Biometrické údaje jsou osobní údaje každé fyzické osoby, na jejichž základě je možné danou osobu jednoznačně a nezaměnitelně identifikovat (např. otisk prstu, biometrické údaje obličeje). Na základě nařízení GDPR a zákona č. 18/2018 Z. z. o ochraně osobních údajů a o změně a doplnění některých zákonů se biometrické údaje zařazují do zvláštní kategorie osobních údajů, jedná se tedy o citlivé osobní údaje.
Na základě článku 9 odst. 1. NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) se zakazuje zpracování zvláštních kategorií osobních údajů. Zvláštními kategoriemi osobních údajů jsou údaje, které odhalují rasový nebo etnický původ, politické názory, náboženské vyznání, filozofické přesvědčení, členství v odborech, genetické údaje, biometrické údaje, údaje týkající se zdraví nebo údaje týkající se sexuálního života či sexuální orientace fyzické osoby.
Podle čl. 9 odst. 2. NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) se zákaz zpracování citlivých osobních údajů neuplatňuje, pokud je splněna jedna z těchto podmínek:
a) dotčená osoba udělila výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více určených účelů, s výjimkou případů, kdy právo Unie nebo právo členského státu stanoví, že zákaz uvedený v odstavci 1 nemůže dotčená osoba odvolat;
b) zpracování je nezbytné pro účely plnění povinností a výkonu zvláštních práv správce nebo dotčené osoby v oblasti pracovního práva a práva sociálního zabezpečení a sociální ochrany, pokud je to povoleno právem Unie nebo právem členského státu nebo kolektivní smlouvou podle práva členského státu, které poskytují přiměřené záruky ochrany základních práv a zájmů dotčené osoby;
c) zpracování je nezbytné k ochraně životně důležitých zájmů dotčené osoby nebo jiné fyzické osoby v případě, že dotčená osoba není fyzicky nebo právně způsobilá vyjádřit svůj souhlas;
d) zpracování provádí v rámci své zákonné činnosti s přiměřenými zárukami nadace, sdružení nebo jakýkoli jiný neziskový subjekt s politickým, filozofickým, náboženským nebo odborovým zaměřením a za podmínky, že se zpracování týká výlučně členů nebo bývalých členů subjektu nebo osob, které s ním mají pravidelný kontakt v souvislosti s jeho cíli, a že bez souhlasu dotčené osoby nebudou osobní údaje poskytnuty mimo tento subjekt;
e) zpracování se týká osobních údajů, které dotčená osoba prokazatelně zveřejnila;
f) zpracování je nezbytné pro prokázání, uplatnění nebo obhajobu právních nároků, nebo kdykoli soudy vykonávají svou soudní pravomoc;
g) zpracování je nezbytné z důvodů závažného veřejného zájmu na základě práva Unie nebo práva členského státu, které jsou přiměřené vzhledem k sledovanému cíli, respektují podstatu práva na ochranu údajů a stanoví vhodná a konkrétní opatření k zajištění základních práv a zájmů dotčené osoby;
h) zpracování je nezbytné pro účely preventivní nebo pracovní medicíny, posouzení pracovní způsobilosti zaměstnance, lékařské diagnózy, poskytování zdravotní nebo sociální péče či léčby nebo řízení systémů a služeb zdravotní nebo sociální péče na základě práva Unie nebo práva členského státu nebo na základě smlouvy se zdravotnickým pracovníkem a podléhá podmínkám a zárukám uvedeným v odstavci 3;
i) zpracování je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před závažnými přeshraničními zdravotními hrozbami nebo zajištění vysoké úrovně kvality a bezpečnosti zdravotní péče a léčivých přípravků nebo zdravotnických prostředků, na základě práva Unie nebo práva členského státu, které stanoví vhodná a konkrétní opatření na ochranu práv a svobod dotčené osoby, zejména profesního tajemství;
j) zpracování je nezbytné pro účely archivace ve veřejném zájmu nebo pro účely vědeckého či historického výzkumu či pro statistické účely podle čl. 89 odst. 1 na základě práva Unie nebo práva členského státu, které jsou přiměřené vzhledem k sledovanému cíli, respektují podstatu práva na ochranu údajů a stanoví vhodná a konkrétní opatření k zajištění základních práv a zájmů dotčené osoby.
Z uvedených výjimek nařízení GDPR je zřejmé, že zpracování biometrických údajů je možné pouze ve výjimečných případech. Za oprávněné zpracování osobních údajů pomocí biometrických údajů se považují např. společnosti/organizace, které provozují vědecko-výzkumné laboratoře, případně informace s nejvyšším stupněm utajení a podobně. Zpracování biometrických údajů zaměstnance za účelem vedení docházkového systému pro mzdový a personální informační systém se tedy nepovažuje za přiměřené k dosažení daného účelu. Je možné najít i méně invazivní způsoby zásahu do soukromí zaměstnance (např. pořízením fotografie obličeje zaměstnance nebo použitím PIN kódu).
Každý záměr zavedení biometrické technologie by měl být předem konzultován s odpovědnou osobou (pokud ji provozovatel pověřil) a správce by měl respektovat její rady a pokyny směřující k legalizaci záměru spojeného s praktickým využíváním a zavedením biometrické technologie nebo k jejímu nahrazení alternativou s menším dopadem na ochranu soukromí dotčených osob a rovněž musí podléhat posouzení dopadu na ochranu osobních údajů (tzv. DPIA), přičemž je zásadní zaměřit se na rizika ohrožující práva a svobody dotčených osob.
