Fața ta este o categorie specială de date. Ce înseamnă articolul 9 din GDPR pentru tine
Cele mai multe date personale (numele, adresa de e-mail, adresa de domiciliu, istoricul de navigare) intră sub regulile generale ale GDPR. Datele biometrice sunt altceva. Articolul 9 le include în „categoriile speciale” de date, alături de informațiile despre sănătate, opiniile politice și convingerile religioase. Protecția este mult mai puternică, iar obligațiile companiilor care le prelucrează sunt pe măsură.
Ce înseamnă date biometrice
Articolul 9 protejează în mod expres „datele biometrice pentru identificarea unică a unei persoane fizice”. Aici intră trăsăturile faciale, amprenta vocală, amprentele digitale, scanarea irisului și orice prelucrare tehnică ce transformă caracteristicile fizice într-un identificator unic.
Contează precizarea „pentru identificarea unică”. O fotografie obișnuită de pe rețelele sociale nu este, în sine, o dată biometrică în sensul articolului 9. Aceeași fotografie trecută printr-un sistem de recunoaștere facială pentru a crea un identificator devine însă dată biometrică.
Drepturile tale
- Dreptul la consimțământ explicit. Companiile nu îți pot prelucra datele biometrice invocând un interes legitim. Au nevoie de consimțământul tău explicit, specific și informat, pe care îl poți retrage oricând.
- Dreptul la ștergere. Poți cere ștergerea datelor tale biometrice, iar companiile trebuie să o facă fără întârzieri nejustificate (de regulă în 30 de zile).
- Dreptul de acces. Poți cere o copie a tuturor datelor biometrice pe care o companie le are despre tine.
- Dreptul la portabilitatea datelor. Poți primi datele tale într-un format structurat, care poate fi citit automat.
- Dreptul la restricționarea prelucrării. Poți cere unei companii să nu-ți mai prelucreze datele cât timp o contestație este în curs.
Ce trebuie să facă companiile
Companiile care prelucrează date biometrice au obligații suplimentare: o evaluare a impactului asupra protecției datelor (DPIA) înainte de începerea prelucrării, numirea unui responsabil cu protecția datelor (DPO) în cele mai multe cazuri, măsuri stricte de securitate și notificarea încălcărilor de securitate în 72 de ore către autorități și persoanele afectate.
Contează unde sunt stocate datele. Prelucrarea în UE îți păstrează datele sub protecția deplină a GDPR. Transferul în afara UE cere garanții specifice (clauze contractuale standard, decizii de adecvare) și a fost contestat în instanță de mai multe ori (Schrems I, Schrems II).
Cum îți exerciți drepturile
Orice companie care îți prelucrează datele biometrice trebuie să-ți ofere o cale clară de a-ți exercita aceste drepturi, de regulă o adresă privacy@ sau o secțiune dedicată în contul tău. Dacă nu primești răspuns în 30 de zile, poți depune o plângere la autoritatea națională de protecție a datelor. În România, aceasta este ANSPDCP. În Franța, CNIL. În Germania, autoritatea de protecție a datelor din landul tău.
Pe scurt
Fața ta nu este o simplă informație. Dreptul european o protejează la fel de strict ca dosarul tău medical. Companiile care o tratează superficial încalcă legea, iar tu ai drepturi concrete, pe care le poți impune, ca să le oprești.