在建筑工地使用生物特征数据进行面部识别的罚款

fabiha01

生物特征数据在专业和公共环境中的处理日益增多。

来自数据保护监督机构的投诉在这里并不少见。例如，意大利监管机构（Garante per la protezione dei dati personi）已对多个责任方处以罚款。原因是建筑工地使用面部识别软件来检查员工是否上班。为此，参与建设的公司的员工必须注册个人身份证。在施工现场，面部识别软件扫描了员工的脸部并进行比较。据相关公司负责人介绍，采取这一措施的原因之一是时间记录存在重大差异，公司将此归咎于欺诈行为等。多家公司的员工都在建筑工地工作，他们向意大利监管机构投诉了这种做法。他们特别批评了这样一个事实，即按照“结果不能证明手段”的座右铭，实现目标的可能性并非都是成比例的。

还有人批评这些公司没有按照《数据保护法》进行数据保护影响评估。 35 GDPR，在处理生物特征数据之前必须定期进行。

生物特征数据处理要求
在处理生物特征数据时，需要注意的是，这只能在艺术的严格条件下进行处理。 9 GDPR。这原则上禁止处理第 1 段中提到的数据，并且仅允许在特定情况下进行处理。因此，根据第 14 条，处理不被禁止。 9（1） GDPR，如果标准第 2 段存在例外情况。法院和监管机构对这些规定的应用非常严格，因为处理属于此类的数据特别有可能限制信息自决的基本权利。

该机构表示，GDPR 第 9（2）条中的任何例外情况均不能作为使用面部识别软件的法律依据。特别是，意大利商业传真列表 根据第 14 条，没有必要。在这种情况下，请参见 GDPR 第 9（2）（b）条。这并不意味着禁止处理特殊个人数据，如果

[…] 控制者或数据主体可以根据劳动法、社会保障法和社会保护法行使其权利并履行其义务，只要这是联盟或成员国法律或成员国法律下的集体协议所允许的，这些协议为数据主体的基本权利和利益提供了适当的保障[…]

尤其受到批评的是，这些公司没有证明已经采取了其他措施，而且这些措施被证明完全不适合计算工作时间和确定出勤率。例如，使用身份证的自动控制或员工的直接控制在这里是合适的。此外，监管机构表示，这种方法也引发了人们对该措施比例性的质疑，因为评估必须始终考虑所选择的具体手段是否适合所追求的目的。因此，这里应该考虑到使用生物识别面部识别软件对员工权利和自由的具体风险。

在处理特殊类别的个人数据之前，除了检查合法性之外，还应遵守《个人数据保护条例》的其他一般原则。 5 必须始终考虑 GDPR 和正式要求。未能根据《数据保护法》进行数据保护影响评估。 35 GDPR，未能根据第 35 条将程序纳入处理活动登记册。 30 GDPR 或未能根据第 30 条通知数据主体。根据 GDPR 第 13 和 14 条规定，违反该条款的人还将受到罚款。 83 GDPR。

在这个特定的案例中，面部识别软件制造商自称“符合 GDPR”并没有给公司带来帮助。

根据艺术。 24 GDPR，问责责任始终在于控制者。这不能被委托。

结论
总而言之，可以说在咨询实践中经常会提出反对意见，即处理必须由于控制者的合法利益而成为可能——这通常是无可争议的。然而，人们常常忘记，并不是每一种手段，无论多么适合实现目的，都与受处理影响的人成比例。

因此，特别是侵入性处理或根据第 14 条包含特殊个人数据的处理。 9 在使用相应技术之前，必须根据数据保护法对 GDPR 进行彻底审查。