बायोमेट्रिक डेटा, जस्तै औंठाछाप, अनुहारको छवि वा आवाज ढाँचा, GDPR अन्तर्गत व्यक्तिगत डेटाको एक विशेष वर्ग हो जब यो व्यक्तिलाई विशिष्ट रूपमा पहिचान गर्न प्रशोधन गरिन्छ। नेदरल्याण्ड्समा यस्तो प्रशोधन सिद्धान्तमा निषेध गरिएको छ; मुख्य अपवाद भनेको प्रमाणीकरण वा सुरक्षा उद्देश्यका लागि आवश्यक पर्ने ठाउँमा हो, र परीक्षण गर्ने कर्मचारीहरूको लागि समय घडी वा कार्यालयको ढोका विरलै भेटिन्छ।
डच डाटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, AP) ले यी नियमहरूलाई कडाइका साथ लागू गर्दछ र वैध आधार बिना बायोमेट्रिक्स प्रयोग गरेकोमा रोजगारदाता र प्रविधि कम्पनीहरूलाई जरिवाना गरेको छ। तल हामी बायोमेट्रिक डेटाको रूपमा के गणना गरिन्छ, कुन कानुनी आधारहरू उपलब्ध छन्, तपाईंलाई डाटा सुरक्षा प्रभाव मूल्याङ्कन कहिले आवश्यक पर्दछ, कुन सुरक्षा उपायहरू अपेक्षित छन् र केहि गलत भयो भने के गर्ने भनेर व्याख्या गर्छौं।
सामग्रीको तालिका
GDPR अन्तर्गत बायोमेट्रिक डेटा भनेको के हो?
बायोमेट्रिक डेटा भनेको व्यक्तिको शारीरिक, शारीरिक वा व्यवहारिक विशेषताहरूको विशिष्ट प्राविधिक प्रशोधनबाट उत्पन्न हुने व्यक्तिगत डेटा हो, जसले त्यो व्यक्तिको अद्वितीय पहिचानलाई अनुमति दिन्छ वा पुष्टि गर्छ। उद्देश्य र प्रविधिले निर्णय गर्छ, छवि वा रेकर्डिङको प्रकारले होइन।
यो परिभाषा सामान्य डेटा संरक्षण नियमन (GDPR) को धारा ४(१४) मा छ । आईडी ब्याजमा कर्मचारीको तस्बिर व्यक्तिगत डेटा हो, तर स्वचालित रूपमा बायोमेट्रिक डेटा होइन। जुन क्षणमा उही तस्बिरलाई अनुहारको टेम्प्लेटमा रूपान्तरण गरिन्छ र पहिचान प्रणालीद्वारा भवनमा पहुँच प्रदान गर्न प्रयोग गरिन्छ, त्यो बायोमेट्रिक डेटा बन्छ। त्यो परिवर्तनले कानुनी रूपरेखालाई पूर्ण रूपमा परिवर्तन गर्छ।
बायोमेट्रिक पहिचानकर्ताका उदाहरणहरू औंठाछाप, अनुहारको ज्यामिति, आइरिस र रेटिना ढाँचा, आवाज ढाँचा र टाइपिङ लय वा कसैको हिँड्ने तरिका जस्ता व्यवहारिक विशेषताहरू हुन्। तिनीहरूमा के समानता छ भने तिनीहरू एक विशिष्ट व्यक्तिलाई पहिचान गर्न प्रयोग गरिन्छ।
GDPR ले बायोमेट्रिक डेटालाई किन फरक तरिकाले व्यवहार गर्छ?
धारा ९ GDPR अन्तर्गत, व्यक्तिलाई विशिष्ट रूपमा पहिचान गर्ने उद्देश्यले प्रशोधन गरिएको बायोमेट्रिक डेटा व्यक्तिगत डेटाको विशेष वर्गहरूमा पर्दछ। सोही वर्गमा जातीय वा जातीय उत्पत्ति, राजनीतिक विचार, धार्मिक विश्वास, स्वास्थ्य र यौन जीवन सम्बन्धी डेटा समावेश छ।
कारण यो हो कि दुरुपयोगको परिणाम गम्भीर र प्रायः अपरिवर्तनीय हुन्छ। पासवर्ड परिवर्तन गर्न सकिन्छ; औंठाछाप वा आइरिस परिवर्तन गर्न सकिँदैन। यदि बायोमेट्रिक टेम्प्लेटहरूको डाटाबेस सम्झौता गरियो भने, सम्बन्धित व्यक्तिहरूले पहिचान ठगीको स्थायी जोखिमको सामना गर्छन्।
डच दृष्टिकोण कति कडा छ?
AP ले यी नियमहरूलाई कडाइका साथ व्याख्या गर्छ। यसको सुरुवात बिन्दु भनेको बायोमेट्रिक पहिचान निषेधित छ, र अपवादहरू साँघुरा छन्।
डच GDPR कार्यान्वयन ऐन (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) ले राष्ट्रिय अपवाद थप्छ। धारा २९ UAVG अन्तर्गत, यदि प्रमाणीकरण वा सुरक्षा उद्देश्यका लागि आवश्यक छ भने बायोमेट्रिक डेटा अद्वितीय पहिचानको लागि प्रशोधन गर्न सकिन्छ। "आवश्यक" मुख्य शब्द हो। यसको अर्थ ब्याज, कोड वा कुञ्जी जस्ता कम हस्तक्षेपकारी माध्यमहरू प्रयोग गरेर उद्देश्य उचित रूपमा प्राप्त गर्न सकिँदैन। AP ले आफ्नो मार्गदर्शनमा स्पष्ट पारेको छ कि पसलहरू जस्ता सार्वजनिक रूपमा पहुँचयोग्य ठाउँहरूमा अनुहार पहिचान सिद्धान्ततः अनुमति छैन।
तपाईंलाई कुन कानुनी आधार चाहिन्छ?
तपाईंलाई दुईवटा आवश्यक पर्दछ: यसरी प्रशोधन गर्नको लागि धारा ६ GDPR अन्तर्गतको कानुनी आधार, र विशेष वर्गहरूमाथिको प्रतिबन्ध हटाउन धारा ९(२) GDPR वा धारा २९ UAVG अन्तर्गतको अपवाद। दुवै बिना, प्रशोधन गैरकानूनी हुन्छ।
धारा ६ GDPR ले छ वटा वैध आधारहरू सूचीबद्ध गर्दछ: सहमति, सम्झौताको कार्यसम्पादन, कानुनी दायित्व, महत्त्वपूर्ण हित, सार्वजनिक हितमा कार्य र वैध हित। त्यो पहिलो बाधा हो, र यो सबै व्यक्तिगत डेटामा लागू हुन्छ।
बायोमेट्रिक डेटा एक विशेष श्रेणी भएकोले, तपाईंले धारा 9(2) GDPR को सर्तहरू मध्ये एक, वा धारा 29 UAVG मा डच अपवाद पूरा गर्नुपर्छ। यी मात्र मार्गहरू हुन् जसबाट निषेध हटाउन सकिन्छ। सुरु गर्नु अघि, नियन्त्रक को हो र प्रोसेसरको रूपमा कसले काम गर्छ भनेर पनि निर्धारण गर्नुहोस्, उदाहरणका लागि स्क्यानिङ प्रणालीको आपूर्तिकर्ता। GDPR अन्तर्गत नियन्त्रक र प्रोसेसरको भूमिकाहरूमा हाम्रो लेखले तपाईंलाई आवश्यक पर्ने भिन्नता र प्रशोधन सम्झौताको व्याख्या गर्दछ।
स्पष्ट सहमति कहिले मान्य हुन्छ?
स्पष्ट सहमति सामान्य सहमति भन्दा उच्च मापदण्ड हो। यो स्पष्ट, सकारात्मक कथनद्वारा दिइनुपर्छ र विशिष्ट, सूचित, अस्पष्ट र स्वतन्त्र रूपमा दिइनुपर्छ।
- विशिष्ट: "सुरक्षा उद्देश्यहरू" को सामान्य सन्दर्भ पर्याप्त छैन; तपाईंले बायोमेट्रिक डेटा किन चाहिन्छ भनेर स्पष्ट रूपमा बताउनुपर्छ।
- सूचित: मानिसहरूलाई थाहा हुनुपर्छ कि तपाईंले कुन डेटा सङ्कलन गर्नुहुन्छ, तपाईं यसको साथ के गर्नुहुन्छ, कसको पहुँच छ र तपाईंले यसलाई कति समयसम्म राख्नुहुन्छ।
- सित्तैमा दिइने: व्यक्तिले नकारात्मक परिणाम बिना अस्वीकार गर्न सक्षम हुनुपर्छ, र कुनै पनि समयमा सहमति फिर्ता लिन सक्षम हुनुपर्छ।
रोजगार सम्बन्धमा, अन्तिम अवस्था समस्या हो। अस्वीकार गर्ने कर्मचारीले परिणामहरू भोग्न डराउन सक्छ, र त्यसैले AP ले कर्मचारीको सहमति विरलै स्वतन्त्र रूपमा दिइन्छ भन्ने धारणा राख्छ। सहमतिमा भर पर्ने रोजगारदाताले कागजमा मात्र नभई व्यवहारमा पनि वास्तविक विकल्प रहेको र प्रस्ताव गरिएको देखाउन सक्षम हुनुपर्छ।
अरु के अपवादहरू छन्?
अन्य अपवादहरू साँघुरा छन्। तलको तालिकाले सबैभन्दा सान्दर्भिकहरूको तुलना गर्दछ।
| अपवाद | प्रमुख आवश्यकता | उदाहरणका | सामान्य समस्या |
|---|---|---|---|
| स्पष्ट सहमति (धारा ९(२)(क) GDPR) | विशिष्ट, सूचित, स्पष्ट र स्वतन्त्र रूपमा दिइएको। | सजिलो विकल्पको साथ, स्वेच्छिक रूपमा अनुहार पहिचान भुक्तानी प्रणालीमा भर्ना हुने ग्राहक। | शक्तिको असन्तुलनको बाबजुद कर्मचारीको सहमतिमा भर पर्नु। |
| प्रमाणीकरण वा सुरक्षा (धारा २९ UAVG) | बायोमेट्रिक्स आवश्यक हुनुपर्छ; कम हस्तक्षेपकारी माध्यमहरू अपर्याप्त हुनुपर्छ। | खतरनाक पदार्थहरू भएको प्रयोगशाला वा उच्च-सुरक्षा डेटा केन्द्रमा पहुँच। | सुविधाको लागि बायोमेट्रिक्स प्रयोग गर्दै, जस्तै समय दर्ता, जहाँ ब्याजले काम गर्नेछ। |
| रोजगार तथा सामाजिक सुरक्षा कानून (धारा ९(२)(ख) GDPR) | विशेष कानुनी प्रावधानको आधारमा रोजगारी वा सामाजिक सुरक्षा कानून अन्तर्गत दायित्वहरू पूरा गर्न आवश्यक। | व्यवहारमा दुर्लभ; प्रशोधनको लागि वैधानिक आधार आवश्यक पर्दछ। | रोजगारी सम्बन्ध नै पर्याप्त छ भन्ने मान्दै। |
| महत्वपूर्ण हितहरू (धारा ९(२)(ग) GDPR) | शारीरिक वा कानुनी रूपमा सहमति दिन असमर्थ व्यक्तिको सुरक्षा गर्न आवश्यक। | आपतकालीन अवस्थामा अचेत बिरामीको पहिचान गर्ने। | यसलाई नियमित परिस्थितिहरूमा लागू गर्दै। |
| पर्याप्त सार्वजनिक हित (धारा ९(२)(छ) GDPR) | EU वा डच कानूनमा आधारित र उद्देश्य अनुरूप। | विशिष्ट वैधानिक आदेश अन्तर्गत सार्वजनिक अधिकारीहरूद्वारा प्रशोधन। | कानुनी आधार बिना सार्वजनिक हितको लागि काम गर्ने निजी कम्पनी। |
के तपाईं कर्मचारीहरूको लागि औंठाछाप वा अनुहार स्क्यान प्रयोग गर्न सक्नुहुन्छ?
यदि बायोमेट्रिक्स प्रमाणीकरण वा सुरक्षाको लागि साँच्चै आवश्यक छ भने मात्र, र कम हस्तक्षेपकारी माध्यमले काम गर्दैन। समय दर्ताको लागि, टिल वा साधारण कार्यालय ढोका, त्यो सामान्यतया मामला हुँदैन।
धारा २९ UAVG अन्तर्गतको परीक्षण भनेको उद्देश्य कम हस्तक्षेपकारी माध्यमबाट उचित रूपमा प्राप्त गर्न सकिन्छ कि भनेर हो। टिल, समय-दर्ता प्रणाली वा कार्यालयको ढोकामा पहुँच नियन्त्रण गर्ने स्क्यानर सामान्यतया त्यो परीक्षणमा असफल हुन्छ, किनभने ब्याज, कोड वा कुञ्जीले बायोमेट्रिक डेटा बिना नै समान परिणाम प्राप्त गर्दछ। जहाँ बायोमेट्रिक पहुँच स्वीकार गरिन्छ, सुरक्षा चासो पर्याप्त र विशिष्ट हुन्छ: खतरनाक सामग्रीहरू ह्यान्डल गर्ने सुविधा, सुरक्षित प्रयोगशाला, डाटा सेन्टर वा भल्ट।
छुट्टै रूपमा, जहाँ कार्य परिषद् (ondernemingsraad) अवस्थित छ, कर्मचारीहरूको उपस्थिति, व्यवहार वा कार्यसम्पादन दर्ता गर्ने वा निगरानी गर्ने वा उनीहरूको व्यक्तिगत डेटा प्रशोधन गर्ने प्रणालीलाई कार्य परिषद् ऐनको धारा २७(१)(k) र (l) (Wet op de ondernemingsraden, WOR) अन्तर्गत यसको सहमति आवश्यक पर्दछ। GDPR को पालनाले त्यो आवश्यकता हटाउँदैन, र सहमति बिना ल्याइने प्रणालीलाई चुनौती दिन सकिन्छ।
के तपाईं ग्राहकहरूको लागि बायोमेट्रिक्स प्रयोग गर्न सक्नुहुन्छ?
कहिलेकाहीं, तर उही कडा नियमहरू लागू हुन्छन्। ग्राहकहरूको हकमा, स्पष्ट सहमति एक मान्य आधार हुन सक्छ, यदि बायोमेट्रिक्स प्रयोग गर्नु साँच्चै ऐच्छिक हो र समकक्ष विकल्प उपलब्ध छ भने।
सामान्य उदाहरणहरूमा फिंगरप्रिन्टको साथ बैंकिङ एप अनलक गर्ने, अनलाइन खाता खोल्दा सेल्फी सहित पहिचान प्रमाणीकरण गर्ने, र अनुहार पहिचानको साथ जिम वा कार्यक्रममा पहुँच गर्ने समावेश छ। जहाँ बायोमेट्रिक जाँच पूर्ण रूपमा ग्राहकको आफ्नै फोनमा हुन्छ, फोनको निर्मित प्रविधि प्रयोग गरेर, कम्पनीले सामान्यतया बायोमेट्रिक डेटा आफैं प्राप्त गर्दैन। यसले कम्पनीको लागि जोखिम र दायित्वहरूलाई उल्लेखनीय रूपमा कम गर्छ।
जहाँ कम्पनीले डेटा आफैं प्रशोधन गर्छ, उदाहरणका लागि आफ्नै सर्भरमा पासपोर्ट फोटोसँग सेल्फी तुलना गरेर, यसलाई वैध आधार चाहिन्छ। सहमतिको लागि ग्राहकले कुनै हानि बिना बैंक स्थानान्तरणद्वारा प्रमाणीकरण वा शाखाको भ्रमण जस्ता अर्को मार्ग छनौट गर्न सक्छ भन्ने कुरा आवश्यक छ। बैंकहरू र अन्य वित्तीय संस्थाहरूको लागि, मनी लान्ड्रिंग विरोधी कानून अन्तर्गत ग्राहकको उचित परिश्रम दायित्वले भूमिका खेल्छ, तर तिनीहरू आफैंमा बायोमेट्रिक प्रशोधन आवश्यक पर्दैन।
अनुहार पहिचान भएका क्यामेराहरूको बारेमा के हुन्छ?
पसल, रंगशाला वा अन्य सार्वजनिक रूपमा पहुँचयोग्य ठाउँहरूमा अनुहार पहिचान गर्ने क्यामेराहरू सिद्धान्ततः निजी पार्टीहरूको लागि अनुमति छैन। बाटोबाट हिंड्ने मानिसहरूले स्पष्ट सहमति दिन सक्दैनन्, र धारा २९ UAVG परीक्षण पूरा गर्ने आवश्यकता विरलै हुन्छ।
एपिले खुद्रा विक्रेताहरूलाई चेतावनी दिएको छ कि पसलबाट सामान चोर्ने वा ग्राहकहरूलाई चिन्न अनुहार पहिचान गर्ने प्रयोग गर्न अनुमति छैन। बायोमेट्रिक पहिचान बिनाको सामान्य क्यामेरा निगरानी फरक, कम कडा नियमहरूको अधीनमा छ, तर अझै पनि वैध चासो, स्पष्ट सूचनाहरू र सीमित अवधारण अवधिहरू आवश्यक पर्दछ। अवस्थित क्यामेरा प्रणालीमा अनुहार पहिचान सफ्टवेयर थप्दा मूल्याङ्कन पूर्ण रूपमा परिवर्तन हुन्छ।
तपाईंलाई कहिले डेटा सुरक्षा प्रभाव मूल्याङ्कन आवश्यक पर्दछ?
लगभग सधैं। मानिसहरू पहिचान गर्न बायोमेट्रिक डेटा प्रशोधन गर्नु उच्च जोखिमपूर्ण प्रशोधन हो, र AP ले यसलाई धारा ३५ GDPR अन्तर्गत डेटा सुरक्षा प्रभाव मूल्याङ्कन (DPIA) आवश्यक पर्ने प्रशोधन कार्यहरूको सूचीमा राखेको छ।
DPIA भनेको एक संरचित गोपनीयता जोखिम मूल्याङ्कन हो। यसले तपाईंलाई एउटा औंठाछाप वा अनुहार स्क्यान गर्नु अघि तपाईंले के गर्ने योजना बनाउनुभएको छ भनेर वर्णन गर्न, संलग्न व्यक्तिहरूको लागि जोखिमहरू पहिचान गर्न र ती जोखिमहरूलाई कसरी व्यवस्थापन गर्ने भनेर निर्णय गर्न बाध्य पार्छ। यदि बाँकी जोखिम उच्च छ र पर्याप्त रूपमा कम गर्न सकिँदैन भने, तपाईंले सुरु गर्नु अघि AP सँग परामर्श गर्नुपर्छ (धारा ३६ GDPR)।
DPIA कानुनी आधारमा निर्माण हुन्छ: तपाईंले पहिले धारा ६ अन्तर्गत आधार र धारा ९ वा धारा २९ UAVG अन्तर्गत अपवाद स्थापना गर्नुहुन्छ, र त्यसपछि विशिष्ट प्रणाली आवश्यक र समानुपातिक छ कि छैन भनेर मूल्याङ्कन गर्नुहुन्छ।
DPIA मा के हुन्छ?
उदाहरणको रूपमा सर्भर कोठामा पहुँचको लागि फिंगरप्रिन्ट स्क्यानरलाई लिनुहोस्। DPIA ले चार तत्वहरू समेट्छ।
- प्रशोधनको विवरण। तपाईंले कुन डेटा सङ्कलन गर्नुहुन्छ: टेम्प्लेट वा पूर्ण छवि? यो कसरी सङ्कलन गरिन्छ, कहाँ भण्डारण गरिन्छ, कसरी प्रयोग गरिन्छ र कहिले मेटाइन्छ? कसको पहुँच छ? के आपूर्तिकर्ता संलग्न छ?
- आवश्यकता र समानुपातिकता। तपाईं कुन खास समस्या समाधान गर्दै हुनुहुन्छ, जस्तै सर्भर कोठामा अनधिकृत पहुँच? यस अवस्थामा ब्याज वा कोडहरू किन पर्याप्त छैनन्? के तपाईंले सङ्कलन गर्नुभएको डेटा न्यूनतम आवश्यक छ?
- संलग्न व्यक्तिहरूको लागि जोखिमहरू। यदि टेम्प्लेटहरूको डाटाबेस चोरी भयो भने के हुन्छ? के डेटा पछि काम गर्ने घण्टाको निगरानी (फंक्शन क्रिप) जस्ता अन्य उद्देश्यका लागि प्रयोग गर्न सकिन्छ? औंठाछापहरू पढ्न नसकिने कर्मचारीहरूलाई के हुन्छ? यदि प्रणालीले आपतकालीन समयमा अधिकृत व्यक्तिलाई लक गर्यो भने के हुन्छ?
- जोखिमहरूलाई सम्बोधन गर्ने उपायहरू। कार्ड वा उपकरणमा इन्क्रिप्शन र भण्डारण जस्ता प्राविधिक उपायहरू; नीति, तालिम र उल्लङ्घन प्रतिक्रिया योजना जस्ता संगठनात्मक उपायहरू; र कोही पनि बहिष्कृत नहुन् भनेर गैर-बायोमेट्रिक विकल्प।
प्रशोधनको दायरा, प्रकृति वा सन्दर्भ परिवर्तन हुँदा DPIA को समीक्षा गर्नुहोस् (धारा ३५(११) GDPR)। गुनासो पछि मात्र लेखिएको विश्लेषणले AP मा थोरै महत्व राख्छ।
कस्ता सुरक्षा उपायहरूको अपेक्षा गरिन्छ?
सकेसम्म थोरै सङ्कलन गर्नुहोस्, यसलाई आवश्यकता भन्दा बढी समयसम्म नराख्नुहोस् र बलियो प्राविधिक र संगठनात्मक उपायहरूद्वारा यसलाई सुरक्षित गर्नुहोस्। यी सिद्धान्तहरू धारा ५ र ३२ GDPR बाट पछ्याउँछन्।
डेटा न्यूनीकरणबाट सुरु गर्नुहोस्: विशिष्ट, वैध उद्देश्यको लागि आवश्यक बायोमेट्रिक डेटा मात्र सङ्कलन गर्नुहोस्। पहुँच नियन्त्रणको लागि, सामान्यतया टेम्प्लेट पर्याप्त हुन्छ; उच्च-रिजोल्युसन अनुहार स्क्यान आवश्यक पर्दैन। यसलाई भण्डारण सीमासँग जोड्नुहोस्: अवधारण अवधि सेट गर्नुहोस् र डेटा अब आवश्यक नभएको बित्तिकै सुरक्षित रूपमा मेटाउनुहोस्, उदाहरणका लागि जब कुनै कर्मचारीले छोड्छ वा अब पहुँच आवश्यक पर्दैन।
प्राविधिक र संगठनात्मक उपायहरू
सुरक्षा उच्च जोखिमसँग मेल खानुपर्छ। प्रमुख प्राविधिक उपायहरूमा समावेश छन्:
- गुप्तिकरण बायोमेट्रिक डेटाको, आराम र ट्रान्जिट दुवैमा।
- कडा पहुँच नियन्त्रणहरू, ताकि स्पष्ट आवश्यकता भएका अधिकृत कर्मचारीहरूले मात्र डेटा पहुँच गर्न सकून्।
- विकेन्द्रीकृत भण्डारण: सम्भव भएसम्म, केन्द्रीय डाटाबेसमा नभई उपकरणमा वा प्रयोगकर्ताको आफ्नै कार्डमा टेम्प्लेटहरू भण्डारण गर्नुहोस्। यसले सामूहिक उल्लंघनको सम्भावना धेरै कम बनाउँछ।
प्रविधि मात्र पर्याप्त छैन। बायोमेट्रिक डेटामा लिखित नीति, कर्मचारी तालिम, आवधिक सुरक्षा लेखा परीक्षण र आपूर्तिकर्ताहरूसँग स्पष्ट सम्झौता जस्ता संगठनात्मक उपायहरू पनि उत्तिकै महत्त्वपूर्ण छन्। यदि आपूर्तिकर्ताले तपाईंको तर्फबाट डेटा प्रशोधन गर्छ भने, तपाईंलाई धारा २८ GDPR अन्तर्गत प्रशोधन सम्झौता आवश्यक पर्दछ।
स्पष्ट गोपनीयता सूचना
मानिसहरूलाई उनीहरूको बायोमेट्रिक डेटासँग तपाईं के गर्नुहुन्छ भनेर जान्न पाउने अधिकार छ (धारा १३ र १४ GDPR)। जानकारी संक्षिप्त, फेला पार्न सजिलो र सरल भाषामा लेखिएको हुनुपर्छ।
बायोमेट्रिक प्रशोधन सम्बन्धी गोपनीयता सूचनामा तपाईं को हुनुहुन्छ र तपाईंलाई कसरी सम्पर्क गर्ने, तपाईंले डेटा किन प्रशोधन गर्नुहुन्छ, धारा ६ अन्तर्गतको कानुनी आधार र तपाईंले कुन डेटा सङ्कलन गर्नुहुन्छ (उदाहरणका लागि फिंगरप्रिन्ट टेम्प्लेट), तपाईंले यसलाई कति समयसम्म राख्नुहुन्छ, तपाईंले कससँग साझा गर्नुहुन्छ, आपूर्तिकर्ताहरू सहित, र पहुँच, सुधार, मेटाउने र आपत्ति जस्ता मानिसहरूसँग के अधिकारहरू छन् भनेर व्याख्या गर्नुपर्छ।
के एआई ऐन पनि लागू हुन्छ?
हो, निश्चित बायोमेट्रिक प्रणालीहरूको लागि। EU कृत्रिम बुद्धिमत्ता ऐन (नियमन (EU) २०२४/१६८९) ले GDPR माथि नियमहरू थप्छ।
२ फेब्रुअरी २०२५ देखि, एआई ऐनले धेरै अभ्यासहरूलाई पूर्ण रूपमा निषेध गर्दछ, जसमा अनुहार पहिचान डाटाबेस निर्माण गर्न इन्टरनेट वा क्यामेरा फुटेजबाट अनुहारको तस्बिरहरूको लक्षित नगरी स्क्र्यापिङ, कार्यस्थल र शिक्षामा भावना पहिचान (चिकित्सा वा सुरक्षा कारणहरू बाहेक) र जाति वा यौन झुकाव जस्ता संवेदनशील विशेषताहरू अनुमान गर्न बायोमेट्रिक वर्गीकरण समावेश छ। अन्य बायोमेट्रिक प्रणालीहरू, जस्तै रिमोट बायोमेट्रिक पहिचान, उच्च-जोखिमको रूपमा वर्गीकृत गरिएको छ र कडा आवश्यकताहरूको अधीनमा छन्। प्रणाली लागू गर्नु अघि दुवै फ्रेमवर्क जाँच गर्नुहोस्।
पालना नगर्ने परिणामहरू के हुन्?
उच्च जरिवाना, प्रशोधन रोक्न आदेश र क्षतिको लागि दावी। विशेष वर्गहरूको गैरकानूनी प्रशोधनको लागि, GDPR ले २० मिलियन यूरो वा विश्वव्यापी वार्षिक कारोबारको ४%, जुन बढी हुन्छ, जरिवाना गर्न अनुमति दिन्छ।
यी अधिकतम रकमहरू धारा ८३(५) GDPR बाट पछ्याउँछन् र अन्य कुराहरूका साथै, वैध आधार वा अपवाद बिना प्रशोधनमा लागू हुन्छन्। सुरक्षा र उल्लङ्घन सूचना (धारा ३२ देखि ३४ GDPR) मा दायित्वहरूको उल्लङ्घनले १० मिलियन यूरो वा विश्वव्यापी कारोबारको २% सम्म जरिवाना हुन सक्छ। जरिवाना प्रभावकारी, समानुपातिक र निरुत्साहित गर्ने हुनुपर्छ। AP ले आफ्नै जरिवाना नीति अन्तर्गत रकम निर्धारण गर्दछ।
एपीले के लागू गरेको छ?
एपीले गैरकानूनी बायोमेट्रिक प्रशोधनको लागि रोजगारदाता र प्रविधि कम्पनीहरू दुवैलाई जरिवाना गरेको छ। दुई निर्णयहरू उल्लेखनीय छन्।
२०२० मा एपीले कर्मचारीहरूको उपस्थिति र समय दर्ताको लागि औंठाछाप स्क्यान गर्ने कम्पनीलाई ७२५,००० युरो जरिवाना लगायो। एपीले कुनै पनि अपवाद लागू नभएको पत्ता लगायो: कर्मचारीहरूको सहमति स्वतन्त्र रूपमा दिइएको थिएन, र घण्टा दर्ता गर्ने सुविधा सुरक्षा उद्देश्य होइन जसले बायोमेट्रिक प्रशोधनलाई आवश्यक बनाउँछ। सेप्टेम्बर २०२४ मा एपीले अमेरिकी कम्पनी क्लियरभ्यू एआईलाई कानुनी आधार बिना डच मानिसहरू सहितको अनुहारको तस्बिरहरूको डाटाबेस निर्माण गरेकोमा ३०.५ मिलियन युरो जरिवाना गर्यो।
एपी को कार्यान्वयनमा चार प्रश्नहरू छन्। उद्देश्य के हो, जुन सामान्यतया "सुरक्षा" को रूपमा नभई विशेष रूपमा भनिएको छ? के यो कम हस्तक्षेपकारी माध्यमबाट प्राप्त गर्न सकिन्छ? यदि सहमतिमा भर परियो भने, के मानिसहरूले परिणाम बिना अस्वीकार गर्न सक्छन्? र के यो प्रणाली लागू हुनु अघि मूल्याङ्कन र दस्तावेजीकरण गरिएको थियो? डच डेटा संरक्षण प्राधिकरणमा हाम्रो लेखले एपी को शक्तिहरूलाई थप विस्तृत रूपमा व्याख्या गर्दछ।
अन्य परिणामहरू
जरिवाना मात्र जोखिम होइन। AP ले तपाईंलाई प्रशोधन रोक्न आदेश दिन सक्छ, जसले तपाईंको सञ्चालनमा निर्भर प्रणालीलाई रोक्न सक्छ, र यसले तपाईंलाई गैरकानूनी रूपमा सङ्कलन गरिएको डेटा मेटाउन आदेश दिन सक्छ। जसको डेटा गैरकानूनी रूपमा प्रशोधन गरिएको थियो उनीहरूले धारा ८२ GDPR अन्तर्गत भौतिक र गैर-भौतिक क्षतिको लागि क्षतिपूर्ति दाबी गर्न सक्छन्, र नेदरल्याण्ड्समा यस्ता दाबीहरू सामूहिक रूपमा पनि ल्याउन सकिन्छ। सार्वजनिक प्रवर्तन निर्णयको प्रतिष्ठामा क्षति उल्लेखनीय हुन सक्छ।
बायोमेट्रिक डाटा लीक भयो भने के गर्नुहुन्छ?
उल्लंघन नियन्त्रण गर्नुहोस्, जोखिमको मूल्याङ्कन गर्नुहोस्, ७२ घण्टा भित्र एपीलाई सूचित गर्नुहोस् र यदि जोखिम उच्च छ भने, अनावश्यक ढिलाइ नगरी प्रभावित मानिसहरूलाई जानकारी दिनुहोस्। केहि गलत हुनु अघि यसलाई प्रतिक्रिया योजनामा तयार गर्नुहोस्।
धारा ३३ GDPR अन्तर्गत, तपाईंले व्यक्तिगत डेटा उल्लङ्घनको बारेमा अनावश्यक ढिलाइ नगरी र सम्भव भएसम्म, यसको बारेमा थाहा पाएको ७२ घण्टा भित्र AP लाई रिपोर्ट गर्नुपर्छ, जबसम्म उल्लङ्घनले सम्बन्धित व्यक्तिहरूलाई जोखिम निम्त्याउने सम्भावना हुँदैन। सूचनाले उल्लङ्घनको प्रकृति, प्रभावित व्यक्तिहरू र रेकर्डहरूको वर्ग र अनुमानित संख्या, सम्भावित परिणामहरू र लिइएका वा प्रस्तावित उपायहरू वर्णन गर्दछ। यदि तपाईं एकैचोटि सबै जानकारी प्रदान गर्न सक्नुहुन्न भने, तपाईं पछि यसलाई पूरक गर्न सक्नुहुन्छ।
चरण १: उल्लङ्घन नियन्त्रण गर्नुहोस् र प्रभावको मूल्याङ्कन गर्नुहोस्
तपाईंको पहिलो प्राथमिकता भनेको उल्लंघन रोक्नु हो। प्रभावित प्रणालीहरूलाई अलग गर्नुहोस्, अनुसन्धानको लागि लगहरू र अन्य प्रमाणहरू सुरक्षित गर्नुहोस्, र कुन डेटा प्रभावित भएको थियो भनेर ठ्याक्कै स्थापित गर्नुहोस्: कच्चा छविहरू वा इन्क्रिप्टेड टेम्प्लेटहरू, र कसको।
चरण २: प्रभावित मानिसहरूलाई जानकारी दिने कि नदिने निर्णय गर्नुहोस्
धारा ३४ GDPR अन्तर्गत, यदि उल्लंघनले उनीहरूको अधिकार र स्वतन्त्रतामा उच्च जोखिम निम्त्याउने सम्भावना छ भने, तपाईंले प्रभावित व्यक्तिहरूलाई अनावश्यक ढिलाइ नगरी जानकारी गराउनु पर्छ। बायोमेट्रिक डेटाको साथ, त्यो सीमा प्रायः पूरा हुनेछ, किनभने डेटा परिवर्तन गर्न सकिँदैन। अपवाद, उदाहरणका लागि, कडा रूपमा इन्क्रिप्ट गरिएको डेटा हो र जसको कुञ्जी सम्झौता गरिएको थिएन। सन्देश सरल भाषामा हुनुपर्छ: के भयो, कुन डेटा संलग्न थियो र मानिसहरूले आफूलाई सुरक्षित राख्न के गर्न सक्छन्।
चरण ३: प्रतिक्रिया कार्यान्वयन गर्नुहोस् र दस्तावेजीकरण गर्नुहोस्
प्रत्येक चरण रेकर्ड गर्नुहोस्: खोजको क्षण, लिइएका निर्णयहरू, सञ्चार र प्राविधिक उपायहरू। धारा ३३(५) GDPR अन्तर्गत तपाईंले प्रत्येक उल्लङ्घनको दस्तावेजीकरण गर्नुपर्छ, जसमा तपाईंले रिपोर्ट गर्नु नपर्ने कुराहरू पनि समावेश छन्। राम्रो दस्तावेजीकरणले AP लाई तपाईंले सावधानीपूर्वक कार्य गर्नुभएको देखाउँछ र यसले केसको मूल्याङ्कन कसरी गर्छ भन्ने कुरालाई असर गर्न सक्छ।
रोजगारदाता वा कम्पनीको रूपमा तपाईंले के जाँच गर्नुपर्छ?
प्रणाली सुरु हुनुभन्दा पहिले आवश्यकता जाँच गर्नुहोस् र प्रत्येक चरणको कागजात बनाउनुहोस्। यी पाँच जाँचहरूले AP ले हेर्ने बुँदाहरूलाई समेट्छन्।
- विशेष सुरक्षा उद्देश्य र किन ब्याज, पिन कोड वा साँचो पर्याप्त छैन लेख्नुहोस् (धारा २९ UAVG)।
- धारा ६ GDPR अन्तर्गत आफ्नो कानुनी आधार र धारा ९(२) GDPR वा धारा २९ UAVG अन्तर्गतको अपवाद रेकर्ड गर्नुहोस्।
- पहिलो स्क्यान गर्नु अघि DPIA पूरा गर्नुहोस् र यदि उच्च जोखिम रह्यो भने AP सँग परामर्श गर्नुहोस् (धारा ३५ र ३६ GDPR)।
- प्रणाली लागू गर्नु अघि कार्य परिषद्को धारा २७(१)(k) र (l) WOR अन्तर्गत सहमतिको लागि सोध्नुहोस्।
- आपूर्तिकर्तासँग प्रशोधन सम्झौतामा हस्ताक्षर गर्नुहोस् (धारा २८ GDPR) र टेम्प्लेटहरूको लागि अवधारण अवधि सेट गर्नुहोस्।
कर्मचारी वा ग्राहकको रूपमा तपाईंले के जाँच गर्नुपर्छ?
तपाईंको बायोमेट्रिक डेटा कसरी प्रयोग गरिन्छ भनेर जान्न र गैरकानूनी प्रशोधनको विरोध गर्ने अधिकार तपाईंलाई छ। यदि तपाईंलाई औंठाछाप वा तपाईंको अनुहार स्क्यान गर्न भनियो भने यी बुँदाहरू जाँच गर्नुहोस्।
- के त्यहाँ ब्याज वा पिन कोड जस्ता गैर-बायोमेट्रिक विकल्प छ, र तपाईं यसलाई कुनै हानि बिना प्रयोग गर्न सक्नुहुन्छ?
- के गोपनीयता सूचनाले उद्देश्य, कानुनी आधार र अवधारण अवधि (धारा १३ र १४ GDPR) उल्लेख गरेको छ?
- के तपाईंको रोजगारदातासँग प्रणाली छ भने कार्य परिषद्ले त्यसलाई सहमति दियो (धारा २७ WOR)?
- तपाईंको डेटामा पहुँच वा मेटाउनको लागि सोध्नुहोस्; संस्थाले एक महिना भित्र जवाफ दिनुपर्छ (धारा १२, १५ र १७ GDPR)।
- यदि तपाईंको अधिकारको सम्मान गरिएन भने, AP मा उजुरी दर्ता गर्नुहोस् (धारा ७७ GDPR) वा धारा ८२ GDPR अन्तर्गत क्षतिपूर्ति दाबी गर्नुहोस्।
बायोमेट्रिक डेटाको साथ हामी तपाईंको लागि के गर्न सक्छौं?
हाम्रा IT वकिलहरूले पहिलो योजनादेखि AP अघिको कार्यवाहीसम्म, बायोमेट्रिक प्रणाली भएका रोजगारदाताहरू, प्रविधि कम्पनीहरू र व्यक्तिहरूलाई सहयोग गर्छन्।
- हामी तपाईंको बायोमेट्रिक प्रणालीले धारा २९ UAVG को आवश्यकता परीक्षण पूरा गर्छ कि गर्दैन भनेर मूल्याङ्कन गर्छौं।
- हामी DPIA र गोपनीयता सूचनाको मस्यौदा वा समीक्षा गर्छौं।
- हामी धारा २७ WOR अन्तर्गत कार्य परिषद्को सहमतिको लागि अनुरोध तयार गर्छौं।
- हामी धारा २८ GDPR अन्तर्गत तपाईंको आपूर्तिकर्तासँगको प्रशोधन सम्झौताको समीक्षा गर्छौं।
- हामी तपाईंलाई ७२ घण्टाको समयसीमा भित्र AP लाई डेटा उल्लंघनको बारेमा सूचित गर्न र AP प्रवर्तनमा प्रतिक्रिया दिन मद्दत गर्छौं।
सारांश
- अद्वितीय पहिचानको लागि प्रयोग गरिने बायोमेट्रिक डेटा धारा ९ GDPR अन्तर्गत एक विशेष श्रेणी हो; अपवाद लागू नभएसम्म प्रशोधन गर्न निषेध गरिएको छ।
- नेदरल्याण्ड्समा, धारा २९ UAVG ले प्रमाणीकरण वा सुरक्षाको लागि आवश्यक भएमा मात्र यसलाई अनुमति दिन्छ; सुविधा पर्याप्त छैन।
- कर्मचारीको सहमति विरलै मान्य हुन्छ; वास्तविक गैर-बायोमेट्रिक विकल्प प्रस्ताव गर्नुहोस् र आवश्यक परेमा कार्य परिषद्को सहमति प्राप्त गर्नुहोस्।
- पहिले नै DPIA गर्नुहोस्, डेटा न्यूनतम गर्नुहोस्, टेम्प्लेटहरू स्थानीय रूपमा भण्डारण गर्नुहोस् र तिनीहरूलाई इन्क्रिप्ट गर्नुहोस्।
- ७२ घण्टा भित्र एपीलाई उल्लङ्घनहरू रिपोर्ट गर्नुहोस्; जरिवाना २० मिलियन यूरो वा विश्वव्यापी कारोबारको ४% सम्म पुग्न सक्छ।
बारम्बार सोधिने प्रश्नहरू
के म कर्मचारीहरूलाई बायोमेट्रिक समय घडी प्रयोग गर्न लगाउन सक्छु?
लगभग सबै अवस्थामा, छैन। समय दर्ता ब्याज वा कोडको साथ गर्न सकिन्छ, त्यसैले धारा २९ UAVG अन्तर्गत प्रमाणीकरण वा सुरक्षाको लागि बायोमेट्रिक्स आवश्यक छैन। कर्मचारीको सहमति विरलै स्वतन्त्र रूपमा दिइन्छ। एपीले २०२० मा उपस्थिति र समय दर्ताको लागि कर्मचारीहरूको औंठाछाप स्क्यान गरेकोमा एक कम्पनीलाई ७२५,००० यूरो जरिवाना गर्यो।
के कम्पनीको फोन अनलक गर्न अनुहार पहिचान प्रयोग गर्नु GDPR जोखिम हो?
यो हुन सक्छ। यदि अनुहारको टेम्प्लेट उपकरणमा मात्र भण्डारण गरिएको छ र कम्पनीको सर्भरमा कहिल्यै पठाइएको छैन भने, जोखिम धेरै कम हुन्छ, किनभने रोजगारदाताले बायोमेट्रिक डेटा आफैं प्रशोधन गर्दैन। यसले कसरी काम गर्छ भन्ने बारे कर्मचारीहरूसँग पारदर्शी हुनुहोस् र विकल्पको रूपमा PIN वा पासवर्ड प्रस्ताव गर्नुहोस्।
कर्मचारीले काम छोडेपछि हामी कति समयसम्म बायोमेट्रिक डेटा भण्डारण गर्न सक्छौं?
मूल उद्देश्यको लागि आवश्यक भन्दा बढी समयसम्म (धारा ५(१)(ङ) GDPR)। पहुँच नियन्त्रणको लागि, कर्मचारीले छोड्दा वा पहुँच आवश्यक नपर्दा टेम्प्लेट मेटाउनुहोस्। स्पष्ट अवधारण अवधि सेट गर्नुहोस् र, सम्भव भएसम्म, मेटाउने कार्य स्वचालित गर्नुहोस्।
