Jakie będą zasady przetwarzania danych biometrycznych według RODO

Zgodnie z art. 4 pkt 14 RODO „dane biometryczne” oznaczają dane osobowe, które:

• wynikają ze specjalnego przetwarzania technicznego,
• dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz
• umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby.

Jako przykłady tego typu danych RODO wskazuje wizerunek twarzy i dane daktyloskopijne. Z uwagi na stały postęp technologiczny RODO nie wymienia wszystkich danych, które można uznać za dane biometryczne, jednak zawarta w nim definicja ma służyć ich łatwemu rozpoznawaniu.

Przesłanka dopuszczalności

Warunki szczególne

Zgoda osoby, której dane dotyczą

Zgoda powinna być wyraźna (nie może być dorozumiana).

Zgoda powinna dotyczyć przetwarzania danych biometrycznych w jednym lub w kilku celach, które zostaną konkretnie określone.

Prawo Unii (przepisy szczególne) lub prawo państwa członkowskiego mogą zakazać przetwarzania danych biometrycznych, nawet jeżeli osoba, której dane dotyczą, wyrazi zgodę na ich przetwarzanie.

Dane przetwarzane w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej

Przetwarzanie takich danych musi być niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, jeśli pozwalają na to:

• przepisy prawa unijnego lub przepisy prawa państwa członkowskiego albo
• porozumienia zbiorowe zawierane na podstawie przepisów prawa państwa członkowskiego, a przepisy te zapewniają odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą.

Ochrona żywotnych interesów osoby, której dane dotyczą

Przetwarzanie musi być niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, przy czym osoba, której dane dotyczą, ma być fizycznie lub prawnie niezdolna do wyrażenia zgody.

Przetwarzanie przez podmioty w celach politycznych, światopoglądowych, religijnych lub związkowych

Dane biometryczne mogą być przetwarzane przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, jeśli:

• przetwarzania dokonuje się w ramach uprawnionej działalności tych podmiotów prowadzonej z zachowaniem odpowiednich zabezpieczeń,
• przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu bądź osób utrzymujących z nim stałe kontakty w związku z jego celami,
• dane biometryczne nie są ujawniane na zewnątrz bez zgody osób, których dotyczą.

Dane upublicznione w sposób oczywisty

Przetwarzanie może dotyczyć danych osobowych upublicznionych w sposób oczywisty przez osobę, której dane dotyczą.

Działalność sądów

Przetwarzanie ma być niezbędne do ustalenia, dochodzenia lub obrony roszczeń bądź w ramach sprawowania wymiaru sprawiedliwości przez sądy.

Interes publiczny

Przetwarzanie ma być niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, jeśli służące temu celowi działania:

• są proporcjonalne do wyznaczonego celu,
• nie naruszają istoty prawa do ochrony danych oraz
• przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.

Ochrona zdrowia

Przetwarzanie musi służyć celom ochrony zdrowia i odbywać się na podstawie prawa lub umowy z pracownikiem służby zdrowia, i jednocześnie być niezbędne do:

• celów profilaktyki zdrowotnej lub medycyny pracy,
• oceny zdolności pracownika do pracy,
• diagnozy medycznej,
• zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego,
• leczenia,
• zarządzania systemami i usługami opieki zdrowotnej.

Jednocześnie szczególne kategorie danych muszą być przetwarzane przez:

• (lub na odpowiedzialność) pracownika podlegającego obowiązkowi zachowania tajemnicy zawodowej na mocy prawa Unii lub prawa państwa członkowskiego albo przepisów ustanowionych przez właściwe organy krajowe bądź
• inną osobę również podlegającą obowiązkowi zachowania tajemnicy zawodowej na mocy wskazanych przepisów.

Zdrowie publiczne

Przetwarzanie musi być niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego (np. służyć zapewnieniu wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych) i odbywać się na podstawie przepisów prawa unijnego lub krajowego.

Cele archiwalne, statystyczne i naukowe

Przetwarzanie musi być niezbędne do celów: archiwalnych (w interesie publicznym), badań naukowych lub historycznych albo statystycznych, a działania związane z przetwarzaniem są:

• prowadzone na podstawie przepisów prawa unijnego lub krajowego oraz
• proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.

Zachowana zasada adekwatności

Niezachowana zasada adekwatności

Przetwarzanie danych z tęczówki oka pracowników banku w celu kontroli wejścia do określonych stref danej placówki.

Pobieranie linii papilarnych od użytkowników obiektu sportowego.

Pobieranie linii papilarnych przez organy ścigania.

Przetwarzanie danych z tęczówki oka pracowników banku w celu ewidencjonowania czasu pracy.

Przetwarzanie danych z układu żył krwionośnych palca w celu weryfikacji dostępu do określonych obszarów zakładu produkującego broń.

Przetwarzanie danych z układu żył krwionośnych palca w celu zawarcia umowy pożyczki.