Data biometrik berdasarkan GDPR: kapan Anda boleh menggunakannya di Belanda?

Data biometrik, seperti sidik jari, gambar wajah, atau pola suara, merupakan kategori khusus data pribadi berdasarkan GDPR ketika diproses untuk mengidentifikasi seseorang secara unik. Di Belanda, pemrosesan tersebut pada prinsipnya dilarang; pengecualian utamanya adalah jika diperlukan untuk tujuan otentikasi atau keamanan, dan untuk karyawan, pengujian tersebut jarang dilakukan melalui mesin pencatat waktu atau pintu kantor.

Otoritas Perlindungan Data Belanda (Autoriteit Persoonsgegevens, AP) menerapkan aturan ini secara ketat dan telah mendenda perusahaan dan perusahaan teknologi karena menggunakan biometrik tanpa dasar yang sah. Di bawah ini kami menjelaskan apa yang termasuk dalam data biometrik, dasar hukum apa yang tersedia, kapan Anda memerlukan penilaian dampak perlindungan data, perlindungan apa yang diharapkan, dan apa yang harus dilakukan jika terjadi kesalahan.

Apa yang dimaksud dengan data biometrik menurut GDPR?

Data biometrik adalah data pribadi yang dihasilkan dari pemrosesan teknis spesifik terhadap karakteristik fisik, fisiologis, atau perilaku seseorang, yang memungkinkan atau mengkonfirmasi identifikasi unik orang tersebut. Tujuan dan teknik yang digunakanlah yang menentukan, bukan jenis gambar atau rekaman.

Definisi ini terdapat dalam Pasal 4(14) Peraturan Perlindungan Data Umum (GDPR) . Foto karyawan pada kartu identitas adalah data pribadi, tetapi bukan data biometrik secara otomatis. Saat foto yang sama diubah menjadi templat wajah dan digunakan oleh sistem pengenalan untuk memberikan akses ke suatu bangunan, foto tersebut menjadi data biometrik. Pergeseran ini mengubah kerangka hukum secara keseluruhan.

Contoh pengenal biometrik adalah sidik jari, geometri wajah, pola iris dan retina, pola suara, dan ciri perilaku seperti ritme mengetik atau cara seseorang berjalan. Kesamaan dari semuanya adalah bahwa pengenal biometrik digunakan untuk mengenali satu individu tertentu.

Mengapa GDPR memperlakukan data biometrik secara berbeda?

Berdasarkan Pasal 9 GDPR, data biometrik yang diproses untuk tujuan mengidentifikasi seseorang secara unik termasuk dalam kategori khusus data pribadi. Kategori tersebut mencakup data tentang asal ras atau etnis, opini politik, keyakinan agama, kesehatan, dan kehidupan seksual.

Alasannya adalah konsekuensi dari penyalahgunaan sangat serius dan seringkali tidak dapat dipulihkan. Kata sandi dapat diubah; sidik jari atau iris mata tidak dapat diubah. Jika basis data templat biometrik diretas, orang-orang yang bersangkutan menghadapi risiko penipuan identitas yang berkelanjutan.

Seberapa ketat pendekatan Belanda?

AP menafsirkan aturan ini secara ketat. Titik awalnya adalah bahwa identifikasi biometrik dilarang, dan pengecualiannya sangat terbatas.

Undang-Undang Pelaksanaan GDPR Belanda (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) menambahkan pengecualian nasional. Berdasarkan Pasal 29 UAVG, data biometrik dapat diproses untuk identifikasi unik jika hal ini diperlukan untuk tujuan otentikasi atau keamanan. Kata kuncinya adalah "diperlukan". Artinya, tujuan tersebut tidak dapat dicapai secara wajar dengan cara yang kurang mengganggu, seperti lencana, kode, atau kunci. Otoritas Perlindungan Data (AP) telah memperjelas dalam panduannya bahwa pengenalan wajah di tempat-tempat yang dapat diakses publik, seperti toko, pada prinsipnya tidak diizinkan.

Landasan hukum apa yang Anda butuhkan?

Anda memerlukan dua hal: dasar hukum berdasarkan Pasal 6 GDPR untuk pemrosesan tersebut, dan pengecualian berdasarkan Pasal 9(2) GDPR atau Pasal 29 UAVG untuk mencabut larangan terhadap kategori khusus. Tanpa keduanya, pemrosesan tersebut melanggar hukum.

Pasal 6 GDPR mencantumkan enam dasar hukum: persetujuan, pelaksanaan kontrak, kewajiban hukum, kepentingan vital, tugas untuk kepentingan umum, dan kepentingan sah. Itu adalah rintangan pertama, dan berlaku untuk semua data pribadi.

Karena data biometrik merupakan kategori khusus, Anda harus memenuhi salah satu ketentuan Pasal 9(2) GDPR, atau pengecualian Belanda dalam Pasal 29 UAVG. Ini adalah satu-satunya cara agar larangan tersebut dapat dicabut. Sebelum memulai, tentukan juga siapa yang bertindak sebagai pengendali dan siapa yang bertindak sebagai pengolah, misalnya pemasok sistem pemindaian. Artikel kami tentang peran pengendali dan pengolah berdasarkan GDPR menjelaskan perbedaan dan perjanjian pemrosesan yang Anda perlukan.

Kapan persetujuan eksplisit dianggap sah?

Persetujuan eksplisit memiliki standar yang lebih tinggi daripada persetujuan biasa. Persetujuan ini harus diberikan melalui pernyataan yang jelas dan tegas, serta harus spesifik, berdasarkan informasi yang lengkap, tidak ambigu, dan diberikan secara bebas.

• Spesifik: Pernyataan umum seperti “untuk tujuan keamanan” saja tidak cukup; Anda harus menyatakan secara tepat mengapa Anda membutuhkan data biometrik tersebut.
• Diberitahukan: Masyarakat harus mengetahui data apa yang Anda kumpulkan, apa yang Anda lakukan dengan data tersebut, siapa yang memiliki akses, dan berapa lama Anda menyimpannya.
• Diberikan secara cuma-cuma: Orang tersebut harus memiliki hak untuk menolak tanpa konsekuensi negatif, dan harus memiliki hak untuk menarik persetujuan kapan saja.

Dalam hubungan kerja, kondisi terakhir adalah masalahnya. Karyawan yang menolak mungkin takut akan konsekuensi, dan oleh karena itu AP berpendapat bahwa persetujuan karyawan jarang diberikan secara bebas. Pemberi kerja yang mengandalkan persetujuan harus dapat menunjukkan bahwa alternatif nyata memang ada dan ditawarkan dalam praktiknya, bukan hanya di atas kertas.

Pengecualian apa lagi yang ada?

Pengecualian lainnya bersifat terbatas. Tabel di bawah ini membandingkan pengecualian yang paling relevan.

Apakah Anda dapat menggunakan sidik jari atau pemindaian wajah untuk karyawan?

Hanya jika biometrik benar-benar diperlukan untuk otentikasi atau keamanan, dan cara yang kurang mengganggu tidak dapat diterima. Untuk pencatatan waktu, mesin kasir, atau pintu kantor biasa, biasanya hal itu tidak terjadi.

Uji berdasarkan Pasal 29 UAVG adalah apakah tujuan tersebut dapat dicapai secara wajar dengan cara yang kurang mengganggu. Pemindai yang mengontrol akses ke mesin kasir, sistem pencatatan waktu, atau pintu kantor biasanya gagal dalam uji tersebut, karena lencana, kode, atau kunci mencapai hasil yang sama tanpa data biometrik. Jika akses biometrik diterima, kepentingan keamanannya substansial dan spesifik: fasilitas yang menangani bahan berbahaya, laboratorium yang aman, pusat data, atau brankas.

Secara terpisah, jika terdapat dewan pekerja (ondernemingsraad), sistem yang mencatat atau memantau kehadiran, perilaku atau kinerja karyawan, atau yang memproses data pribadi mereka, memerlukan persetujuan dewan tersebut berdasarkan Pasal 27(1)(k) dan (l) Undang-Undang Dewan Pekerja (Wet op de ondernemingsraden, WOR). Kepatuhan terhadap GDPR tidak menghilangkan persyaratan tersebut, dan sistem yang diperkenalkan tanpa persetujuan dapat ditentang.

Apakah Anda dapat menggunakan biometrik untuk pelanggan?

Terkadang, tetapi aturan ketat yang sama tetap berlaku. Dengan pelanggan, persetujuan eksplisit dapat menjadi dasar yang sah, asalkan penggunaan biometrik benar-benar opsional dan tersedia alternatif yang setara.

Contoh umum meliputi membuka kunci aplikasi perbankan dengan sidik jari, verifikasi identitas dengan swafoto saat membuka rekening online, dan akses ke pusat kebugaran atau acara dengan pengenalan wajah. Jika pemeriksaan biometrik dilakukan sepenuhnya di ponsel pelanggan sendiri, menggunakan teknologi bawaan ponsel, perusahaan biasanya tidak menerima data biometrik tersebut. Hal ini secara signifikan mengurangi risiko dan kewajiban bagi perusahaan.

Jika perusahaan memproses data itu sendiri, misalnya dengan membandingkan swafoto dengan foto paspor di servernya sendiri, perusahaan tersebut membutuhkan dasar yang sah. Persetujuan mensyaratkan bahwa pelanggan dapat memilih jalur lain, seperti verifikasi melalui transfer bank atau kunjungan ke cabang, tanpa dirugikan. Bagi bank dan lembaga keuangan lainnya, kewajiban uji tuntas pelanggan berdasarkan undang-undang anti pencucian uang berperan, tetapi hal itu sendiri tidak mengharuskan pemrosesan biometrik.

Bagaimana dengan kamera yang dilengkapi pengenalan wajah?

Kamera pengenal wajah di toko, stadion, atau tempat umum lainnya pada prinsipnya tidak diperbolehkan untuk acara pribadi. Orang yang lewat tidak dapat memberikan persetujuan eksplisit, dan jarang ada kebutuhan yang memenuhi uji UAVG Pasal 29.

AP telah memperingatkan para peritel bahwa penggunaan pengenalan wajah untuk mengidentifikasi pencuri atau mengenali pelanggan tidak diperbolehkan. Pengawasan kamera biasa, tanpa identifikasi biometrik, tunduk pada aturan yang berbeda dan kurang ketat, tetapi tetap memerlukan kepentingan yang sah, pemberitahuan yang jelas, dan periode penyimpanan yang terbatas. Menambahkan perangkat lunak pengenalan wajah ke sistem kamera yang sudah ada akan mengubah penilaian sepenuhnya.

Kapan Anda memerlukan penilaian dampak perlindungan data?

Hampir selalu. Pemrosesan data biometrik untuk mengidentifikasi orang adalah pemrosesan berisiko tinggi, dan AP telah memasukkannya ke dalam daftar operasi pemrosesan yang memerlukan penilaian dampak perlindungan data (DPIA) berdasarkan Pasal 35 GDPR.

DPIA adalah penilaian risiko privasi yang terstruktur. DPIA mewajibkan Anda untuk menjelaskan apa yang akan Anda lakukan, mengidentifikasi risiko bagi orang-orang yang terlibat, dan memutuskan bagaimana mengelola risiko tersebut sebelum Anda memindai sidik jari atau wajah siapa pun. Jika risiko yang tersisa tinggi dan tidak dapat dikurangi secara memadai, Anda harus berkonsultasi dengan AP sebelum memulai (Pasal 36 GDPR).

DPIA (Penilaian Dampak Perlindungan Data) dibangun di atas dasar hukum: pertama-tama Anda menetapkan dasar berdasarkan Pasal 6 dan pengecualian berdasarkan Pasal 9 atau Pasal 29 UAVG, dan kemudian menilai apakah sistem spesifik tersebut diperlukan dan proporsional.

Apa saja isi dari DPIA?

Ambil contoh pemindai sidik jari untuk akses ke ruang server. Penilaian Dampak Perlindungan Data (DPIA) mencakup empat elemen.

• Deskripsi proses pengolahan. Data apa yang Anda kumpulkan: templat atau gambar lengkap? Bagaimana data tersebut dikumpulkan, di mana data tersebut disimpan, bagaimana data tersebut digunakan, dan kapan data tersebut dihapus? Siapa yang memiliki akses? Apakah ada pemasok yang terlibat?
• Kebutuhan dan proporsionalitas. Masalah spesifik apa yang Anda selesaikan, seperti akses tidak sah ke ruang server? Mengapa lencana atau kode tidak cukup dalam kasus ini? Apakah data yang Anda kumpulkan sudah minimal yang dibutuhkan?
• Risiko bagi orang-orang yang terlibat. Bagaimana jika basis data templat dicuri? Bisakah data tersebut nantinya digunakan untuk tujuan lain, seperti memantau jam kerja (penyalahgunaan fungsi)? Apa yang terjadi pada karyawan yang sidik jarinya tidak dapat dibaca? Bagaimana jika sistem mengunci akses orang yang berwenang selama keadaan darurat?
• Langkah-langkah untuk mengatasi risiko tersebut. Langkah-langkah teknis seperti enkripsi dan penyimpanan pada kartu atau perangkat; langkah-langkah organisasi seperti kebijakan, pelatihan, dan rencana respons terhadap pelanggaran data; dan alternatif non-biometrik agar tidak ada seorang pun yang dikecualikan.

Tinjau kembali DPIA (Penilaian Dampak Perlindungan Data) ketika ruang lingkup, sifat, atau konteks pemrosesan berubah (Pasal 35(11) GDPR). Analisis yang ditulis hanya setelah adanya pengaduan tidak memiliki bobot yang besar di hadapan AP (Otoritas Perlindungan Data).

Pengamanan apa yang diharapkan?

Kumpulkan sesedikit mungkin, simpan tidak lebih lama dari yang diperlukan, dan lindungi dengan langkah-langkah teknis dan organisasi yang kuat. Prinsip-prinsip ini sesuai dengan Pasal 5 dan 32 GDPR.

Mulailah dengan meminimalkan data: kumpulkan hanya data biometrik yang dibutuhkan untuk tujuan spesifik dan sah. Untuk kontrol akses, templat biasanya sudah cukup; pemindaian wajah beresolusi tinggi tidak diperlukan. Gabungkan ini dengan pembatasan penyimpanan: tetapkan periode penyimpanan dan hapus data secara aman segera setelah tidak lagi dibutuhkan, misalnya ketika seorang karyawan keluar atau tidak lagi membutuhkan akses.

Langkah-langkah teknis dan organisasional

Keamanan harus sebanding dengan risiko yang tinggi. Langkah-langkah teknis utama meliputi:

• enkripsi data biometrik, baik saat diam maupun saat dalam perjalanan.
• Kontrol akses yang ketat, sehingga hanya staf yang berwenang dan memiliki kebutuhan yang jelas yang dapat mengakses data tersebut.
• Penyimpanan terdesentralisasiJika memungkinkan, simpan templat di perangkat atau di kartu pengguna sendiri, bukan di basis data pusat. Hal itu akan mengurangi kemungkinan terjadinya pelanggaran keamanan secara massal.

Teknologi saja tidak cukup. Langkah-langkah organisasi, seperti kebijakan tertulis tentang data biometrik, pelatihan staf, audit keamanan berkala, dan perjanjian yang jelas dengan pemasok, sama pentingnya. Jika pemasok memproses data atas nama Anda, Anda memerlukan perjanjian pemrosesan berdasarkan Pasal 28 GDPR.

Pemberitahuan privasi yang jelas

Masyarakat berhak mengetahui apa yang Anda lakukan dengan data biometrik mereka (Pasal 13 dan 14 GDPR). Informasi tersebut harus ringkas, mudah ditemukan, dan ditulis dalam bahasa yang mudah dipahami.

Pemberitahuan privasi tentang pemrosesan biometrik harus menjelaskan siapa Anda dan bagaimana cara menghubungi Anda, mengapa Anda memproses data tersebut, dasar hukum berdasarkan Pasal 6 dan pengecualian yang diandalkan, data apa yang Anda kumpulkan (misalnya templat sidik jari), berapa lama Anda menyimpannya, dengan siapa Anda membagikannya, termasuk pemasok, dan hak-hak apa yang dimiliki orang, seperti akses, koreksi, penghapusan, dan keberatan.

Apakah Undang-Undang AI juga berlaku?

Ya, untuk sistem biometrik tertentu. Undang-Undang Kecerdasan Buatan Uni Eropa (Peraturan (EU) 2024/1689) menambahkan aturan di atas GDPR.

Sejak 2 Februari 2025, Undang-Undang AI melarang sejumlah praktik secara langsung, termasuk pengambilan gambar wajah tanpa target dari internet atau rekaman kamera untuk membangun basis data pengenalan wajah, pengenalan emosi di tempat kerja dan di bidang pendidikan (kecuali untuk alasan medis atau keselamatan), dan kategorisasi biometrik untuk menyimpulkan karakteristik sensitif seperti ras atau orientasi seksual. Sistem biometrik lainnya, seperti identifikasi biometrik jarak jauh, diklasifikasikan sebagai berisiko tinggi dan tunduk pada persyaratan yang ketat. Periksa kedua kerangka kerja tersebut sebelum memperkenalkan suatu sistem.

Apa konsekuensi dari ketidakpatuhan?

Denda tinggi, perintah untuk menghentikan pemrosesan, dan klaim ganti rugi. Untuk pemrosesan data kategori khusus yang melanggar hukum, GDPR mengizinkan denda hingga 20 juta euro atau 4% dari omset tahunan di seluruh dunia, mana pun yang lebih tinggi.

Jumlah maksimum ini berasal dari Pasal 83(5) GDPR dan berlaku, antara lain, untuk pemrosesan tanpa dasar atau pengecualian yang sah. Pelanggaran kewajiban tentang keamanan dan pemberitahuan pelanggaran (Pasal 32 hingga 34 GDPR) dapat mengakibatkan denda hingga 10 juta euro atau 2% dari omset global. Denda harus efektif, proporsional, dan bersifat jera. Otoritas Perlindungan Data (AP) menentukan jumlahnya berdasarkan kebijakan dendanya sendiri.

Apa yang telah diberlakukan oleh AP?

AP telah mendenda baik perusahaan pemberi kerja maupun perusahaan teknologi karena pemrosesan biometrik yang melanggar hukum. Dua keputusan menonjol.

Pada tahun 2020, AP (Australian Public Office) menjatuhkan denda sebesar 725,000 euro kepada sebuah perusahaan yang memindai sidik jari karyawan untuk pencatatan kehadiran dan waktu kerja. AP menemukan bahwa tidak ada pengecualian yang berlaku: persetujuan karyawan tidak diberikan secara bebas, dan kemudahan dalam mencatat jam kerja bukanlah tujuan keamanan yang membuat pemrosesan biometrik menjadi perlu. Pada September 2024, AP mendenda perusahaan Amerika Clearview AI sebesar 30.5 juta euro karena membangun basis data gambar wajah, termasuk warga Belanda, tanpa dasar hukum.

Empat pertanyaan mendasar muncul dalam penegakan hukum AP. Apa tujuannya, dinyatakan secara spesifik dan bukan hanya sebagai "keamanan" secara umum? Bisakah hal itu dicapai dengan cara yang kurang mengganggu? Jika persetujuan diandalkan, bisakah orang menolak tanpa konsekuensi? Dan apakah hal ini dinilai dan didokumentasikan sebelum sistem diperkenalkan? Artikel kami tentang Otoritas Perlindungan Data Belanda menjelaskan wewenang AP secara lebih rinci.

Konsekuensi lainnya

Denda bukanlah satu-satunya risiko. AP (Administrative Procedures) dapat memerintahkan Anda untuk menghentikan pemrosesan, yang dapat menghentikan sistem yang bergantung pada operasi Anda, dan dapat memerintahkan Anda untuk menghapus data yang dikumpulkan secara ilegal. Orang-orang yang datanya diproses secara ilegal dapat menuntut ganti rugi atas kerugian materiil dan non-materiil berdasarkan Pasal 82 GDPR, dan di Belanda klaim tersebut juga dapat diajukan secara kolektif. Kerusakan reputasi akibat keputusan penegakan hukum publik dapat sangat besar.

Apa yang Anda lakukan jika data biometrik bocor?

Atasi pelanggaran, nilai risikonya, beri tahu AP dalam waktu 72 jam dan, jika risikonya tinggi, informasikan kepada orang-orang yang terdampak tanpa penundaan yang tidak perlu. Siapkan ini dalam rencana respons sebelum terjadi hal yang tidak diinginkan.

Berdasarkan Pasal 33 GDPR, Anda wajib melaporkan pelanggaran data pribadi kepada AP tanpa penundaan yang tidak semestinya dan, jika memungkinkan, dalam waktu 72 jam setelah mengetahuinya, kecuali jika pelanggaran tersebut kemungkinan kecil akan menimbulkan risiko bagi orang-orang yang bersangkutan. Pemberitahuan tersebut menjelaskan sifat pelanggaran, kategori dan perkiraan jumlah orang dan catatan yang terpengaruh, konsekuensi yang mungkin terjadi, dan langkah-langkah yang telah diambil atau diusulkan. Jika Anda tidak dapat memberikan semua informasi sekaligus, Anda dapat melengkapinya nanti.

Langkah 1: mengatasi pelanggaran dan menilai dampaknya

Prioritas utama Anda adalah menghentikan pelanggaran tersebut. Isolasi sistem yang terpengaruh, simpan log dan bukti lain untuk penyelidikan, dan tentukan secara pasti data mana yang terpengaruh: gambar mentah atau templat terenkripsi, dan milik siapa.

Langkah 2: memutuskan apakah akan memberi tahu orang-orang yang terdampak

Berdasarkan Pasal 34 GDPR, Anda wajib memberitahukan kepada pihak yang terdampak tanpa penundaan yang tidak semestinya jika pelanggaran tersebut kemungkinan besar akan menimbulkan risiko tinggi terhadap hak dan kebebasan mereka. Dengan data biometrik, ambang batas tersebut seringkali terpenuhi, karena data tersebut tidak dapat diubah. Pengecualiannya adalah, misalnya, data yang dienkripsi dengan sangat kuat dan kunci enkripsinya tidak disalahgunakan. Pesan tersebut harus disampaikan dengan bahasa yang mudah dipahami: apa yang terjadi, data apa yang terlibat, dan apa yang dapat dilakukan orang untuk melindungi diri mereka sendiri.

Langkah 3: melaksanakan dan mendokumentasikan respons

Catat setiap langkah: saat ditemukan, keputusan yang diambil, komunikasi, dan tindakan teknis. Berdasarkan Pasal 33(5) GDPR, Anda harus mendokumentasikan setiap pelanggaran, termasuk yang tidak perlu Anda laporkan. Dokumentasi yang baik menunjukkan kepada AP bahwa Anda telah bertindak dengan hati-hati dan dapat memengaruhi bagaimana AP menilai kasus tersebut.

Apa yang harus Anda periksa sebagai pemberi kerja atau perusahaan?

Periksa kebutuhan terlebih dahulu dan dokumentasikan setiap langkah sebelum sistem dioperasikan. Lima pemeriksaan ini mencakup poin-poin yang diperhatikan oleh AP (Administrator Procurement).

• Tuliskan tujuan keamanan spesifik dan mengapa lencana, kode PIN, atau kunci saja tidak cukup (Pasal 29 UAVG).
• Catat dasar hukum Anda berdasarkan Pasal 6 GDPR dan pengecualian berdasarkan Pasal 9(2) GDPR atau Pasal 29 UAVG.
• Lengkapi DPIA sebelum pemindaian pertama dan konsultasikan dengan AP jika risiko tinggi masih ada (Pasal 35 dan 36 GDPR).
• Mintalah persetujuan dari dewan pekerja berdasarkan Pasal 27(1)(k) dan (l) WOR sebelum Anda memperkenalkan sistem tersebut.
• Tandatangani perjanjian pemrosesan dengan pemasok (Pasal 28 GDPR) dan tetapkan periode penyimpanan untuk templat.

Apa yang harus Anda periksa sebagai karyawan atau pelanggan?

Anda berhak mengetahui bagaimana data biometrik Anda digunakan dan untuk menolak pemrosesan yang melanggar hukum. Periksa poin-poin ini jika Anda diminta untuk memindai sidik jari atau wajah Anda.

• Adakah alternatif non-biometrik, seperti lencana atau kode PIN, dan apakah Anda dapat menggunakannya tanpa merugikan?
• Apakah pemberitahuan privasi tersebut menyatakan tujuan, dasar hukum, dan jangka waktu penyimpanan (Pasal 13 dan 14 GDPR)?
• Apakah dewan pekerja menyetujui sistem tersebut, jika perusahaan Anda memilikinya (Pasal 27 WOR)?
• Ajukan permohonan akses atau penghapusan data Anda; organisasi tersebut wajib menjawab dalam waktu satu bulan (Pasal 12, 15 dan 17 GDPR).
• Jika hak Anda tidak dihormati, ajukan pengaduan ke AP (Pasal 77 GDPR) atau klaim ganti rugi berdasarkan Pasal 82 GDPR.

Apa yang dapat kami lakukan untuk Anda dengan data biometrik?

Pengacara TI kami membantu pemberi kerja, perusahaan teknologi, dan individu yang menggunakan sistem biometrik, mulai dari perencanaan awal hingga proses di hadapan AP (Administrative Procedure).

• Kami menilai apakah sistem biometrik Anda memenuhi uji kebutuhan sebagaimana diatur dalam Pasal 29 UAVG.
• Kami menyusun atau meninjau DPIA dan pemberitahuan privasi.
• Kami menyiapkan permohonan persetujuan kepada dewan pekerja berdasarkan Pasal 27 WOR.
• Kami meninjau perjanjian pemrosesan data dengan pemasok Anda berdasarkan Pasal 28 GDPR.
• Kami membantu Anda melaporkan pelanggaran data ke AP dalam batas waktu 72 jam dan menanggapi tindakan penegakan hukum dari AP.

Ringkasan

• Data biometrik yang digunakan untuk identifikasi unik merupakan kategori khusus berdasarkan Pasal 9 GDPR; pemrosesannya dilarang kecuali berlaku pengecualian.
• Di Belanda, Pasal 29 UAVG hanya mengizinkannya jika diperlukan untuk otentikasi atau keamanan; kenyamanan saja tidak cukup.
• Persetujuan karyawan jarang valid; tawarkan alternatif non-biometrik yang nyata dan dapatkan persetujuan dewan pekerja jika diperlukan.
• Lakukan DPIA (Penilaian Dampak Perlindungan Data) terlebih dahulu, minimalkan data, simpan templat secara lokal, dan enkripsi templat tersebut.
• Laporkan pelanggaran ke AP dalam waktu 72 jam; denda dapat mencapai 20 juta euro atau 4% dari omset global.

Pertanyaan yang sering diajukan