По два пръста на всяка ръка са използвани за биометрична идентификация на играчите
Хърватската Агенция за защита на личните данни (AZOP) съобщи на 2 октомври, че след проверка по službenoj dužnosti на администратор на лични данни, на дружеството, което организира хазартни игри, е наложена административна глоба в общ размер на 2 590 000,00 евро.
AZOP посочва в 3 точки нарушенията на Общия регламент относно защитата на личните данни (ОРЗД / GDPR) – първата е обработка на биометрични данни без валидно съгласие и до степен, която не е необходима:
В допълнение към идентифицирането на играчите чрез лична карта, администраторът е въвел опция за идентификация чрез RFID чип или пръстови отпечатъци, ако играчът иска да премине през процеса на идентификация възможно най-бързо при последващи посещения. Въпреки че администраторът е заявил, че е събрал два пръстови отпечатъка, проверката е установила, че са събрани четири пръстови отпечатъка (по два пръста на всяка ръка) и са използвани за биометрична идентификация на играча.
Чрез събирането на четири пръстови отпечатъка, администраторът е събрал по-голям обем лични данни, отколкото е бил необходим за конкретната цел (идентификация на играча). Администраторът е обосновал необходимостта от допълнителни пръстови отпечатъци с мотива, че кожата на пръстите може да бъде увредена и следователно да се стигне до неправилно или неуспешно разчитане и идентификация. Общото позоваване на наличието на „резервни“ пръстови отпечатъци обаче само по себе си не доказва необходимостта от тяхното събиране, но администраторът трябва да може да демонстрира защо е необходимо да се събере посоченият обем данни (четири пръстови отпечатъка) за конкретната цел и дали целта може да бъде постигната също толкова ефективно чрез обработка на по-малък брой пръстови отпечатъци, с подходящи допълнителни средства за проверка на самоличността.
Съгласно Закона за прилагане на Общия регламент относно защитата на данните, обработването на биометрични данни с цел сигурно идентифициране на потребителите на услуги е законосъобразно с изричното съгласие на субекта на данните, дадено в съответствие с разпоредбите на Регламента. Ако администраторът събира по-голям обем лични данни, отколкото е необходимо за постигането на конкретна цел, такова обработване не може да стане законосъобразно единствено защото субектът на данните е дал съгласие. Това важи особено за биометричните данни, предвид техния характер, чувствителност и повишен риск за правата и свободите на субекта на данните. А конкретно обработката, основана на съгласието на субекта на данните, трябва да бъде законосъобразна, добросъвестна, прозрачна, подходяща, свързана със и ограничена до необходимото във връзка с целите на обработването.
В случая декларацията за съгласие за обработка на биометрични данни е регистрирана за 34 933 играчи.
Съответно е установено, че биометричните данни на субектите са били обработвани без валидно съгласие и в степен, която не е необходима за постигане на определената цел, като по този начин са нарушени чл. 6, пар. 1 и чл. 9, пар. 1 във вр. с пар. 2, б. „а“, във вр. с чл. 5, пар. 1, б. “а” и “в”.
Втората точка е неспазване на изискванията за съгласие съгласно GDPR:
По време на регистрацията на играча в казиното, на екрана в документа се показват интерактивни полета за даване на четири съгласия. В тази връзка AZOP установява, че първите два текста на документа не отговарят на изискванията за съгласие съгласно GDPR, което трябва да бъде свободно, конкретно, информирано и недвусмислено. Администраторът е комбинирал няколко различни цели за обработване на данни в едно съгласие и не е дал реална възможност на играча да реши поотделно за какво дава съгласие.
В първата декларация за съгласие, която се отнася до събирането и обработката на сканирани пръстови отпечатъци, различните цели на обработката са комбинирани.
„Давам съгласието си за събирането и обработката на биометрични данни, т.е. сканиране на пръстови отпечатъци, които данни се събират с цел предоставяне на услуги/изпълнение на договори, определяне на самоличността на страните, статистически цели, профилиране, подобряване и персонализиране на услугата, защита на права и собственост, прилагане на забраната за участие в хазартни игри на непълнолетни“.
На играча се представя информация, която създава впечатлението, че цялата обработка в процеса на регистрация се основава на съгласие, без ясно разграничение между законово задължителната обработка на идентификационни данни и незадължителната обработка на биометрични данни.
Подобна формулировка не е в съответствие с изискването съгласието да бъде конкретно и доброволно, тъй като играчът не би могъл отделно да реши за кои цели дава съгласие и за кои не.
Освен това, втората декларация за съгласие, която се отнася до събирането и обработката на снимката на субекта на данните, също посочва различни цели.
„Давам съгласието си за събиране и обработка на личните ми данни – биометрични данни, а именно снимки, които данни се събират с цел установяване на самоличността на страните, защита на права и имущество и прилагане на забраната за участие в хазартни игри на непълнолетни.“
Това прави невъзможно субектът на данните ясно да определи дали снимката се използва единствено за проверка на самоличността или за други цели, нито може да вземе отделно решение за тях.
В крайна сметка, в декларациите за съгласие, администраторът комбинира различни цели на обработването без възможност за отделен избор за всяка цел и не представя изискванията за съгласие по достатъчно ясен и разбираем начин, като по този начин нарушава чл. 7 във вр. с чл. 4, т. 11 от GDPR.
Третата точка е за непълна и непоследователна информация относно обработката на лични данни:
При регистрация в казиното на субекта на данни са представени голям брой документи относно обработката на лични данни, които съдържат противоречива и непълна информация относно целите и правните основания за обработка, като целите на отделната обработка не са посочени, а правните основания не са ясно свързани с конкретната обработка.
Например, в Общите правила администраторът свързва пръстовите отпечатъци с цели, които надхвърлят идентификацията при влизане в казино, и посочва, че те се използват за контрол и наблюдение на влизането в клонове, защита на непълнолетни, участие в хазартни игри, използване на програмата за бонус награди и други цели.
По този начин администраторът не е спазил изискванията за прозрачно обработване на лични данни, тъй като предоставената на субектите на данни информация е била непълна, неточна и взаимно противоречива по отношение на целите и правните основания на отделните операции по обработване. В резултат на това субектите на данни не са могли да разберат по ясен и разбираем начин за какви цели и на какво правно основание администраторът обработва личните им данни. По този начин администраторът е нарушил чл. 12, пар. 1 и чл. 13 от GDPR, във връзка с принципа на прозрачност, посочен в чл. 5, пар.1, б. „а“ от същия регламент.