Картата за обществени услуги от Министерството на социалната закрила се оказа без пълна оценка на въздействието върху защитата на данните по GDPR
Ирландската Комисия за защита на данните (DPC) обяви вчера окончателното си решение, че Министерството на социалната закрила (DSP) е нарушило GDPR заради процеса на регистрация на картата за обществени услуги, процес, известен като “SAFE 2 регистрация“.
Нарушени са членове 5, пар. 1, б. „а“, чл. 6, пар. 1 и чл. 9, пар. 1 от GDPR, като не е посочил валидно законово основание за събирането на биометрични данни във връзка с регистрацията в SAFE 2 към момента на запитването.
Предвид предходното заключение, е нарушен член 5, пар. 1, б. „д“ от GDPR, като е запазило биометрични данни, събрани като част от регистрацията в SAFE 2, смята DPC.
Нарушени са членове 13, пар. 1, б. „в“ и 13, пар. 2, б. „а“ от GDPR, като не е предоставило подходяща прозрачна информация на субектите на данни относно регистрацията в SAFE 2 и е нарушен член 35, пар. 7, б. „б“ и „в“ от GDPR, като администраторът не е включил определени подробности в оценката на въздействието върху защитата на данните, която извършена във връзка с регистрацията по SAFE 2.
В светлината на посочените по-горе нарушения, DPC е наложила предупреждение на доставчика на биометрични данни (DSP), както и административни глоби в размер на общо 550 000 евро и е издала заповед на DSP, с която се изисква от него да прекрати обработката на биометрични данни във връзка с регистрацията в SAFE 2 в рамките на 9 месеца от настоящото решение, ако DSP не може да посочи валидно законово основание.
Това разследване, което започва през юли 2021 г., разглежда обработката на биометрични facial templates от DSP и използването на свързани технологии за съпоставяне на лица, като част от процеса на регистрация за Картата за обществени услуги. Този процес е известен като „регистрация SAFE 2“.
Технологията за съпоставяне на лица, използвана от DSP, включва създаването на биометрични данни, отнасящи се до много значителна част от населението. Мащабът и натрапчивият характер на обработката изискват точна правна обосновка. При такива обстоятелства, установена европейска съдебна практика, че е необходимо законодателство, което е точно и предвидимо, за да се гарантира защитата срещу произволна намеса в правата на лицата, пише в сайта на DPC.
В светлината на гореизложеното е жизненоважно регистрацията по SAFE 2 да се основава на достатъчно ясна и точна правна основа, предвиждаща конкретни правила и гаранции, уреждащи естеството и специфичните договорености за основната обработка на биометрични данни, независимо от целите на обществената политика и ползите, които се цели да постигне.
DPC ще публикува пълното решение.