Biometriniai duomenys darbe: pirštų atspaudai ir veido atpažinimas

Pirštų atspaudų ar veido skaitytuvas, kuriuo darbuotojas atpažįstamas prie durų, darbo laiko terminalo ar kompiuterio, tvarko biometrinius duomenis (BDAR 4 str. 14 p.). Kai jais siekiama konkrečiai nustatyti asmens tapatybę, tai specialių kategorijų duomenys, kuriuos tvarkyti draudžiama, nebent taikoma viena iš BDAR 9 str. 2 d. išimčių (BDAR 9 str. 1 d.). Darbo santykiuose tinkamą išimtį rasti sunku: nei Asmens duomenų teisinės apsaugos įstatymas (ADTAĮ), nei Darbo kodeksas biometrinių duomenų nemini, o darbuotojo sutikimas retai būna laisvas.

Todėl praktinis atsakymas toks: darbo laiko apskaitai ir įėjimo kontrolei biometrika beveik niekada nėra būtina. Jei ji vis tiek naudojama darbuotojų sutikimu, darbuotojas turi turėti realią alternatyvą be biometrijos, o darbdavys – prieš pradėdamas atliktą poveikio duomenų apsaugai vertinimą (PDAV) ir pagrindimą, kodėl paprastesnė priemonė netiko.

Kada tai yra biometriniai duomenys

Biometriniai duomenys yra po specialaus techninio apdorojimo gauti duomenys apie fizines, fiziologines ar elgesio savybes, pagal kurias galima konkrečiai nustatyti arba patvirtinti asmens tapatybę, pavyzdžiui, veido atvaizdai ar daktiloskopiniai duomenys (BDAR 4 str. 14 p.). Pati nuotrauka dar nėra biometriniai duomenys: jais ji tampa tik tada, kai tvarkoma specialiomis techninėmis priemonėmis, leidžiančiomis nustatyti tapatybę (BDAR 51 konstatuojamoji dalis). Nuotrauka darbuotojo pažymėjime – ne biometrika. Veido šablonas terminale, su kuriuo lyginamas atėjusio žmogaus veidas, – biometrika.

Europos duomenų apsaugos valdyba (EDPB) gairėse 3/2019 dėl vaizdo prietaisų tai apibendrina trimis kriterijais: duomenų pobūdis (fizinės, fiziologinės ar elgesio savybės), tvarkymo būdas (specialus techninis apdorojimas) ir tikslas (konkrečiai nustatyti asmens tapatybę) (5.1 skirsnis). Įprastas vaizdo įrašas, kuris techniškai neapdorojamas tapatybei nustatyti, pats savaime biometriniais duomenimis nelaikomas. Apie vaizdo stebėjimą, GPS ir skambučių įrašymą darbe rašome straipsnyje apie darbuotojų stebėseną.

Kodėl darbdaviui sunku rasti pagrindą

Įstatymas biometrikos nenumato. BDAR 9 str. 2 d. b p. leidžia tvarkyti specialių kategorijų duomenis tik tada, kai tai būtina darbo teisės prievolėms vykdyti ar teisėms įgyvendinti, ir tik tiek, kiek tai leidžia Sąjungos ar valstybės narės teisė arba pagal ją sudaryta kolektyvinė sutartis su tinkamomis apsaugos priemonėmis. Darbo kodeksas reikalauja tvarkyti darbo laiko apskaitą, bet ji tvarkoma darbdavio patvirtintos formos žiniaraščiuose, kurie gali būti pildomi ir elektroniniu būdu (DK 120 str. 1 ir 3 d.). Būdo, juo labiau biometrinio, įstatymas nenustato. Valstybės narės gali nustatyti papildomų sąlygų biometriniams duomenims (BDAR 9 str. 4 d.), tačiau nei ADTAĮ, nei Darbo kodekse biometriniai duomenys neminimi. Mūsų vertinimu, be tokios kolektyvinės sutarties nuostatos b punktas darbo laiko apskaitai ar įėjimo kontrolei biometrikos nepagrindžia, o ir su ja reikėtų įrodyti, kad biometrika būtina.

Sutikimas retai laisvas. Lieka aiškus sutikimas (BDAR 9 str. 2 d. a p.). Tačiau darbuotojas, priklausomas nuo darbdavio, retai gali laisvai atsisakyti – plačiau apie tai rašome straipsnyje apie darbuotojo sutikimą. Sutikimas gali būti laisvas tik tada, kai atsisakiusiam nieko neatsitinka.

Jei remiamasi sutikimu, alternatyva būtina. EDPB gairėse dėl vaizdo prietaisų, pavyzdyje apie įėjimą į pastatą veido atpažinimu, kai remiamasi sutikimu, nurodo, kad duomenų valdytojas „visada privalo pasiūlyti alternatyvų būdą patekti į pastatą nenaudojant biometrinių duomenų tvarkymo, pavyzdžiui, ženklelius arba raktus“ (gairių 5.1 skirsnis, 3 pavyzdys). Kai reikalaujama sutikimo, alternatyva turi būti be apribojimų ir papildomų išlaidų asmeniui, ir ji reikalinga ir tiems, kurių biometrinių duomenų prietaisas negali nuskaityti, ir prietaiso gedimo atvejui (86 p.). Gairės skirtos vaizdo prietaisams, bet, mūsų vertinimu, tas pats taikytina ir pirštų atspaudams: be tikros alternatyvos sutikimas nėra laisvas. Kortelė, PIN kodas ar raktas turi būti tikras pasirinkimas, ne bausmė už atsisakymą.

29 straipsnio darbo grupė dar iki BDAR taikymo priimtoje nuomonėje dėl duomenų tvarkymo darbe nurodė, kad darbo laiko ir dalyvavimo sistemos, įskaitant biometrines, kelia pavojų, nes suteikia darbdaviui pernelyg daug galimybių kontroliuoti darbuotojo veiklą (WP 249, 5.5 skirsnis), o dėl vaizdo analizės – kad darbdaviai turėtų nenaudoti veido atpažinimo technologijų; išimtys galimos tik kraštutiniais atvejais (5.6 skirsnis).

Proporcingumas: ar tą patį galima pasiekti paprasčiau

Net turint pagrindą, renkama tik tai, ko reikia tikslui (BDAR 5 str. 1 d. c p.). EDPB rekomenduoja prieš diegiant biometriką įvertinti poveikį teisėms ir apsvarstyti mažiau ribojančias priemones (gairių 5.1 skirsnis). Tas pats klausimas yra privaloma PDAV dalis: tvarkymo reikalingumo ir proporcingumo vertinimas (BDAR 35 str. 7 d. b p.).

Vienai organizacijai, tvarkančiai jautrius duomenis, IT tiekėjas pasiūlė darbuotojų prisijungimą prie sistemos patvirtinti biometrija, be kita ko, piršto atspaudu. Mūsų teisininkė atsakė, kad darbuotojų biometrinių duomenų tvarkymas čia kelia ypač aukštą riziką, sunku įžvelgti teisėtą pagrindą, o gindamasi prieš VDAI organizacija turėtų pateikti visas svarstytas alternatyvas. Po to tiekėjas pasiūlė alternatyvą – dviejų veiksnių patvirtinimą vienkartiniu kodu programėlėje, be jokių biometrinių duomenų.

Kitas atvejis – blaivumo patikra. Darbdavys privalo nušalinti darbe apsvaigusį darbuotoją (DK 49 str. 1 d.), todėl tikrinti blaivumą jis turi teisėtą tikslą. Bet įstatymas nenumato, kad tai daroma veido atpažinimu. Mūsų klausė darbuotojas, kurio darbovietėje alkotesteris skenuoja veidą, alternatyvos nėra, o nepasitikrinus dirbti neleidžiama. Tokioje schemoje sutikimas nėra laisvas, o alternatyvos trūkumas prieštarauja EDPB nurodytam reikalavimui. Kai veidas skenuojamas tik tam, kad būtų patvirtinta, kas pūtė, darbdavys turi mokėti paaiškinti, kodėl netiko paprastesnis būdas, pavyzdžiui, atsakingo asmens užfiksuotas rezultatas.

PDAV ir informavimas

Biometrinių duomenų, kuriais siekiama nustatyti asmens tapatybę, tvarkymas stebėsenos ar kontrolės tikslais yra VDAI sąraše operacijų, kurioms PDAV privalomas (VDAI sąrašo 4 p.). Tame pačiame sąraše – darbuotojų elgesio, vietos ar judėjimo stebėsena (10 p.). Vertinimas atliekamas prieš pradedant tvarkyti duomenis (BDAR 35 str. 1 d.). Praktikoje į mus kreipiamasi dėl PDAV ir tada, kai įranga, pavyzdžiui, alkotesteriai su veido atpažinimu, jau įrengta. Tada vertinimas nebepadeda pasirinkti sprendimo, o tik tikrina jau priimtą, ir jei išvada neigiama, įrangą tenka keisti ar išjungti. Iš ko susideda vertinimas ir kiek jis trunka, rašome atskirame straipsnyje apie PDAV.

Jei sistema kartu fiksuoja darbuotojų buvimo vietą ar elgesį, darbuotojai apie tai informuojami pasirašytinai ar kitu informavimo faktą įrodančiu būdu (ADTAĮ 5 str. 4 d.).

Saugumas: ką siūlo EDPB

EDPB siūlo kontroliuojamoje aplinkoje biometrinį šabloną laikyti paties naudotojo laikomame ir tik jo valdomame prietaise, pavyzdžiui, kortelėje, o centrinėje duomenų bazėje – tik esant objektyviam poreikiui, šifruotą ir su raktu, kurį turi tik pats asmuo. Šablonus ir tapatybės duomenis reikėtų laikyti atskirose duomenų bazėse, užšifruoti, o pirminius duomenis, pavyzdžiui, veido atvaizdus, ištrinti (gairių 5.2 skirsnis). Bendruosius saugumo reikalavimus aptariame straipsnyje apie BDAR 32 straipsnį.

Kas nutinka, kai biometrika naudojama be pagrindo

Pirma rizika – bauda. Už 9 str. ir pagrindinių principų pažeidimą taikoma griežčiausia baudų grupė: iki dvidešimties milijonų eurų arba, jei tai įmonė, iki 4 % visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d. a p.). Už duomenų valdytojo prievolių, įskaitant PDAV pareigą, pažeidimą – iki dešimties milijonų eurų arba, jei tai įmonė, iki 2 % jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 4 d. a p.).

Antra rizika – sistemos uždraudimas. VDAI gali laikinai arba galutinai apriboti tvarkymą, įskaitant jo uždraudimą (BDAR 58 str. 2 d. f p.). Tada investicija į įrangą prarandama, o darbo laiko apskaitą tenka organizuoti iš naujo.

Trečia rizika – žala. Darbuotojas, patyręs materialinę ar nematerialinę žalą dėl pažeidimo, turi teisę į kompensaciją (BDAR 82 str. 1 d.). Nutekėjus biometriniams duomenims, jų, kitaip nei slaptažodžio, pakeisti neįmanoma.

Kada kreiptis į teisininką

• prieš perkant ar diegiant pirštų atspaudų ar veido atpažinimo įrangą;
• kai tiekėjas sako, kad jo sistema „atitinka BDAR“, bet nežinote, kur saugomi šablonai;
• kai darbuotojas atsisako naudotis biometrine sistema;
• kai biometrika jau įdiegta, o PDAV neatliktas;
• kai VDAI paklausė apie biometrinių duomenų tvarkymą.