Explication du traitement des données biométriques
L'Autorité néerlandaise de protection des données (AP) a récemment infligé une lourde amende, de 725,000 9 euros, à une entreprise qui avait scanné les empreintes digitales de ses employés pour l'enregistrement des présences et des heures de travail. Les données biométriques, comme les empreintes digitales, sont des données personnelles spéciales au sens de l'article XNUMX du RGPD. Il s'agit de caractéristiques uniques qui permettent de remonter à une personne spécifique. Toutefois, ces données contiennent souvent plus d'informations que ce qui est nécessaire, par exemple, pour l'identification.
Leur traitement présente donc de grands risques dans le domaine des droits et libertés fondamentaux des personnes. Si ces données tombent entre de mauvaises mains, cela pourrait potentiellement entraîner des dommages irréparables. Les données biométriques sont donc bien protégées et leur traitement est interdit en vertu de l'article 9 du RGPD, sauf exception légale. Dans ce cas, l'AP a conclu que l'entreprise en question n'avait pas droit à une protection exception pour le traitement de données personnelles spéciales.
Empreinte Digitale
À propos de l'empreinte digitale dans le contexte du RGPD et de l'une des exceptions, à savoir une nécessité, nous avions précédemment écrit dans l'un de nos blogs: «Empreinte digitale en violation du RGPD». Ce blog se concentre sur l'autre motif d'exception alternatif: autorisation. Lorsqu'un employeur utilise des données biométriques telles que les empreintes digitales dans son entreprise, peut-il, en matière de confidentialité, suffire avec la permission de son employé?
Par autorisation, on entend un spécifique, informé et sans ambiguïté expression de volonté par laquelle une personne accepte un traitement de ses données personnelles par une déclaration ou un acte actif sans ambiguïté, conformément à l'article 4, paragraphe 11, du RGPD. Dans le cadre de cette exception, l'employeur doit donc non seulement démontrer que ses employés ont donné leur consentement, mais aussi que celui-ci a été sans ambiguïté, spécifique et éclairé.
La signature du contrat de travail ou la réception du manuel du personnel dans lequel l'employeur a seulement enregistré l'intention de pointer entièrement avec les empreintes digitales ne sont pas suffisantes dans ce contexte, conclut l'AP. Comme preuve, l'employeur doit, par exemple, présenter une politique, des procédures ou d'autres documents qui montrent que ses employés sont suffisamment informés du traitement des données biométriques et qu'ils ont également donné leur autorisation (explicite) pour le traitement de celles-ci.
Si l'autorisation est accordée par le salarié, il doit en outre non seulement être «explicite' mais aussi 'donné gratuitement", selon l'AP. "Explicite" signifie par exemple une autorisation écrite, une signature, l'envoi d'un courriel pour donner l'autorisation ou une autorisation avec vérification en deux étapes. "Librement donnée" signifie qu'il ne doit y avoir aucune coercition derrière cela (comme c'était le cas dans le cas en question : lorsque le refus de faire scanner l'empreinte digitale a été suivi d'une conversation avec le directeur/conseil d'administration) ou que l'autorisation peut être une condition pour quelque chose de différent.
La condition de « libre consentement » n'est en tout état de cause pas remplie par l'employeur lorsque les salariés sont obligés ou, comme dans le cas d'espèce, vivent comme une obligation de faire relever leurs empreintes digitales. De manière générale, l'AP a considéré que, compte tenu de la dépendance résultant de la relation entre l'employeur et le salarié, il est peu probable que le salarié puisse donner librement son consentement. Le contraire devra être prouvé par l'employeur.
Un employé demande-t-il à ses employés la permission de traiter ses empreintes digitales ? L'AP apprend alors dans le contexte de cette affaire que cela n'est en principe pas autorisé. Après tout, les employés dépendent de leur employeur et ne sont donc souvent pas en mesure de refuser. Cela ne signifie pas que l'employeur ne peut jamais invoquer avec succès le motif de la permission.
Toutefois, l'employeur doit disposer de suffisamment d'éléments pour faire aboutir son recours sur la base du consentement, afin de pouvoir traiter les données biométriques de ses employés, comme les empreintes digitales. Vous avez l'intention d'utiliser des données biométriques au sein de votre entreprise ou votre employeur vous demande l'autorisation d'utiliser vos empreintes digitales, par exemple ? Dans ce cas, il est important de ne pas agir immédiatement et d'accorder l'autorisation, mais de s'informer au préalable correctement. Loi Les avocats de & More sont des experts dans le domaine de la confidentialité et peuvent vous fournir des informations. Avez-vous d'autres questions sur ce blog ? Veuillez nous contacter Law & More.
