Objavljeno: 19.12.2022.
Nastavno na Vaš upit koji je zaprimljen u ovoj Agenciji u kojem pitate radi li se o obradi biometrijskih osobnih podataka kada poslodavac prikuplja osobne iskaznice svojih zaposlenika, dajemo sljedeći načelan odgovor:
Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SL EU L119 u cijelosti je obvezujuća i izravno se primjenjuje od 25. svibnja 2018. godine, a za čiju primjenu i provođenje na području Republike Hrvatske je nadležna Agencija za zaštitu osobnih podataka.
Sukladno članku 4. stavku 1. točki 1. Opće uredbe o zaštiti podataka osobni podaci znače svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.
U točci 14. propisano je kako biometrijski podaci znače da su to osobni podaci dobiveni posebnom tehničkom obradom u vezi s fizičkim obilježjima, fiziološkim obilježjima ili obilježjima ponašanja pojedinca koja omogućuju ili potvrđuju jedinstvenu identifikaciju tog pojedinca, kao što su fotografije lica ili daktiloskopski podaci.
U članku 5. Opće uredbe o zaštiti podataka propisano je kako osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika, prikupljeni u posebne, izričite i zakonite svrhe, primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koju se obrađuju (načelo smanjenja količine podataka), točni i prema potrebi ažurni, obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (načelo cjelovitosti i povjerljivosti).
Članak 6. stavak 1. Opće uredbe propisuje kako je obrada osobnih podataka zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećeg: ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha; obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora; obrada je nužna radi poštovanja pravnih obveza voditelja obrade; obrada je nužna kako bi se zaštitili ključni interesi fizičkih osoba; obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane.
Također ističemo i primjenu članka 22. stavka 2. Zakona o provedbi Opće uredbe o zaštiti podataka („Narodne novine“ br. 42/18) u kojemu je propisano kako je u privatnom sektoru pravni temelj za obradu biometrijskih podataka ispitanika radi sigurnog identificiranja korisnika usluga izričita privola takvog ispitanika dana u skladu s odredbama Opće uredbe o zaštiti podataka.
Uzimajući u obzir navode iz Vašeg upita kao i gore navedeni normativni okvir, u nastavku se može navesti kako se o biometrijskoj obradi osobnih podataka može govoriti u onim slučajevima kada se npr. putem posebnih fizioloških obilježja (šarenica oka, otisci papilarnih linija i sl.) putem IT sustava te matematičkih algoritama trenutačno postiže nedvojbena identifikacija pojedine fizičke osobe te je za obradu takvih osobnih podataka u privatnom sektoru nužno ishoditi izričitu privolu ispitanika.
U odnosu na osobnu iskaznicu ističemo kako ista sadrži biometrijske podatke unutar „čipa“ koji se nalazi skriven na osobnoj iskaznici te se isključivo njegovim očitanjem od strane nadležnih državnih tijela pristupa identifikaciji fizičke osobe te posljednično njezinim biometrijskim podacima. No, isto tako je nužno za naglasiti kako osobna iskaznica, sama po sebi, ne predstavlja biometrijski podatak, a osobito ga ne predstavlja u slučaju kada npr. poslodavaci prikupljaju preslike osobnih iskaznica zaposlenika (ukoliko za to postoji osnova iz članka 6. stavka 1. Opće uredbe o zaštiti podataka).
