at personlige adgangskort med en pinkode i vid udstrækning ville løse dette problem. Virksomheden vælger adgangskort og pinkoder og beholder kun biometrisk adgang til et lille hvælvingsrum med varer af høj værdi, hvor den tilbyder et ikke-biometrisk alternativ, gemmer skabeloner på personlige kort og har indhentet samarbejdsudvalgets samtykke. Det er den slags argumentation, som AP forventer at se.

Sammenfattende

• Biometriske data, der anvendes til unik identifikation, er en særlig kategori i henhold til artikel 9 i GDPR; behandling er forbudt, medmindre der gælder en undtagelse.
• I Holland tillader artikel 29 i UAVG det kun, hvor det er nødvendigt for autentificering eller sikkerhed; bekvemmelighed er ikke nok.
• Medarbejdersamtykke er sjældent gyldigt; tilbyd et reelt ikke-biometrisk alternativ, og indhent samarbejdsudvalgets samtykke, hvor det er nødvendigt.
• Udfør en DPIA på forhånd, minimer dataene, gem skabeloner lokalt og krypter dem.
• Rapportér brud til AP inden for 72 timer; bøderne kan nå op på 20 millioner euro eller 4% af den globale omsætning.

Ofte stillede spørgsmål

Law & More rådgiver arbejdsgivere og teknologivirksomheder om biometriske systemer, DPIA'er, databrud og sager for AP. Er du usikker på, hvor du står? Fortæl os om din situation. Vi giver dig besked om dine muligheder inden for en arbejdsdag.

Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores IT-advokat .