Data ya kibiometriki chini ya GDPR: unaweza kuitumia lini nchini Uholanzi?

Data ya kibiometriki, kama vile alama za vidole, picha za uso au mifumo ya sauti, ni kategoria maalum ya data ya kibinafsi chini ya GDPR inaposhughulikiwa ili kumtambua mtu kipekee. Nchini Uholanzi, usindikaji kama huo kimsingi ni marufuku; ubaguzi mkuu ni pale inapohitajika kwa madhumuni ya uthibitishaji au usalama, na kwa wafanyakazi ambao mtihani huo mara chache hufikiwa na saa ya saa au mlango wa ofisi.

Mamlaka ya Ulinzi wa Data ya Uholanzi (Autoriteit Persoonsgegevens, AP) hutumia sheria hizi kwa ukali na imewatoza faini waajiri na makampuni ya teknolojia kwa kutumia biometriki bila msingi halali. Hapa chini tunaelezea kinachohesabiwa kama data ya biometriki, ni misingi gani ya kisheria inayopatikana, unapohitaji tathmini ya athari ya ulinzi wa data, ni ulinzi gani unaotarajiwa na nini cha kufanya ikiwa kitu kitaenda vibaya.

Data ya kibiometriki chini ya GDPR ni nini?

Data ya kibiometriki ni data ya kibinafsi inayotokana na usindikaji maalum wa kiufundi wa sifa za kimwili, kisaikolojia au kitabia za mtu, ambayo inaruhusu au kuthibitisha utambulisho wa kipekee wa mtu huyo. Kusudi na mbinu huamua, sio aina ya picha au rekodi.

Ufafanuzi huu uko katika Kifungu cha 4(14) cha Kanuni ya Jumla ya Ulinzi wa Data (GDPR) . Picha ya mfanyakazi kwenye beji ya kitambulisho ni data ya kibinafsi, lakini si data ya kibiometriki kiotomatiki. Mara tu picha hiyo hiyo inapobadilishwa kuwa kiolezo cha uso na kutumiwa na mfumo wa utambuzi ili kutoa ufikiaji wa jengo, inakuwa data ya kibiometriki. Mabadiliko hayo hubadilisha mfumo wa kisheria kabisa.

Mifano ya vitambulisho vya kibiometriki ni alama za vidole, jiometri ya uso, mifumo ya iris na retina, mifumo ya sauti na sifa za kitabia kama vile kuandika mdundo au jinsi mtu anavyotembea. Kile wanachofanana nacho ni kwamba hutumika kumtambua mtu mmoja maalum.

Kwa nini GDPR inashughulikia data ya kibiometriki tofauti?

Chini ya Kifungu cha 9 cha GDPR, data ya kibiometriki inayoshughulikiwa kwa madhumuni ya kumtambua mtu pekee ni ya kategoria maalum za data binafsi. Kategoria hiyo hiyo inajumuisha data kuhusu asili ya rangi au kabila, maoni ya kisiasa, imani za kidini, afya na maisha ya ngono.

Sababu ni kwamba matokeo ya matumizi mabaya ni makubwa na mara nyingi hayawezi kurekebishwa. Nenosiri linaweza kubadilishwa; alama ya kidole au iris haiwezi. Ikiwa hifadhidata ya violezo vya biometriki imeathiriwa, watu husika wanakabiliwa na hatari ya kudumu ya udanganyifu wa utambulisho.

Je, mbinu ya Uholanzi ni kali kiasi gani?

AP inatafsiri sheria hizi kwa ukali. Kuanzia kwake ni kwamba utambuzi wa kibiometriki ni marufuku, na kwamba vighairi ni vichache.

Sheria ya Utekelezaji wa GDPR ya Uholanzi (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) inaongeza ubaguzi wa kitaifa. Chini ya Kifungu cha 29 UAVG, data ya kibiometriki inaweza kusindika kwa ajili ya utambulisho wa kipekee ikiwa hii ni muhimu kwa madhumuni ya uthibitishaji au usalama. "Muhimu" ndilo neno muhimu. Inamaanisha kwamba kusudi haliwezi kufikiwa kwa njia zisizoingilia sana, kama vile beji, msimbo au ufunguo. AP imeweka wazi katika mwongozo wake kwamba utambuzi wa uso katika maeneo yanayofikiwa na umma, kama vile maduka, kimsingi hairuhusiwi.

Unahitaji msingi gani wa kisheria?

Unahitaji mbili: msingi halali chini ya Kifungu cha 6 cha GDPR kwa ajili ya usindikaji kama huo, na ubaguzi chini ya Kifungu cha 9(2) cha GDPR au Kifungu cha 29 cha UAVG ili kuondoa marufuku ya kategoria maalum. Bila zote mbili, usindikaji ni kinyume cha sheria.

Kifungu cha 6 cha GDPR kinaorodhesha misingi sita halali: ridhaa, utekelezaji wa mkataba, wajibu wa kisheria, maslahi muhimu, kazi kwa maslahi ya umma na maslahi halali. Hilo ndilo kikwazo cha kwanza, na kinatumika kwa data zote za kibinafsi.

Kwa sababu data ya kibiometriki ni kategoria maalum, lazima utimize mojawapo ya masharti ya Kifungu cha 9(2) GDPR, au ubaguzi wa Kiholanzi katika Kifungu cha 29 cha UAVG. Hizi ndizo njia pekee ambazo marufuku inaweza kuondolewa. Kabla ya kuanza, pia amua ni nani mdhibiti na ni nani anayefanya kazi kama kichakataji, kwa mfano muuzaji wa mfumo wa kuchanganua. Makala yetu kuhusu majukumu ya mdhibiti na kichakataji chini ya GDPR yanaelezea tofauti na makubaliano ya usindikaji unayohitaji.

Idhini ya wazi ni halali lini?

Ridhaa ya wazi ni kiwango cha juu zaidi kuliko ridhaa ya kawaida. Lazima itolewe kwa kauli iliyo wazi na ya kuthibitisha na lazima iwe mahususi, yenye taarifa, isiyo na utata na kutolewa kwa uhuru.

• Hasa: Marejeleo ya jumla ya "madhumuni ya usalama" hayatoshi; lazima ueleze kwa usahihi kwa nini unahitaji data ya kibiometriki.
• Taarifa: Watu lazima wajue ni data gani unayokusanya, unachofanya nayo, ni nani anayeweza kuifikia na unaihifadhi kwa muda gani.
• Imetolewa kwa uhuru: mtu huyo lazima aweze kukataa bila matokeo mabaya, na lazima aweze kuondoa idhini wakati wowote.

Katika uhusiano wa ajira, sharti la mwisho ni tatizo. Mfanyakazi anayekataa anaweza kuogopa matokeo, na kwa hivyo AP inachukua mtazamo kwamba idhini ya mfanyakazi haitolewi kwa uhuru mara chache. Mwajiri anayetegemea idhini lazima aweze kuonyesha kwamba njia mbadala halisi ilikuwepo na ilitolewa kivitendo, si kwenye karatasi pekee.

Kuna tofauti gani nyingine?

Vighairi vingine ni vifupi. Jedwali lililo hapa chini linalinganisha vile vinavyofaa zaidi.

Je, unaweza kutumia alama za vidole au skani za uso kwa wafanyakazi?

Ni kama tu biometriki ni muhimu kwa uthibitishaji au usalama, na njia isiyoingilia kati sana haitafanya kazi. Kwa usajili wa wakati, gati au mlango wa kawaida wa ofisi, kwa kawaida sivyo ilivyo.

Jaribio chini ya Kifungu cha 29 cha UAVG ni kama kusudi hilo linaweza kufikiwa kwa njia zisizoingilia kati sana. Kichanganuzi kinachodhibiti ufikiaji wa hati ya ukaguzi, mfumo wa usajili wa wakati au mlango wa ofisi kwa kawaida hushindwa mtihani huo, kwa sababu beji, msimbo au ufunguo hupata matokeo sawa bila data ya kibiometriki. Pale ambapo ufikiaji wa kibiometriki unakubaliwa, maslahi ya usalama ni makubwa na maalum: kituo kinachoshughulikia vifaa hatari, maabara salama, kituo cha data au ghala.

Kando, pale ambapo baraza la kazi (ondernemingsraad) lipo, mfumo unaosajili au kufuatilia mahudhurio ya wafanyakazi, tabia au utendaji wao, au unaochakata data zao binafsi, unahitaji idhini yake chini ya Kifungu cha 27(1)(k) na (l) cha Sheria ya Mabaraza ya Kazi (Wet op de ondernemingsraden, WOR). Kuzingatia GDPR hakuondoi sharti hilo, na mfumo ulioanzishwa bila idhini unaweza kupingwa.

Je, unaweza kutumia biometriki kwa wateja?

Wakati mwingine, lakini sheria zile zile kali hutumika. Kwa wateja, idhini ya wazi inaweza kuwa msingi halali, mradi tu kutumia biometriki ni hiari na njia mbadala inayofanana inapatikana.

Mifano ya kawaida ni kufungua programu ya benki kwa alama ya vidole, uthibitishaji wa utambulisho kwa kutumia selfie wakati wa kufungua akaunti mtandaoni, na ufikiaji wa ukumbi wa mazoezi au tukio lenye utambuzi wa uso. Ambapo ukaguzi wa kibiometriki unafanyika kikamilifu kwenye simu ya mteja mwenyewe, kwa kutumia teknolojia iliyojengewa ndani ya simu, kampuni kwa kawaida haipokei data ya kibiometriki yenyewe. Hiyo hupunguza kwa kiasi kikubwa hatari na majukumu kwa kampuni.

Pale ambapo kampuni inachakata data yenyewe, kwa mfano kwa kulinganisha picha ya selfie na picha ya pasipoti kwenye seva zake, inahitaji msingi halali. Idhini inahitaji kwamba mteja aweze kuchagua njia nyingine, kama vile uthibitishaji kwa uhamisho wa benki au kutembelea tawi, bila hasara. Kwa benki na taasisi zingine za fedha, majukumu ya uchunguzi wa wateja chini ya sheria ya kupambana na utakatishaji fedha yana jukumu, lakini yenyewe hayahitaji usindikaji wa kibiometriki.

Vipi kuhusu kamera zenye utambuzi wa uso?

Kamera za utambuzi wa uso katika maduka, viwanja vya michezo au sehemu zingine zinazofikika hadharani kimsingi haziruhusiwi kwa sherehe za kibinafsi. Watu wanaopita hawawezi kutoa idhini ya wazi, na mara chache huwa kuna ulazima unaokidhi jaribio la UAVG la Kifungu cha 29.

AP imewaonya wauzaji rejareja kwamba kutumia utambuzi wa uso ili kuwatambua wezi wa dukani au kuwatambua wateja hairuhusiwi. Ufuatiliaji wa kawaida wa kamera, bila utambuzi wa kibiometriki, unategemea sheria tofauti na zisizo kali sana, lakini bado unahitaji maslahi halali, arifa zilizo wazi na vipindi vifupi vya uhifadhi. Kuongeza programu ya utambuzi wa uso kwenye mfumo uliopo wa kamera hubadilisha tathmini kabisa.

Unahitaji tathmini ya athari ya ulinzi wa data lini?

Karibu kila mara. Kuchakata data ya kibiometriki ili kutambua watu ni usindikaji wenye hatari kubwa, na AP imeiweka kwenye orodha yake ya shughuli za usindikaji zinazohitaji tathmini ya athari ya ulinzi wa data (DPIA) chini ya Kifungu cha 35 cha GDPR.

DPIA ni tathmini ya hatari ya faragha iliyopangwa. Inakulazimisha kuelezea unachopanga kufanya, kutambua hatari kwa watu wanaohusika na kuamua jinsi ya kudhibiti hatari hizo kabla ya kuchanganua alama moja ya kidole au uso. Ikiwa hatari iliyobaki ni kubwa na haiwezi kupunguzwa vya kutosha, lazima uwasiliane na AP kabla ya kuanza (Kifungu cha 36 GDPR).

DPIA inajengwa kwa msingi wa kisheria: kwanza unaweka msingi chini ya Kifungu cha 6 na ubaguzi chini ya Kifungu cha 9 au Kifungu cha 29 cha UAVG, na kisha unatathmini kama mfumo maalum ni muhimu na una uwiano.

DPIA ina nini?

Chukua kichanganuzi cha alama za vidole kwa ajili ya ufikiaji wa chumba cha seva kama mfano. DPIA inashughulikia vipengele vinne.

• Maelezo ya usindikaji. Unakusanya data gani: kiolezo au picha kamili? Inakusanywaje, inahifadhiwa wapi, inatumikaje na inafutwa lini? Nani ana ufikiaji? Je, muuzaji anahusika?
• Umuhimu na uwiano. Ni tatizo gani mahususi unalotatua, kama vile ufikiaji usioidhinishwa kwenye chumba cha seva? Kwa nini beji au misimbo haitoshi katika hali hii? Je, data unayokusanya ndiyo ya chini kabisa inayohitajika?
• Hatari kwa watu wanaohusika. Vipi ikiwa hifadhidata ya violezo itaibiwa? Je, data hiyo inaweza kutumika baadaye kwa madhumuni mengine, kama vile kufuatilia saa za kazi (mchakato wa utendaji)? Nini kitatokea kwa wafanyakazi ambao alama zao za vidole haziwezi kusomwa? Vipi ikiwa mfumo utawafungia nje watu walioidhinishwa wakati wa dharura?
• Hatua za kushughulikia hatari. Hatua za kiufundi kama vile usimbaji fiche na uhifadhi kwenye kadi au kifaa; hatua za shirika kama vile sera, mafunzo na mpango wa kukabiliana na uvunjaji; na njia mbadala isiyo ya kibiometriki ili mtu yeyote asitengwe.

Pitia DPIA wakati wigo, asili au muktadha wa usindikaji unabadilika (Kifungu cha 35(11) GDPR). Uchambuzi unaoandikwa tu baada ya malalamiko hauna uzito sana na AP.

Ni ulinzi gani unaotarajiwa?

Kusanya kidogo iwezekanavyo, usiiweke kwa muda mrefu zaidi ya inavyohitajika na uilinde kwa hatua kali za kiufundi na za shirika. Kanuni hizi zinafuata kutoka kwa Kifungu cha 5 na 32 cha GDPR.

Anza na kupunguza data: kukusanya data ya kibiometriki pekee inayohitajika kwa madhumuni maalum na halali. Kwa udhibiti wa ufikiaji, kiolezo kawaida kinatosha; skanisho la uso la ubora wa juu halihitajiki. Changanya hili na kikomo cha uhifadhi: weka kipindi cha kuhifadhi data na ufute data kwa usalama mara tu itakapokuwa haihitajiki tena, kwa mfano mfanyakazi anapoondoka au hahitaji tena ufikiaji.

Hatua za kiufundi na shirika

Usalama lazima ulingane na hatari kubwa. Hatua muhimu za kiufundi ni pamoja na:

• Encryption ya data ya kibiometriki, wakati wa mapumziko na wakati wa usafirishaji.
• Vidhibiti vikali vya ufikiaji, ili wafanyakazi walioidhinishwa pekee wenye uhitaji dhahiri waweze kufikia data.
• Hifadhi iliyogatuliwa: inapowezekana, hifadhi violezo kwenye kifaa au kwenye kadi ya mtumiaji mwenyewe badala ya kwenye hifadhidata kuu. Hilo hufanya uwezekano mdogo wa uvujaji mkubwa.

Teknolojia pekee haitoshi. Hatua za shirika, kama vile sera iliyoandikwa kuhusu data ya kibiometriki, mafunzo ya wafanyakazi, ukaguzi wa usalama wa mara kwa mara na makubaliano yaliyo wazi na wasambazaji, ni muhimu pia. Ikiwa msambazaji anachakata data kwa niaba yako, unahitaji makubaliano ya usindikaji chini ya Kifungu cha 28 cha GDPR.

Ilani ya faragha iliyo wazi

Watu wana haki ya kujua unachofanya na data zao za kibiometriki (Makala ya 13 na 14 GDPR). Taarifa lazima ziwe fupi, rahisi kupatikana na ziandikwe kwa lugha rahisi.

Ilani ya faragha kuhusu usindikaji wa biometriki inapaswa kuelezea wewe ni nani na jinsi ya kuwasiliana nawe, kwa nini unachakata data, msingi wa kisheria chini ya Kifungu cha 6 na ubaguzi unaotegemewa, ni data gani unayokusanya (kwa mfano kiolezo cha alama za vidole), unaiweka kwa muda gani, unaishiriki na nani, ikiwa ni pamoja na wasambazaji, na ni haki zipi watu wanazo, kama vile ufikiaji, marekebisho, kufuta na pingamizi.

Je, Sheria ya AI pia inatumika?

Ndiyo, kwa mifumo fulani ya kibiometriki. Sheria ya Ujasusi Bandia ya EU (Kanuni (EU) 2024/1689) inaongeza sheria juu ya GDPR.

Tangu tarehe 2 Februari 2025, Sheria ya AI inakataza vitendo kadhaa moja kwa moja, ikiwa ni pamoja na kukwaruza picha za uso bila kulenga kutoka kwenye mtandao au picha za kamera ili kujenga hifadhidata za utambuzi wa uso, utambuzi wa hisia mahali pa kazi na katika elimu (isipokuwa kwa sababu za kimatibabu au usalama) na uainishaji wa kibiometriki ili kubaini sifa nyeti kama vile rangi au mwelekeo wa kijinsia. Mifumo mingine ya kibiometriki, kama vile utambuzi wa kibiometriki wa mbali, imeainishwa kama hatari kubwa na inakabiliwa na mahitaji makali. Angalia mifumo yote miwili kabla ya kuanzisha mfumo.

Je! Ni nini matokeo ya kutotii?

Faini kubwa, amri za kusimamisha usindikaji na madai ya uharibifu. Kwa usindikaji haramu wa kategoria maalum, GDPR inaruhusu faini ya hadi euro milioni 20 au 4% ya mauzo ya kila mwaka duniani kote, yoyote iliyo juu zaidi.

Kiasi hiki cha juu zaidi kinatokana na Kifungu cha 83(5) GDPR na kinatumika, miongoni mwa mambo mengine, kwa usindikaji bila msingi au ubaguzi halali. Ukiukaji wa majukumu ya taarifa ya usalama na uvunjaji (Kifungu cha 32 hadi 34 GDPR) unaweza kusababisha faini ya hadi euro milioni 10 au 2% ya mauzo ya kimataifa. Faini lazima ziwe na ufanisi, sawia na zisizovutia. AP huamua kiasi hicho chini ya sera yake ya faini.

AP imetekeleza nini?

AP imewatoza faini waajiri na makampuni ya teknolojia kwa usindikaji haramu wa biometriki. Maamuzi mawili yanajitokeza.

Mnamo 2020, AP ilitoza faini ya euro 725,000 kwa kampuni iliyochanganua alama za vidole vya wafanyakazi kwa ajili ya mahudhurio na usajili wa muda. AP iligundua kuwa hakuna ubaguzi wowote uliotumika: idhini ya wafanyakazi haikutolewa bure, na urahisi katika saa za kusajili si lengo la usalama linalofanya usindikaji wa kibiometriki kuwa muhimu. Mnamo Septemba 2024, AP ilitoza faini ya euro milioni 30.5 kwa kampuni ya Marekani ya Clearview AI kwa kujenga hifadhidata ya picha za uso, ikiwa ni pamoja na za watu wa Uholanzi, bila msingi wa kisheria.

Maswali manne yanapitia utekelezaji wa AP. Je, lengo ni lipi, lililotajwa mahususi badala ya "usalama" kwa ujumla? Je, linaweza kufikiwa kwa njia zisizoingilia kati sana? Ikiwa idhini itategemewa, je, watu wanaweza kukataa bila matokeo? Na je, hili lilitathminiwa na kuandikwa kabla ya mfumo kuanzishwa? Makala yetu kuhusu Mamlaka ya Ulinzi wa Data ya Uholanzi inaelezea mamlaka ya AP kwa undani zaidi.

Matokeo mengine

Faini sio hatari pekee. AP inaweza kukuamuru usimamishe usindikaji, ambayo inaweza kusimamisha mfumo ambao shughuli zako hutegemea, na inaweza kukuamuru ufute data iliyokusanywa kinyume cha sheria. Watu ambao data yao ilichakatwa kinyume cha sheria wanaweza kudai fidia kwa uharibifu wa nyenzo na usio wa nyenzo chini ya Kifungu cha 82 GDPR, na nchini Uholanzi madai kama hayo yanaweza pia kuletwa kwa pamoja. Uharibifu wa sifa wa uamuzi wa utekelezaji wa umma unaweza kuwa mkubwa.

Unafanya nini ikiwa data ya biometriki itavuja?

Dhibiti uvunjaji, tathmini hatari, mjulishe AP ndani ya saa 72 na, ikiwa hatari ni kubwa, wajulishe watu walioathiriwa bila kuchelewa sana. Tayarisha hili katika mpango wa kukabiliana kabla ya jambo lolote kwenda vibaya.

Chini ya Kifungu cha 33 cha GDPR, lazima uripoti uvunjaji wa data binafsi kwa AP bila kuchelewa kupita kiasi na, inapowezekana, ndani ya saa 72 baada ya kufahamu, isipokuwa kama uvunjaji huo hautasababisha hatari kwa watu husika. Arifa inaelezea aina ya uvunjaji huo, kategoria na takriban idadi ya watu na rekodi zilizoathiriwa, matokeo yanayowezekana na hatua zilizochukuliwa au zilizopendekezwa. Ikiwa huwezi kutoa taarifa zote kwa wakati mmoja, unaweza kuziongeza baadaye.

Hatua ya 1: kudhibiti uvujaji na kutathmini athari

Kipaumbele chako cha kwanza ni kusimamisha uvujaji. Tenga mifumo iliyoathiriwa, hifadhi kumbukumbu na ushahidi mwingine kwa ajili ya uchunguzi, na ubainishe haswa ni data gani iliyoathiriwa: picha ghafi au violezo vilivyosimbwa kwa njia fiche, na ni nani kati yao.

Hatua ya 2: kuamua kama utawafahamisha watu walioathiriwa

Chini ya Kifungu cha 34 cha GDPR, lazima uwafahamishe watu walioathiriwa bila kuchelewa sana ikiwa uvunjaji huo unaweza kusababisha hatari kubwa kwa haki na uhuru wao. Kwa data ya kibiometriki, kizingiti hicho mara nyingi kitafikiwa, kwa sababu data haiwezi kubadilishwa. Isipokuwa, kwa mfano, data ambayo ilisimbwa kwa njia fiche sana na ambayo ufunguo wake haukuathiriwa. Ujumbe lazima uwe katika lugha rahisi: kilichotokea, ni data gani iliyohusika na kile ambacho watu wanaweza kufanya ili kujilinda.

Hatua ya 3: kutekeleza na kuandika majibu

Rekodi kila hatua: wakati wa ugunduzi, maamuzi yaliyochukuliwa, mawasiliano na hatua za kiufundi. Chini ya Kifungu cha 33(5) GDPR lazima uandike kila ukiukaji, ikiwa ni pamoja na ule ambao hukulazimika kuripoti. Nyaraka nzuri zinaonyesha AP kwamba ulichukua hatua kwa uangalifu na zinaweza kuathiri jinsi inavyotathmini kesi hiyo.

Unapaswa kuangalia nini kama mwajiri au kampuni?

Angalia umuhimu kwanza na uandike kila hatua kabla ya mfumo kuanza kutumika. Ukaguzi huu tano unashughulikia mambo ambayo AP inaangalia.

• Andika madhumuni mahususi ya usalama na kwa nini beji, msimbo wa PIN au ufunguo haitoshi (Kifungu cha 29 cha UAVG).
• Rekodi msingi wako halali chini ya Kifungu cha 6 cha GDPR na ubaguzi chini ya Kifungu cha 9(2) cha GDPR au Kifungu cha 29 cha UAVG.
• Kamilisha DPIA kabla ya skanisho la kwanza na wasiliana na AP ikiwa kuna hatari kubwa (Makala ya 35 na 36 GDPR).
• Uliza baraza la kazi idhini chini ya Kifungu cha 27(1)(k) na (l) WOR kabla ya kuanzisha mfumo.
• Saini makubaliano ya usindikaji na muuzaji (Kifungu cha 28 GDPR) na uweke kipindi cha kuhifadhi violezo.

Unapaswa kuangalia nini kama mfanyakazi au mteja?

Una haki ya kujua jinsi data yako ya kibiometriki inavyotumika na kupinga usindikaji kinyume cha sheria. Angalia mambo haya ukiombwa kuchanganua alama ya kidole au uso wako.

• Je, kuna njia mbadala isiyo ya kibiometriki, kama vile beji au nambari ya siri, na unaweza kuitumia bila hasara?
• Je, notisi ya faragha inasema madhumuni, msingi wa kisheria na kipindi cha kuhifadhiwa (Vifungu vya 13 na 14 GDPR)?
• Je, baraza la kazi lilikubali mfumo huo, ambapo mwajiri wako anao (Kifungu cha 27 WOR)?
• Omba ufikiaji au ufute data yako; shirika lazima lijibu ndani ya mwezi mmoja (Makala ya 12, 15 na 17 GDPR).
• Ikiwa haki zako haziheshimiwi, wasilisha malalamiko kwa AP (Kifungu cha 77 GDPR) au dai fidia chini ya Kifungu cha 82 GDPR.

Tunaweza kukufanyia nini kwa data ya kibiometriki?

Wanasheria wetu wa TEHAMA huwasaidia waajiri, makampuni ya teknolojia na watu binafsi kwa kutumia mifumo ya kibiometriki, kuanzia mpango wa kwanza hadi kesi kabla ya AP.

• Tunatathmini kama mfumo wako wa kibiometriki unakidhi jaribio la lazima la Kifungu cha 29 cha UAVG.
• Tunaandika au kukagua DPIA na notisi ya faragha.
• Tunatayarisha ombi la idhini kwa baraza la kazi chini ya Kifungu cha 27 cha WOR.
• Tunakagua makubaliano ya usindikaji na muuzaji wako chini ya Kifungu cha 28 GDPR.
• Tunakusaidia kuarifu AP kuhusu uvujaji wa data ndani ya muda wa mwisho wa saa 72 na kujibu utekelezaji wa AP.

Muhtasari

• Data ya kibiometriki inayotumika kwa utambulisho wa kipekee ni kategoria maalum chini ya Kifungu cha 9 cha GDPR; usindikaji ni marufuku isipokuwa kama kuna ubaguzi.
• Nchini Uholanzi, Kifungu cha 29 cha UAVG kinaruhusu tu pale inapohitajika kwa ajili ya uthibitishaji au usalama; urahisi hautoshi.
• Idhini ya mfanyakazi mara chache huwa halali; toa njia mbadala isiyo ya kibiometriki na upate idhini ya baraza la kazi inapohitajika.
• Fanya DPIA mapema, punguza data, hifadhi violezo ndani na uvifiche kwa njia fiche.
• Ripoti ukiukaji kwa AP ndani ya saa 72; faini zinaweza kufikia euro milioni 20 au 4% ya mauzo duniani kote.

Maswali yanayoulizwa mara kwa mara