ข้อมูลไบโอเมตริกภายใต้ GDPR: คุณสามารถใช้ข้อมูลดังกล่าวในเนเธอร์แลนด์ได้เมื่อใด?

ข้อมูลชีวมาตร เช่น ลายนิ้วมือ ภาพใบหน้า หรือรูปแบบเสียง จัดเป็นข้อมูลส่วนบุคคลประเภทพิเศษภายใต้ GDPR เมื่อมีการประมวลผลเพื่อระบุตัวบุคคลได้อย่างเฉพาะเจาะจง ในประเทศเนเธอร์แลนด์ การประมวลผลดังกล่าวโดยหลักการแล้วเป็นสิ่งต้องห้าม ข้อยกเว้นหลักคือในกรณีที่จำเป็นสำหรับการตรวจสอบสิทธิ์หรือเพื่อวัตถุประสงค์ด้านความปลอดภัย และสำหรับพนักงาน การทดสอบดังกล่าวเกิดขึ้นไม่บ่อยนัก เช่น การตรวจสอบเวลาเข้างานหรือการผ่านประตูสำนักงาน

สำนักงานคุ้มครองข้อมูลของเนเธอร์แลนด์ (Autoriteit Persoonsgegevens, AP) บังคับใช้กฎเหล่านี้อย่างเคร่งครัด และได้ปรับนายจ้างและบริษัทเทคโนโลยีที่ใช้ข้อมูลไบโอเมตริกโดยไม่มีพื้นฐานที่ถูกต้อง ด้านล่างนี้ เราจะอธิบายว่าข้อมูลไบโอเมตริกประกอบด้วยอะไรบ้าง มีพื้นฐานทางกฎหมายใดบ้าง เมื่อใดที่คุณต้องทำการประเมินผลกระทบด้านการคุ้มครองข้อมูล มีมาตรการป้องกันอะไรบ้าง และควรทำอย่างไรหากเกิดปัญหาขึ้น

ข้อมูลไบโอเมตริกซ์ภายใต้ GDPR คืออะไร?

ข้อมูลไบโอเมตริกส์ คือ ข้อมูลส่วนบุคคลที่ได้มาจากการประมวลผลทางเทคนิคเฉพาะเจาะจงของลักษณะทางกายภาพ สรีรวิทยา หรือพฤติกรรมของบุคคล ซึ่งช่วยให้สามารถระบุตัวตนหรือยืนยันตัวตนเฉพาะของบุคคลนั้นได้ วัตถุประสงค์และเทคนิคเป็นตัวกำหนด ไม่ใช่ประเภทของภาพหรือการบันทึก

คำจำกัดความนี้อยู่ในมาตรา 4(14) ของระเบียบการคุ้มครองข้อมูลทั่วไป (GDPR)รูปถ่ายของพนักงานบนบัตรประจำตัวถือเป็นข้อมูลส่วนบุคคล แต่ไม่ใช่ข้อมูลไบโอเมตริกโดยอัตโนมัติ เมื่อใดก็ตามที่รูปถ่ายเดียวกันนั้นถูกแปลงเป็นแม่แบบใบหน้าและใช้โดยระบบจดจำใบหน้าเพื่ออนุญาตให้เข้าอาคาร ข้อมูลนั้นจะกลายเป็นข้อมูลไบโอเมตริก การเปลี่ยนแปลงนี้ทำให้กรอบกฎหมายเปลี่ยนไปโดยสิ้นเชิง

ตัวอย่างของตัวระบุตัวตนทางชีวเมตริก ได้แก่ ลายนิ้วมือ รูปทรงใบหน้า รูปแบบม่านตาและเรตินา รูปแบบเสียง และลักษณะพฤติกรรม เช่น จังหวะการพิมพ์ หรือวิธีการเดิน สิ่งที่พวกมันมีเหมือนกันคือ พวกมันถูกใช้เพื่อระบุตัวบุคคลใดบุคคลหนึ่งโดยเฉพาะ

เหตุใด GDPR จึงปฏิบัติต่อข้อมูลไบโอเมตริกแตกต่างออกไป?

ภายใต้มาตรา 9 ของ GDPR ข้อมูลชีวมาตรที่ประมวลผลเพื่อระบุตัวบุคคลอย่างเฉพาะเจาะจงนั้น จัดเป็นข้อมูลส่วนบุคคลประเภทพิเศษ ซึ่งรวมถึงข้อมูลเกี่ยวกับเชื้อชาติหรือชาติพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนา สุขภาพ และชีวิตทางเพศด้วย

เหตุผลก็คือ ผลที่ตามมาจากการใช้ในทางที่ผิดนั้นร้ายแรงและมักแก้ไขไม่ได้ รหัสผ่านสามารถเปลี่ยนได้ แต่ลายนิ้วมือหรือม่านตาเปลี่ยนไม่ได้ หากฐานข้อมูลแม่แบบไบโอเมตริกถูกบุกรุก ผู้ที่เกี่ยวข้องจะเผชิญกับความเสี่ยงต่อการฉ้อโกงตัวตนอย่างถาวร

แนวทางของเนเธอร์แลนด์เข้มงวดแค่ไหน?

สำนักข่าว AP ตีความกฎเหล่านี้อย่างเคร่งครัด โดยยึดหลักการที่ว่า การระบุตัวตนด้วยระบบไบโอเมตริกซ์เป็นสิ่งต้องห้าม และข้อยกเว้นก็มีจำกัด

กฎหมายการบังคับใช้ GDPR ของเนเธอร์แลนด์ (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) เพิ่มข้อยกเว้นระดับชาติ ภายใต้มาตรา 29 ของ UAVG ข้อมูลไบโอเมตริกอาจถูกประมวลผลเพื่อการระบุตัวตนเฉพาะบุคคล หากจำเป็นสำหรับการตรวจสอบสิทธิ์หรือเพื่อวัตถุประสงค์ด้านความปลอดภัย คำว่า “จำเป็น” เป็นคำสำคัญ หมายความว่าวัตถุประสงค์นั้นไม่สามารถบรรลุได้ด้วยวิธีการที่รุกล้ำน้อยกว่า เช่น บัตร รหัส หรือกุญแจ สำนักงานคุ้มครองข้อมูลส่วนบุคคล (AP) ได้ชี้แจงอย่างชัดเจนในแนวทางของตนว่า การจดจำใบหน้าในสถานที่สาธารณะ เช่น ร้านค้า โดยหลักการแล้วไม่ได้รับอนุญาต

คุณต้องการหลักฐานทางกฎหมายประเภทใด?

คุณต้องมีสองสิ่ง: พื้นฐานทางกฎหมายภายใต้มาตรา 6 ของ GDPR สำหรับการประมวลผลดังกล่าว และข้อยกเว้นภายใต้มาตรา 9(2) ของ GDPR หรือมาตรา 29 ของ UAVG เพื่อยกเลิกข้อห้ามในหมวดหมู่พิเศษ หากไม่มีทั้งสองอย่าง การประมวลผลนั้นไม่ชอบด้วยกฎหมาย

มาตรา 6 ของ GDPR ระบุฐานทางกฎหมายหกประการ ได้แก่ ความยินยอม การปฏิบัติตามสัญญา ข้อผูกพันทางกฎหมาย ผลประโยชน์ที่สำคัญยิ่ง ภารกิจเพื่อประโยชน์สาธารณะ และผลประโยชน์ที่ชอบด้วยกฎหมาย นี่คือด่านแรก และใช้ได้กับข้อมูลส่วนบุคคลทั้งหมด

เนื่องจากข้อมูลไบโอเมตริกเป็นข้อมูลประเภทพิเศษ คุณจึงต้องปฏิบัติตามเงื่อนไขข้อใดข้อหนึ่งของมาตรา 9(2) GDPR หรือข้อยกเว้นของเนเธอร์แลนด์ในมาตรา 29 UAVG นี่เป็นเพียงหนทางเดียวที่จะยกเลิกข้อห้ามได้ ก่อนเริ่มต้น คุณควรระบุด้วยว่าใครเป็นผู้ควบคุมข้อมูลและใครเป็นผู้ประมวลผลข้อมูล เช่น ผู้จัดจำหน่ายระบบสแกน บทความของเราเกี่ยวกับบทบาทของผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลภายใต้ GDPRจะอธิบายความแตกต่างและข้อตกลงการประมวลผลที่คุณต้องการ

การยินยอมโดยชัดแจ้งจะมีผลบังคับใช้เมื่อใด?

การยินยอมโดยชัดแจ้งเป็นมาตรฐานที่สูงกว่าการยินยอมทั่วไป ต้องเป็นการให้ความยินยอมด้วยถ้อยคำที่ชัดเจนและยืนยันอย่างแน่ชัด ต้องระบุรายละเอียดอย่างครบถ้วน ได้รับข้อมูลครบถ้วน ไม่คลุมเครือ และให้โดยสมัครใจ

• พิเศษ: การอ้างถึง "เพื่อวัตถุประสงค์ด้านความปลอดภัย" โดยทั่วไปนั้นไม่เพียงพอ คุณต้องระบุให้ชัดเจนว่าเหตุใดคุณจึงต้องการข้อมูลไบโอเมตริก
• แจ้ง: ประชาชนต้องทราบว่าคุณเก็บรวบรวมข้อมูลอะไรบ้าง คุณนำข้อมูลเหล่านั้นไปทำอะไร ใครบ้างที่สามารถเข้าถึงได้ และคุณเก็บรักษาข้อมูลเหล่านั้นไว้นานแค่ไหน
• มอบให้โดยไม่คิดค่าตอบแทน: บุคคลนั้นต้องสามารถปฏิเสธได้โดยไม่มีผลเสียตามมา และต้องสามารถถอนความยินยอมได้ตลอดเวลา

ในความสัมพันธ์การจ้างงาน เงื่อนไขสุดท้ายนี้เป็นปัญหา พนักงานที่ปฏิเสธอาจกลัวผลที่ตามมา ดังนั้น AP จึงมองว่าการยินยอมของพนักงานนั้นแทบจะไม่เกิดขึ้นโดยสมัครใจ นายจ้างที่อ้างอิงถึงการยินยอมจะต้องสามารถแสดงให้เห็นว่ามีทางเลือกอื่นที่แท้จริงและได้เสนอให้ในทางปฏิบัติ ไม่ใช่เพียงแค่ในเอกสารเท่านั้น

มีข้อยกเว้นอื่นใดอีกบ้าง?

ข้อยกเว้นอื่นๆ นั้นมีน้อยมาก ตารางด้านล่างนี้เปรียบเทียบข้อยกเว้นที่เกี่ยวข้องมากที่สุด

คุณสามารถใช้ลายนิ้วมือหรือการสแกนใบหน้าเพื่อตรวจสอบพนักงานได้หรือไม่?

เฉพาะในกรณีที่จำเป็นอย่างยิ่งต่อการตรวจสอบตัวตนหรือความปลอดภัย และไม่สามารถใช้วิธีการอื่นที่รุกล้ำน้อยกว่าได้ โดยปกติแล้ว สำหรับการลงเวลาเข้างาน เครื่องคิดเงิน หรือประตูสำนักงานทั่วไป มักจะไม่ใช่กรณีเช่นนั้น

การทดสอบภายใต้มาตรา 29 ของ UAVG คือการพิจารณาว่าวัตถุประสงค์นั้นสามารถบรรลุได้ด้วยวิธีการที่รุกล้ำน้อยกว่าหรือไม่ เครื่องสแกนที่ควบคุมการเข้าถึงเครื่องคิดเงิน ระบบบันทึกเวลา หรือประตูสำนักงาน โดยปกติจะไม่ผ่านการทดสอบนี้ เนื่องจากบัตร รหัส หรือกุญแจสามารถให้ผลลัพธ์เดียวกันได้โดยไม่ต้องใช้ข้อมูลไบโอเมตริก ในกรณีที่ยอมรับการเข้าถึงด้วยไบโอเมตริก ผลประโยชน์ด้านความปลอดภัยต้องมีนัยสำคัญและเฉพาะเจาะจง เช่น สถานที่จัดการวัสดุอันตราย ห้องปฏิบัติการที่ปลอดภัย ศูนย์ข้อมูล หรือห้องนิรภัย

นอกจากนี้ ในกรณีที่มีสภาแรงงาน (ondernemingsraad) ระบบที่บันทึกหรือตรวจสอบการเข้างาน พฤติกรรม หรือผลการปฏิบัติงานของพนักงาน หรือระบบที่ประมวลผลข้อมูลส่วนบุคคลของพนักงาน จะต้องได้รับความยินยอมจากสภาแรงงานตามมาตรา 27(1)(k) และ (l) ของพระราชบัญญัติสภาแรงงาน (Wet op de ondernemingsraden, WOR) การปฏิบัติตาม GDPR ไม่ได้ยกเลิกข้อกำหนดดังกล่าว และระบบที่นำมาใช้โดยไม่ได้รับความยินยอมสามารถถูกท้าทายได้

คุณสามารถใช้ระบบไบโอเมตริกส์กับลูกค้าได้หรือไม่?

บางครั้ง แต่ก็ยังคงใช้กฎเกณฑ์ที่เข้มงวดเช่นเดิม สำหรับลูกค้า การได้รับความยินยอมโดยชัดแจ้งอาจเป็นเหตุผลที่ถูกต้องได้ โดยมีเงื่อนไขว่าการใช้ไบโอเมตริกซ์นั้นเป็นทางเลือกอย่างแท้จริง และมีทางเลือกอื่นที่เทียบเท่ากันให้เลือกใช้ได้

ตัวอย่างทั่วไป ได้แก่ การปลดล็อกแอปพลิเคชันธนาคารด้วยลายนิ้วมือ การยืนยันตัวตนด้วยภาพเซลฟี่เมื่อเปิดบัญชีออนไลน์ และการเข้าใช้ฟิตเนสหรือกิจกรรมต่างๆ ด้วยการจดจำใบหน้า ในกรณีที่การตรวจสอบไบโอเมตริกเกิดขึ้นบนโทรศัพท์ของลูกค้าเอง โดยใช้เทคโนโลยีในตัวของโทรศัพท์ บริษัทมักจะไม่ได้รับข้อมูลไบโอเมตริกนั้นๆ ซึ่งจะช่วยลดความเสี่ยงและภาระผูกพันของบริษัทได้อย่างมาก

ในกรณีที่บริษัทประมวลผลข้อมูลด้วยตนเอง เช่น การเปรียบเทียบภาพเซลฟี่กับรูปถ่ายในหนังสือเดินทางบนเซิร์ฟเวอร์ของตนเอง บริษัทจำเป็นต้องมีเหตุผลที่ถูกต้อง การให้ความยินยอมต้องทำให้ลูกค้าสามารถเลือกวิธีการอื่นได้ เช่น การยืนยันตัวตนผ่านการโอนเงินทางธนาคารหรือการไปที่สาขา โดยไม่มีข้อเสียเปรียบ สำหรับธนาคารและสถาบันการเงินอื่นๆ ภาระผูกพันในการตรวจสอบประวัติลูกค้าภายใต้กฎหมายป้องกันการฟอกเงินมีบทบาท แต่ไม่ได้กำหนดให้ต้องมีการประมวลผลข้อมูลชีวมาตรโดยตรง

แล้วกล้องที่มีระบบจดจำใบหน้าล่ะ?

โดยหลักการแล้ว ไม่อนุญาตให้บุคคลทั่วไปใช้กล้องจดจำใบหน้าในร้านค้า สนามกีฬา หรือสถานที่สาธารณะอื่นๆ เนื่องจากผู้คนที่เดินผ่านไปมาไม่สามารถให้ความยินยอมโดยชัดแจ้งได้ และโดยทั่วไปแล้วมักไม่มีความจำเป็นใดๆ ที่ตรงตามเงื่อนไขของมาตรา 29 ว่าด้วยกล้องไร้คนขับ (UAVG)

สำนักข่าว AP ได้เตือนผู้ค้าปลีกว่า การใช้ระบบจดจำใบหน้าเพื่อระบุตัวผู้ขโมยของหรือจดจำลูกค้าเป็นสิ่งที่ไม่ได้รับอนุญาต การใช้กล้องวงจรปิดทั่วไปโดยไม่มีการระบุตัวตนทางชีวเมตริกนั้นอยู่ภายใต้กฎเกณฑ์ที่แตกต่างกันและเข้มงวดน้อยกว่า แต่ก็ยังต้องมีเหตุผลอันสมควร มีการแจ้งเตือนอย่างชัดเจน และเก็บรักษาข้อมูลไว้ในระยะเวลาจำกัด การเพิ่มซอฟต์แวร์จดจำใบหน้าเข้าไปในระบบกล้องวงจรปิดที่มีอยู่แล้วจะทำให้การประเมินเปลี่ยนแปลงไปอย่างสิ้นเชิง

คุณต้องทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลเมื่อใด?

เกือบทุกครั้ง การประมวลผลข้อมูลไบโอเมตริกเพื่อระบุตัวบุคคลเป็นการประมวลผลที่มีความเสี่ยงสูง และสำนักข่าวเอพีได้จัดให้อยู่ในรายการการดำเนินการประมวลผลที่ต้องมีการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) ภายใต้มาตรา 35 ของ GDPR

การประเมินผลกระทบด้านความเป็นส่วนตัว (DPIA) เป็นการประเมินความเสี่ยงด้านความเป็นส่วนตัวที่มีโครงสร้าง ซึ่งบังคับให้คุณต้องอธิบายสิ่งที่คุณวางแผนจะทำ ระบุความเสี่ยงสำหรับบุคคลที่เกี่ยวข้อง และตัดสินใจว่าจะจัดการความเสี่ยงเหล่านั้นอย่างไร ก่อนที่คุณจะสแกนลายนิ้วมือหรือใบหน้าแม้แต่ครั้งเดียว หากความเสี่ยงที่เหลืออยู่สูงและไม่สามารถลดลงได้อย่างเพียงพอ คุณต้องปรึกษาเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (AP) ก่อนเริ่มดำเนินการ (มาตรา 36 ของ GDPR)

การประเมินผลกระทบด้านความเป็นส่วนตัว (DPIA) สร้างขึ้นบนพื้นฐานทางกฎหมาย: ขั้นแรก คุณต้องกำหนดพื้นฐานภายใต้มาตรา 6 และข้อยกเว้นภายใต้มาตรา 9 หรือมาตรา 29 ของ UAVG จากนั้นจึงประเมินว่าระบบเฉพาะนั้นมีความจำเป็นและได้สัดส่วนหรือไม่

รายงานการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) ประกอบด้วยอะไรบ้าง?

ยกตัวอย่างเช่น เครื่องสแกนลายนิ้วมือสำหรับการเข้าถึงห้องเซิร์ฟเวอร์ การประเมินผลกระทบด้านความเป็นส่วนตัว (DPIA) ครอบคลุมองค์ประกอบสี่ประการ

• คำอธิบายเกี่ยวกับกระบวนการประมวลผล คุณเก็บรวบรวมข้อมูลประเภทใด: เทมเพลตหรือภาพเต็ม? เก็บรวบรวมอย่างไร จัดเก็บไว้ที่ไหน นำไปใช้อย่างไร และลบเมื่อใด? ใครบ้างที่สามารถเข้าถึงได้? มีซัพพลายเออร์เกี่ยวข้องหรือไม่?
• ความจำเป็นและความเหมาะสม คุณกำลังแก้ไขปัญหาเฉพาะเรื่องใด เช่น การเข้าถึงห้องเซิร์ฟเวอร์โดยไม่ได้รับอนุญาต? เหตุใดบัตรประจำตัวหรือรหัสจึงไม่เพียงพอในกรณีนี้? ข้อมูลที่คุณรวบรวมนั้นเป็นข้อมูลขั้นต่ำที่จำเป็นหรือไม่?
• ความเสี่ยงสำหรับผู้ที่เกี่ยวข้อง จะเกิดอะไรขึ้นหากฐานข้อมูลแม่แบบถูกขโมย? ข้อมูลนั้นอาจถูกนำไปใช้เพื่อวัตถุประสงค์อื่นในภายหลังได้หรือไม่ เช่น การตรวจสอบชั่วโมงการทำงาน (การขยายขอบเขตการใช้งาน)? จะเกิดอะไรขึ้นกับพนักงานที่ระบบไม่สามารถอ่านลายนิ้วมือได้? จะเกิดอะไรขึ้นหากระบบล็อกไม่ให้บุคคลที่ได้รับอนุญาตเข้าใช้งานในระหว่างเหตุฉุกเฉิน?
• มาตรการเพื่อจัดการกับความเสี่ยง มาตรการทางเทคนิค เช่น การเข้ารหัสและการจัดเก็บข้อมูลบนการ์ดหรืออุปกรณ์ มาตรการด้านองค์กร เช่น นโยบาย การฝึกอบรม และแผนรับมือการละเมิดข้อมูล และทางเลือกที่ไม่ใช้ไบโอเมตริกซ์ เพื่อไม่ให้ใครถูกกีดกัน

ทบทวน DPIA เมื่อขอบเขต ลักษณะ หรือบริบทของการประมวลผลเปลี่ยนแปลง (มาตรา 35(11) GDPR) การวิเคราะห์ที่เขียนขึ้นหลังจากมีการร้องเรียนเท่านั้นจะมีน้ำหนักน้อยในสายตาของ AP

คาดว่าจะมีมาตรการป้องกันอะไรบ้าง?

เก็บรวบรวมข้อมูลให้น้อยที่สุดเท่าที่จะเป็นไปได้ เก็บรักษาไว้ไม่นานเกินความจำเป็น และปกป้องข้อมูลด้วยมาตรการทางเทคนิคและองค์กรที่เข้มแข็ง หลักการเหล่านี้เป็นไปตามมาตรา 5 และ 32 ของ GDPR

เริ่มต้นด้วยการลดปริมาณข้อมูล: เก็บรวบรวมเฉพาะข้อมูลไบโอเมตริกที่จำเป็นสำหรับวัตถุประสงค์เฉพาะที่ถูกต้องตามกฎหมายเท่านั้น สำหรับการควบคุมการเข้าถึง โดยปกติแล้วเทมเพลตก็เพียงพอแล้ว ไม่จำเป็นต้องสแกนใบหน้าความละเอียดสูง ควบคู่ไปกับการจำกัดระยะเวลาการจัดเก็บข้อมูล: กำหนดระยะเวลาการเก็บรักษาและลบข้อมูลอย่างปลอดภัยทันทีที่ไม่มีความจำเป็นอีกต่อไป เช่น เมื่อพนักงานลาออกหรือไม่มีความจำเป็นต้องเข้าถึงข้อมูลอีกต่อไป

มาตรการทางเทคนิคและองค์กร

ระบบรักษาความปลอดภัยต้องสอดคล้องกับความเสี่ยงสูง มาตรการทางเทคนิคที่สำคัญ ได้แก่:

• การเข้ารหัสลับ ของข้อมูลไบโอเมตริก ทั้งในขณะอยู่นิ่งและขณะเคลื่อนที่
• การควบคุมการเข้าถึงที่เข้มงวดเพื่อให้เฉพาะเจ้าหน้าที่ที่ได้รับอนุญาตและมีความจำเป็นอย่างชัดเจนเท่านั้นสามารถเข้าถึงข้อมูลได้
• การจัดเก็บแบบกระจายอำนาจ: หากเป็นไปได้ ควรจัดเก็บเทมเพลตไว้ในอุปกรณ์หรือในบัตรของผู้ใช้เอง แทนที่จะจัดเก็บไว้ในฐานข้อมูลส่วนกลาง วิธีนี้จะช่วยลดโอกาสการรั่วไหลของข้อมูลจำนวนมากได้

เทคโนโลยีอย่างเดียวไม่เพียงพอ มาตรการด้านองค์กร เช่น นโยบายที่เป็นลายลักษณ์อักษรเกี่ยวกับข้อมูลไบโอเมตริก การฝึกอบรมพนักงาน การตรวจสอบความปลอดภัยเป็นระยะ และข้อตกลงที่ชัดเจนกับซัพพลายเออร์ ล้วนมีความสำคัญไม่แพ้กัน หากซัพพลายเออร์ประมวลผลข้อมูลในนามของคุณ คุณต้องมีข้อตกลงการประมวลผลตามมาตรา 28 ของ GDPR

นโยบายความเป็นส่วนตัวที่ชัดเจน

ประชาชนมีสิทธิที่จะทราบว่าคุณใช้ข้อมูลไบโอเมตริกของพวกเขาอย่างไร (มาตรา 13 และ 14 ของ GDPR) ข้อมูลนั้นต้องกระชับ ค้นหาได้ง่าย และเขียนด้วยภาษาที่เข้าใจง่าย

คำชี้แจงเกี่ยวกับความเป็นส่วนตัวในการประมวลผลข้อมูลชีวมาตรควรอธิบายว่าคุณคือใครและจะติดต่อคุณได้อย่างไร เหตุใดคุณจึงประมวลผลข้อมูล หลักการทางกฎหมายภายใต้มาตรา 6 และข้อยกเว้นที่อ้างถึง ข้อมูลใดที่คุณเก็บรวบรวม (เช่น แม่แบบลายนิ้วมือ) คุณเก็บรักษาข้อมูลนั้นไว้นานแค่ไหน คุณแบ่งปันข้อมูลนั้นกับใครบ้าง รวมถึงซัพพลายเออร์ และสิทธิที่บุคคลมี เช่น สิทธิในการเข้าถึง การแก้ไข การลบ และการคัดค้าน

กฎหมาย AI Act มีผลบังคับใช้ด้วยหรือไม่?

ใช่ สำหรับระบบไบโอเมตริกบางประเภท กฎหมายปัญญาประดิษฐ์ของสหภาพยุโรป (ระเบียบ (EU) 2024/1689) ได้เพิ่มกฎเกณฑ์เพิ่มเติมจาก GDPR

ตั้งแต่วันที่ 2 กุมภาพันธ์ 2025 พระราชบัญญัติปัญญาประดิษฐ์ (AI Act) ห้ามการปฏิบัติหลายอย่างโดยเด็ดขาด รวมถึงการเก็บรวบรวมภาพใบหน้าจากอินเทอร์เน็ตหรือภาพจากกล้องโดยไม่เจาะจงเพื่อสร้างฐานข้อมูลการจดจำใบหน้า การจดจำอารมณ์ในที่ทำงานและในสถานศึกษา (ยกเว้นกรณีทางการแพทย์หรือเพื่อความปลอดภัย) และการจำแนกประเภททางชีวเมตริกเพื่ออนุมานลักษณะที่ละเอียดอ่อน เช่น เชื้อชาติหรือรสนิยมทางเพศ ระบบชีวเมตริกอื่นๆ เช่น การระบุตัวตนทางชีวเมตริกจากระยะไกล จัดอยู่ในประเภทที่มีความเสี่ยงสูงและอยู่ภายใต้ข้อกำหนดที่เข้มงวด ตรวจสอบทั้งสองกรอบก่อนนำระบบมาใช้

อะไรคือผลที่ตามมาของการไม่ปฏิบัติตาม?

บทลงโทษที่รุนแรง ได้แก่ ค่าปรับจำนวนมาก คำสั่งให้หยุดการประมวลผล และการเรียกร้องค่าเสียหาย สำหรับการประมวลผลข้อมูลประเภทพิเศษโดยไม่ชอบด้วยกฎหมาย GDPR อนุญาตให้ปรับได้สูงสุดถึง 20 ล้านยูโร หรือ 4% ของรายได้ประจำปีทั่วโลก แล้วแต่จำนวนใดจะสูงกว่า

จำนวนเงินสูงสุดเหล่านี้เป็นไปตามมาตรา 83(5) ของ GDPR และใช้กับการประมวลผลโดยไม่มีพื้นฐานหรือข้อยกเว้นที่ถูกต้อง การละเมิดข้อผูกพันด้านความปลอดภัยและการแจ้งการละเมิด (มาตรา 32 ถึง 34 ของ GDPR) อาจนำไปสู่ค่าปรับสูงสุดถึง 10 ล้านยูโรหรือ 2% ของรายได้ทั่วโลก ค่าปรับต้องมีประสิทธิภาพ สมเหตุสมผล และเป็นการป้องปราม AP จะกำหนดจำนวนเงินตามนโยบายการปรับของตนเอง

สำนักข่าว AP ได้บังคับใช้มาตรการอะไรบ้าง?

สำนักข่าว AP ได้ปรับทั้งนายจ้างและบริษัทเทคโนโลยีฐานประมวลผลข้อมูลชีวมาตรโดยไม่ชอบด้วยกฎหมาย โดยมีสองกรณีที่โดดเด่นเป็นพิเศษ

ในปี 2020 สำนักข่าว AP ได้สั่งปรับบริษัทแห่งหนึ่งเป็นเงิน 725,000 ยูโร เนื่องจากบริษัทดังกล่าวใช้ลายนิ้วมือของพนักงานในการบันทึกเวลาเข้างาน AP พบว่าไม่มีข้อยกเว้นใดที่ใช้ได้ กล่าวคือ พนักงานไม่ได้ให้ความยินยอมโดยสมัครใจ และความสะดวกในการบันทึกเวลาไม่ใช่เหตุผลด้านความปลอดภัยที่ทำให้การประมวลผลข้อมูลชีวมาตรเป็นสิ่งจำเป็น ในเดือนกันยายนปี 2024 สำนักข่าว AP ได้สั่งปรับบริษัท Clearview AI ของอเมริกาเป็นเงิน 30.5 ล้านยูโร ฐานสร้างฐานข้อมูลภาพใบหน้า ซึ่งรวมถึงใบหน้าของชาวดัตช์ โดยไม่มีพื้นฐานทางกฎหมาย

มีคำถามสี่ข้อที่เกี่ยวข้องกับการบังคับใช้ AP (Data Protection Authority) คือ วัตถุประสงค์คืออะไร ระบุไว้อย่างชัดเจนหรือไม่ แทนที่จะใช้คำว่า "ความปลอดภัย" โดยทั่วไป? สามารถบรรลุเป้าหมายได้ด้วยวิธีการที่รุกล้ำน้อยกว่าหรือไม่? หากอาศัยความยินยอม ผู้คนสามารถปฏิเสธได้โดยไม่มีผลกระทบหรือไม่? และมีการประเมินและบันทึกเรื่องนี้ก่อนที่จะนำระบบมาใช้หรือไม่? บทความของเราเกี่ยวกับหน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์อธิบายอำนาจของ AP อย่างละเอียดมากขึ้น

ผลกระทบอื่น ๆ

ค่าปรับไม่ใช่ความเสี่ยงเพียงอย่างเดียว หน่วยงานคุ้มครองข้อมูลส่วนบุคคล (AP) สามารถสั่งให้คุณหยุดการประมวลผล ซึ่งอาจทำให้ระบบที่การดำเนินงานของคุณต้องพึ่งพาหยุดชะงัก และสามารถสั่งให้คุณลบข้อมูลที่รวบรวมมาอย่างผิดกฎหมายได้ บุคคลที่ข้อมูลถูกประมวลผลอย่างผิดกฎหมายสามารถเรียกร้องค่าชดเชยสำหรับความเสียหายทั้งทางวัตถุและไม่ใช่วัตถุภายใต้มาตรา 82 ของ GDPR และในเนเธอร์แลนด์ การเรียกร้องดังกล่าวสามารถดำเนินการร่วมกันได้ ความเสียหายต่อชื่อเสียงจากการตัดสินใจบังคับใช้กฎหมายของภาครัฐอาจมีมาก

คุณจะทำอย่างไรหากข้อมูลไบโอเมตริกซ์รั่วไหล?

ควบคุมการรั่วไหล ประเมินความเสี่ยง แจ้ง AP ภายใน 72 ชั่วโมง และหากความเสี่ยงสูง ให้แจ้งผู้ที่ได้รับผลกระทบโดยไม่ชักช้า เตรียมแผนรับมือนี้ให้พร้อมก่อนที่จะเกิดเหตุการณ์ใดๆ ขึ้น

ภายใต้มาตรา 33 ของ GDPR คุณต้องรายงานการละเมิดข้อมูลส่วนบุคคลไปยัง AP โดยไม่ชักช้าเกินควร และหากเป็นไปได้ ภายใน 72 ชั่วโมงหลังจากทราบถึงการละเมิดนั้น เว้นแต่การละเมิดนั้นไม่น่าจะก่อให้เกิดความเสี่ยงต่อบุคคลที่เกี่ยวข้อง การแจ้งเตือนต้องอธิบายถึงลักษณะของการละเมิด ประเภทและจำนวนโดยประมาณของบุคคลและบันทึกที่ได้รับผลกระทบ ผลที่ตามมาที่อาจเกิดขึ้น และมาตรการที่ดำเนินการหรือเสนอ หากคุณไม่สามารถให้ข้อมูลทั้งหมดในคราวเดียว คุณสามารถเพิ่มเติมข้อมูลในภายหลังได้

ขั้นตอนที่ 1: จำกัดขอบเขตการรั่วไหลและประเมินผลกระทบ

สิ่งสำคัญอันดับแรกของคุณคือการหยุดยั้งการละเมิดข้อมูล แยกส่วนระบบที่ได้รับผลกระทบ เก็บรักษาบันทึกและหลักฐานอื่นๆ ไว้สำหรับการสืบสวน และระบุให้แน่ชัดว่าข้อมูลใดได้รับผลกระทบ ไม่ว่าจะเป็นภาพดิบหรือเทมเพลตที่เข้ารหัส และเป็นข้อมูลของใคร

ขั้นตอนที่ 2: ตัดสินใจว่าจะแจ้งให้ผู้ที่ได้รับผลกระทบทราบหรือไม่

ภายใต้มาตรา 34 ของ GDPR คุณต้องแจ้งให้ผู้ที่ได้รับผลกระทบทราบโดยไม่ชักช้าเกินควร หากการละเมิดนั้นมีแนวโน้มที่จะก่อให้เกิดความเสี่ยงสูงต่อสิทธิและเสรีภาพของพวกเขา สำหรับข้อมูลไบโอเมตริกนั้น เกณฑ์ดังกล่าวจะเข้าข่ายโดยทั่วไป เนื่องจากข้อมูลไม่สามารถเปลี่ยนแปลงได้ ข้อยกเว้นคือ ตัวอย่างเช่น ข้อมูลที่ได้รับการเข้ารหัสอย่างแน่นหนาและกุญแจเข้ารหัสไม่ได้ถูกเปิดเผย ข้อความที่แจ้งต้องใช้ภาษาที่เข้าใจง่าย: เกิดอะไรขึ้น ข้อมูลใดเกี่ยวข้อง และผู้คนสามารถทำอะไรได้บ้างเพื่อปกป้องตนเอง

ขั้นตอนที่ 3: ดำเนินการและบันทึกผลการตอบสนอง

บันทึกทุกขั้นตอน: ช่วงเวลาที่ค้นพบ การตัดสินใจที่เกิดขึ้น การสื่อสาร และมาตรการทางเทคนิค ภายใต้มาตรา 33(5) ของ GDPR คุณต้องบันทึกการละเมิดทุกครั้ง รวมถึงการละเมิดที่คุณไม่จำเป็นต้องรายงานด้วย เอกสารที่ดีจะแสดงให้ AP เห็นว่าคุณดำเนินการอย่างรอบคอบ และอาจส่งผลต่อการประเมินกรณีดังกล่าว

ในฐานะนายจ้างหรือบริษัท คุณควรตรวจสอบอะไรบ้าง?

ตรวจสอบความจำเป็นก่อนและบันทึกทุกขั้นตอนก่อนที่ระบบจะเริ่มใช้งานจริง การตรวจสอบทั้งห้าข้อนี้ครอบคลุมประเด็นที่ AP พิจารณา

• ระบุวัตถุประสงค์ด้านความปลอดภัยที่เฉพาะเจาะจง และอธิบายว่าเหตุใดบัตรประจำตัว รหัส PIN หรือกุญแจจึงไม่เพียงพอ (มาตรา 29 UAVG)
• บันทึกหลักเกณฑ์ทางกฎหมายของคุณภายใต้มาตรา 6 ของ GDPR และข้อยกเว้นภายใต้มาตรา 9(2) ของ GDPR หรือมาตรา 29 ของ UAVG
• ดำเนินการประเมินผลกระทบด้านความเป็นส่วนตัว (DPIA) ให้เสร็จสิ้นก่อนการสแกนครั้งแรก และปรึกษาเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (AP) หากยังคงมีความเสี่ยงสูง (มาตรา 35 และ 36 ของ GDPR)
• ขอความยินยอมจากสภาแรงงานตามมาตรา 27(1)(k) และ (l) WOR ก่อนที่จะนำระบบนี้มาใช้
• ลงนามในข้อตกลงการประมวลผลข้อมูลกับผู้ให้บริการ (มาตรา 28 ของ GDPR) และกำหนดระยะเวลาการเก็บรักษาเทมเพลต

ในฐานะพนักงานหรือลูกค้า คุณควรตรวจสอบอะไรบ้าง?

คุณมีสิทธิ์ที่จะทราบว่าข้อมูลไบโอเมตริกของคุณถูกนำไปใช้อย่างไร และมีสิทธิ์ที่จะคัดค้านการประมวลผลที่ไม่ถูกต้องตามกฎหมาย โปรดตรวจสอบประเด็นเหล่านี้หากคุณถูกขอให้สแกนลายนิ้วมือหรือใบหน้าของคุณ

• มีทางเลือกอื่นที่ไม่ใช้ไบโอเมตริกซ์หรือไม่ เช่น บัตรหรือรหัส PIN และสามารถใช้งานได้โดยไม่มีข้อเสียหรือไม่?
• นโยบายความเป็นส่วนตัวระบุวัตถุประสงค์ พื้นฐานทางกฎหมาย และระยะเวลาการเก็บรักษาข้อมูลหรือไม่ (มาตรา 13 และ 14 ของ GDPR)?
• ในกรณีที่นายจ้างของคุณมีสภาแรงงาน (มาตรา 27 ของระเบียบแรงงาน) สภาแรงงานได้ให้ความยินยอมต่อระบบนี้หรือไม่?
• ขอเข้าถึงหรือลบข้อมูลของคุณ องค์กรต้องตอบกลับภายในหนึ่งเดือน (มาตรา 12, 15 และ 17 ของ GDPR)
• หากสิทธิของคุณไม่ได้รับการเคารพ ให้ยื่นเรื่องร้องเรียนต่อ AP (มาตรา 77 ของ GDPR) หรือเรียกร้องค่าเสียหายตามมาตรา 82 ของ GDPR

เราสามารถใช้ข้อมูลไบโอเมตริกเพื่อช่วยเหลือคุณได้อย่างไร?

ทีมทนายความด้านไอทีของเราให้ความช่วยเหลือแก่นายจ้าง บริษัทเทคโนโลยี และบุคคลทั่วไปเกี่ยวกับระบบไบโอเมตริก ตั้งแต่ขั้นตอนการวางแผนเบื้องต้นไปจนถึงการดำเนินคดีต่อหน้าเจ้าหน้าที่ตรวจสอบความถูกต้องของข้อมูล (AP)

• เราจะประเมินว่าระบบไบโอเมตริกของคุณตรงตามข้อกำหนดความจำเป็นของมาตรา 29 แห่งกฎหมาย UAVG หรือไม่
• เราจัดทำหรือตรวจสอบรายงานการประเมินผลกระทบด้านความเป็นส่วนตัว (DPIA) และประกาศเกี่ยวกับความเป็นส่วนตัว
• เราจัดเตรียมคำขอความยินยอมต่อสภาแรงงานตามมาตรา 27 ของระเบียบข้อบังคับแรงงาน (WOR)
• เราตรวจสอบข้อตกลงการประมวลผลข้อมูลกับซัพพลายเออร์ของคุณภายใต้มาตรา 28 ของ GDPR
• เราช่วยคุณแจ้งการละเมิดข้อมูลไปยัง AP ภายในกำหนดเวลา 72 ชั่วโมง และตอบสนองต่อการบังคับใช้กฎของ AP

สรุป

• ข้อมูลไบโอเมตริกที่ใช้สำหรับการระบุตัวตนเฉพาะบุคคลจัดอยู่ในหมวดหมู่พิเศษภายใต้มาตรา 9 ของ GDPR การประมวลผลข้อมูลดังกล่าวเป็นสิ่งต้องห้าม เว้นแต่จะมีข้อยกเว้น
• ในประเทศเนเธอร์แลนด์ มาตรา 29 ของ UAVG อนุญาตให้ใช้ได้เฉพาะในกรณีที่จำเป็นสำหรับการตรวจสอบสิทธิ์หรือความปลอดภัยเท่านั้น ความสะดวกสบายเพียงอย่างเดียวไม่เพียงพอ
• การขอความยินยอมจากพนักงานมักไม่มีผลบังคับใช้ ควรเสนอทางเลือกอื่นที่ไม่ใช้ระบบไบโอเมตริกซ์ และขอความยินยอมจากสภาพนักงานหากจำเป็น
• ดำเนินการประเมินผลกระทบด้านความเป็นส่วนตัว (DPIA) ล่วงหน้า ลดปริมาณข้อมูล จัดเก็บเทมเพลตไว้ในเครื่อง และเข้ารหัสข้อมูลเหล่านั้น
• ต้องรายงานการละเมิดให้ AP ทราบภายใน 72 ชั่วโมง มิเช่นนั้นโทษปรับอาจสูงถึง 20 ล้านยูโร หรือ 4% ของยอดขายทั่วโลก

คำถามที่พบบ่อย