Articol de: Monica Iancu, Partener PeliFilip & Marcu Florea, Associate PeliFilip
- Datele biometrice în legislația datelor personale
Conceptul de date biometrice nu este definit sau reglementat în mod expres în Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (”Legea 677/2001”); de altfel, el nu este definit nici în Directiva 95/46/EC privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (”Directiva 95/46/EC”).
Definiția rezultă însă din opinia Grupului de Lucru Art. 29 potrivit căreia datele biometrice sunt „proprietăți biologice, de comportament, caracteristici psihologice, trăsături sau acțiuni repetate dacă aceste caracteristici sau acțiuni sunt unice pentru un individ, măsurabile, chiar dacă tiparele folosite în practică pentru măsurarea lor presupun un grad de probabilitate (incertitudine)”.
Mai mult, chiar Legea 677/2001 poate fi considerată prin interpretare că se referă la acest tip de date reglementând categoria datelor ”cu caracter personal având o funcție de identificare de aplicabilitate generală” care pot include și datele biometrice, având în vedere că acestea constau în caracteristici ale corpului care nu pot fi, în general, schimbate și care pot fi citite de instrumente automate. În plus, datele biometrice sunt menționate expres printre categoriile de date pentru care obligația de notificare rămâne valabilă în Decizia Autorității nr. 200/2015 privind stabilirea cazurilor de prelucrare a datelor cu caracter personal pentru care nu este necesară notificarea, precum și pentru modificarea și abrogarea unor decizii. Așadar, se poate concluziona că datele biometrice sunt reglementate de către legislația română, deși de manieră foarte restrânsă și printr-un act cu o natură juridică secundară.
- Limitele procesarii datelor biometrice, conform legislației din România
Conform Legii 677/2001, în general, datele cu caracter personal trebuie să fie „adecvate, pertinente și neexcesive prin raportare la scopul în care sunt colectate și ulterior prelucrate”. În plus, datele biometrice pot fi prelucrate exclusiv în baza consimțământului expres al persoanei vizate sau dacă prelucrarea este permisă în mod expres de către o prevedere legală.
Cât privește caracterul adecvat, pertinent și neexcesiv, nici legea și nici reglementările secundare nu oferă linii directoare. Prin aceasta, măsura în care datele colectate sunt adecvate, pertinente și neexcesive devine subiect de interpretare.
Cu titlu de exemplu, Autoritatea a considerat că un sistem de pontaj care funcționa pe bază de cititor de amprente implică o procesare excesivă în raport cu scopul urmărit. Interpretarea Autorității a fost îmbrățișată de către instanța chemată să desființeze interpretarea și măsurile Autorității, instanța reținând că ”nu se justifică necesitatea apelării la sistemul de pontare electronică a angajaților, pontarea acestora putând fi realizată și prin alte mijloace […] întrucât amprentarea angajaților ar aduce atingere vieții private a acestora și s-ar încălca echilibrul între scopul urmărit și anume monitorizarea prezenței acestora la locul de muncă și respectarea drepturilor persoanelor angajate”. În mod similar, o altă instanță a constatat că „sistemul electronic de pontaj cu date biometrice nu este eficient, nefiind justificată necesitatea apelării la acest sistem, câtă vreme pontarea angajaților se poate realiza și prin alte mijloace care să nu aducă atingere vieții private a angajaților”.
