बायोमेट्रिक डेटा और GDPR: नीदरलैंड में नियम

उंगलियों के निशान, चेहरे की छवियां या आवाज के पैटर्न जैसे बायोमेट्रिक डेटा, GDPR के तहत व्यक्तिगत डेटा की एक विशेष श्रेणी है, जब इसका उपयोग किसी व्यक्ति की विशिष्ट पहचान करने के लिए किया जाता है। नीदरलैंड्स में इस तरह का प्रसंस्करण सिद्धांत रूप में प्रतिबंधित है; मुख्य अपवाद तब है जब यह प्रमाणीकरण या सुरक्षा उद्देश्यों के लिए आवश्यक हो, और कर्मचारियों के लिए यह परीक्षण शायद ही कभी टाइम क्लॉक या कार्यालय के दरवाजे पर होता है।

डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, AP) इन नियमों को सख्ती से लागू करता है और वैध आधार के बिना बायोमेट्रिक्स का उपयोग करने वाले नियोक्ताओं और प्रौद्योगिकी कंपनियों पर जुर्माना लगा चुका है। नीचे हम बताते हैं कि बायोमेट्रिक डेटा किसे माना जाता है, इसके लिए कौन से कानूनी आधार उपलब्ध हैं, आपको डेटा सुरक्षा प्रभाव आकलन की आवश्यकता कब होती है, कौन से सुरक्षा उपाय अपेक्षित हैं और कुछ गलत होने पर क्या करना चाहिए।

GDPR के अंतर्गत बायोमेट्रिक डेटा क्या है?

बायोमेट्रिक डेटा किसी व्यक्ति की शारीरिक, शारीरिक क्रियात्मक या व्यवहारिक विशेषताओं के विशिष्ट तकनीकी प्रसंस्करण से प्राप्त व्यक्तिगत डेटा होता है, जो उस व्यक्ति की विशिष्ट पहचान को सक्षम या पुष्टि करता है। उद्देश्य और तकनीक ही पहचान का निर्धारण करते हैं, न कि छवि या रिकॉर्डिंग का प्रकार।

यह परिभाषा सामान्य डेटा संरक्षण विनियमन (जीडीपीआर) के अनुच्छेद 4(14) में दी गई है । पहचान पत्र पर कर्मचारी की तस्वीर व्यक्तिगत डेटा है, लेकिन स्वतः बायोमेट्रिक डेटा नहीं है। जैसे ही उसी तस्वीर को चेहरे के टेम्पलेट में परिवर्तित किया जाता है और किसी पहचान प्रणाली द्वारा भवन में प्रवेश देने के लिए उपयोग किया जाता है, वह बायोमेट्रिक डेटा बन जाती है। यह बदलाव कानूनी ढांचे को पूरी तरह से बदल देता है।

बायोमेट्रिक पहचानकर्ताओं के उदाहरणों में उंगलियों के निशान, चेहरे की बनावट, पुतली और रेटिना के पैटर्न, आवाज के पैटर्न और व्यवहार संबंधी लक्षण जैसे टाइपिंग की लय या चलने का तरीका शामिल हैं। इनमें समानता यह है कि इनका उपयोग किसी विशिष्ट व्यक्ति की पहचान करने के लिए किया जाता है।

GDPR बायोमेट्रिक डेटा के साथ अलग तरह से व्यवहार क्यों करता है?

GDPR के अनुच्छेद 9 के तहत, किसी व्यक्ति की विशिष्ट पहचान के उद्देश्य से संसाधित बायोमेट्रिक डेटा व्यक्तिगत डेटा की विशेष श्रेणियों में आता है। इसी श्रेणी में नस्लीय या जातीय मूल, राजनीतिक राय, धार्मिक मान्यताएं, स्वास्थ्य और यौन जीवन से संबंधित डेटा भी शामिल है।

इसका कारण यह है कि दुरुपयोग के परिणाम गंभीर और अक्सर अपरिवर्तनीय होते हैं। पासवर्ड बदला जा सकता है; लेकिन उंगलियों के निशान या आंखों की पुतली नहीं बदली जा सकती। यदि बायोमेट्रिक टेम्पलेट्स का डेटाबेस लीक हो जाता है, तो संबंधित लोगों को पहचान धोखाधड़ी का दीर्घकालिक खतरा रहता है। नीचे दी गई तालिका में सामान्य अनुप्रयोग दिखाए गए हैं।

इन सबमें समान बात यह है कि इनका उद्देश्य विशिष्ट पहचान प्रदान करना है। जहां यह उद्देश्य मौजूद है, वहां अनुच्छेद 9 में उल्लिखित निषेध लागू होता है और आपको विशिष्ट अपवादों में से किसी एक की आवश्यकता होगी।

डच दृष्टिकोण कितना सख्त है?

एपी इन नियमों की सख्ती से व्याख्या करता है। इसका मूल बिंदु यह है कि बायोमेट्रिक पहचान निषिद्ध है, और इसके अपवाद सीमित हैं।

डच GDPR कार्यान्वयन अधिनियम (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) में एक राष्ट्रीय अपवाद जोड़ा गया है। अनुच्छेद 29 UAVG के तहत, बायोमेट्रिक डेटा का उपयोग विशिष्ट पहचान के लिए किया जा सकता है यदि यह प्रमाणीकरण या सुरक्षा उद्देश्यों के लिए आवश्यक हो। "आवश्यक" यहाँ महत्वपूर्ण शब्द है। इसका अर्थ है कि बैज, कोड या कुंजी जैसे कम हस्तक्षेपकारी साधनों से इस उद्देश्य को उचित रूप से प्राप्त नहीं किया जा सकता है। AP ने अपने दिशानिर्देश में स्पष्ट किया है कि दुकानों जैसे सार्वजनिक स्थानों पर चेहरे की पहचान सिद्धांत रूप में अनुमत नहीं है।

आपको किस कानूनी आधार की आवश्यकता है?

इसके लिए दो चीज़ें ज़रूरी हैं: डेटा प्रोसेसिंग के लिए GDPR के अनुच्छेद 6 के तहत वैध आधार, और विशेष श्रेणियों पर प्रतिबंध हटाने के लिए GDPR के अनुच्छेद 9(2) या UAVG के अनुच्छेद 29 के तहत अपवाद। इन दोनों के बिना, प्रोसेसिंग गैरकानूनी है।

GDPR के अनुच्छेद 6 में छह वैध आधार सूचीबद्ध हैं: सहमति, अनुबंध का निष्पादन, कानूनी दायित्व, महत्वपूर्ण हित, सार्वजनिक हित में कार्य और वैध हित। यह पहली बाधा है, और यह सभी व्यक्तिगत डेटा पर लागू होती है।

क्योंकि बायोमेट्रिक डेटा एक विशेष श्रेणी है, इसलिए आपको GDPR के अनुच्छेद 9(2) या UAVG के अनुच्छेद 29 में उल्लिखित डच अपवाद की शर्तों में से किसी एक को पूरा करना होगा। प्रतिबंध हटाने के केवल यही दो तरीके हैं। शुरू करने से पहले, यह भी निर्धारित कर लें कि नियंत्रक कौन है और प्रोसेसर कौन है, उदाहरण के लिए स्कैनिंग सिस्टम का आपूर्तिकर्ता। GDPR के तहत नियंत्रक और प्रोसेसर की भूमिकाओं पर हमारा लेख इस अंतर और आवश्यक प्रोसेसिंग समझौते की व्याख्या करता है।

स्पष्ट सहमति कब वैध होती है?

स्पष्ट सहमति सामान्य सहमति से कहीं अधिक उच्च मानक है। यह एक स्पष्ट, सकारात्मक कथन द्वारा दी जानी चाहिए और विशिष्ट, सूचित, असंदिग्ध और स्वेच्छा से दी गई होनी चाहिए।

• विशिष्ट: केवल "सुरक्षा उद्देश्यों" का सामान्य उल्लेख पर्याप्त नहीं है; आपको स्पष्ट रूप से बताना होगा कि आपको बायोमेट्रिक डेटा की आवश्यकता क्यों है।
• सूचित किया: लोगों को यह पता होना चाहिए कि आप कौन सा डेटा एकत्र करते हैं, आप उसका क्या करते हैं, किसे उस तक पहुंच प्राप्त है और आप उसे कितने समय तक रखते हैं।
• नि: व्यक्ति को नकारात्मक परिणामों के बिना मना करने में सक्षम होना चाहिए, और किसी भी समय सहमति वापस लेने में सक्षम होना चाहिए।

रोजगार संबंध में, अंतिम शर्त ही समस्या है। इनकार करने वाला कर्मचारी परिणामों से डर सकता है, और इसलिए नियोक्ता का मानना ​​है कि कर्मचारी की सहमति शायद ही कभी स्वेच्छा से दी जाती है। सहमति पर निर्भर रहने वाले नियोक्ता को यह साबित करना होगा कि कोई वास्तविक विकल्प मौजूद था और उसे व्यवहार में पेश किया गया था, न कि केवल कागज़ पर।

ग्राहकों के लिए, सहमति तभी कारगर हो सकती है जब भागीदारी वास्तव में स्वैच्छिक हो। एक ग्राहक जो चेहरे की पहचान से भुगतान करना चुनता है, जबकि उसी काउंटर पर एक समान विकल्प उपलब्ध है, वह उस कर्मचारी से अलग स्थिति में है जिसे काम शुरू करने के लिए फिंगरप्रिंट स्कैनर का उपयोग करना पड़ता है।

अन्य अपवाद क्या हैं?

अन्य अपवाद सीमित हैं। नीचे दी गई तालिका में सबसे प्रासंगिक अपवादों की तुलना की गई है।

सही आधार चुनने के लिए आपकी विशिष्ट स्थिति का दस्तावेजी विश्लेषण आवश्यक है। उस विश्लेषण के बिना सबसे सुविधाजनक आधार चुनना, नियमों का पालन न करने का सीधा रास्ता है।

क्या कर्मचारियों के लिए फिंगरप्रिंट या फेस स्कैन का उपयोग किया जा सकता है?

बायोमेट्रिक्स का उपयोग केवल तभी किया जाना चाहिए जब प्रमाणीकरण या सुरक्षा के लिए यह वास्तव में आवश्यक हो और कोई कम दखल देने वाला तरीका काम न आए। समय पंजीकरण, कैश रजिस्टर या सामान्य कार्यालय के दरवाजे के मामले में, आमतौर पर ऐसा नहीं होता है।

अनुच्छेद 29 यूएवीजी के तहत परीक्षण यह है कि क्या उद्देश्य को कम दखलंदाजी वाले साधनों से उचित रूप से प्राप्त किया जा सकता है। कैश काउंटर, समय-पंजीकरण प्रणाली या कार्यालय के दरवाजे तक पहुंच को नियंत्रित करने वाला स्कैनर आमतौर पर इस परीक्षण में विफल रहता है, क्योंकि बैज, कोड या चाबी बायोमेट्रिक डेटा के बिना वही परिणाम प्राप्त कर लेते हैं। जहां बायोमेट्रिक पहुंच स्वीकार्य है, वहां सुरक्षा हित महत्वपूर्ण और विशिष्ट होता है: खतरनाक पदार्थों का प्रबंधन करने वाली सुविधा, एक सुरक्षित प्रयोगशाला, डेटा केंद्र या तिजोरी।

ऊपर बताए गए कारणों से, सहमति से ऐसी व्यवस्था को बचाना मुश्किल होता है। इसके अलावा, एक दूसरी और अलग आवश्यकता भी है। जहाँ कोई श्रमिक परिषद (ओंडरनेमिंग्सराड) मौजूद है, वहाँ कर्मचारियों की उपस्थिति, व्यवहार या प्रदर्शन को दर्ज करने या निगरानी करने वाली, या उनके व्यक्तिगत डेटा को संसाधित करने वाली किसी भी प्रणाली के लिए श्रमिक परिषद अधिनियम (वेट ऑप डे ओन्डर्नेमिंग्सराडेन, डब्ल्यूओआर) के अनुच्छेद 27(1)(के) और (एल) के तहत उसकी सहमति आवश्यक है। जीडीपीआर का अनुपालन करने से यह आवश्यकता समाप्त नहीं होती है, और बिना सहमति के शुरू की गई किसी भी प्रणाली को चुनौती दी जा सकती है।

क्या आप ग्राहकों के लिए बायोमेट्रिक्स का उपयोग कर सकते हैं?

कभी-कभी, लेकिन वही सख्त नियम लागू होते हैं। ग्राहकों के मामले में, स्पष्ट सहमति एक वैध आधार हो सकती है, बशर्ते बायोमेट्रिक्स का उपयोग वास्तव में वैकल्पिक हो और कोई समकक्ष विकल्प उपलब्ध हो।

इसके सामान्य उदाहरणों में फिंगरप्रिंट से बैंकिंग ऐप को अनलॉक करना, ऑनलाइन खाता खोलते समय सेल्फी से पहचान सत्यापित करना और चेहरे की पहचान के माध्यम से जिम या किसी अन्य कार्यक्रम में प्रवेश पाना शामिल हैं। जहां बायोमेट्रिक जांच पूरी तरह से ग्राहक के अपने फोन पर, फोन की अंतर्निहित तकनीक का उपयोग करके होती है, वहां कंपनी को आमतौर पर बायोमेट्रिक डेटा प्राप्त नहीं होता है। इससे कंपनी के लिए जोखिम और दायित्व काफी कम हो जाते हैं।

यदि कंपनी स्वयं डेटा संसाधित करती है, उदाहरण के लिए अपने सर्वरों पर सेल्फी की तुलना पासपोर्ट फोटो से करती है, तो उसे एक वैध आधार की आवश्यकता होती है। सहमति के लिए यह आवश्यक है कि ग्राहक बिना किसी असुविधा के सत्यापन के लिए बैंक हस्तांतरण या शाखा में जाने जैसे अन्य विकल्प चुन सके। बैंकों और अन्य वित्तीय संस्थानों के लिए, मनी लॉन्ड्रिंग विरोधी कानून के तहत ग्राहक सुरक्षा संबंधी दायित्व महत्वपूर्ण भूमिका निभाते हैं, लेकिन इसके लिए स्वयं बायोमेट्रिक प्रोसेसिंग की आवश्यकता नहीं होती है।

चेहरे की पहचान करने वाले कैमरों के बारे में क्या ख्याल है?

दुकानों, स्टेडियमों या अन्य सार्वजनिक स्थानों पर निजी संस्थाओं द्वारा चेहरे की पहचान करने वाले कैमरों का उपयोग सैद्धांतिक रूप से अनुमत नहीं है। राहगीर स्पष्ट सहमति नहीं दे सकते, और अनुच्छेद 29 के तहत संदिग्ध UAVG परीक्षण के लिए शायद ही कभी कोई आवश्यकता होती है।

एपी ने खुदरा विक्रेताओं को चेतावनी दी है कि दुकान से सामान चुराने वालों या ग्राहकों की पहचान करने के लिए चेहरे की पहचान का उपयोग करना अनुमत नहीं है। बायोमेट्रिक पहचान के बिना सामान्य कैमरा निगरानी के लिए अलग, कम सख्त नियम लागू होते हैं, लेकिन फिर भी इसके लिए वैध कारण, स्पष्ट सूचना और सीमित समय के लिए डेटा रखने की आवश्यकता होती है। मौजूदा कैमरा सिस्टम में चेहरे की पहचान करने वाला सॉफ्टवेयर जोड़ने से मूल्यांकन पूरी तरह बदल जाता है।

आपको डेटा सुरक्षा प्रभाव आकलन की आवश्यकता कब पड़ती है?

लगभग हमेशा। लोगों की पहचान करने के लिए बायोमेट्रिक डेटा को प्रोसेस करना एक उच्च जोखिम वाला काम है, और एपी ने इसे उन प्रोसेसिंग कार्यों की सूची में रखा है जिनके लिए जीडीपीआर के अनुच्छेद 35 के तहत डेटा सुरक्षा प्रभाव आकलन (डीपीआईए) की आवश्यकता होती है।

डीपीआईए एक संरचित गोपनीयता जोखिम मूल्यांकन है। यह आपको अपनी योजना का विवरण देने, इसमें शामिल लोगों के लिए जोखिमों की पहचान करने और किसी भी उंगली के निशान या चेहरे को स्कैन करने से पहले उन जोखिमों को प्रबंधित करने का तरीका तय करने के लिए बाध्य करता है। यदि शेष जोखिम अधिक है और उसे पर्याप्त रूप से कम नहीं किया जा सकता है, तो आपको शुरू करने से पहले गोपनीयता सलाहकार (एपी) से परामर्श करना होगा (अनुच्छेद 36, जीडीपीआर)।

डीपीआईए कानूनी आधार पर आधारित है: आप पहले अनुच्छेद 6 के तहत एक आधार और अनुच्छेद 9 या अनुच्छेद 29 यूएवीजी के तहत एक अपवाद स्थापित करते हैं, और फिर आकलन करते हैं कि क्या विशिष्ट प्रणाली आवश्यक और आनुपातिक है।

डीपीआईए में क्या-क्या शामिल होता है?

उदाहरण के तौर पर, सर्वर रूम में प्रवेश के लिए फिंगरप्रिंट स्कैनर को लें। एक डीपीआईए में चार तत्व शामिल होते हैं।

• प्रसंस्करण का विवरण। आप कौन सा डेटा एकत्र करते हैं: एक टेम्पलेट या पूरी छवि? इसे कैसे एकत्र किया जाता है, कहाँ संग्रहीत किया जाता है, इसका उपयोग कैसे किया जाता है और इसे कब हटाया जाता है? किसे इसकी पहुँच प्राप्त है? क्या कोई आपूर्तिकर्ता शामिल है?
• आवश्यकता और अनुपात। आप किस विशिष्ट समस्या का समाधान कर रहे हैं, जैसे कि सर्वर रूम में अनधिकृत प्रवेश? इस मामले में बैज या कोड पर्याप्त क्यों नहीं हैं? क्या आपके द्वारा एकत्र किया गया डेटा न्यूनतम आवश्यक डेटा है?
• इसमें शामिल लोगों के लिए जोखिम। यदि टेम्प्लेट का डेटाबेस चोरी हो जाए तो क्या होगा? क्या बाद में इस डेटा का उपयोग अन्य उद्देश्यों के लिए किया जा सकता है, जैसे कि कार्य घंटों की निगरानी (फ़ंक्शन क्रीप)? उन कर्मचारियों का क्या होगा जिनके फिंगरप्रिंट पढ़े नहीं जा सकते? यदि आपातकालीन स्थिति में सिस्टम किसी अधिकृत व्यक्ति को लॉक कर दे तो क्या होगा?
• जोखिमों से निपटने के उपाय। तकनीकी उपाय जैसे कि एन्क्रिप्शन और कार्ड या डिवाइस पर भंडारण; संगठनात्मक उपाय जैसे कि नीति, प्रशिक्षण और उल्लंघन प्रतिक्रिया योजना; और एक गैर-बायोमेट्रिक विकल्प ताकि किसी को भी बाहर न रखा जाए।

डीपीआईए एक बार का दस्तावेज़ नहीं है। प्रक्रिया के दायरे, प्रकृति या संदर्भ में बदलाव होने पर इसकी समीक्षा अवश्य करें। यह इस बात का मुख्य प्रमाण है कि आपने तैनाती पर सावधानीपूर्वक विचार किया था। शिकायत के बाद लिखा गया विश्लेषण कम महत्व रखता है; शिकायत से पहले किया गया वही विश्लेषण दर्शाता है कि निर्णय सोच-समझकर लिया गया था।

किन सुरक्षा उपायों की अपेक्षा की जाती है?

कम से कम जानकारी एकत्र करें, उसे आवश्यकता से अधिक समय तक न रखें और मजबूत तकनीकी एवं संगठनात्मक उपायों से उसकी सुरक्षा करें। ये सिद्धांत GDPR के अनुच्छेद 5 और 32 से संबंधित हैं।

डेटा को कम से कम रखने से शुरुआत करें: केवल विशिष्ट और वैध उद्देश्य के लिए आवश्यक बायोमेट्रिक डेटा ही एकत्र करें। एक्सेस कंट्रोल के लिए, आमतौर पर एक टेम्पलेट ही पर्याप्त होता है; उच्च-रिज़ॉल्यूशन वाले चेहरे के स्कैन की आवश्यकता नहीं होती है। इसे स्टोरेज लिमिटेशन के साथ जोड़ें: डेटा को सुरक्षित रूप से तब डिलीट करें जब उसकी आवश्यकता न रह जाए, उदाहरण के लिए जब कोई कर्मचारी नौकरी छोड़ देता है या उसे एक्सेस की आवश्यकता नहीं रह जाती है।

तकनीकी और संगठनात्मक उपाय

सुरक्षा उच्च जोखिम के अनुरूप होनी चाहिए। प्रमुख तकनीकी उपायों में निम्नलिखित शामिल हैं:

• कूटलेखन बायोमेट्रिक डेटा, स्थिर अवस्था में और यात्रा के दौरान दोनों स्थितियों में।
• सख्त पहुँच नियंत्रणताकि केवल स्पष्ट आवश्यकता वाले अधिकृत कर्मचारी ही डेटा तक पहुंच सकें।
• विकेन्द्रीकृत भंडारणजहां तक ​​संभव हो, टेम्प्लेट को केंद्रीय डेटाबेस में रखने के बजाय डिवाइस पर या उपयोगकर्ता के अपने कार्ड पर स्टोर करें। इससे बड़े पैमाने पर डेटा लीक होने की संभावना काफी कम हो जाती है।

केवल तकनीक ही पर्याप्त नहीं है। बायोमेट्रिक डेटा पर लिखित नीति, कर्मचारियों का प्रशिक्षण, समय-समय पर सुरक्षा ऑडिट और आपूर्तिकर्ताओं के साथ स्पष्ट समझौते जैसे संगठनात्मक उपाय भी उतने ही महत्वपूर्ण हैं। यदि कोई आपूर्तिकर्ता आपकी ओर से डेटा संसाधित करता है, तो आपको GDPR के अनुच्छेद 28 के तहत एक प्रसंस्करण समझौते की आवश्यकता होती है।

एक स्पष्ट गोपनीयता सूचना

लोगों को यह जानने का अधिकार है कि आप उनके बायोमेट्रिक डेटा का क्या करते हैं (अनुच्छेद 13 और 14 GDPR)। जानकारी संक्षिप्त, आसानी से खोजने योग्य और सरल भाषा में लिखी होनी चाहिए।

बायोमेट्रिक प्रोसेसिंग पर गोपनीयता नोटिस में यह स्पष्ट होना चाहिए कि आप कौन हैं और आपसे कैसे संपर्क किया जा सकता है, आप डेटा को क्यों संसाधित करते हैं, अनुच्छेद 6 के तहत कानूनी आधार और जिस अपवाद पर भरोसा किया गया है, आप कौन सा डेटा एकत्र करते हैं (उदाहरण के लिए फिंगरप्रिंट टेम्पलेट), आप इसे कितने समय तक रखते हैं, आप इसे किसके साथ साझा करते हैं, जिसमें आपूर्तिकर्ता भी शामिल हैं, और लोगों के क्या अधिकार हैं, जैसे कि पहुंच, सुधार, विलोपन और आपत्ति।

स्पष्ट भाषा का एक उदाहरण: “सर्वर रूम में प्रवेश देने के लिए हम आपके फिंगरप्रिंट का संख्यात्मक निरूपण, यानी फिंगरप्रिंट टेम्पलेट का उपयोग करते हैं। यह टेम्पलेट केवल आपके व्यक्तिगत एक्सेस कार्ड पर संग्रहीत होता है। आपकी पहुँच समाप्त होने पर हम इसे अपने सिस्टम से हटा देते हैं। आप किसी भी समय अपना डेटा देखने या हटाने का अनुरोध कर सकते हैं।”

क्या एआई अधिनियम भी लागू होता है?

जी हां, कुछ बायोमेट्रिक प्रणालियों के लिए। यूरोपीय संघ का कृत्रिम बुद्धिमत्ता अधिनियम (विनियमन (ईयू) 2024/1689) जीडीपीआर के अतिरिक्त नियम जोड़ता है।

2 फरवरी 2025 से, कृत्रिम बुद्धिमत्ता अधिनियम कई प्रथाओं पर पूर्णतः प्रतिबंध लगाता है, जिनमें चेहरे की पहचान के डेटाबेस बनाने के लिए इंटरनेट या कैमरा फुटेज से बिना लक्षित चेहरे की छवियों को इकट्ठा करना, कार्यस्थल और शिक्षा में भावनाओं की पहचान करना (चिकित्सा या सुरक्षा कारणों को छोड़कर) और नस्ल या यौन अभिविन्यास जैसी संवेदनशील विशेषताओं का अनुमान लगाने के लिए बायोमेट्रिक वर्गीकरण करना शामिल है। दूरस्थ बायोमेट्रिक पहचान जैसी अन्य बायोमेट्रिक प्रणालियों को उच्च जोखिम वाली श्रेणी में रखा गया है और उन पर सख्त आवश्यकताएं लागू होती हैं। किसी भी प्रणाली को लागू करने से पहले दोनों ढांचों की जांच अवश्य कर लें।

अनुपालन न करने के परिणाम क्या हैं?

भारी जुर्माना, प्रसंस्करण रोकने के आदेश और हर्जाने का दावा। विशेष श्रेणियों के गैरकानूनी प्रसंस्करण के लिए, GDPR 20 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार के 4% तक, जो भी अधिक हो, जुर्माना लगाने का प्रावधान करता है।

ये अधिकतम राशियाँ GDPR के अनुच्छेद 83(5) के अंतर्गत आती हैं और अन्य बातों के अलावा, वैध आधार या अपवाद के बिना प्रसंस्करण पर लागू होती हैं। सुरक्षा और उल्लंघन अधिसूचना संबंधी दायित्वों (GDPR के अनुच्छेद 32 से 34) के उल्लंघन पर 10 मिलियन यूरो तक या वैश्विक कारोबार के 2% तक का जुर्माना लगाया जा सकता है। जुर्माना प्रभावी, आनुपातिक और निवारक होना चाहिए। AP अपनी जुर्माना नीति के तहत राशि निर्धारित करता है।

एपी ने क्या लागू किया है?

एपी ने गैरकानूनी बायोमेट्रिक प्रोसेसिंग के लिए नियोक्ताओं और प्रौद्योगिकी कंपनियों दोनों पर जुर्माना लगाया है। दो फैसले विशेष रूप से उल्लेखनीय हैं।

2020 में, एपी ने एक कंपनी पर 725,000 यूरो का जुर्माना लगाया, जो कर्मचारियों की उपस्थिति और समय पंजीकरण के लिए उनके फिंगरप्रिंट स्कैन करती थी। एपी ने पाया कि कोई भी अपवाद लागू नहीं होता: कर्मचारियों की सहमति स्वेच्छा से नहीं दी गई थी, और घंटों के पंजीकरण में सुविधा कोई ऐसा सुरक्षा उद्देश्य नहीं है जिसके लिए बायोमेट्रिक प्रोसेसिंग आवश्यक हो। सितंबर 2024 में, एपी ने अमेरिकी कंपनी क्लियरव्यू एआई पर 30.5 मिलियन यूरो का जुर्माना लगाया, क्योंकि उसने बिना किसी कानूनी आधार के डच लोगों सहित चेहरों की छवियों का डेटाबेस बनाया था।

एपी के प्रवर्तन के संबंध में चार प्रश्न प्रमुख हैं। इसका उद्देश्य क्या है, जिसे सामान्य रूप से "सुरक्षा" के बजाय स्पष्ट रूप से बताया गया हो? क्या इसे कम दखलंदाजी वाले तरीकों से प्राप्त किया जा सकता है? यदि सहमति पर भरोसा किया जाता है, तो क्या लोग बिना किसी परिणाम के इनकार कर सकते हैं? और क्या इस प्रणाली को लागू करने से पहले इसका आकलन और दस्तावेजीकरण किया गया था? डच डेटा संरक्षण प्राधिकरण पर हमारा लेख एपी की शक्तियों को अधिक विस्तार से समझाता है।

अन्य परिणाम

जुर्माना ही एकमात्र जोखिम नहीं है। एपी आपको डेटा प्रोसेसिंग रोकने का आदेश दे सकता है, जिससे आपके संचालन पर निर्भर प्रणाली ठप्प हो सकती है, और यह आपको गैरकानूनी रूप से एकत्र किए गए डेटा को हटाने का आदेश भी दे सकता है। जिन लोगों के डेटा को गैरकानूनी रूप से संसाधित किया गया है, वे जीडीपीआर के अनुच्छेद 82 के तहत भौतिक और गैर-भौतिक क्षति के लिए मुआवजे का दावा कर सकते हैं, और नीदरलैंड में ऐसे दावे सामूहिक रूप से भी किए जा सकते हैं। सार्वजनिक प्रवर्तन निर्णय से प्रतिष्ठा को काफी नुकसान हो सकता है।

बायोमेट्रिक डेटा लीक होने पर आप क्या करेंगे?

उल्लंघन को नियंत्रित करें, जोखिम का आकलन करें, 72 घंटों के भीतर एपी को सूचित करें और यदि जोखिम अधिक है, तो प्रभावित लोगों को बिना किसी अनावश्यक देरी के सूचित करें। कुछ भी गलत होने से पहले ही इसे एक प्रतिक्रिया योजना में तैयार कर लें।

GDPR के अनुच्छेद 33 के तहत, आपको व्यक्तिगत डेटा उल्लंघन की सूचना AP को बिना किसी अनावश्यक देरी के और संभव होने पर, इसकी जानकारी मिलने के 72 घंटों के भीतर देनी होगी, बशर्ते कि उल्लंघन से संबंधित व्यक्तियों को कोई जोखिम होने की संभावना न हो। सूचना में उल्लंघन की प्रकृति, प्रभावित व्यक्तियों और रिकॉर्ड की श्रेणियां और अनुमानित संख्या, संभावित परिणाम और उठाए गए या प्रस्तावित उपायों का विवरण होना चाहिए। यदि आप एक बार में सारी जानकारी नहीं दे सकते, तो आप इसे बाद में पूरक कर सकते हैं।

चरण 1: उल्लंघन को नियंत्रित करें और उसके प्रभाव का आकलन करें

आपकी पहली प्राथमिकता डेटा लीक को रोकना है। प्रभावित सिस्टमों को अलग करें, जांच के लिए लॉग और अन्य सबूत सुरक्षित रखें, और यह सुनिश्चित करें कि वास्तव में कौन सा डेटा प्रभावित हुआ है: कच्ची छवियां या एन्क्रिप्टेड टेम्पलेट्स, और किसका।

चरण 2: प्रभावित लोगों को सूचित करना है या नहीं, यह तय करें।

GDPR के अनुच्छेद 34 के तहत, यदि डेटा लीक से लोगों के अधिकारों और स्वतंत्रता को गंभीर खतरा होने की संभावना है, तो आपको प्रभावित लोगों को बिना किसी अनावश्यक देरी के सूचित करना होगा। बायोमेट्रिक डेटा के मामले में, यह सीमा अक्सर पूरी हो जाती है, क्योंकि डेटा को बदला नहीं जा सकता। उदाहरण के लिए, वह डेटा अपवाद है जिसे अत्यधिक एन्क्रिप्ट किया गया था और जिसकी कुंजी से छेड़छाड़ नहीं हुई थी। संदेश सरल भाषा में होना चाहिए: क्या हुआ, कौन सा डेटा शामिल था और लोग अपनी सुरक्षा के लिए क्या कर सकते हैं।

चरण 3: प्रतिक्रिया को अंजाम दें और उसका दस्तावेजीकरण करें।

हर कदम को रिकॉर्ड करें: उल्लंघन का पता चलने का क्षण, लिए गए निर्णय, संचार और तकनीकी उपाय। GDPR के अनुच्छेद 33(5) के तहत आपको हर उल्लंघन का दस्तावेजीकरण करना होगा, जिसमें वे उल्लंघन भी शामिल हैं जिनकी रिपोर्ट करना अनिवार्य नहीं था। अच्छा दस्तावेजीकरण AP को दर्शाता है कि आपने सावधानीपूर्वक कार्रवाई की और इससे AP द्वारा मामले के मूल्यांकन पर भी प्रभाव पड़ सकता है।

यह व्यवहार में कैसे काम करता है?

हमें मिलने वाले अधिकांश प्रश्न नियोक्ताओं से आते हैं जो बैज को फिंगरप्रिंट या फेस स्कैन से बदलना चाहते हैं, और उन कंपनियों से आते हैं जो ग्राहक सत्यापन के लिए बायोमेट्रिक्स का उपयोग करना चाहती हैं। परिणाम आवश्यकता और उपलब्ध विकल्पों पर निर्भर करता है।

एक लॉजिस्टिक्स कंपनी का उदाहरण लीजिए जो अपने गोदाम के प्रवेश द्वार पर फिंगरप्रिंट स्कैनर लगाना चाहती है। डीपीआईए (DPIA) से पता चलता है कि इसका उद्देश्य बैज की साझाकरण को रोकना है, लेकिन पिन कोड वाले व्यक्तिगत बैज इस समस्या को काफी हद तक हल कर देंगे। कंपनी बैज और पिन कोड का विकल्प चुनती है और बायोमेट्रिक पहुंच को केवल उच्च मूल्य के सामान वाले एक छोटे से तिजोरी कक्ष तक सीमित रखती है, जहां वह एक गैर-बायोमेट्रिक विकल्प प्रदान करती है, व्यक्तिगत कार्डों पर टेम्पलेट संग्रहीत करती है और उसने वर्क्स काउंसिल की सहमति प्राप्त कर ली है। एपी को इसी तरह के तर्क देखने की उम्मीद है।

सारांश में

• विशिष्ट पहचान के लिए उपयोग किया जाने वाला बायोमेट्रिक डेटा, GDPR के अनुच्छेद 9 के अंतर्गत एक विशेष श्रेणी है; अपवाद लागू होने तक इसका प्रसंस्करण निषिद्ध है।
• नीदरलैंड्स में, अनुच्छेद 29 यूएवीजी इसकी अनुमति केवल प्रमाणीकरण या सुरक्षा के लिए आवश्यक होने पर ही देता है; सुविधा पर्याप्त नहीं है।
• कर्मचारियों की सहमति शायद ही कभी मान्य होती है; एक वास्तविक गैर-बायोमेट्रिक विकल्प प्रदान करें और जहां आवश्यक हो, कार्य परिषद की सहमति प्राप्त करें।
• पहले से ही डीपीआईए (डेटा डेवलपमेंट इंडिकेटर) करें, डेटा को कम से कम रखें, टेम्प्लेट को स्थानीय रूप से स्टोर करें और उन्हें एन्क्रिप्ट करें।
• उल्लंघनों की रिपोर्ट 72 घंटों के भीतर एपी को दें; जुर्माना 20 मिलियन यूरो या वैश्विक कारोबार के 4% तक हो सकता है।

ज़्यादातर पूछे जाने वाले सवाल

Law & More हम नियोक्ताओं और प्रौद्योगिकी कंपनियों को बायोमेट्रिक सिस्टम, डीपीआईए, डेटा उल्लंघन और एपी के समक्ष कार्यवाही के बारे में सलाह देते हैं। क्या आप अपनी स्थिति को लेकर अनिश्चित हैं? हमें अपनी स्थिति के बारे में बताएं। हम आपको एक कार्यदिवस के भीतर आपके विकल्पों के बारे में बता देंगे।

कैसे Law & More हम इस मामले में आपकी मदद कर सकते हैं, इसके बारे में हमारी वेबसाइट पर विस्तार से बताया गया है। आईटी वकील इस पृष्ठ पर ज़ूम कई वीडियो ट्यूटोरियल और अन्य साहायक साधन प्रदान करता है।