İşyerinde biyometrik kimlik doğrulama: Yasal olarak uygulanabilir mi?

Hollanda'da iş yerlerinde biyometrik kimlik doğrulamanın uygulanması kolay değildir. Parmak izi, iris taraması veya yüz tanıma, prensip olarak GDPR kapsamında işlenmesi yasak olan özel kişisel verilerdir. Çalışanların rızası genellikle bir çözüm sunmaz, çünkü hiyerarşik ilişki nedeniyle nadiren "özgür" olarak kabul edilir. Uygulamada, zorunlu kullanım yalnızca güvenlik veya kimlik doğrulama için açıkça gerekli ve daha az müdahaleci bir alternatif olmadığında izin verilir. Çoğu KOBİ işvereni için bu şu anlama gelir: biyometrik yöntemleri kullanmadan önce PIN kodlarına, erişim kartlarına veya belirteçlere bakmak gerekir.

İşveren biyometrik kimlik doğrulama talep edebilir mi? Kısa cevap

Çoğu durumda hayır. Bir işveren, ancak kimlik doğrulama veya güvenlik amacıyla gerekli olduğunu ve daha az kısıtlayıcı yöntemlerin (PIN kodu, erişim kartı, belirteç) yetersiz olduğunu somut olarak kanıtlayabiliyorsa biyometrik verileri talep edebilir. Bu kanıt mümkün değilse – ki bu KOBİ'lerde nadiren olur – zorunlu biyometrik veriler GDPR'ye aykırıdır. Onay istemek genellikle geçerli bir alternatif değildir, çünkü onay genellikle iş ilişkisinde özgürce verilmiş olarak kabul edilmez.

Biyometrik kimlik doğrulama tam olarak nedir?

Kimlik doğrulama, bir kişinin gerçekten erişim talep eden kişi olduğunu kanıtlar. Birçok şirket çok faktörlü kimlik doğrulama (MFA): parolaya ek olarak, kimliği doğrulamak için ikinci bir unsur eklenir. Örnekler arasında SMS kodu, belirteç oluşturucu veya biyometrik özellik yer alır.

Biyometrik kimlik doğrulama, bir bireyi tanımak için benzersiz fiziksel özellikler kullanır. En bilinen örnekler parmak izi, iris taraması ve yüz tanımadır. Birçok akıllı telefon ve dizüstü bilgisayarda bu özellik zaten yerleşik olduğundan, işverenlerin iş yerinde de biyometrik yöntemleri kullanmaları mantıklıdır; örneğin, bir satış noktası sistemini veya bir sunucu odasını güvence altına almak için. Ancak yasal olarak, bunu yapmak sizi hemen gizlilik mevzuatının en katı kapsamına sokar.

Biyometrik veriler özel kişisel verilerdir

GDPR, biyometrik verileri, bir kişiyi benzersiz bir şekilde tanımlama amacıyla işlendiği ölçüde, özel kişisel veri olarak sınıflandırır. GDPR bu konuda geniş bir tanım kullanır: bir kişinin benzersiz bir şekilde tanımlanabileceği " fiziksel, fizyolojik veya davranışsal özelliklerinin belirli teknik işlenmesinin sonucu " ile ilgilidir

Hollanda Veri Koruma Kurumu, parmak izi, iris taraması ve yüz tanıma gibi yöntemleri açık örnekler olarak göstermektedir. Buna ek olarak, ses, kalp atış hızı veya belirli davranış kalıpları gibi özellikler de, teknik olarak bir bireyi benzersiz bir şekilde tanımlamak için işlenmeleri koşuluyla, bu tanım kapsamına girebilir. Bu alanda henüz yayınlanmış emsal karar sayısı nispeten azdır, bu da kesin sınırların hala netleşmekte olduğu anlamına gelir. Özel kategorideki kişisel veriler, isim veya e-posta adresi gibi "sıradan" kişisel verilere göre daha sıkı bir koruma rejimine tabidir.

Hukuki çerçeve kısaca

Sınırların nerede olduğunu hızlıca anlamak isteyenler için, bu üç temel unsur etrafında şekilleniyor:

• Veri işleme yasağı: Prensip olarak, özel kişisel verilerinizi işleyemezsiniz.
• İstisnai bir durum olarak rıza: Açık ve özgür iradeyle verilmiş rıza bir gerekçe olabilir, ancak genellikle iş ilişkisinde geçerli değildir (aşağıya bakınız).
• Kimlik doğrulama veya güvenlik gerekliliği: Hollanda Uygulama Yasası (UAVG), verilerin gerçekten kimlik doğrulama veya güvenlik amacıyla gerekli olması durumunda işlenmesine izin vermektedir. Bu, işverenler için genellikle tek gerçekçi yoldur ve çıta oldukça yüksektir.

İzin istemenin genellikle yeterli olmamasının nedenleri

Prensip olarak, kişisel verilerin işlenmesi yasağı, özel kategorideki kişisel veriler için geçerlidir . Yasa koyucu, kimlik sahtekarlığını ve kötüye kullanımı önlemeyi amaçlamaktadır. Bununla birlikte, bu yasağın istisnaları da vardır. Bilinen bir istisna, veri sahibinin açık rızasıdır

Ancak, bu yolun zor olduğu yer tam olarak işveren-çalışan ilişkisidir. GDPR, rızanın özgürce, özel olarak, bilgilendirilmiş ve açık bir şekilde verilmesini hiyerarşik bir ilişki mevcut olduğu anda gerçek anlamda özgür bir seçim genellikle mümkün değildir ve bir iş sözleşmesi söz konusu olduğunda bu, tanımı gereği böyledir. Bir çalışan, işiyle ilgili sonuçlardan korkarak "evet" demeye zorlanabilir. Sonuç olarak, iş yerinde rızaya dayalı biyometrik veriler genellikle geçerliliğini yitirmektedir.

İşveren olarak, bir onay formundaki imzanın yeterli olacağını düşünmeyin. İş ilişkisinde, bu tür bir onay çok ciddiye alınır ve genellikle özgür iradeyle verilmiş olarak kabul edilmez.

İzin verilir: yalnızca biyometrik verilerin gerekli olması durumunda

İkinci bir yol daha var. GDPR'nin Hollanda Uygulama Yasası (UAVG), biyometrik verilerin işlenmesinin kimlik doğrulama veya güvenlik amacıyla gerekli olduğu. Bu "gerekli" kelimesi hafife alınmamalıdır. Yasanın açıklayıcı notlarında nükleer santralin güvenliği örnek olarak gösteriliyor – yani gerçekten de zorlayıcı bir menfaat içeren durumlar. Örneğin, sıradan bir atölyeye veya dükkana erişim genellikle bu eşiği karşılamaz.

Pratik sınav, çıkarların dengelenmesi anlamına gelir:

• Orantılılık: Gizliliğin ihlali, güvenlik menfaatiyle orantılı mıdır?
• Yardımcılık ilkesi: Aynı amaca ulaşan, daha az müdahaleci bir alternatif yok mu, örneğin PIN kodu, erişim kartı veya belirteç oluşturucu?
• Gerekçe: Biyometrik yöntemi özellikle neden seçtiğinizi belgeler ve bir değerlendirme ile gösterebilir misiniz?

Daha az müdahaleci bir yöntemin yetersiz olduğunu kanıtlayamazsanız, gereklilik hızla ortadan kalkar ve biyometrik verilere izin verilmez.

Manfield davası: yazar kasada parmak izleri

Çarpıcı bir örnek, Amsterdam Bölge Mahkemesi'nin 12 Ağustos 2019'da ayakkabı perakendecisi Manfield ile ilgili verdiği karardır. Manfield, satış noktası sistemlerine parmak izi tarayıcısı yerleştirmiş ve çalışanlarından parmak izlerini vermelerini istemişti. Şirkete göre bu, dolandırıcılığı önlemek ve satış noktası sistemindeki hassas verileri korumak için gerekliydi.

Hakim bu görüşe katılmadı. Manfield, daha az müdahaleci alternatifler varken, özellikle parmak izi sisteminin neden gerekli olduğunu yeterince gerekçelendirememişti. Mahkemeye göre, Manfield'in ticari çıkarları, yasanın gerektirdiği güvenlik veya kimlik doğrulama amacını içermiyordu. Buradan çıkarılacak ders: "Güvenlik" veya "dolandırıcılığı önleme"ye yönelik genel bir çağrı yeterli değildir. Gerekliliği somut olarak, tercihen bir Veri Koruma Etki Değerlendirmesi (DPIA) ve alternatiflere ilişkin kanıtlanabilir araştırmalarla destekleyerek gösterebilmelisiniz.

Biyometrik kimlik doğrulama mı yoksa daha hafif bir alternatif mi? Kısa bir karşılaştırma

Biyometrik yöntemleri tercih etmeden önce, yaygın kimlik doğrulama yöntemlerini karşılaştırmak akıllıca olacaktır. Genel kural şudur: Ne kadar az özel kişisel veri işlerseniz, yasal riskiniz o kadar düşük olur.

• PIN kodu veya parola: hassas kişisel veri içermez, kolayca sıfırlanabilir, gizlilik riski düşüktür. Genellikle yeterlidir.
• Giriş kartı veya rozeti: kişisel veriler içerir ancak biyometrik veriler içermez; iş akdinin kaybedilmesi veya işten çıkarılması durumunda bloke edilir.
• Donanım belirteci veya kimlik doğrulama uygulaması (MFA): Fiziksel kimlik doğrulaması gerektirmeyen güçlü güvenlik; geniş uygulama alanı.
• Biyometrik veriler (parmak izi, iris, yüz): özel kategori kişisel veriler olup, işleme yasağı başlangıç ​​noktasıdır ve ihlal durumunda geri alınamaz. Sadece kanıtlanabilir bir gereklilik söz konusu olduğunda işlenebilir.

Küçük ve orta ölçekli işletmelerin büyük çoğunluğunda, ilk üç seçenek aynı güvenlik amacına ulaşmaktadır. İşte bu durum, işverenlerin biyometrik verilerin gerekliliğini haklı çıkarmasını son derece zorlaştırmaktadır.

Biyometrik verilerin yanlış kullanımının yol açabileceği riskler

Sağlam bir temele dayanmadan biyometrik kimlik doğrulama uygularsanız, işveren olarak aynı anda birden fazla riskle karşı karşıya kalırsınız:

• Hollanda Veri Koruma Kurumu tarafından yaptırım: Denetleyici kurum, GDPR'ı ihlal eden veri işleme işlemlerine karşı harekete geçebilir.
• Tazminat: Verileri hukuka aykırı şekilde işlenen çalışanlar tazminat talep edebilirler.
• İş hukuku gerilimleri: Bir çalışanın reddetmesi durumunda, bu durum basitçe cezalandırılmayabilir; bu da çatışmalara veya yasal süreçlere yol açabilir.
• İtibar kaybı: Personeli ilgilendiren gizlilik olayları hassas konulardır ve şirket içindeki güveni zedeleyebilir.

Dahası, biyometrik veriler geri döndürülemez: bir şifrenin aksine, sızdırılan bir parmak izini geri yükleyemezsiniz. Bu da önceden gerekli özeni göstermeyi daha da önemli hale getiriyor.

KOBİ işverenleri için adım adım plan

Biyometrik kimlik doğrulama veya başka kapsamlı bir güvenlik önlemi mi düşünüyorsunuz? O halde yapılandırılmış bir şekilde ilerleyin:

1. Hedefi belirleyin. Hangi özel güvenlik veya kimlik doğrulama sorununu çözmek istiyorsunuz?
2. Alternatifleri araştırın. Güçlü bir parola politikası, belirteçle çok faktörlü kimlik doğrulama veya erişim kartı yeterli mi? Eğer öyleyse, biyometrik kimlik doğrulamaya muhtemelen gerek yoktur.
3. Menfaatler dengesini göz önünde bulundurun. Güvenlik menfaatini çalışanlarınızın gizliliğiyle karşılaştırın ve bunu yazılı olarak belgeleyin.
4. DPIA) gerçekleştirin. Kural olarak, özel kategorideki kişisel verilerin işlenmesinde Veri Koruma Etki Değerlendirmesi (DPIA) yapılması önerilir.
5. Personeli bilgilendirin ve sürece dahil edin. Şeffaf olun ve uygun durumlarda İşçi Konseyini de sürece dahil edin.
6. Kayıt altına alınan anlaşmaları, kurum içi gizlilik politikanıza dahil edin ve verilerin saklama süresini ve güvenliğini belgeleyin.

Sıkça Sorulan Sorular

Çalışanlarımdan parmak izi kullanmalarını isteme hakkım var mı?

Bu durumun güvenlik veya kimlik doğrulama için gerekli olduğunu ve daha az müdahaleci bir alternatifin bulunmadığını kanıtlayabiliyorsanız, bu mümkündür. Çoğu standart iş durumunda, böyle bir kanıt sunmak mümkün değildir ve bu nedenle zorunlu biyometrik uygulamalara izin verilmez.

Çalışanların onayı yeterli midir?

Genellikle hayır. İşveren ve çalışan arasındaki güç dengesizliği nedeniyle, rıza çoğu zaman "özgür" olarak kabul edilmez. Bu nedenle, biyometrik verileri uygulamaya koymak için yalnızca rızaya güvenemezsiniz.

Özel telefonların parmak iziyle açılması ve yüz tanıma özelliği de buna dahil mi?

Soruda, verilerin kim tarafından ve hangi amaçla işlendiği ele alınıyor. Bir çalışan kendi cihazının kilidini açarsa, işveren olarak siz genellikle bu biyometrik verileri işlemezsiniz. Ancak, şirket kaynaklarına erişim için biyometrik bir sistem uygularsanız, veri sorumlusu siz olursunuz ve katı kurallar geçerlidir.

Biyometrik yöntemlere göre daha az invaziv bir alternatif nedir?

Kişisel PIN kodu, erişim kartı, donanım belirteci veya uygulama üzerinden çok faktörlü kimlik doğrulama gibi yöntemleri düşünün. Bu yöntemler genellikle özel kişisel verilerinizi işlemenizi gerektirmeden aynı güvenlik amacına ulaşır.

İş yerinde biyometrik veriler için veri gizliliği etki değerlendirmesi (DPIA) yapmam gerekiyor mu?

Genel kural olarak evet. Biyometrik veriler gibi özel kategorideki kişisel verilerin büyük ölçekli işlenmesi genellikle yüksek riskli işlem olarak kabul edilir. Veri Koruma Etki Değerlendirmesi (DPIA), bir hakimin veya denetleyici makamın sizden beklediği gibi, gerekliliği, orantılılığı ve alternatifleri somut bir şekilde değerlendirmenize yardımcı olur.

Parmak izlerini vermeyi reddeden bir çalışanı işten çıkarabilir veya cezalandırabilir miyim?

Bu konuda çok dikkatli olun. Zorunlu biyometrik verilerin kendisi yasal olarak geçerli değilse, çalışan reddederek yasal olarak hareket ediyor demektir ve bu gerekçeyle yaptırım uygulanması veya işten çıkarılması risklidir. Bu durum iş uyuşmazlığına yol açabilir. Bu nedenle, çalışan için sonuçlarını değerlendirmeden önce, bu önlemin yasal olup olmadığını öncelikle değerlendirin.

Kuralları çiğnersem ne olur?

Hollanda Veri Koruma Kurumu düzenlemeleri uygulayabilir ve etkilenen çalışanlar tazminat talep edebilir. Ayrıca, iş uyuşmazlıkları ve itibar kaybı riskiyle de karşı karşıya kalabilirsiniz. Önceden dikkatli bir değerlendirme birçok sorunu önler.

Personel kişisel verilerini özenle ele almak

İşveren olarak, özellikle dijital sistemler, kendi cihazını getirme (BYOD) gibi yeni çalışma yöntemleri ve güvenlik uygulamaları söz konusu olduğunda, çalışanlarınızın kişisel verileriyle sürekli temas halindesiniz . İyi düşünülmüş bir gizlilik politikası, iş yerinde para cezalarını, davaları ve sorunları önler. Biyometrik verileri veya başka bir ölçümü düzgün bir şekilde yönetmek istiyorsanız, neyi, neden ve ne kadar süreyle işlediğinizi önceden tanımlayın – örneğin, çalışanlar için bir iç gizlilik bildirimi ile . Bu, çalışanlarınızın konumunu etkilediği için, bunu daha geniş iş hukuku sözleşmelerinizle uyumlu hale getirmek akıllıca olacaktır.

İş yerinde gizlilik konusunda yardıma mı ihtiyacınız var?

Güvenlik önleminizin yasal incelemeye uygun olup olmadığından emin değil misiniz veya gizlilik politikanızı düzene sokmak mı istiyorsunuz? Hukuk uzmanlarımız, gereksiz jargon kullanmadan, pratik bir şekilde sizinle birlikte düşünmekten mutluluk duyacaktır.

• Gizlilik ve veri koruma alanındaki çalışmalarımız hakkında daha fazla bilgi
• Personel ve iş yeriyle ilgili sorularınız mı var? İş hukuku

Herhangi bir yükümlülük altına girmeden ön görüşme randevusu alın ve durumunuzu hukuk uzmanlarımızdan biriyle görüşün.