નેધરલેન્ડ્સમાં બાયોમેટ્રિક ડેટા GDPR પાલન માટેની માર્ગદર્શિકા

બાયોમેટ્રિક ડેટા અને GDPR પાલનને સમજવા માટે, આપણે સૌ પ્રથમ એક મૂળભૂત પ્રશ્નનો જવાબ આપવાની જરૂર છે: બાયોમેટ્રિક ડેટા ખરેખર શું છે ? તે ફક્ત કોઈ વ્યક્તિગત માહિતી નથી. અમે અનન્ય શારીરિક અથવા વર્તણૂકીય લક્ષણો - જેમ કે ફિંગરપ્રિન્ટ, આઇરિસ પેટર્ન, અથવા તો કોઈના અવાજ - માંથી મેળવેલા ડેટા વિશે વાત કરી રહ્યા છીએ જે ચોક્કસ વ્યક્તિને સ્પષ્ટપણે ઓળખી શકે છે.

તેને એક જૈવિક ચાવી તરીકે વિચારો, જે વ્યક્તિ માટે અનન્ય છે અને તેને બદલવું લગભગ અશક્ય છે.

GDPR હેઠળ બાયોમેટ્રિક ડેટા વ્યાખ્યાયિત કરવો

જનરલ ડેટા પ્રોટેક્શન રેગ્યુલેશન (GDPR) હેઠળ, કોઈ વસ્તુને "બાયોમેટ્રિક ડેટા" બનાવતી વસ્તુ તેના પ્રકાર (જેમ કે ફોટો) થી નહીં, પરંતુ તમે જેના માટે તેની પ્રક્રિયા કરી રહ્યા છો તે હેતુથી છે . કર્મચારીના ID બેજ પરનો એક સરળ ફોટોગ્રાફ આપમેળે બાયોમેટ્રિક ડેટા માનવામાં આવતો નથી.

જોકે, જે ક્ષણે તે જ ફોટોગ્રાફને ચહેરાની ઓળખ સિસ્ટમમાં ફીડ કરવામાં આવે છે જેથી કોઈ ઇમારતમાં પ્રવેશ મળે, તે ક્ષણે તે બાયોમેટ્રિક ડેટા બની જાય છે. કાનૂની માળખું સંપૂર્ણપણે બદલાઈ જાય છે.

મહત્વપૂર્ણ પરિબળ એ "વિશિષ્ટ તકનીકી પ્રક્રિયા" છે જેનો ઉપયોગ અનન્ય ઓળખના હેતુ માટે થાય છે. આ ભેદને યોગ્ય રીતે પાર પાડવો એ તમારી પાલન જવાબદારીઓને સમજવાનો પાયો છે. બાયોમેટ્રિક ડેટાની પ્રક્રિયા પરની અમારી માર્ગદર્શિકામાં તમે ઘોંઘાટમાં વધુ ઊંડાણપૂર્વક જઈ શકો છો.

જીડીપીઆર બાયોમેટ્રિક ડેટાને અલગ રીતે કેમ વર્તે છે

બાયોમેટ્રિક ડેટાને GDPR ના કલમ 9 હેઠળ 'વ્યક્તિગત ડેટાની ખાસ શ્રેણી' તરીકે વર્ગીકૃત કરવામાં આવ્યો છે . આ વર્ગીકરણ તેને નીચેના વિશેની માહિતી જેવા જ ઉચ્ચ-જોખમ જૂથમાં મૂકે છે:

• વંશીય અથવા વંશીય મૂળ
• રાજકીય મંતવ્યો
• ધાર્મિક અથવા દાર્શનિક માન્યતાઓ
• સ્વાસ્થ્ય કે જાતીય જીવન

આ ઉચ્ચ દરજ્જો એક સારા કારણસર છે: બાયોમેટ્રિક ડેટાના ભંગના પરિણામો ઉલટાવી શકાય તેવા નથી. પાસવર્ડથી વિપરીત, તમે ફક્ત તમારી ફિંગરપ્રિન્ટ અથવા તમારી આઇરિસ બદલી શકતા નથી. જો આ ડેટા સાથે ચેડા થાય છે, તો તે વ્યક્તિ માટે ઓળખ ચોરી અને છેતરપિંડીનું કાયમી જોખમ ઊભું કરે છે.

સ્પષ્ટ ચિત્ર પૂરું પાડવા માટે, અહીં GDPR હેઠળ સામાન્ય બાયોમેટ્રિક ડેટા પ્રકારો અને તેમની સ્થિતિનું વિભાજન છે.

કોષ્ટક બતાવે છે તેમ, સુસંગત થીમ અનન્ય ઓળખ માટે આ ડેટાનો ઉપયોગ છે , જે કલમ 9 હેઠળ આપમેળે વિશેષ શ્રેણી સુરક્ષાને ટ્રિગર કરે છે.

ડચ નિયમનકારી અભિગમ

અહીં નેધરલેન્ડ્સમાં, ડચ ડેટા પ્રોટેક્શન ઓથોરિટી (Autoriteit Persoonsgegevens અથવા AP) આ નિયમોનું ખાસ કરીને કડક અર્થઘટન લાગુ કરે છે. ઉદાહરણ તરીકે, ચહેરાની ઓળખ ટેકનોલોજી પરના તેમના માર્ગદર્શનથી સ્પષ્ટ થાય છે કે મોટાભાગના સંજોગોમાં તેનો ઉપયોગ પ્રતિબંધિત છે.

મુખ્ય કસોટી હંમેશા એ હોય છે કે શું પ્રક્રિયાનો હેતુ કુદરતી વ્યક્તિને સ્પષ્ટપણે ઓળખવાનો છે. આ કડક વલણ દર્શાવે છે કે આવી સિસ્ટમ લાગુ કરવાનું વિચારતા પહેલા તમારા કાનૂની સમર્થનની કેટલી મજબૂતાઈ હોવી જોઈએ.

બાયોમેટ્રિક ડેટા પ્રોસેસિંગ માટે તમારા કાયદેસર આધાર શોધવો

જ્યારે તમે બાયોમેટ્રિક ડેટા સાથે કામ કરી રહ્યા હોવ, ત્યારે GDPR મૂળભૂત રીતે તમને બે અલગ કાનૂની અવરોધોને દૂર કરે છે. તે ડેટા પર પ્રક્રિયા કરવા માટે ફક્ત એક સારું કારણ શોધવાનો કેસ નથી. સામાન્ય પ્રક્રિયા માટે તમારે કલમ 6 હેઠળ કાયદેસર આધારની જરૂર છે, અને પછી કલમ 9 થી બીજી, ઘણી કડક શરતની જરૂર છે કારણ કે તમે 'વિશેષ શ્રેણી' ડેટાને હેન્ડલ કરી રહ્યા છો. આ બે-ભાગની આવશ્યકતા સંપૂર્ણપણે બિન-વાટાઘાટોપાત્ર છે.

તેને બે અલગ અલગ તાળાઓવાળી બેંકની તિજોરી જેવું વિચારો. કલમ 6 એ પહેલી ચાવી છે, જે તમને કોઈપણ પ્રકારના વ્યક્તિગત ડેટા પ્રોસેસિંગ માટે જરૂરી છે. પરંતુ બાયોમેટ્રિક્સ ખૂબ સંવેદનશીલ હોવાથી, કલમ 9 માટે દરવાજો ખોલવાનું વિચારતા પહેલા બીજી, વધુ વિશિષ્ટ ચાવીની જરૂર પડે છે.

GDPR પાલનની બે-મુખ્ય સિસ્ટમ

સૌપ્રથમ, તમારે કલમ 6 ના છ કાયદેસર આધારોમાંથી એક પર તમારી પ્રક્રિયાનો આધાર રાખવાની જરૂર છે . આ સામાન્ય શંકાસ્પદ બાબતો છે: સંમતિ, કરારની આવશ્યકતા, તમારે પૂરી કરવાની કાનૂની જવાબદારી, મહત્વપૂર્ણ હિતો, જાહેર કાર્ય કરવું, અથવા તમારા પોતાના કાયદેસર હિતો.

એકવાર તમે તમારા કલમ 6 ના આધારને મજબૂત બનાવી લો, પછી વાસ્તવિક પડકાર શરૂ થાય છે. તમારે કલમ 9(2) માં સૂચિબદ્ધ ચોક્કસ શરતોમાંથી એકને પણ પૂર્ણ કરવી પડશે , જે ખાસ શ્રેણીના ડેટાની પ્રક્રિયા કરવા માટેના એકમાત્ર પ્રવેશદ્વાર છે. બાયોમેટ્રિક્સ માટે, સૌથી પ્રખ્યાત - અને સૌથી વધુ વારંવાર ગેરસમજ થતી - શરત સ્પષ્ટ સંમતિ છે.

સ્પષ્ટ સંમતિનું વિઘટન

'સ્પષ્ટ સંમતિ' ને માર્કેટિંગ ન્યૂઝલેટર માટે ઉપયોગમાં લેવાતી પ્રમાણભૂત સંમતિ સાથે ગૂંચવશો નહીં. આ એક ખૂબ જ ઉચ્ચ મર્યાદા છે. તેને તમારા નિયમો અને શરતોમાં સમાવી શકાતી નથી અથવા કોઈના કાર્યોમાંથી ગર્ભિત કરી શકાતી નથી. તે એક સ્પષ્ટ, સકારાત્મક ક્રિયા હોવી જોઈએ જે:

• વિશિષ્ટ: તમે ફક્ત "સુરક્ષા હેતુઓ" માટે અસ્પષ્ટ સંમતિ માંગી શકતા નથી. તમારે બાયોમેટ્રિક ડેટાની જરૂર શા માટે છે તે સ્પષ્ટપણે જણાવવાની જરૂર છે.
• જાણકારી: લોકોને બરાબર ખબર હોવી જોઈએ કે તમે કયો ડેટા એકત્રિત કરી રહ્યા છો, તમે તેનું શું કરશો, તે કોણ જોઈ શકશે અને તમે તેને કેટલો સમય રાખશો.
• મુક્તપણે આપવામાં આવે છે: આ તે જગ્યા છે જ્યાં વાત મુશ્કેલ બની જાય છે, ખાસ કરીને કાર્યસ્થળમાં. કોઈ કર્મચારી બાયોમેટ્રિક સિસ્ટમ માટે સંમત થવા માટે દબાણ અનુભવી શકે છે, અને જો તેઓ ઇનકાર કરે તો નકારાત્મક પરિણામોનો ભય રાખે છે. તે શક્તિ અસંતુલનનો અર્થ એ છે કે તેમની સંમતિ ખરેખર 'મુક્ત રીતે આપવામાં આવી નથી' અને તેથી તે કાયદેસર રીતે અમાન્ય છે.

ડચ એપી (Autoriteit Persoonsgegevens) કર્મચારી બાયોમેટ્રિક ડેટાની પ્રક્રિયા માટે સંમતિનો ઉપયોગ કરવાના આધાર તરીકે કરવા અંગે અત્યંત શંકાસ્પદ છે. ઓથોરિટીનો પ્રારંભિક મુદ્દો એ છે કે આવી સંમતિ લગભગ ક્યારેય મુક્તપણે આપવામાં આવતી નથી અને પરિણામે, GDPR ની કડક આવશ્યકતાઓને પૂર્ણ કરવામાં નિષ્ફળ જાય છે.

નેધરલેન્ડ્સમાં વ્યવસાયો માટે આ એક મહત્વપૂર્ણ મુદ્દો છે. બાયોમેટ્રિક ટાઇમ ક્લોક અથવા ઓફિસ એક્સેસ સિસ્ટમ માટે કર્મચારીની સંમતિ પર આધાર રાખવો એ લગભગ હંમેશા પાલન માટે અડચણરૂપ હોય છે. તમારે મજબૂત, વધુ યોગ્ય કાનૂની આધારો શોધવાની જરૂર છે.

સંમતિ ઉપરાંત: અન્ય કલમ 9 અપવાદોનું અન્વેષણ કરવું

જ્યારે સ્પષ્ટ સંમતિ બધી હેડલાઇન્સ પર કબજો કરે છે, ત્યારે કલમ 9 કેટલાક અન્ય, ખૂબ જ સાંકડા, અપવાદો પ્રદાન કરે છે જે બાયોમેટ્રિક ડેટાનો ઉપયોગ કરવાને યોગ્ય ઠેરવી શકે છે. ખાતરી કરવી મહત્વપૂર્ણ છે કે તમારી ચોક્કસ પરિસ્થિતિ આમાંની એક સ્થિતિમાં સંપૂર્ણ રીતે બંધબેસે છે, કારણ કે તેને ખોટું કરવાથી ગંભીર મુશ્કેલી થઈ શકે છે. દરેક વ્યવસાયે તેની ભૂમિકા અને જવાબદારીઓનું કાળજીપૂર્વક મૂલ્યાંકન કરવાની જરૂર પડશે, જેના વિશે તમે GDPR હેઠળ નિયંત્રક અને પ્રોસેસરની અમારી વિગતવાર સમજૂતીમાં વાંચી શકો છો.

આ સ્પષ્ટ કરવા માટે, ચાલો સૌથી સુસંગત શરતો અને તેમની કડક આવશ્યકતાઓની તુલના કરીએ.

બાયોમેટ્રિક ડેટા પ્રોસેસિંગ માટે કાયદેસર આધાર સરખામણી

નીચે આપેલ કોષ્ટક કલમ 9 ની સામાન્ય શરતોનું વિભાજન કરે છે જેનો તમે વિચાર કરી શકો છો, તે ક્યાં કાર્ય કરે છે અને ક્યાં તેઓ ઘણીવાર ભૂલ કરે છે તે દર્શાવે છે.

અંતે, યોગ્ય કાયદેસર આધાર પસંદ કરવો એ સૌથી સરળ વિકલ્પ પસંદ કરવાનો નથી. તે તમારા ચોક્કસ સંજોગોનું સંપૂર્ણ, દસ્તાવેજીકૃત વિશ્લેષણ માંગે છે. ફક્ત સૌથી અનુકૂળ લાગે તે વિકલ્પને પકડવો એ બિન-પાલનનો ઝડપી માર્ગ છે અને ડચ એપી તરફથી દરવાજા પર સંભવિત ખટખટાવ છે.

ડેટા પ્રોટેક્શન ઇમ્પેક્ટ એસેસમેન્ટ કેવી રીતે કરવું

જો તમારી સંસ્થા બાયોમેટ્રિક ડેટાને કોઈપણ વાસ્તવિક સ્તરે પ્રોસેસ કરવાનું વિચારી રહી હોય, તો ડેટા પ્રોટેક્શન ઇમ્પેક્ટ એસેસમેન્ટ (DPIA) ફક્ત એક સારો વિચાર નથી - તે GDPR હેઠળ કાનૂની રીતે ફરજિયાત છે.

DPIA ને એક ઔપચારિક ગોપનીયતા જોખમ મૂલ્યાંકન તરીકે વિચારો. તે એક સંરચિત પ્રક્રિયા છે જે તમને તમારી યોજનાનો બરાબર નકશો બનાવવા, વ્યક્તિઓ માટે સંભવિત જોખમો શોધવા અને એક પણ ફિંગરપ્રિન્ટ અથવા ચહેરો સ્કેન કરતા પહેલા તે જોખમોનું સંચાલન કેવી રીતે કરવું તે શોધવા માટે દબાણ કરે છે.

આ એક સરળ બોક્સ-ટિકિંગ કસરત કરતાં ઘણું વધારે છે. તે જવાબદારી દર્શાવવાનો અને તમારી સિસ્ટમની ડિઝાઇનમાં ડેટા સુરક્ષાને શામેલ કરવાનો એક મૂળભૂત ભાગ છે. બાયોમેટ્રિક્સ જેવી કોઈપણ ઉચ્ચ-જોખમ પ્રવૃત્તિ માટે, ડચ ડેટા પ્રોટેક્શન ઓથોરિટી (AP) જો ક્યારેય પ્રશ્નો પૂછવા આવશે તો તેઓ એક વ્યાપક અને સુવિચારિત DPIA જોવાની અપેક્ષા રાખશે.

બાયોમેટ્રિક્સ માટે DPIA શરૂ કરતા પહેલા, તમારે પહેલા બે મૂળભૂત કાનૂની અવરોધોને દૂર કરવા પડશે, જેમ કે નીચેનો આકૃતિ બતાવે છે.

તમારે પહેલા કલમ 6 હેઠળ કાયદેસરનો આધાર શોધવો પડશે અને પછી કલમ 9 હેઠળની કડક, ચોક્કસ શરતોમાંથી એકને પૂર્ણ કરવી પડશે. તે પછી જ તમે તમારા મૂલ્યાંકન સાથે આગળ વધી શકો છો.

DPIA ના મુખ્ય ઘટકો

એક મજબૂત DPIA ને પ્રક્રિયાનું વ્યવસ્થિત રીતે વર્ણન કરવાની જરૂર છે, તે શા માટે જરૂરી અને પ્રમાણસર છે તેનું મૂલ્યાંકન કરવાની જરૂર છે, અને લોકોના અધિકારો અને સ્વતંત્રતાઓ માટેના જોખમોનું સંચાલન કરવાની જરૂર છે. ચાલો એક ખૂબ જ સામાન્ય દૃશ્યનો ઉપયોગ કરીને મુખ્ય પગલાંઓ પર ચાલીએ: ઓફિસ એક્સેસ કંટ્રોલ માટે ફિંગરપ્રિન્ટ સ્કેનર ઇન્સ્ટોલ કરવું.

1. પ્રક્રિયાનું વર્ણન કરો: ચોક્કસ બનો. તમારે શરૂઆતથી અંત સુધી ડેટાની સમગ્ર સફરની વિગતવાર માહિતી આપવાની જરૂર છે.

   • તમે ખરેખર શું એકત્રિત કરી રહ્યા છો? (દા.ત., ફિંગરપ્રિન્ટ ટેમ્પ્લેટ્સ, સંપૂર્ણ છબીઓ નહીં).
   • આ ડેટા કેવી રીતે એકત્રિત કરવામાં આવશે, તેને ક્યાં સંગ્રહિત કરવામાં આવશે, તેનો ઉપયોગ કેવી રીતે કરવામાં આવશે અને ક્યારે કાઢી નાખવામાં આવશે?
   • આ ડેટા કોણ ઍક્સેસ કરી શકે છે અને શા માટે?
   • શું કોઈ તૃતીય-પક્ષ વિક્રેતાઓ સામેલ છે, જેમ કે સ્કેનર સિસ્ટમ પૂરી પાડતી કંપની?

2. આવશ્યકતા અને પ્રમાણસરતાનું મૂલ્યાંકન કરો: આ તે જગ્યા છે જ્યાં તમે તમારા નિર્ણયને યોગ્ય ઠેરવો છો. તેમાં તમારે તમારી પોતાની ધારણાઓને પડકારવાની અને સાબિત કરવાની જરૂર છે કે બાયોમેટ્રિક્સનો ઉપયોગ કરવો એ સૌથી સમજદાર પસંદગી છે.

   • તમે કઈ ચોક્કસ સમસ્યાને ઠીક કરવાનો પ્રયાસ કરી રહ્યા છો? (દા.ત., સર્વર રૂમમાં અનધિકૃત પ્રવેશ અટકાવવા).
   • આ ચોક્કસ પરિસ્થિતિ માટે ઓછી કર્કશ પદ્ધતિઓ, જેમ કે સુરક્ષિત કી કાર્ડ અથવા પિન કોડ, શા માટે પૂરતી સારી નથી?
   • શું તમે જે ડેટા એકત્રિત કરી રહ્યા છો તે ખરેખર તમારા ધ્યેયને પ્રાપ્ત કરવા માટે જરૂરી ન્યૂનતમ છે?

3. જોખમો ઓળખો અને તેનું મૂલ્યાંકન કરો: તમારી જાતને એક કર્મચારીના સ્થાને મૂકો. તેમના માટે શું ખોટું થઈ શકે છે?

   • ડેટા ભંગ: જો ફિંગરપ્રિન્ટ ટેમ્પ્લેટ્સનો ડેટાબેઝ ચોરાઈ જાય તો વાસ્તવિક દુનિયા પર શું અસર પડશે?
   • ફંક્શન ક્રીપ: શું આ ડેટાનો ઉપયોગ ભવિષ્યમાં અન્ય બાબતો માટે થઈ શકે છે, જેમ કે કર્મચારીઓ ક્યારે આવે છે અને ક્યારે જાય છે તેનું નિરીક્ષણ કરવું, તેમને કહ્યા વિના?
   • બાકાત: જો કોઈ કર્મચારી ત્વચાની બીમારી અથવા ઘસાઈ ગયેલા ફિંગરપ્રિન્ટ્સને કારણે સિસ્ટમનો ઉપયોગ ન કરી શકે તો શું થાય? શું તેમના માટે કોઈ વિકલ્પ છે?
   • અચોક્કસતા: ફાયર એલાર્મ દરમિયાન જો સિસ્ટમમાં ખામી સર્જાય અને કોઈ અધિકૃત વ્યક્તિને બહાર કાઢી નાખવામાં આવે તો શું?

4. જોખમો ઘટાડવા માટેના પગલાં ઓળખો: હવે, તમે હમણાં જ સૂચિબદ્ધ કરેલા દરેક જોખમ માટે, તમારે એક નક્કર ઉકેલ પ્રસ્તાવિત કરવાની જરૂર છે. આ પ્રક્રિયાનો સૌથી વ્યવહારુ ભાગ છે.

   • ટેકનિકલ પગલાં: આનો અર્થ એ થઈ શકે છે કે ડેટા માટે મજબૂત એન્ક્રિપ્શન લાગુ કરવું, સુરક્ષિત ટેમ્પલેટ સ્ટોરેજનો ઉપયોગ કરવો (ડિવાઈસ પર ઘણીવાર સેન્ટ્રલ સર્વર કરતાં વધુ સારું હોય છે), અને કડક ઍક્સેસ નિયંત્રણો લાગુ કરવા.
   • સંગઠનાત્મક પગલાં: આમાં બાયોમેટ્રિક ડેટા પર સ્પષ્ટ નીતિ બનાવવી, તેના પર સ્ટાફને તાલીમ આપવી અને આ સિસ્ટમ માટે ચોક્કસ ડેટા ભંગ પ્રતિભાવ યોજના તૈયાર રાખવાનો સમાવેશ થાય છે.
   • પ્રમાણસરતાના માપદંડો: શક્ય હોય ત્યાં ઍક્સેસ માટે હંમેશા બિન-બાયોમેટ્રિક વિકલ્પ પ્રદાન કરો. આ ખાતરી કરે છે કે સિસ્ટમ કોઈને પણ અન્યાયી રીતે બાકાત રાખતી નથી.

સારી રીતે અમલમાં મૂકાયેલ DPIA એ એક જીવંત દસ્તાવેજ છે. તે એવું નથી કે તમે એકવાર કરો અને પછી ફાઇલ કરો. જો તમારી બાયોમેટ્રિક પ્રક્રિયાનો અવકાશ, પ્રકૃતિ અથવા સંદર્ભ બદલાય તો તેની સમીક્ષા કરવી જોઈએ અને તેને અપડેટ કરવી જોઈએ. જો કોઈ નિયમનકાર ક્યારેય તમારી પ્રથાઓ પર પ્રશ્ન ઉઠાવે છે તો તે તમારા ડ્યુ ડિલિજન્સનો પ્રાથમિક પુરાવો તરીકે કામ કરે છે.

આ માળખાને અનુસરીને, DPIA એક મુશ્કેલ કાનૂની જવાબદારીમાંથી એક શક્તિશાળી વ્યૂહાત્મક સાધનમાં બદલાય છે. તે ખાતરી કરવામાં મદદ કરે છે કે બાયોમેટ્રિક્સનો તમારો ઉપયોગ દૂરંદેશી અને જવાબદારીના મજબૂત પાયા પર બનેલો છે, જે તમારી સંસ્થા અને તમે જેમના ડેટા પર પ્રક્રિયા કરી રહ્યા છો તે લોકો બંનેનું રક્ષણ કરે છે.

રોજિંદા પાલન માટે આવશ્યક પગલાં

બાયોમેટ્રિક ડેટા માટે તમારા GDPR પાલનને યોગ્ય રીતે પૂર્ણ કરવું એ એક વખતનું કાનૂની કામ નથી જે તમે ફક્ત એક યાદીમાંથી કાઢી શકો છો. તે એક સતત પ્રતિબદ્ધતા છે જે તમારા રોજિંદા કાર્યોના માળખામાં વણાયેલી હોવી જોઈએ. એકવાર તમે તમારા કાયદેસર આધારને ગોઠવી લો અને DPIA પૂર્ણ કરી લો, પછી આ સંવેદનશીલ ડેટાને જવાબદારીપૂર્વક સંચાલિત કરવાનું વાસ્તવિક કાર્ય ખરેખર શરૂ થાય છે. તે બધું કાનૂની સિદ્ધાંતોને વ્યવહારુ, રોજિંદા કાર્યોમાં ફેરવવા વિશે છે.

આના મૂળમાં GDPR ના મુખ્ય સિદ્ધાંતો તમારી કંપનીના ડિફોલ્ટ સેટિંગ બને તે સુનિશ્ચિત કરવાનું છે. શરૂઆત કરવા માટે એક ઉત્તમ સ્થળ ડેટા મિનિમાઇઝેશન છે . તે એક સરળ પણ અતિ શક્તિશાળી વિચાર છે: ફક્ત તે જ બાયોમેટ્રિક ડેટા એકત્રિત કરો જે તમને તમારા ચોક્કસ, કાયદેસર હેતુ માટે જરૂરી છે. વધુ કંઈ નહીં. જો તમે ઓફિસ એક્સેસ સિસ્ટમ સેટ કરી રહ્યા છો, તો શું તમને ખરેખર ઉચ્ચ-રિઝોલ્યુશન ફેશિયલ સ્કેનની જરૂર છે જ્યારે ખૂબ સરળ બાયોમેટ્રિક ટેમ્પ્લેટ પણ કામ કરશે? કદાચ નહીં.

આ સ્ટોરેજ મર્યાદા સાથે હાથ જોડીને જાય છે . બાયોમેટ્રિક ડેટા કાયમ માટે રાખવો જોઈએ નહીં. તમારે સ્પષ્ટ રીટેન્શન નીતિઓ સ્થાપિત કરવાની અને લાગુ કરવાની જરૂર છે. આ નિયમોમાં ચોક્કસ જણાવવું જોઈએ કે તમે ડેટા કેટલો સમય સંગ્રહિત કરશો અને ખાતરી કરવી જોઈએ કે જ્યારે તે તેના મૂળ હેતુ માટે જરૂરી ન હોય ત્યારે તે સુરક્ષિત રીતે કાઢી નાખવામાં આવે.

ટેકનિકલ અને સંગઠનાત્મક સલામતીના પગલાંનો અમલ કરવો

બાયોમેટ્રિક ડેટાને યોગ્ય રીતે સુરક્ષિત રાખવા માટે બહુ-સ્તરીય સુરક્ષા વ્યૂહરચના જરૂરી છે. આનો અર્થ એ છે કે તકનીકી ઉકેલો અને મજબૂત આંતરિક નીતિઓ બંનેને એકસાથે લાવવા. આ ફક્ત સારી વસ્તુઓ નથી; તે GDPR હેઠળ બિન-વાટાઘાટોપાત્ર આવશ્યકતાઓ છે.

અહીં કેટલાક મુખ્ય તકનીકી પગલાં છે જે તમારે રાખવા જોઈએ:

• મજબૂત એન્ક્રિપ્શન: બધા બાયોમેટ્રિક ડેટા એન્ક્રિપ્ટેડ હોવા જોઈએ, સમયગાળા દરમિયાન. આ સર્વર અથવા ઉપકરણો પર સંગ્રહિત હોય ત્યારે બંને લાગુ પડે છે (ઘોડો આરામ) અને જ્યારે તે નેટવર્ક પર મોકલવામાં આવે છે (પરિવહનમાં). એન્ક્રિપ્શન ડેટાને વાંચી ન શકાય તેવો અને કોઈપણ વ્યક્તિ માટે નકામો બનાવે છે જે પરવાનગી વિના તેને મેળવી શકે છે.
• સખત ઍક્સેસ નિયંત્રણો: તમારી સંસ્થામાં દરેક વ્યક્તિએ બાયોમેટ્રિક ડેટા જોવાની કે હેન્ડલ કરવાની જરૂર નથી. વસ્તુઓને બંધ કરવા માટે ભૂમિકા-આધારિત ઍક્સેસ નિયંત્રણોનો ઉપયોગ કરો, ખાતરી કરો કે ફક્ત સ્પષ્ટ, કાયદેસર જરૂરિયાત ધરાવતા અધિકૃત સ્ટાફ જ આ માહિતીને ઍક્સેસ કરી શકે.
• સુરક્ષિત સ્ટોરેજ: જ્યારે પણ શક્ય હોય, ત્યારે બાયોમેટ્રિક ટેમ્પ્લેટ્સને એક મોટા કેન્દ્રીય ડેટાબેઝમાં સંગ્રહિત કરવાનું ટાળો. વધુ સુરક્ષિત અભિગમ એ છે કે તેમને સ્થાનિક રીતે ઉપકરણ પર સંગ્રહિત કરો, જેમ કે સ્કેનર પોતે અથવા કર્મચારીના એક્સેસ કાર્ડ પર. આ વિકેન્દ્રિત મોડેલ વિનાશક માસ ડેટા ભંગનું જોખમ નાટકીય રીતે ઘટાડે છે.

પરંતુ માત્ર ટેકનોલોજી પૂરતી નથી. તમારા સંગઠનાત્મક પગલાં પણ એટલા જ મહત્વપૂર્ણ છે. બાયોમેટ્રિક-ફર્સ્ટ સુરક્ષા અભિગમોમાં જોવા મળતા મજબૂત સુરક્ષા પગલાં અમલમાં મૂકવાથી છેતરપિંડીનું જોખમ ગંભીરતાથી ઘટાડી શકાય છે અને તમારા એકંદર પાલનને મજબૂત બનાવી શકાય છે. આનો અર્થ એ પણ થાય છે કે ડેટા સુરક્ષા નીતિઓ પર સ્ટાફને નિયમિતપણે તાલીમ આપવી અને સમસ્યા બને તે પહેલાં નબળાઈઓ શોધવા અને સુધારવા માટે સમયાંતરે સુરક્ષા ઓડિટ ચલાવવા.

પારદર્શક અને સ્પષ્ટ ગોપનીયતા સૂચનાઓ બનાવવી

પારદર્શિતા એ GDPR નો પાયો છે. લોકોને તેમના બાયોમેટ્રિક ડેટા સાથે તમે શું કરી રહ્યા છો તે બરાબર જાણવાનો સંપૂર્ણ અધિકાર છે. તમારી ગોપનીયતા સૂચના તમારી વેબસાઇટના ફૂટરમાં દફનાવવામાં આવેલ એક ગાઢ, શબ્દભંડોળથી ભરેલો દસ્તાવેજ ન હોઈ શકે. તે સ્પષ્ટ, સંક્ષિપ્ત અને કોઈપણ વ્યક્તિ માટે શોધવા અને સમજવામાં સરળ હોવી જોઈએ.

બાયોમેટ્રિક ડેટા પ્રોસેસિંગ માટે સુસંગત ગોપનીયતા સૂચનામાં સ્પષ્ટપણે સમજાવવું આવશ્યક છે:

1. તમે કોણ છો: તમારી કંપનીનું નામ અને સંપર્ક વિગતો.
2. તમે ડેટા પર પ્રક્રિયા કેમ કરી રહ્યા છો: ચોક્કસ, કાયદેસર કારણ (દા.ત., "અમારી સંશોધન પ્રયોગશાળામાં પ્રવેશ સુરક્ષિત કરવા").
3. તમારો કાનૂની આધાર: તમે જેના પર આધાર રાખી રહ્યા છો તે ચોક્કસ કલમ 6 અને કલમ 9 શરતો.
4. કયો ડેટા એકત્રિત કરવામાં આવી રહ્યો છે: ચોક્કસ બનો. ફક્ત "બાયોમેટ્રિક્સ" ન કહો; સ્પષ્ટ કરો કે તે ફિંગરપ્રિન્ટ ટેમ્પ્લેટ છે, આઇરિસ સ્કેન છે, વગેરે.
5. તમે તેને કેટલો સમય રાખશો: તમારો ડેટા રીટેન્શન સમયગાળો.
6. તમે તેને કોની સાથે શેર કરશો: આમાં કોઈપણ તૃતીય-પક્ષ ટેક પ્રદાતાઓનો સમાવેશ થાય છે.
7. તેમના અધિકારો: તેમને તેમના ડેટાને ઍક્સેસ કરવાના, સુધારવાના, ભૂંસી નાખવાના અને તેની પ્રક્રિયા સામે વાંધો ઉઠાવવાના અધિકાર વિશે જણાવો.

સ્પષ્ટ ભાષાનું ઉદાહરણ: "અમે સર્વર રૂમમાં પ્રવેશ આપવા માટે ફિંગરપ્રિન્ટ ટેમ્પ્લેટનો ઉપયોગ કરીએ છીએ, જે તમારા ફિંગરપ્રિન્ટનું સુરક્ષિત આંકડાકીય પ્રતિનિધિત્વ છે. આ ટેમ્પ્લેટ ફક્ત તમારા વ્યક્તિગત એક્સેસ કાર્ડ પર સંગ્રહિત થાય છે અને તમારી રોજગાર સમાપ્ત થયાના 24 કલાકની અંદર અમારી સિસ્ટમમાંથી કાઢી નાખવામાં આવે છે. તમે કોઈપણ સમયે તમારો ડેટા જોવા અથવા કાઢી નાખવાની વિનંતી કરી શકો છો."

આ પ્રકારની સ્પષ્ટતા ફક્ત કાનૂની બોક્સને ટિક કરવા કરતાં વધુ કાર્ય કરે છે - તે વિશ્વાસ બનાવે છે. જ્યારે તમે કોઈની સૌથી વધુ વ્યક્તિગત માહિતીને કેવી રીતે હેન્ડલ કરો છો તે અંગે સ્પષ્ટ અને પારદર્શક છો, ત્યારે તમે ડેટા સુરક્ષા પ્રત્યે પ્રતિબદ્ધતા દર્શાવો છો જે સરળ પાલનથી આગળ વધે છે. તે કાનૂની જરૂરિયાતને તમારી સંસ્થાની પ્રામાણિકતાના પાયાના પથ્થરમાં ફેરવે છે.

નેધરલેન્ડ્સમાં અમલીકરણ અને દંડની શોધખોળ

બાયોમેટ્રિક ડેટા પર GDPR ના કડક નિયમોને અવગણવા એ માત્ર એક સૈદ્ધાંતિક જોખમ નથી; તે ગંભીર નાણાકીય અને પ્રતિષ્ઠાના પરિણામો ધરાવે છે. નેધરલેન્ડ્સમાં, ડેટા પ્રોટેક્શન ઓથોરિટી (Autoriteit Persoonsgegevens અથવા AP) તેના મજબૂત અમલીકરણ માટે જાણીતી છે. આનાથી ડેટાના ખોટા સંચાલનથી થતા સંભવિત પરિણામો કોઈપણ સંસ્થા માટે ધ્યાનમાં લેવા યોગ્ય પરિબળ બને છે.

આ અમલીકરણના પરિદૃશ્યને સમજવું જરૂરી છે. સંભવિત દંડ ફક્ત અમૂર્ત કાનૂની ધમકીઓ નથી. તે એક વાસ્તવિકતા છે જે દર્શાવે છે કે સક્રિય પાલન ખરેખર કેટલું મહત્વપૂર્ણ છે. તમારા ડેટા પ્રોસેસિંગને યોગ્ય રીતે કરવામાં રોકાણ હંમેશા તેને ખોટી રીતે મેળવવાના ભારે ખર્ચ કરતાં ઘણું ઓછું હોય છે.

પાલન ન કરવાની વાસ્તવિક કિંમત

GDPR હેઠળ, ડચ AP જેવા સુપરવાઇઝરી અધિકારીઓ પાસે નોંધપાત્ર દંડ લાદવાની સત્તા છે. આ દંડ અસરકારક, પ્રમાણસર અને નિરાશાજનક હોવા માટે રચાયેલ છે, જે પ્રતિબિંબિત કરે છે કે તેઓ ઉલ્લંઘનને કેટલી ગંભીરતાથી જુએ છે. ગંભીર ઉલ્લંઘનો માટે, જેમ કે માન્ય કાનૂની આધાર વિના વિશેષ શ્રેણીના ડેટા પર પ્રક્રિયા કરવી, દંડ આશ્ચર્યજનક હોઈ શકે છે.

સંસ્થાઓને €20 મિલિયન સુધી અથવા પાછલા નાણાકીય વર્ષથી તેમના કુલ વિશ્વવ્યાપી વાર્ષિક ટર્નઓવરના 4% , જે વધારે હોય તે દંડનો સામનો કરવો પડી શકે છે. આ બે-સ્તરીય સિસ્ટમ ખાતરી કરે છે કે દંડની સૌથી મોટી વૈશ્વિક કોર્પોરેશનો પર પણ નોંધપાત્ર અસર પડે છે.

નિયમનકારોનો સંદેશ સ્પષ્ટ છે: બાયોમેટ્રિક ડેટાનું ખોટું સંચાલન એ ડેટા સુરક્ષા કાયદાના સૌથી ગંભીર ઉલ્લંઘનોમાંનું એક છે. નાણાકીય દંડની રચના એ સુનિશ્ચિત કરવા માટે કરવામાં આવી છે કે પાલન ન કરવું એ કોઈપણ વ્યવસાય માટે, તેના કદને ધ્યાનમાં લીધા વિના, ક્યારેય નાણાકીય રીતે સધ્ધર વિકલ્પ ન બને.

નેધરલેન્ડ્સ અને EU માં હાઇ-પ્રોફાઇલ અમલીકરણ

ડચ એપી અને તેના યુરોપિયન સમકક્ષો દ્વારા તાજેતરના પગલાં દર્શાવે છે કે આ ખાલી ધમકીઓ નથી. સત્તાવાળાઓ સક્રિય રીતે તપાસ કરી રહ્યા છે અને તેમની જવાબદારીઓ પૂર્ણ કરવામાં નિષ્ફળ રહેતી સંસ્થાઓને દંડ કરી રહ્યા છે. ડચ સત્તાવાળાઓની ચોક્કસ ભૂમિકા અને સત્તાઓ વિશે વધુ માહિતી માટે, તમે ડચ ડેટા પ્રોટેક્શન ઓથોરિટી પરનો અમારો વિગતવાર લેખ વાંચી શકો છો.

આનું એક શક્તિશાળી ઉદાહરણ ક્લિયરવ્યૂ એઆઈ સામેની તાજેતરની કાર્યવાહી છે. 3 સપ્ટેમ્બર, 2024 ના રોજ, ડચ એપીએ અમેરિકન ફેશિયલ રેકગ્નિશન કંપની પર તેની ગેરકાયદેસર ડેટા કલેક્શન પ્રથાઓ બદલ €30.5 મિલિયનનો દંડ ફટકાર્યો . આ કેસ કાયદેસર આધાર વિના બાયોમેટ્રિક માહિતી પર પ્રક્રિયા કરવાના નોંધપાત્ર નાણાકીય પરિણામોને રજૂ કરે છે. તે સમગ્ર EU માં એક વ્યાપક વલણનો ભાગ છે, જ્યાં ડેટા સુરક્ષા અધિકારીઓએ કુલ અબજો યુરોનો દંડ લાદ્યો છે. સૌથી સામાન્ય અને ખર્ચાળ ઉલ્લંઘન? અપૂરતો કાનૂની આધાર. તમે સૌથી મોટા GDPR દંડ અને તેના કારણો વિશે વધુ શોધી શકો છો.

નાણાકીય દંડ ઉપરાંત

GDPR ઉલ્લંઘનના પરિણામો પ્રારંભિક દંડથી ઘણા આગળ વધે છે. પ્રતિષ્ઠાને નુકસાન વધુ ખર્ચાળ અને લાંબા ગાળાનું હોઈ શકે છે. જાહેર અમલીકરણ કાર્યવાહી ગ્રાહકો, ભાગીદારો અને જનતા તરફથી વિશ્વાસમાં નોંધપાત્ર ઘટાડો લાવી શકે છે.

અન્ય સંભવિત પરિણામોમાં શામેલ છે:

• સુધારાત્મક હુકમો: AP તમને ડેટા પ્રોસેસિંગ બંધ કરવાનો આદેશ આપી શકે છે, જેનાથી મહત્વપૂર્ણ વ્યવસાયિક કામગીરી બંધ થઈ શકે છે.
• ડેટા કાઢી નાખવાના આદેશો: તમારે અયોગ્ય રીતે એકત્રિત કરાયેલા બધા બાયોમેટ્રિક ડેટાને ભૂંસી નાખવાની જરૂર પડી શકે છે.
• સિવિલ લિટિગેશન: અસરગ્રસ્ત વ્યક્તિઓને નુકસાન માટે વળતર મેળવવાનો અધિકાર છે, જેનાથી વર્ગ-કાર્યવાહી મુકદ્દમાનો માર્ગ ખુલે છે.

આખરે, નેધરલેન્ડ્સમાં અમલીકરણનું ક્ષેત્ર મજબૂત છે. ડચ એપીએ દર્શાવ્યું છે કે તે વ્યક્તિઓના સૌથી સંવેદનશીલ ડેટાને સુરક્ષિત રાખવા માટે તેની સંપૂર્ણ શક્તિઓનો ઉપયોગ કરવામાં અચકાશે નહીં. આનાથી બાયોમેટ્રિક ડેટા GDPR પાલનને એક આવશ્યક વ્યવસાયિક પ્રાથમિકતા બનાવવામાં આવે છે.

તમારો બાયોમેટ્રિક ડેટા ભંગ પ્રતિભાવ યોજના બનાવવી

જ્યારે બાયોમેટ્રિક ડેટા સાથે ચેડા થાય છે, ત્યારે તે ફક્ત બીજી IT સમસ્યા નથી; તે એક સંપૂર્ણ સંકટ છે. તમે પાસવર્ડની જેમ ફિંગરપ્રિન્ટ અથવા આઇરિસ સ્કેન 'રીસેટ' કરી શકતા નથી. તે શરૂઆતના થોડા કલાકોમાં તમારી સંસ્થા કેવી રીતે કાર્ય કરે છે તે મહત્વપૂર્ણ છે, ફક્ત નુકસાનને મર્યાદિત કરવા માટે જ નહીં પરંતુ નિયમનકારોને બતાવવા માટે કે તમે જવાબદાર છો.

એટલા માટે બાયોમેટ્રિક ડેટા માટે ખાસ કરીને મજબૂત, પૂર્વ-તૈયાર ઘટના પ્રતિભાવ યોજના હોવી એ ફક્ત એક સારો વિચાર નથી - તે આવશ્યક છે. જે ક્ષણે તમને ભંગની જાણ થાય છે, તે જ ક્ષણે ઘડિયાળ ટિક ટિક કરવાનું શરૂ કરે છે.

૭૨ કલાકની સૂચનાની અંતિમ તારીખ

GDPR હેઠળ, વ્યક્તિગત ડેટા ભંગની જાણ થયા પછી, તમારી પાસે તમારા સુપરવાઇઝરી ઓથોરિટીને તેની જાણ કરવા માટે 72 કલાકનો કડક સમય છે . નેધરલેન્ડ્સમાં કાર્યરત કોઈપણ વ્યવસાય માટે, આનો અર્થ એ છે કે ડચ ડેટા પ્રોટેક્શન ઓથોરિટી (Autoriteit Persoonsgegevens, અથવા AP) ને સૂચિત કરવું.

બાત્તેર કલાક એ બહુ ઓછો સમય નથી, તેથી જ પૂર્વ-આયોજિત પ્રતિભાવ ખૂબ જ મહત્વપૂર્ણ છે. તમારી સૂચનામાં ભંગની પ્રકૃતિ, ડેટાના પ્રકારો અને અસરગ્રસ્ત વ્યક્તિઓની અંદાજિત સંખ્યા અને સંભવિત પરિણામોની વિગતો હોવી જોઈએ. તમારે પહેલાથી જ લીધેલા પગલાં અથવા લેવાની યોજના પણ સમજાવવી પડશે.

પગલું ૧: ભંગને રોકો અને અસરનું મૂલ્યાંકન કરો

તમારી તાત્કાલિક પ્રાથમિકતા રક્તસ્ત્રાવ બંધ કરવાની છે. આ માટે તમારી IT સુરક્ષા અને કાનૂની ટીમો વચ્ચે સંકલિત પ્રયાસની જરૂર છે જેથી ખતરાને કાબુમાં લઈ શકાય અને શું થયું તે ચોક્કસ રીતે શોધી શકાય.

• અસરગ્રસ્ત સિસ્ટમોને અલગ કરો: વધુ અનધિકૃત ઍક્સેસ અથવા ડેટા એક્સફિલ્ટરેશન અટકાવવા માટે ચેડા થયેલી સિસ્ટમોને તાત્કાલિક ઑફલાઇન કરો.
• પુરાવા સાચવો: બધા લોગ અને ડિજિટલ પુરાવા સુરક્ષિત રાખો. યોગ્ય ફોરેન્સિક તપાસ અને તમારા નિયમનકારી રિપોર્ટિંગ માટે આ મહત્વપૂર્ણ છે.
• ડેટા ઓળખો: કયા બાયોમેટ્રિક ડેટાને અસર થઈ હતી તે વિશે ચોક્કસ માહિતી મેળવો. શું તે કાચી છબીઓ હતી કે એન્ક્રિપ્ટેડ ટેમ્પ્લેટ્સ? કોણ કોણ સામેલ છે?

પગલું 2: નક્કી કરો કે તમારે વ્યક્તિઓને સૂચિત કરવું જોઈએ કે નહીં

એકવાર તમે ઉલ્લંઘનનો અવકાશ સમજી લો, પછી તમારે બીજા મહત્વપૂર્ણ નિર્ણયનો સામનો કરવો પડશે. GDPR મુજબ, જો ઉલ્લંઘન તેમના અધિકારો અને સ્વતંત્રતાઓ માટે ઉચ્ચ જોખમમાં પરિણમવાની શક્યતા હોય, તો તમારે અસરગ્રસ્ત વ્યક્તિઓને સીધા અને "અયોગ્ય વિલંબ વિના" સૂચિત કરવાની જરૂર છે.

બાયોમેટ્રિક ડેટા સાથે, આ 'ઉચ્ચ જોખમ' થ્રેશોલ્ડ લગભગ હંમેશા પૂર્ણ થાય છે. ઉલ્લંઘનથી ઓળખ ચોરી, નાણાકીય છેતરપિંડી અથવા અન્ય નોંધપાત્ર વ્યક્તિગત નુકસાન થઈ શકે છે. ડચ એપીએ આ સૂચના આવશ્યકતાઓનું વધુને વધુ કડક અમલીકરણ દર્શાવ્યું છે. 2024 દરમિયાન, સત્તાવાળાને 37,839 વ્યક્તિગત ડેટા ભંગ સૂચનાઓ મળી, જેમાં નોંધપાત્ર સંખ્યામાં ફોલો-અપ કાર્યવાહી શરૂ થઈ. ડચ એપીએનું વલણ ઘણીવાર અન્ય EU સત્તાવાળાઓથી અલગ હોય છે, મોટાભાગના ભંગને ઉચ્ચ જોખમ તરીકે જુએ છે અને તેથી અસરગ્રસ્ત વ્યક્તિઓને સીધી સૂચનાની જરૂર પડે છે. તમે ડેટા ભંગ માટે ડચ ડીપીએના અભિગમ વિશે વધુ આંતરદૃષ્ટિ શોધી શકો છો.

વ્યક્તિઓને તમારી સૂચના સ્પષ્ટ અને સરળ ભાષામાં હોવી જોઈએ. તેમાં શું થયું, કઈ માહિતી સામેલ હતી અને તેઓ પોતાને બચાવવા માટે કયા પગલાં લઈ શકે છે, જેમ કે ફિશિંગ પ્રયાસો માટે સતર્ક રહેવું તે સમજાવવું જોઈએ.

પગલું ૩: તમારા પ્રતિભાવને અમલમાં મૂકો અને દસ્તાવેજીકરણ કરો

તમારી પ્રતિભાવ યોજના એક જીવંત પુસ્તક હોવી જોઈએ, ધૂળ એકઠી કરતો દસ્તાવેજ નહીં. યોજનાનો અમલ કરતી વખતે, લેવામાં આવેલી દરેક ક્રિયાનું દસ્તાવેજીકરણ કરો. આ દસ્તાવેજીકરણ એપી માટે તમારો પ્રાથમિક પુરાવો બનશે કે તમે જવાબદારીપૂર્વક અને ખંતથી કાર્ય કર્યું છે.

આમાં શોધના ક્ષણથી દરેક નિર્ણય, સંદેશાવ્યવહાર અને તકનીકી પગલાંનો રેકોર્ડિંગ શામેલ છે. સારી રીતે દસ્તાવેજીકૃત પ્રતિભાવ નિયમનકારો તમારી સંસ્થાના એકંદર પાલનને કેવી રીતે જુએ છે તેના પર નોંધપાત્ર અસર કરી શકે છે અને કોઈપણ સંભવિત દંડની ગંભીરતાને અસર કરી શકે છે.

બાયોમેટ્રિક ડેટા પાલન પર સામાન્ય પ્રશ્નો

જ્યારે તમે નેધરલેન્ડ્સમાં બાયોમેટ્રિક્સના ઉપયોગની વ્યવહારિકતાઓ પર જાઓ છો, ત્યારે ઘણા બધા ચોક્કસ પ્રશ્નો ઉભા થાય છે. સિદ્ધાંતમાં નિયમોને સમજવું એક વાત છે, પરંતુ વાસ્તવિક દુનિયાના વ્યવસાયિક દૃશ્યોમાં તેમને લાગુ કરવું બીજી વાત છે. અમે અમારા ગ્રાહકો દ્વારા પૂછવામાં આવતા કેટલાક સૌથી સામાન્ય પ્રશ્નો એકત્રિત કર્યા છે જેથી તમને થોડી સ્પષ્ટતા મળે.

શું હું કર્મચારીઓને બાયોમેટ્રિક સમય ઘડિયાળનો ઉપયોગ કરવાની ફરજ પાડી શકું?

નેધરલેન્ડ્સમાં લગભગ દરેક પરિસ્થિતિમાં, જવાબ મક્કમ ના છે . ડચ એપી એવું માને છે કે નોકરીદાતા અને કર્મચારી વચ્ચેના સંબંધમાં સહજ શક્તિ અસંતુલન હોય છે. આ કારણે, કર્મચારીની સંમતિને ખરેખર 'મુક્ત રીતે આપવામાં આવેલી' ગણી શકાય નહીં, જે તેને ફરજિયાત ઉપયોગ માટે અમાન્ય કાનૂની આધાર બનાવે છે.

આગળ વધવા માટે, તમારે એક અનિવાર્ય અને સંપૂર્ણ જરૂરિયાત સાબિત કરવી પડશે જે કોઈપણ ઓછી આક્રમક પદ્ધતિ દ્વારા પૂરી કરી શકાતી નથી. સમય ટ્રેકિંગ જેવી સીધી વસ્તુ માટે તે એક અતિ ઉચ્ચ સ્તર છે, અને તે સફળ થવાની શક્યતા ખૂબ જ ઓછી છે.

શું કંપનીના ફોનને અનલોક કરવા માટે ચહેરાની ઓળખનો ઉપયોગ કરવો એ GDPR જોખમ છે?

હા, જો તમે તેને કાળજીપૂર્વક મેનેજ ન કરો તો આ ચોક્કસપણે GDPR જોખમ છે. જ્યારે તે એક સરળ સુવિધા જેવું લાગે છે, તમે હજી પણ ખાસ શ્રેણીના ડેટા પર પ્રક્રિયા કરી રહ્યા છો.

અહીં મુખ્ય બાબત એ છે કે ડેટા ક્યાં સંગ્રહિત થાય છે. જો ફેશિયલ ટેમ્પ્લેટ ફક્ત ઉપકરણ પર જ સુરક્ષિત રીતે રાખવામાં આવે અને ક્યારેય કેન્દ્રીય કંપનીના સર્વર પર મોકલવામાં ન આવે, તો જોખમ નોંધપાત્ર રીતે ઓછું હોય છે. તેમ છતાં, તમારે હજુ પણ DPIA કરાવવું જોઈએ, તે કેવી રીતે કાર્ય કરે છે તે અંગે તમારા કર્મચારી સાથે સંપૂર્ણપણે પારદર્શક રહેવું જોઈએ અને હંમેશા બિન-બાયોમેટ્રિક વિકલ્પ પ્રદાન કરવો જોઈએ, જેમ કે સારો જૂના જમાનાનો PIN અથવા પાસવર્ડ.

કર્મચારીની રજા પછી આપણે કાયદેસર રીતે બાયોમેટ્રિક ડેટા કેટલો સમય સંગ્રહિત કરી શકીએ છીએ?

જ્યારે તેની મૂળ હેતુ માટે જરૂર ન રહે ત્યારે તમારે તેને દૂર કરવું જોઈએ. એક્સેસ કંટ્રોલ સિસ્ટમ માટે, આનો અર્થ એ છે કે બાયોમેટ્રિક ટેમ્પ્લેટ કર્મચારીના છેલ્લા દિવસે અથવા તેના થોડા સમય પછી સુરક્ષિત રીતે અને કાયમી ધોરણે કાઢી નાખવો જોઈએ.

રોજગાર સંબંધ સમાપ્ત થઈ ગયા પછી આ અત્યંત સંવેદનશીલ ડેટાને પકડી રાખવાનું કોઈ કાયદેસર કારણ નથી. બાયોમેટ્રિક ડેટા GDPR પાલનનો એક બિન-વાટાઘાટપાત્ર ભાગ સ્પષ્ટ, સ્વચાલિત કાઢી નાખવાની નીતિ હોવી જોઈએ.

At Law & More, અમારી નિષ્ણાત કાનૂની ટીમ તમને ડેટા સુરક્ષા કાયદાની જટિલતાઓને સમજવામાં મદદ કરી શકે છે જેથી ખાતરી કરી શકાય કે તમારા વ્યવસાયિક કામગીરી સંપૂર્ણપણે સુસંગત છે. તમારી ચોક્કસ પરિસ્થિતિ પર વ્યક્તિગત સલાહ માટે, અમારી મુલાકાત લો https://lawandmore.eu.