Twarz to dane szczególnej kategorii. Co oznacza dla Państwa art. 9 RODO

Większość danych osobowych w świetle RODO (imię i nazwisko, e-mail, adres, historia przeglądania) podlega zasadom ogólnym. Dane biometryczne są inne. Zgodnie z art. 9 należą do „szczególnych kategorii” danych, obok informacji o zdrowiu, poglądów politycznych i przekonań religijnych. Ochrona jest znacznie silniejsza, a obowiązki firm, które je przetwarzają, odpowiednio większe.

Co jest daną biometryczną

Art. 9 chroni wprost „dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej”. Obejmuje to wzorce twarzy, odciski głosu, odciski palców, skany tęczówki i każde przetwarzanie techniczne, które zamienia cechy fizyczne w unikalny identyfikator.

Proszę zwrócić uwagę na zastrzeżenie: „w celu jednoznacznego zidentyfikowania”. Zwykłe zdjęcie w mediach społecznościowych nie jest daną biometryczną w rozumieniu art. 9. To samo zdjęcie przetworzone przez system rozpoznawania twarzy w celu utworzenia identyfikatora, już tak.

Państwa prawa

• Prawo do wyraźnej zgody. Firmy nie mogą przetwarzać Państwa danych biometrycznych na podstawie prawnie uzasadnionego interesu. Potrzebują Państwa wyraźnej, konkretnej i świadomej zgody, a zgodę można w każdej chwili wycofać.
• Prawo do usunięcia. Mogą Państwo żądać usunięcia danych biometrycznych, a firmy muszą to zrobić bez zbędnej zwłoki (zwykle w ciągu 30 dni).
• Prawo dostępu. Mogą Państwo żądać kopii wszystkich danych biometrycznych, które przechowuje o Państwu firma.
• Prawo do przenoszenia danych. Mogą Państwo żądać danych w ustrukturyzowanym formacie nadającym się do odczytu maszynowego.
• Prawo do ograniczenia przetwarzania. Mogą Państwo żądać, aby firma wstrzymała przetwarzanie danych do czasu rozstrzygnięcia sporu.

Co muszą robić firmy

Firmy przetwarzające dane biometryczne mają zwiększone obowiązki: ocenę skutków dla ochrony danych (DPIA) przed rozpoczęciem przetwarzania, w większości przypadków wyznaczenie inspektora ochrony danych (IOD), surowsze środki bezpieczeństwa i zgłaszanie naruszeń organom oraz osobom, których dotyczą, w ciągu 72 godzin.

Miejsce przechowywania ma znaczenie. Przetwarzanie w UE utrzymuje Państwa dane pod najsilniejszą ochroną RODO. Przekazywanie danych do państw spoza UE wymaga szczególnych zabezpieczeń (standardowe klauzule umowne, decyzje stwierdzające odpowiedni stopień ochrony) i było wielokrotnie kwestionowane przed sądami (Schrems I, Schrems II).

Jak korzystać ze swoich praw

Każda firma przetwarzająca Państwa dane biometryczne powinna zapewnić jasny sposób korzystania z tych praw, zwykle przez adres privacy@ lub dedykowany panel. Jeśli nie odpowie w ciągu 30 dni, mogą Państwo złożyć skargę do krajowego organu ochrony danych. W Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO). W Rumunii: ANSPDCP. We Francji: CNIL. W Niemczech: organ ochrony danych właściwego kraju związkowego.

Podsumowanie

Twarz to nie tylko dane. W prawie europejskim jest chroniona z taką samą powagą jak historia choroby. Firmy, które traktują ją lekko, łamią prawo, a Państwu przysługują konkretne, egzekwowalne prawa, by to powstrzymać.