Explication du traitement des données biométriques
L'Autorité néerlandaise de protection des données (AP) a récemment infligé une lourde amende, de 725,000 9 euros, à une entreprise qui avait scanné les empreintes digitales de ses employés pour l'enregistrement des présences et des heures de travail. Les données biométriques, comme les empreintes digitales, sont des données personnelles spéciales au sens de l'article XNUMX du RGPD. Il s'agit de caractéristiques uniques qui permettent de remonter à une personne spécifique. Toutefois, ces données contiennent souvent plus d'informations que ce qui est nécessaire, par exemple, pour l'identification.
Leur traitement pose donc des risques importants en matière de droits et libertés fondamentaux. Si ces données tombent entre de mauvaises mains, cela pourrait potentiellement causer un préjudice irréparable. Les données biométriques sont par conséquent bien protégées et leur traitement est interdit en vertu de l'article 9 du RGPD, sauf exception légale. En l'espèce, l'autorité compétente a conclu que l'entreprise concernée n'était pas fondée à invoquer une exception pour le traitement de données personnelles sensibles.
Empreinte Digitale
Concernant l'empreinte digitale dans le cadre du RGPD et l'une des exceptions, à savoir la nécessité , nous avons précédemment abordé dans un article de notre blog : « Empreinte digitale et violation du RGPD ». Cet article se concentre sur l'autre fondement d'exception : le consentement . Lorsqu'un employeur utilise des données biométriques telles que les empreintes digitales au sein de son entreprise, peut-il, du point de vue du respect de la vie privée, se contenter du consentement de son employé ?
Par consentement, on entend une manifestation de volonté spécifique, éclairée et univoque par laquelle une personne accepte, par une déclaration ou un acte actif clair, le traitement de ses données à caractère personnel, conformément à l'article 4, paragraphe 11, du RGPD. Dans le cadre de cette exception, l'employeur doit donc non seulement démontrer que ses employés ont donné leur consentement, mais également que celui-ci était univoque, spécifique et éclairé.
La signature du contrat de travail ou la réception du manuel du personnel dans lequel l'employeur a seulement enregistré l'intention de pointer entièrement avec les empreintes digitales ne sont pas suffisantes dans ce contexte, conclut l'AP. Comme preuve, l'employeur doit, par exemple, présenter une politique, des procédures ou d'autres documents qui montrent que ses employés sont suffisamment informés du traitement des données biométriques et qu'ils ont également donné leur autorisation (explicite) pour le traitement de celles-ci.
Si l'autorisation est accordée par l'employé, elle doit non seulement être « explicite », mais aussi « librement donnée », selon l'AP. « Explicite » signifie, par exemple, une autorisation écrite, une signature, l'envoi d'un courriel pour donner l'autorisation ou une autorisation assortie d'une vérification en deux étapes. « Librement donnée » signifie qu'elle ne doit faire l'objet d'aucune contrainte (comme ce fut le cas dans l'affaire en question : le refus de se soumettre à la prise d'empreintes digitales a entraîné une discussion avec la direction ou le conseil d'administration) ou que l'autorisation peut être une condition à autre chose.
La condition de « libre consentement » n'est en tout état de cause pas remplie par l'employeur lorsque les salariés sont obligés ou, comme dans le cas d'espèce, vivent comme une obligation de faire relever leurs empreintes digitales. De manière générale, l'AP a considéré que, compte tenu de la dépendance résultant de la relation entre l'employeur et le salarié, il est peu probable que le salarié puisse donner librement son consentement. Le contraire devra être prouvé par l'employeur.
Un employé demande-t-il à ses employés la permission de traiter ses empreintes digitales ? L'AP apprend alors dans le contexte de cette affaire que cela n'est en principe pas autorisé. Après tout, les employés dépendent de leur employeur et ne sont donc souvent pas en mesure de refuser. Cela ne signifie pas que l'employeur ne peut jamais invoquer avec succès le motif de la permission.
Toutefois, l'employeur doit disposer de suffisamment d'éléments pour faire aboutir son recours sur la base du consentement, afin de pouvoir traiter les données biométriques de ses employés, comme les empreintes digitales. Vous avez l'intention d'utiliser des données biométriques au sein de votre entreprise ou votre employeur vous demande l'autorisation d'utiliser vos empreintes digitales, par exemple ? Dans ce cas, il est important de ne pas agir immédiatement et d'accorder l'autorisation, mais de s'informer au préalable correctement. Loi Les avocats de & More sont des experts dans le domaine de la confidentialité et peuvent vous fournir des informations. Avez-vous d'autres questions sur ce blog ? Veuillez nous contacter Law & More.
