Biometrijski ukrepi, kot način evidentiranja prisotnosti zaposlenih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 15.10.2006 Številka: 0712-238/2006/2 Kategorije:Biometrija --> Kategorije: Biometrija Spoštovani,prejeli smo vaš dopis. Sprašujete nas, ali je glede na zakonodajo s področja varstva osebnih podatkov dopustno uvesti biometrijske ukrepe, kot način evidentiranja prisotnosti zaposlenih na delu.Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše nezavezujoče mnenje.Sistemski zakon, ki ureja področje varstva osebnih podatkov v Sloveniji, je Zakon o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1). ZVOP-1 v posebnem poglavju (členi 78 do 81) ureja biometrijo oziroma obdelavo biometričnih značilnosti, kot obdelavo posebne vrste osebnih podatkov.____________ je javni zavod in sodi na podlagi
- točke,
- člena ZVOP-1 v javni sektor. Biometrijske ukrepe v zvezi z zaposlenimi v javnem sektorju se lahko uvede le pod pogoji iz
- člena, v povezavi z
- členom ZVOP-
- Ker za uvedbo biometrijskih ukrepov v vašem primeru ni zakonske podlage, potrebujete v skladu z drugim odstavkom
- člena ZVOP-1 dovoljenje Informacijskega pooblaščenca, kot pristojnega državnega nadzornega organa. Izvajanje biometrijskih ukrepov brez dovoljenja Informacijskega pooblaščenca je nezakonito in se šteje za prekršek, za katerega je v skladu z
- členom ZVOP-1 predpisana globa od 1.000.000 do 3.000.000 tolarjev za pravno osebo javnega sektorja.Dovoljenje izda Informacijski pooblaščenec na podlagi zahteve, v kateri so navedeni nameravani ukrepi in razlogi za njihov uvedbo. Informacijski pooblaščenec po prejemu zahteve preveri, ali je uvedba biometrijskih ukrepov v skladu s prvim odstavkom
- člena. Pooblaščenec predvsem preveri, ali so nameravani biometrijski ukrepi nujno potrebni za opravljanje dejavnosti, za varnost ljudi ali premoženja, varovanje tajnih podatkov ali varovanje poslovne skrivnosti (pogoji iz prvega odstavka
- člena ZVOP-1). Kdaj je uvedba biometrijskih ukrepov nujno potrebna, se presoja od primera do primera in vključuje več elementov. Pooblaščenec predvsem presodi sam namen, ki ga zasleduje vložnik zahteve (upravljavec). Namen mora biti resen in utemeljen ter podprt z dovolj dokazi. Ne zadostuje zgolj pavšalno navajanje, zakaj je uvedba biometrijskih ukrepov nujno potrebna. Ugotavlja se tudi ali bi isti namen lahko zadovoljivo dosegli z načini preverjanja oz. ugotavljanja identitete, ki ne vključujejo biometrijskih ukrepov, ki torej manj posegajo v zasebnost in dostojanstvo zaposlenih. Nadalje, Pooblaščenec presoja tudi tehnične vidike biometrijskih ukrepov. Presoja, ali se postopek uporablja za preverjanje identitete (avtentikacija) ali za ugotavljanje identitete (identifikacija) in s tem povezano, ali se biometrični podatki shranjujejo na centralni lokaciji ali decentralizirano. Presoja tudi, kdo ima dostop do teh podatkov, ali so te podatki ustrezno varovani, v kakšni obliki se shranjujejo itn. V presojo je namreč potrebno vzeti vse vidike nameravanih biometrijskih ukrepov.Če torej upravljavec osebnih podatkov, ki želi uvesti biometrijske ukrepe za evidenco delovnega časa, dokaže, da so nameni, ki jih zasleduje, takšni, da so biometrijski ukrepi ne samo potrebni, temveč so nujno potrebni in da tega namena ni mogoče doseči na drug način, ki je s stališča zasebnosti in dostojanstva zaposlenih manj škodljiv oziroma vsiljiv, potem se tudi evidentiranje delovnega časa načeloma lahko izvede z biometrijskimi ukrepi. Praksa pa kaže, da upravljavci uvajajo biometrijske ukrepe za evidentiranje delovnega časa zgolj, ker je takšen način bodisi bolj praktičen od sistema z brezkontaktnimi karticami ali pa želijo preprečiti zlorabe s posojanjem kartic, pri čemer slednji razlog zgolj pavšalno navedejo in ne ponudijo tudi dovolj dokazov za svoje trditve. Ne ponudijo dokazov, da se zloraba s posojenimi karticami dogaja v takšnem obsegu, da to predstavlja za organizacijo velik problem in da evidentiranje delovnega časa ne morejo rešiti na drug način, ki ne vključuje biometrijskih ukrepov. Zgolj navajanje razlogov za uvedbo biometrije, brez ustrezne utemeljitve podprte z dokazi, ne zadosti pogojem iz
- člena ZVOP-
- V nadaljevanju vam posredujemo še nekaj vprašanj, ki bi si jih moral delodajalec zastaviti pred uvedbo biometrijskih ukrepov (povzeto po irskem organu pristojnem za varstvo osebnih podatkov).
- Ali že imamo vzpostavljen sistem za evidentiranje prisotnosti zaposlenih na delu in/ali sistem za kontrolo vstopov v prostore?
- Zakaj ga želimo zamenjati?
- Kakšne so poglavitne slabosti tega sistema?
- Ali so slabosti posledica nepopolnega izvajanja ali so neločljivo povezane z naravo samega sistema?
- Ali smo preverili več različnih tipov sistemov, ki bi prišli v poštev za naše potrebe?
- Ali bi sistemi, ki ne vključujejo biometrijskih ukrepov, zadovoljivo izpolnili naše potrebe?
- Ali potrebujemo sistem, ki vključuje biometrijske ukrepe?
- Če ga potrebujemo, kakšne vrste sistema potrebujemo?
- Ali potrebujemo sistem, ki temelji na ugotavljanju identitete, ali sistem, ki temelji na preverjanju identitete (avtentikacija)?
- Ali potrebujemo centralno zbirko biometričnih podatkov?
- Ali bi lahko sistem temeljil tudi na decentraliziranem shranjevanju biometričnih podatkov?
- Kakšne namene pravzaprav želimo doseči z biometrijskimi ukrepi?
- Ali ga potrebujemo za evidentiranje prisotnosti zaposlenih na delu ali/in za kontrolo vstopa v prostore (fizične in informacijske)?
- Kako natančno želim zajeti biometrične podatke?
- Kakšni so postopki za zagotavljanje točnosti in ažurnosti biometričnih podatkov?
- Ali je biometrične podatke, ki jih bomo shranjevali, potrebno ažurirati?
- Kakšni so postopki in načini za zavarovanje biometričnih podatkov?
- Kdo bo imel dostop do biometričnih podatkov?
- Zakaj, kdaj in pod katerimi pogoji bo do teh podatkov mogoč dostop?
- Kaj se bo štelo za zlorabo sistema s strani zaposlenih?
- Kakšne bodo postopki za ugotavljanje ali je šlo za zlorabo ali le za napako?
- Ali bo sistem poleg biometrijskih ukrepov temeljil še na kakšnem dodatnem načinu ugotavljanju oz. preverjanju identitete (osebna gesla, brezkontaktne kartice ipd.)
- Če bo, ali bi ti dodatni načini ugotavljanja oz. preverjanja identitete zadovoljivo izpolnili namene, ki jih zasledujemo tudi brez biometrijskih ukrepov?
- Kako bomo obvestili vse zaposlene o uvedbi biometrijskih ukrepov?
- Katere informacije bomo posredovali zaposlenim?Pooblaščenec objavlja odločbe v postopku odločanja o izvajanju biometrijskih ukrepov. Odločbe se nahajajo na http://www.ip-rs.si/index.php?id=424 (izberite vsebinsko področje »biometrija«).Obrazec vloge za izdajo odločbe Informacijskega pooblaščenca za dovoljenje izvajanja biometrije se nahaja na spletni strani Pooblaščenca http://www.ip-rs.si/index.php?id=462.Z lepimi pozdravi, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026