بایومیټریک معلومات، لکه د ګوتو نښې، د مخ انځورونه یا د غږ نمونې، د GDPR لاندې د شخصي معلوماتو یوه ځانګړې کټګوري ده کله چې د یو شخص په ځانګړي ډول پیژندلو لپاره پروسس کیږي. په هالنډ کې دا ډول پروسس په اصل کې منع دی؛ اصلي استثنا هغه ځای دی چیرې چې دا د تصدیق یا امنیتي موخو لپاره اړین وي، او د هغو کارمندانو لپاره چې ازموینه کوي په ندرت سره د وخت ساعت یا د دفتر دروازې سره مل کیږي.
د هالنډ د معلوماتو د ساتنې اداره (Autoriteit Persoonsgegevens, AP) دا قوانین په کلکه پلي کوي او د بایومیټریک کارولو لپاره یې کارګمارونکي او د ټیکنالوژۍ شرکتونه جریمه کړي دي. لاندې موږ تشریح کوو چې څه د بایومیټریک معلوماتو په توګه شمیرل کیږي، کوم قانوني اساسات شتون لري، کله چې تاسو د معلوماتو د ساتنې اغیزې ارزونې ته اړتیا لرئ، کوم محافظتونه تمه کیږي او که چیرې یو څه غلط شي نو څه باید وکړئ.
د GDPR لاندې بایومیټریک معلومات څه شی دی؟
بایومیټریک معلومات هغه شخصي معلومات دي چې د یو شخص د فزیکي، فزیولوژیکي یا چلندي ځانګړتیاوو د ځانګړي تخنیکي پروسس څخه رامینځته کیږي، کوم چې د هغه شخص ځانګړي پیژندنې ته اجازه ورکوي یا تاییدوي. هدف او تخنیک پریکړه کوي، نه د عکس یا ثبت ډول.
دا تعریف د عمومي معلوماتو د ساتنې مقررې (GDPR) په 4(14) ماده کې دی . د ID په بیج کې د کارمند عکس شخصي معلومات دي، مګر په اتوماتيک ډول بایومیټریک معلومات ندي. هغه شیبه چې ورته عکس د مخ نمونې ته بدل شي او د پیژندنې سیسټم لخوا ودانۍ ته د لاسرسي لپاره وکارول شي، دا بایومیټریک معلومات کیږي. دا بدلون په بشپړ ډول قانوني چوکاټ بدلوي.
د بایومیټریک پیژندونکو مثالونه د ګوتو نښې، د مخ جیومیټري، د ایرس او ریټینا نمونې، د غږ نمونې او د چلند ځانګړتیاوې لکه د ټایپ کولو تال یا د یو چا د تګ لاره ده. هغه څه چې دوی پکې مشترک دي دا دي چې دوی د یو ځانګړي فرد پیژندلو لپاره کارول کیږي.
ولې GDPR د بایومیټریک معلوماتو سره په مختلف ډول چلند کوي؟
د GDPR د نهمې مادې له مخې، د بایومیټریک معلومات چې د یو شخص د ځانګړي پیژندلو لپاره پروسس کیږي د شخصي معلوماتو ځانګړو کټګوریو پورې اړه لري. په ورته کټګورۍ کې د نژادي یا قومي اصل، سیاسي نظرونو، مذهبي عقیدې، روغتیا او جنسي ژوند په اړه معلومات شامل دي.
دلیل یې دا دی چې د ناوړه ګټې اخیستنې پایلې جدي او ډیری وختونه نه بدلیدونکي دي. پټنوم بدلیدلی شي؛ د ګوتو نښې یا د سترګو ایرس نشي کولی. که چیرې د بایومیټریک ټیمپلیټونو ډیټابیس له خطر سره مخ شي، نو اړوند خلک د هویت د درغلیو له دوامداره خطر سره مخ کیږي.
د هالنډ چلند څومره سخت دی؟
AP دا قوانین په کلکه تعبیروي. د دې پیل ټکی دا دی چې بایومیټریک پیژندنه منع ده، او استثناوې محدودې دي.
د هالنډ د GDPR د تطبیق قانون (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) یو ملي استثنا اضافه کوي. د UAVG د 29 مادې لاندې، بایومیټریک معلومات ممکن د ځانګړي پیژندنې لپاره پروسس شي که چیرې دا د تصدیق یا امنیتي موخو لپاره اړین وي. "لازمي" کلیدي کلمه ده. دا پدې مانا ده چې هدف په معقول ډول د لږ مداخلې وسیلو سره نشي ترلاسه کیدی، لکه بیج، کوډ یا کیلي. AP په خپل لارښود کې روښانه کړې چې په عامه توګه د لاسرسي وړ ځایونو کې، لکه دوکانونو کې، په اصل کې د مخ پیژندنه اجازه نلري.
تاسو کوم قانوني اساس ته اړتیا لرئ؟
تاسو دوه ته اړتیا لرئ: د دې پروسس لپاره د GDPR د 6 مادې لاندې قانوني اساس، او د GDPR د 9(2) مادې یا UAVG د 29 مادې لاندې استثنا ترڅو په ځانګړو کټګوریو باندې بندیز لرې شي. د دواړو پرته، پروسس غیرقانوني دی.
د GDPR شپږمه ماده شپږ قانوني اساسات لیست کوي: رضایت، د تړون اجرا کول، قانوني مکلفیت، حیاتي ګټې، د عامه ګټو دنده او مشروع ګټې. دا لومړی خنډ دی، او دا په ټولو شخصي معلوماتو باندې پلي کیږي.
ځکه چې بایومیټریک معلومات یوه ځانګړې کټګوري ده، نو تاسو باید د GDPR د 9(2) مادې، یا د UAVG د 29 مادې کې د هالنډ استثنا له شرایطو څخه یو پوره کړئ. دا یوازینۍ لارې دي چې له لارې یې بندیز لرې کیدی شي. مخکې له دې چې تاسو پیل کړئ، دا هم وټاکئ چې کنټرولر څوک دی او څوک د پروسسر په توګه کار کوي، د بیلګې په توګه د سکین کولو سیسټم عرضه کونکی. زموږ مقاله د GDPR لاندې د کنټرولر او پروسسر رولونو په اړه توپیر او د پروسس کولو تړون تشریح کوي چې تاسو ورته اړتیا لرئ.
کله ښکاره رضایت اعتبار لري؟
ښکاره رضایت د عادي رضایت په پرتله لوړ معیار دی. دا باید د یوې روښانه، مثبتې بیانیې له لارې ورکړل شي او باید مشخص، باخبره، مبهم او په آزاده توګه ورکړل شي.
- ځانګړی: د "امنیتي موخو" لپاره عمومي حواله کافي نه ده؛ تاسو باید په دقیق ډول ووایاست چې ولې تاسو بایومیټریک معلوماتو ته اړتیا لرئ.
- خبرتیا: خلک باید پوه شي چې تاسو کوم معلومات راټولوئ، تاسو ورسره څه کوئ، څوک لاسرسی لري او تاسو یې څومره وخت ساتئ.
- په وړیا توګه ورکړل شوی: سړی باید د منفي پایلو پرته د رد کولو توان ولري، او باید په هر وخت کې د رضایت بیرته اخیستلو وړتیا ولري.
په کارموندنې اړیکه کې، وروستی شرط ستونزه ده. هغه کارمند چې انکار کوي ممکن د پایلو څخه ویره ولري، او له همدې امله AP دا نظر لري چې د کارمند رضایت په ندرت سره په آزاده توګه ورکول کیږي. یو کار ورکوونکی چې په رضایت تکیه کوي باید وښيي چې یو ریښتینی بدیل شتون لري او په عمل کې وړاندیز شوی، نه یوازې په کاغذ کې.
نور کوم استثناوې شته؟
نورې استثناوې محدودې دي. لاندې جدول تر ټولو اړونده استثناوې پرتله کوي.
| استثناء | کلیدي اړتیا | بېلګه | عام خطر |
|---|---|---|---|
| ښکاره رضایت (ماده 9(2)(a) GDPR) | ځانګړی، باخبره، مبهم او په آزاده توګه ورکړل شوی. | یو پیرودونکی چې په خپله خوښه د مخ پیژندنې د تادیې سیسټم کې نوم لیکنه کوي، د اسانه بدیل سره. | د ځواک د عدم توازن سره سره د کارمندانو په رضایت تکیه کول. |
| تصدیق یا امنیت (د UAVG ۲۹ ماده) | بایومیټریک باید اړین وي؛ لږ مداخلې وسیلې باید کافي نه وي. | هغه لابراتوار ته لاسرسی چې خطرناک مواد ولري یا د لوړ امنیت معلوماتو مرکز ته لاسرسی. | د اسانتیا لپاره د بایومیټریک کارول، لکه د وخت ثبت کول، چیرې چې بیج به کار وکړي. |
| د کار او ټولنیز امنیت قانون (ماده 9(2)(b) GDPR) | د کارموندنې یا ټولنیز امنیت قانون لاندې د مکلفیتونو پوره کولو لپاره اړین، د یو ځانګړي قانوني حکم پر بنسټ. | په عمل کې نادره؛ د پروسس لپاره قانوني اساس ته اړتیا ده. | فرض کړئ چې د کار اړیکه پخپله کافي ده. |
| حیاتي ګټې (ماده 9(2)(c) GDPR) | د هغه چا د ساتنې لپاره اړین دی چې په فزیکي یا قانوني توګه د رضایت ورکولو توان نلري. | په بیړني حالت کې د بې هوښه ناروغ پیژندل. | په عادي حالاتو کې یې پلي کول. |
| د پام وړ عامه ګټې (ماده 9(2)(g) GDPR) | د اروپايي اتحادیې یا هالنډي قانون پر بنسټ او د هدف سره متناسب. | د عامه چارواکو لخوا د یو ځانګړي قانوني حکم لاندې پروسس کول. | یو خصوصي شرکت چې د قانوني اساس پرته عامه ګټې لټوي. |
آیا تاسو کولی شئ د کارمندانو لپاره د ګوتو نښې یا د مخ سکین وکاروئ؟
یوازې هغه وخت چې بایومیټریک په ریښتیا سره د تصدیق یا امنیت لپاره اړین وي، او لږ مداخله کوونکی وسیله به کار ونکړي. د وخت ثبتولو لپاره، د موټر یا عادي دفتر دروازه، دا معمولا قضیه نه وي.
د UAVG د ۲۹ مادې لاندې ازموینه دا ده چې ایا هدف په معقول ډول د لږ مداخلې وسیلو له لارې ترلاسه کیدی شي. یو سکینر چې د ټیل، د وخت ثبتولو سیسټم یا د دفتر دروازې ته لاسرسی کنټرولوي معمولا دا ازموینه ناکامه کوي، ځکه چې بیج، کوډ یا کیلي د بایومیټریک معلوماتو پرته ورته پایله ترلاسه کوي. چیرې چې بایومیټریک لاسرسی منل کیږي، د امنیت دلچسپي د پام وړ او مشخصه ده: یو تاسیسات چې خطرناک مواد اداره کوي، یو خوندي لابراتوار، د معلوماتو مرکز یا والټ.
په جلا توګه، چیرې چې د کار شورا (ondernemingsraad) شتون لري، یو سیسټم چې د کارمندانو حاضري، چلند یا فعالیت ثبتوي یا څارنه کوي، یا د دوی شخصي معلومات پروسس کوي، د کار شوراګانو قانون (Wet op de ondernemingsraden, WOR) د 27(1)(k) او (l) مادې لاندې د دوی رضایت ته اړتیا لري. د GDPR سره سم عمل کول دا اړتیا نه لرې کوي، او د رضایت پرته معرفي شوی سیسټم ننګول کیدی شي.
آیا تاسو د پیرودونکو لپاره بایومیټریک کارولی شئ؟
ځینې وختونه، مګر ورته سخت قوانین پلي کیږي. د پیرودونکو لپاره، واضح رضایت یو باوري دلیل کیدی شي، په دې شرط چې د بایومیټریک کارول واقعیا اختیاري وي او یو مساوي بدیل شتون ولري.
عام مثالونه یې د ګوتو نښې سره د بانکي اپلیکیشن خلاصول، د آنلاین حساب پرانیستلو پر مهال د سیلفي سره د هویت تصدیق، او د مخ پیژندنې سره جم یا پیښې ته لاسرسی دي. چیرې چې بایومیټریک چیک په بشپړ ډول د پیرودونکي په خپل تلیفون کې ترسره کیږي، د تلیفون جوړ شوي ټیکنالوژۍ په کارولو سره، شرکت معمولا پخپله بایومیټریک معلومات نه ترلاسه کوي. دا د شرکت لپاره د پام وړ خطر او مکلفیتونه کموي.
چیرې چې شرکت پخپله معلومات پروسس کوي، د بیلګې په توګه د پاسپورټ عکس سره د سیلفي پرتله کول په خپلو سرورونو کې، دا یو باوري دلیل ته اړتیا لري. رضایت ته اړتیا لري چې پیرودونکي کولی شي بله لاره غوره کړي، لکه د بانک لیږد لخوا تایید یا څانګې ته لیدنه، پرته له کوم زیان څخه. د بانکونو او نورو مالي ادارو لپاره، د پیسو مینځلو ضد قانون لاندې د پیرودونکو د احتیاط مکلفیتونه رول لوبوي، مګر دوی پخپله بایومیټریک پروسس ته اړتیا نلري.
د مخ پیژندنې کیمرې په اړه څه؟
په دوکانونو، لوبغالو یا نورو عامه ځایونو کې د مخ پیژندنې کیمرې په اصل کې د شخصي ګوندونو لپاره اجازه نلري. هغه خلک چې له لارې تیریږي نشي کولی څرګند رضایت ورکړي، او په ندرت سره داسې اړتیا شتون لري چې د UAVG مادې 29 ازموینې سره سمون ولري.
AP پرچون پلورونکو ته خبرداری ورکړی چې د دوکاندارانو د پیژندلو یا پیرودونکو پیژندلو لپاره د مخ پیژندنې کارول اجازه نلري. د بایومیټریک پیژندنې پرته، د کیمرې عادي څارنه د مختلفو، لږ سختو قوانینو تابع ده، مګر بیا هم مشروع ګټې، روښانه خبرتیاوې او محدود ساتلو مودې ته اړتیا لري. د موجوده کیمرې سیسټم ته د مخ پیژندنې سافټویر اضافه کول ارزونه په بشپړ ډول بدلوي.
تاسو کله د معلوماتو د ساتنې د اغیزې ارزونې ته اړتیا لرئ؟
تقریبا تل. د خلکو د پیژندلو لپاره د بایومیټریک معلوماتو پروسس کول د لوړ خطر پروسس کول دي، او AP دا د پروسس کولو عملیاتو په لیست کې ځای په ځای کړی چې د GDPR 35 مادې لاندې د معلوماتو محافظت اغیزې ارزونې (DPIA) ته اړتیا لري.
DPIA د محرمیت د خطرونو یوه منظمه ارزونه ده. دا تاسو مجبوروي چې هغه څه تشریح کړئ چې تاسو یې پلان لرئ، د ښکیلو خلکو لپاره خطرونه وپیژنئ او پریکړه وکړئ چې څنګه د دې خطرونو اداره کول مخکې لدې چې تاسو د ګوتو نښې یا مخ سکین کړئ. که پاتې خطر لوړ وي او په کافي اندازه کم نشي، تاسو باید د پیل کولو دمخه د AP سره مشوره وکړئ (د GDPR 36 ماده).
DPIA په قانوني اساس جوړیږي: تاسو لومړی د شپږمې مادې لاندې اساس او د نهمې مادې یا د نهمې مادې UAVG لاندې استثنا رامینځته کوئ، او بیا ارزونه کوئ چې ایا ځانګړی سیسټم اړین او متناسب دی.
DPIA څه شی لري؟
د سرور خونې ته د لاسرسي لپاره د ګوتو نښې سکینر د مثال په توګه واخلئ. DPIA څلور عناصر پوښي.
- د پروسس تفصیل. تاسو کوم معلومات راټولوئ: یوه نمونه یا بشپړ انځور؟ دا څنګه راټولیږي، چیرته زیرمه کیږي، څنګه کارول کیږي او کله حذف کیږي؟ څوک لاسرسی لري؟ ایا عرضه کونکی پکې ښکیل دی؟
- اړتیا او تناسب. تاسو کومه ځانګړې ستونزه حل کوئ، لکه د سرور خونې ته غیر مجاز لاسرسی؟ ولې پدې حالت کې بیجونه یا کوډونه کافي ندي؟ ایا هغه معلومات چې تاسو یې راټولوئ لږترلږه اړین دي؟
- د ښکېلو خلکو لپاره خطرونه. که چیرې د ټیمپلیټونو ډیټابیس غلا شي نو څه به وي؟ ایا دا معلومات وروسته د نورو موخو لپاره کارول کیدی شي، لکه د کاري ساعتونو څارنه (د فعالیت کمیدل)؟ د هغو کارمندانو سره څه کیږي چې د ګوتو نښې یې نشي لوستل کیدی؟ که چیرې سیسټم د بیړني حالت په جریان کې یو مجاز کس بند کړي نو څه به وي؟
- د خطرونو د حل لپاره اقدامات. تخنیکي اقدامات لکه کوډ کول او په کارت یا وسیله کې ذخیره کول؛ سازماني اقدامات لکه پالیسي، روزنه او د سرغړونې غبرګون پلان؛ او یو غیر بایومیټریک بدیل ترڅو هیڅوک له دې څخه محروم نه شي.
کله چې د پروسس کولو ساحه، ماهیت یا شرایط بدل شي، د DPIA بیاکتنه وکړئ (د GDPR 35(11 ماده)). هغه تحلیل چې یوازې د شکایت وروسته لیکل کیږي د AP سره لږ وزن لري.
د کومو خوندیتوبونو تمه کیږي؟
د امکان تر حده لږ راټول کړئ، له اړتیا څخه یې ډیر مه ساتئ او د قوي تخنیکي او سازماني اقداماتو سره یې خوندي کړئ. دا اصول د GDPR د 5 او 32 مادو څخه تعقیبوي.
د معلوماتو کمولو سره پیل وکړئ: یوازې هغه بایومیټریک معلومات راټول کړئ چې د ځانګړي او مشروع هدف لپاره اړین دي. د لاسرسي کنټرول لپاره، معمولا یوه نمونه کافي وي؛ د لوړ ریزولوشن مخ سکین ته اړتیا نشته. دا د ذخیره کولو محدودیت سره یوځای کړئ: د ساتلو موده وټاکئ او معلومات په خوندي ډول حذف کړئ کله چې نور اړتیا ونلري، د مثال په توګه کله چې یو کارمند پریږدي یا نور لاسرسي ته اړتیا نلري.
تخنیکي او سازماني اقدامات
امنیت باید د لوړ خطر سره سمون ولري. مهم تخنیکي اقدامات په لاندې ډول دي:
- د کوډونې د بایومیټریک معلوماتو، دواړه په آرام او لیږد کې.
- د لاسرسي سخت کنټرولونه، ترڅو یوازې هغه مجاز کارمندان چې روښانه اړتیا لري معلوماتو ته لاسرسی ومومي.
- غیر متمرکز ذخیره: که امکان ولري، ټیمپلیټونه په وسیله یا د کارونکي په خپل کارت کې ذخیره کړئ نه په مرکزي ډیټابیس کې. دا د ډله ایزې سرغړونې احتمال خورا کموي.
یوازې ټیکنالوژي کافي نه ده. سازماني اقدامات، لکه د بایومیټریک معلوماتو په اړه لیکل شوې پالیسي، د کارمندانو روزنه، دوره ای امنیتي پلټنې او د عرضه کونکو سره روښانه تړونونه، په مساوي ډول مهم دي. که چیرې یو عرضه کونکی ستاسو په استازیتوب معلومات پروسس کړي، نو تاسو د GDPR د 28 مادې لاندې د پروسس کولو تړون ته اړتیا لرئ.
د محرمیت یوه روښانه خبرتیا
خلک حق لري چې پوه شي چې تاسو د دوی د بایومیټریک معلوماتو سره څه کوئ (د GDPR ۱۳ او ۱۴ مادې). معلومات باید لنډ، په اسانۍ سره موندل او په ساده ژبه لیکل شوي وي.
د بایومیټریک پروسس کولو په اړه د محرمیت خبرتیا باید تشریح کړي چې تاسو څوک یاست او څنګه له تاسو سره اړیکه ونیسئ، ولې تاسو معلومات پروسس کوئ، د شپږمې مادې لاندې قانوني اساس او هغه استثنا چې تاسو پرې تکیه کوئ، کوم معلومات راټولوئ (د مثال په توګه د ګوتو نښې نمونه)، تاسو یې څومره وخت ساتئ، له چا سره یې شریکوئ، په شمول د عرضه کونکو، او کوم حقونه خلک لري، لکه لاسرسی، اصلاح، له منځه وړل او اعتراض.
ایا د مصنوعي ذهانت قانون هم پلي کیږي؟
هو، د ځینو بایومیټریک سیسټمونو لپاره. د اروپايي اتحادیې د مصنوعي استخباراتو قانون (مقررات (EU) 2024/1689) د GDPR په سر کې مقررات اضافه کوي.
د ۲۰۲۵ کال د فبروري له ۲مې راهیسې، د مصنوعي ذهانت قانون یو شمیر کړنې په کلکه منع کوي، په شمول د انټرنیټ یا د کیمرې فوٹیج څخه د مخ د عکسونو غیر هدفمند سکریپ کول ترڅو د مخ پیژندنې ډیټابیسونه جوړ کړي، په کارځای او تعلیم کې د احساساتو پیژندنه (پرته له طبي یا خوندیتوب دلایلو) او د حساسو ځانګړتیاو لکه نسل یا جنسي تمایل استنباط لپاره بایومیټریک طبقه بندي. نور بایومیټریک سیسټمونه، لکه لرې بایومیټریک پیژندنه، د لوړ خطر په توګه طبقه بندي شوي او د سختو اړتیاو تابع دي. د سیسټم معرفي کولو دمخه دواړه چوکاټونه وګورئ.
د نه اطاعت پایلې څه دي؟
لوړې جریمې، د پروسس بندولو امرونه او د زیانونو ادعاوې. د ځانګړو کټګوریو غیرقانوني پروسس لپاره، GDPR تر 20 ملیون یورو یا د نړۍ د کلني عاید 4٪ پورې جریمې ته اجازه ورکوي، هر هغه چې لوړ وي.
دا اعظمي اندازه د GDPR د 83(5) مادې څخه تعقیب کیږي او د نورو شیانو په مینځ کې، د اعتبار وړ اساس یا استثنا پرته پروسس کولو ته پلي کیږي. د امنیت او سرغړونې خبرتیا په اړه د مکلفیتونو سرغړونه (د GDPR له 32 څخه تر 34 مادې) کولی شي تر 10 ملیون یورو یا د نړۍ د عاید 2٪ جریمې لامل شي. جریمې باید مؤثره، متناسب او منتقدانه وي. AP اندازه د خپلې جریمې پالیسۍ لاندې ټاکي.
ای پي څه پلي کړي دي؟
ای پي د غیرقانوني بایومیټریک پروسس کولو لپاره کارګمارونکي او د ټیکنالوژۍ شرکتونه دواړه جریمه کړي دي. دوه پریکړې څرګندې دي.
په ۲۰۲۰ کال کې، ای پي په هغه شرکت ۷۲۵،۰۰۰ یورو جریمه ولګوله چې د کارمندانو د ګوتو نښې یې د حاضرۍ او وخت ثبتولو لپاره سکین کړې وې. ای پي وموندله چې هیڅ استثنا نه ده پلي شوې: د کارمندانو رضایت په وړیا توګه نه دی ورکړل شوی، او د ساعتونو ثبتولو کې اسانتیا د امنیتي هدف نه دی چې د بایومیټریک پروسس اړین کړي. د ۲۰۲۴ کال په سپتمبر کې ای پي امریکایی شرکت کلیر ویو ای پي ته د قانوني اساس پرته د هالنډي خلکو په ګډون د مخ عکسونو ډیټابیس جوړولو لپاره ۳۰.۵ ملیون یورو جریمه ورکړه.
د AP د تطبیق له لارې څلور پوښتنې روانې دي. موخه څه ده، چې په ځانګړي ډول د "امنیت" پرځای په عمومي ډول ویل کیږي؟ ایا دا د لږ مداخلې لارو لخوا ترلاسه کیدی شي؟ که چیرې رضایت تکیه شي، ایا خلک کولی شي پرته له پایلو څخه انکار وکړي؟ او ایا دا د سیسټم معرفي کیدو دمخه ارزول شوی او مستند شوی و؟ زموږ مقاله د هالنډ د معلوماتو ساتنې ادارې په اړه د AP واکونه په ډیر تفصیل سره تشریح کوي.
نورې پایلې
جریمه یوازینی خطر نه دی. AP کولی شي تاسو ته د پروسس بندولو امر وکړي، کوم چې کولی شي هغه سیسټم ودروي چې ستاسو عملیات پرې تکیه کوي، او دا کولی شي تاسو ته امر وکړي چې په غیرقانوني ډول راټول شوي معلومات حذف کړئ. هغه خلک چې معلومات یې په غیرقانوني ډول پروسس شوي وي کولی شي د 82 GDPR مادې لاندې د مادي او غیر مادي زیان لپاره د خسارې غوښتنه وکړي، او په هالنډ کې دا ډول ادعاوې هم په ګډه راوړل کیدی شي. د عامه پلي کولو پریکړې شهرت ته زیان د پام وړ کیدی شي.
که بایومیټریک معلومات افشا شي نو څه باید وکړئ؟
د سرغړونې مخه ونیسئ، خطر وارزوئ، د ۷۲ ساعتونو دننه زیانمن شوي کس ته خبر ورکړئ او که خطر لوړ وي، نو پرته له ځنډه اغیزمن شوي خلکو ته خبر ورکړئ. دا د غبرګون پلان کې چمتو کړئ مخکې لدې چې کوم غلط شي.
د GDPR د ۳۳ مادې له مخې، تاسو باید د شخصي معلوماتو د سرغړونې په اړه AP ته پرته له کوم ځنډ څخه راپور ورکړئ او که امکان ولري، د ۷۲ ساعتونو دننه د دې خبرتیا څخه خبر شئ، پرته لدې چې سرغړونه د اړوندو خلکو لپاره خطر رامینځته کړي. خبرتیا د سرغړونې ماهیت، د اغیزمنو خلکو او ریکارډونو کټګورۍ او نږدې شمیر، احتمالي پایلې او اخیستل شوي یا وړاندیز شوي اقدامات بیانوي. که تاسو نشئ کولی ټول معلومات په یوځل کې چمتو کړئ، تاسو کولی شئ وروسته یې بشپړ کړئ.
لومړی ګام: سرغړونه کنټرول کړئ او اغیز یې وارزوئ
ستاسو لومړی لومړیتوب د سرغړونې مخه نیول دي. اغیزمن شوي سیسټمونه جلا کړئ، د پلټنې لپاره لاګونه او نور شواهد وساتئ، او په سمه توګه دا معلومه کړئ چې کوم معلومات اغیزمن شوي: خام انځورونه یا کوډ شوي ټیمپلیټونه، او د چا.
دوهم ګام: پریکړه وکړئ چې ایا اغیزمنو خلکو ته خبر ورکړئ
د GDPR د ۳۴ مادې له مخې، تاسو باید اغیزمنو خلکو ته پرته له ځنډه خبر ورکړئ که چیرې سرغړونه د دوی حقونو او آزادیو ته د لوړ خطر لامل شي. د بایومیټریک معلوماتو سره، دا حد به ډیری وخت پوره شي، ځکه چې معلومات نشي بدلیدلی. استثنا د مثال په توګه، هغه معلومات دي چې په کلکه کوډ شوي وو او د هغه کیلي سره جوړجاړی نه و شوی. پیغام باید په ساده ژبه وي: څه پیښ شوي، کوم معلومات پکې شامل وو او خلک د ځان ساتنې لپاره څه کولی شي.
دریم ګام: ځواب ترسره کړئ او مستند کړئ
هر ګام ثبت کړئ: د کشف شیبه، نیول شوي پریکړې، اړیکې او تخنیکي اقدامات. د GDPR د 33(5) مادې لاندې تاسو باید هره سرغړونه ثبت کړئ، پشمول هغه چې تاسو یې راپور ورکولو ته اړتیا نلرئ. ښه اسناد AP ته ښیې چې تاسو په احتیاط سره عمل کړی او کولی شي اغیزه وکړي چې دا څنګه قضیه ارزوي.
د یو کار ورکوونکي یا شرکت په توګه تاسو باید څه وګورئ؟
لومړی اړتیا وګورئ او د سیسټم له فعالیدو دمخه هر ګام مستند کړئ. دا پنځه چکونه هغه ټکي پوښي چې AP ورته ګوري.
- د امنیت ځانګړی هدف ولیکئ او ولې یو بیج، پن کوډ یا کیلي کافي نه ده (د UAVG ۲۹ ماده).
- خپل قانوني اساس د GDPR د ۶ مادې لاندې او استثنا د GDPR د ۹(۲) مادې یا UAVG د ۲۹ مادې لاندې ثبت کړئ.
- د لومړي سکین څخه مخکې DPIA بشپړ کړئ او که چیرې لوړ خطر پاتې وي نو د AP سره مشوره وکړئ (د GDPR ۳۵ او ۳۶ مادې).
- د سیسټم معرفي کولو دمخه د کار شورا څخه د 27(1)(k) او (l) WOR مادې لاندې د رضایت غوښتنه وکړئ.
- د عرضه کوونکي سره د پروسس تړون لاسلیک کړئ (د GDPR ۲۸ ماده) او د ټیمپلیټونو لپاره د ساتلو موده وټاکئ.
د یو کارمند یا پیرودونکي په توګه تاسو باید څه وګورئ؟
تاسو حق لرئ چې پوه شئ چې ستاسو بایومیټریک معلومات څنګه کارول کیږي او د غیرقانوني پروسس کولو په اړه اعتراض وکړئ. که تاسو څخه د ګوتو نښې یا ستاسو مخ سکین کولو غوښتنه وشي نو دا ټکي وګورئ.
- ایا د بایومیټریک پرته بل بدیل شته، لکه بیج یا پن کوډ، او تاسو کولی شئ پرته له کوم زیان څخه یې وکاروئ؟
- آیا د محرمیت خبرتیا هدف، قانوني اساس او د ساتلو موده بیانوي (د GDPR ۱۳ او ۱۴ مادې)؟
- آیا د کار شورا د هغه سیسټم سره موافقه کړې وه، چیرې چې ستاسو کار ورکوونکی یو لري (د WOR 27 ماده)؟
- ستاسو معلوماتو ته د لاسرسي یا د پاکولو غوښتنه وکړئ؛ سازمان باید د یوې میاشتې دننه ځواب ووایی (د GDPR ۱۲، ۱۵ او ۱۷ مادې).
- که ستاسو حقونو ته درناوی ونشي، نو د AP سره شکایت وکړئ (د GDPR ۷۷ ماده) یا د GDPR ۸۲ مادې لاندې د تاوان غوښتنه وکړئ.
موږ د بایومیټریک معلوماتو سره ستاسو لپاره څه کولی شو؟
زموږ د معلوماتي ټکنالوژۍ وکیلان د لومړي پلان څخه د AP تر محاکمې پورې د بایومیټریک سیسټمونو سره کارګمارونکو، ټیکنالوژۍ شرکتونو او اشخاصو سره مرسته کوي.
- موږ ارزونه کوو چې آیا ستاسو بایومیټریک سیسټم د UAVG د 29 مادې اړتیا ازموینه پوره کوي.
- موږ د DPIA او د محرمیت خبرتیا مسوده یا بیاکتنه کوو.
- موږ د WOR د ۲۷ مادې لاندې د کار شورا ته د رضایت غوښتنه چمتو کوو.
- موږ ستاسو د عرضه کوونکي سره د پروسس تړون د GDPR د ۲۸ مادې لاندې بیاکتنه کوو.
- موږ تاسو سره مرسته کوو چې د معلوماتو سرغړونې په اړه د 72 ساعتونو په موده کې AP ته خبر ورکړئ او د AP تطبیق ته ځواب ووایاست.
لنډیز
- د بایومیټریک معلوماتو کارول چې د ځانګړي پیژندنې لپاره کارول کیږي د GDPR د 9 مادې لاندې یوه ځانګړې کټګوري ده؛ پروسس کول منع دي پرته لدې چې استثنا پلي شي.
- په هالنډ کې، د UAVG ۲۹ ماده یوازې هغه وخت اجازه ورکوي چې د تصدیق یا امنیت لپاره اړین وي؛ اسانتیا کافي نه ده.
- د کارمندانو رضایت په ندرت سره د اعتبار وړ وي؛ یو ریښتینی غیر بایومیټریک بدیل وړاندې کړئ او چیرې چې اړتیا وي د کار شورا رضایت ترلاسه کړئ.
- مخکې له مخکې DPIA ترسره کړئ، معلومات کم کړئ، ټیمپلیټونه په محلي توګه ذخیره کړئ او کوډ یې کړئ.
- د سرغړونو راپور په ۷۲ ساعتونو کې AP ته ورکړئ؛ جریمې کولی شي ۲۰ ملیون یورو یا د نړۍ د عاید ۴٪ ته ورسیږي.
ډېرپېښې پوښتنې
آیا زه کولی شم له کارمندانو څخه د بایومیټریک وخت ساعت کارولو غوښتنه وکړم؟
په نږدې ټولو قضیو کې، نه. د وخت ثبت کول د بیج یا کوډ سره ترسره کیدی شي، نو د UAVG د 29 مادې لاندې د تصدیق یا امنیت لپاره بایومیټریک اړین ندي. د کارمندانو رضایت په ندرت سره په آزاده توګه ورکول کیږي. AP په 2020 کې یو شرکت د حاضرۍ او وخت ثبتولو لپاره د کارمندانو د ګوتو نښو سکین کولو لپاره 725,000 یورو جریمه کړ.
ایا د شرکت د تلیفون خلاصولو لپاره د مخ پیژندنې کارول د GDPR خطر دی؟
دا کیدی شي. که چیرې د مخ نمونه یوازې په وسیله کې زیرمه شي او هیڅکله د شرکت سرورونو ته ونه لیږل شي، نو خطر خورا ټیټ دی، ځکه چې کار ورکوونکی پخپله د بایومیټریک معلومات نه پروسس کوي. د کارمندانو سره د دې په اړه شفاف اوسئ چې دا څنګه کار کوي او د بدیل په توګه PIN یا پټنوم وړاندې کړئ.
د یو کارمند له وتلو وروسته موږ څومره وخت بایومیټریک معلومات ساتلی شو؟
د اصلي هدف لپاره له اړتیا څخه ډیر نه وي (ماده 5(1)(e) GDPR). د لاسرسي کنټرول لپاره، کله چې کارمند پریږدي یا نور لاسرسي ته اړتیا ونلري نو ټیمپلیټ حذف کړئ. د ساتلو لپاره یو واضح موده وټاکئ او، چیرې چې امکان ولري، حذف کول اتومات کړئ.
