Βιομετρικά στην εργασία: τι επιτρέπεται στην Κύπρο;

Η θέση αυτή έχει επιβεβαιωθεί και από το Διοικητικό Δικαστήριο στην υπόθεση του Απολλώνειου Ιδιωτικού Νοσοκομείου. ^[2] Διαφορετική αξιολόγηση μπορεί να γίνει μόνο όταν τα βιομετρικά χρησιμοποιούνται για τον έλεγχο πρόσβασης σε χώρο πραγματικά αυξημένης ασφάλειας και όχι για τον έλεγχο του ωραρίου. ^[1]

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων (ΓΚΠΔ) ορίζει ως βιομετρικά τα δεδομένα που προκύπτουν από ειδική τεχνική επεξεργασία φυσικών ή συμπεριφορικών χαρακτηριστικών και επιτρέπουν τη μοναδική ταυτοποίηση ενός προσώπου. Στην κατηγορία αυτή περιλαμβάνονται, μεταξύ άλλων, τα δακτυλικά αποτυπώματα και τα πρότυπα αναγνώρισης προσώπου. ^[3]

Μια απλή φωτογραφία δεν είναι αυτομάτως βιομετρικό δεδομένο ειδικής κατηγορίας. Γίνεται βιομετρικό δεδομένο όταν υποβάλλεται σε τεχνική επεξεργασία με σκοπό τη μοναδική ταυτοποίηση ή επαλήθευση του προσώπου. ^[4]

Στην Κύπρο εφαρμόζονται ο ΓΚΠΔ και ο Νόμος 125(Ι)/2018. Τα βιομετρικά δεδομένα που χρησιμοποιούνται για μοναδική ταυτοποίηση ανήκουν στις ειδικές κατηγορίες δεδομένων. Η επεξεργασία τους απαγορεύεται καταρχήν, εκτός αν ισχύει συγκεκριμένη εξαίρεση του άρθρου 9 του ΓΚΠΔ. ^{[5] [6]}

Αυτό σημαίνει ότι δεν αρκεί να υπάρχει ένας γενικός επιχειρηματικός λόγος ή η τεχνική δυνατότητα. Ο εργοδότης πρέπει να μπορεί να τεκμηριώσει τόσο τη νομική βάση όσο και την πραγματική ανάγκη χρήσης βιομετρικών.

Πριν αποφασίσει να χρησιμοποιήσει βιομετρικά, ο εργοδότης πρέπει να εξετάσει αν είναι πραγματικά απαραίτητα και αν ο ίδιος σκοπός μπορεί να επιτευχθεί με μια λιγότερο παρεμβατική μέθοδο.

Για την καθημερινή παρουσία, ο Επίτροπος έχει αναφέρει ως εναλλακτικές λύσεις την κάρτα, τους απροειδοποίητους ελέγχους από επόπτη, την παρουσία επόπτη στο σημείο ή κάμερα στραμμένη στον αναγνώστη κάρτας. Εφόσον υπάρχουν τέτοιες επιλογές, η χρήση βιομετρικών για την καταγραφή άφιξης και αναχώρησης θεωρείται δυσανάλογη. ^[1]

Το Απολλώνειο Ιδιωτικό Νοσοκομείο χρησιμοποιούσε δακτυλικά αποτυπώματα για να ελέγχει το ωράριο των εργαζομένων. Ο Επίτροπος έκρινε ότι η πρακτική παραβίαζε την αρχή της αναλογικότητας και το Διοικητικό Δικαστήριο απέρριψε την προσφυγή του νοσοκομείου. ^[2]

Το βασικό συμπέρασμα της απόφασης είναι απλό: η ακρίβεια ή η ευκολία ενός συστήματος δεν αρκεί για να δικαιολογήσει τη συλλογή πιο ευαίσθητων δεδομένων, όταν ο σκοπός μπορεί να επιτευχθεί με ηπιότερο τρόπο.

Η υπογραφή ενός εντύπου συγκατάθεσης δεν καθιστά νόμιμη μια δυσανάλογη μέθοδο. Στην εργασιακή σχέση υπάρχει εξάρτηση μεταξύ εργοδότη και εργαζομένου, γι’ αυτό η συγκατάθεση δύσκολα θεωρείται ότι δόθηκε πραγματικά ελεύθερα. ^{[1] [7]}

Το Διοικητικό Δικαστήριο επιβεβαίωσε επίσης ότι η συγκατάθεση δεν θεραπεύει την παραβίαση της αρχής της αναλογικότητας. ^[2] Πρώτα πρέπει να είναι νόμιμη και αναγκαία η ίδια η επεξεργασία.

Το άρθρο 9 του ΓΚΠΔ θέτει αυστηρότερους όρους για τα βιομετρικά δεδομένα που χρησιμοποιούνται για μοναδική ταυτοποίηση. Παράλληλα, όταν μια επεξεργασία είναι πιθανό να δημιουργήσει υψηλό κίνδυνο για τα δικαιώματα των προσώπων, το άρθρο 35 απαιτεί Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων πριν αρχίσει η επεξεργασία. ^{[5] [8]}

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων τονίζει επίσης ότι πριν χρησιμοποιηθεί βιομετρική τεχνολογία πρέπει να εξετάζονται η αναγκαιότητα, η αναλογικότητα, η ελαχιστοποίηση των δεδομένων και οι λιγότερο παρεμβατικές επιλογές. ^[9]

Ο Επίτροπος διαχωρίζει την καθημερινή παρουσία από την ασφάλεια χώρων υψηλού κινδύνου. Βιομετρικός έλεγχος πρόσβασης μπορεί να εξεταστεί για περιοχές όπου απαιτείται ιδιαίτερα υψηλό επίπεδο ασφάλειας, όπως στρατιωτικές εγκαταστάσεις, λιμάνια ή αεροδρόμια. Ακόμη και τότε, η χρήση πρέπει να περιορίζεται στην πρόσβαση στον συγκεκριμένο χώρο και όχι στον έλεγχο του ωραρίου. ^[1]

Ο οργανισμός πρέπει πρώτα να ορίσει με ακρίβεια τον χώρο, τον κίνδυνο και τον σκοπό του συστήματος. Στη συνέχεια πρέπει να εξετάσει αν κάρτα, κωδικός, κινητό ή άλλος έλεγχος πρόσβασης μπορεί να προσφέρει επαρκή ασφάλεια χωρίς βιομετρικά.

Αν τα βιομετρικά εξακολουθούν να θεωρούνται αναγκαία, χρειάζονται τεκμηριωμένη νομική βάση, σαφής περιορισμός πρόσβασης στα δεδομένα, καθορισμένος χρόνος διατήρησης και, όπου υπάρχει πιθανός υψηλός κίνδυνος, ολοκληρωμένη Εκτίμηση Αντικτύπου πριν από την έναρξη. ^{[5] [8]}

Για πραγματική εγκατάσταση σε χώρο αυξημένης ασφάλειας, απαιτείται εξατομικευμένη νομική αξιολόγηση.

Για τη συνήθη καταγραφή άφιξης και αναχώρησης μπορούν να χρησιμοποιηθούν μέθοδοι που δεν επεξεργάζονται βιομετρικά δεδομένα, όπως κάρτα, κωδικός, κωδικός QR ή ελεγχόμενη καταγραφή από κινητό.

Η επιλογή πρέπει να ακολουθεί τον πραγματικό τρόπο λειτουργίας της επιχείρησης. Για παράδειγμα, μια κάρτα μπορεί να είναι κατάλληλη σε σταθερό σημείο εισόδου, ενώ η καταγραφή από κινητό μπορεί να εξυπηρετεί κινητές ομάδες με γεωγραφικό περιορισμό. Το σημαντικό είναι να συλλέγονται μόνο τα δεδομένα που χρειάζονται για τον δηλωμένο σκοπό. Δείτε επίσης τον οδηγό για τον ΓΚΠΔ και τα δεδομένα παρουσίας.