Biometrische Datenverarbeitung Rechtlicher Überblick
Die Nutzung des Visual Login System (VLS) von Netradyne kann in einigen Rechtsprechungen eine Verarbeitung biometrischer Daten darstellen. Der Inhalt dieser Seite bietet einen begrenzten Überblick über die regulatorischen Anforderungen im Zusammenhang mit biometrischen Daten.
Hinweis: Der Inhalt dieses Abschnitts ist nicht als Rechtsberatung oder Ersatz für eine Rechtsberatung zu verstehen. Netradyne bemüht sich, relevante und aktuelle Informationen zu den für die Verarbeitung biometrischer Daten geltenden behördlichen Anforderungen bereitzustellen, erhebt jedoch keinen Anspruch auf Vollständigkeit, Aktualität oder Angemessenheit der hier bereitgestellten Informationen. Ebenso wenig erhebt Netradyne den Anspruch, dass das von Netradyne bereitgestellte Muster-Einverständnisformular oder die Richtlinie für biometrische Informationen ausreicht, um alle geltenden gesetzlichen und behördlichen Anforderungen in Ihrem Zuständigkeitsbereich zu erfüllen. Es ist unbedingt erforderlich, eine verbindliche Rechtsberatung einzuholen und die Anwendbarkeit verschiedener Gesetze in Ihrer Region zu prüfen, bevor Sie die VLS-Funktion aktivieren.
U.S.-Anforderungen für VLS
Zuletzt aktualisiert: 07/2023
In den Vereinigten Staaten sind Texas, Illinois und Washington derzeit die einzigen Bundesstaaten mit speziellen Datenschutzgesetzen für biometrische Daten. Viele Bundesstaaten haben jedoch ihre umfassenden Datenschutzgesetze erweitert und schränken die Erhebung, Verwendung, Speicherung und Weitergabe biometrischer Daten ein. Auch die Stadt Portland hat eine Verordnung erlassen, die bestimmte Verwendungen von Gesichtserkennungstechnologien untersagt.Wenn Sie sich dafür entscheiden, das Visual Login System (VLS) zu aktivieren, könnten diese Gesetze auf Ihre Nutzung des VLS zutreffen.
Nachfolgend finden Sie eine Zusammenfassung der bestehenden und vorgeschlagenen Gesetze zum Schutz der Privatsphäre in einigen Bundesstaaten. Die Gesetzgebung in diesem Bereich ändert sich schnell, und die bereitgestellten Informationen sind nicht als Ersatz für eine Rechtsberatung gedacht. Bei Fragen wendenSie sich bitte an privacy@netradyne.com.
Bestehende Gesetzgebung - Zusammenfassung der wichtigsten Anforderungen
Illinois
(740 ILCS 14/) Gesetz zum Schutz biometrischer Daten
Nach dem Gesetz müssen Einrichtungen, die im Besitz biometrischer Identifikatoren oder biometrischer Informationen sind, bestimmte Anforderungen erfüllen.
- Informieren Sie Personen, deren biometrische Daten erfasst werden sollen, über den genauen Zweck und die Dauer, für die die biometrischen Daten erfasst, gespeichert oder verwendet werden.
- Einholung einer schriftlichen Freigabe der Personen, um mit der Erfassung oder Weitergabe der biometrischen Daten fortzufahren.
- Stellen Sie der Öffentlichkeit eine schriftliche Richtlinie zur Verfügung, in der der Aufbewahrungszeitplan und die Richtlinien für die dauerhafte Vernichtung biometrischer Informationen festgelegt sind.
Texas
Texas Business and Commerce Code Sec. 503.001.
Eine Stelle, die einen biometrischen Identifikator einer Person für kommerzielle Zwecke erfasst, ist verpflichtet,
- Benachrichtigen Sie die Person, bevor Sie den biometrischen Identifikator erfassen, und holen Sie die Zustimmung der Person zur Erfassung des biometrischen Identifikators ein.
- Schützen Sie die Daten durch angemessene Maßnahmen vor Offenlegung.
- Vernichten Sie biometrische Identifikatoren innerhalb einer angemessenen Frist, spätestens jedoch am ersten Jahrestag des Ablaufs des Zwecks für die Erfassung der biometrischen Informationen.
Washington
Wash. Rev. Code § 19.375.010 et seq.
- Eine Person darf einen biometrischen Identifikator nicht zu kommerziellen Zwecken in einer Datenbank registrieren, ohne dies vorher anzukündigen, eine Einwilligung einzuholen oder einen Mechanismus bereitzustellen, der die anschließende Nutzung eines biometrischen Identifikators zu kommerziellen Zwecken verhindert.
Stadt Portland
Portland City Code, Titel 34 - Digitale Justiz, Kapitel 34.10.010-34.10-050
- Die Verordnung verbietet es privaten Einrichtungen, Gesichtserkennungstechnologien in öffentlichen Einrichtungen innerhalb der Stadtgrenzen von Portland einzusetzen.
Vorgeschlagene Gesetzgebung - Zusammenfassung der wichtigsten Anforderungen
Arizona
2023 AZ S.B. 1238
- Private Stellen müssen eine öffentliche schriftliche Richtlinie ausarbeiten, in der ein Zeitplan für die Aufbewahrung und Vernichtung biometrischer Daten festgelegt ist.
- Private Einrichtungen müssen vor der Erhebung biometrischer Daten die schriftliche Zustimmung der betroffenen Personen einholen.
- Biometrische Daten müssen vernichtet werden, wenn (1) der Zweck der Datenerhebung erfüllt ist oder (2) innerhalb von 3 Jahren nach der letzten Interaktion der betreffenden Person mit der Einrichtung, je nachdem, was früher eintritt.
Connecticut
20.23 CT S.B. 730
- Jede Einrichtung, die Gesichtserkennungstechnologie zur Identifizierung von Kunden und Gästen in einem öffentlichen Raum einsetzt, muss eine klare Offenlegung dieser Nutzung veröffentlichen.
Hawaii
2023 HI H.B. 1085
- Private Stellen müssen eine öffentliche schriftliche Richtlinie ausarbeiten, in der ein Zeitplan für die Aufbewahrung und Vernichtung biometrischer Daten festgelegt ist.
- Private Einrichtungen müssen vor der Erhebung biometrischer Daten die schriftliche Zustimmung der betroffenen Personen einholen.
- Biometrische Daten müssen vernichtet werden, wenn (1) der Zweck der Datenerhebung erfüllt ist oder (2) innerhalb von 3 Jahren nach der letzten Interaktion der betreffenden Person mit der Einrichtung, je nachdem, was früher eintritt.
Maryland
B 3/ SB 169
- Private Stellen müssen eine öffentliche schriftliche Richtlinie ausarbeiten, in der ein Zeitplan für die Aufbewahrung und Vernichtung biometrischer Daten festgelegt ist.
- Private Einrichtungen müssen vor der Erhebung biometrischer Daten die schriftliche Zustimmung der betroffenen Personen einholen.
- Biometrische Daten müssen vernichtet werden, sobald (1) der Zweck der Datenerhebung erfüllt ist oder (2) innerhalb von drei Jahren nach der letzten Interaktion der betreffenden Person mit der Einrichtung oder (3) innerhalb von 30 Tagen nach Erhalt eines Antrags auf Löschung der Daten einer Person, je nachdem, was früher eintritt .
- Das Gesetz würde am 1. Oktober 2023 in Kraft treten.
Massachusetts
2023. MAI 1995
- Private Stellen müssen eine öffentliche schriftliche Richtlinie ausarbeiten, in der ein Zeitplan für die Aufbewahrung und Vernichtung biometrischer Daten festgelegt ist.
- Private Einrichtungen müssen vor der Erhebung biometrischer Daten die schriftliche Zustimmung der betroffenen Personen einholen.
- Biometrische Daten müssen vernichtet werden, sobald (1) der Zweck der Erhebung dieser Daten erfüllt ist oder (2) innerhalb eines Jahres nach der letzten Interaktion der betreffenden Person mit der Einrichtung.
Ähnliche Gesetzesentwürfe wurden in Minnesota, Missouri, Montana, Nevada, New Jersey, Pennsylvania und Tennessee eingebracht.
Die Erhebung und Nutzung biometrischer Daten wird durch umfassende staatliche Datenschutzgesetze geregelt, darunter die Gesetze in Kalifornien, Colorado, Virginia, Connecticut, und Utah. Die Datenschutzgesetze in diesen Bundesstaaten regeln biometrische Daten als eine Form von „sensiblen“ Daten.
In den meisten Gesetzen/Gesetzesentwürfen wird auf die folgenden Hauptanforderungen hingewiesen
- Benachrichtigung und Einholung der Zustimmung der Betroffenen
- Ausarbeitung einer schriftlichen Richtlinie, die einen Zeitplan für die Aufbewahrung und Leitlinien für die Vernichtung biometrischer Daten.
UK/EU-Anforderungen für VLS - Zusammenfassung der wichtigsten Anforderungen
Zuletzt aktualisiert: 07/2023
Die Verwendung von VLS in der EU wird in erster Linie durch die Bestimmungen der EU-Datenschutz-Grundverordnung (DSGVO) geregelt.
- Die Datenschutz-Grundverordnung behandelt "biometrische Daten" als eine besondere Kategorie personenbezogener Daten und verlangtdaher eine angemessene Berücksichtigung der Grundsätze der Rechtmäßigkeit, Notwendigkeit, Verhältnismäßigkeit und Datenminimierung.
- Die für die Verarbeitung Verantwortlichen sollten zunächst die Auswirkungen auf die Grundrechte und -freiheiten bewerten und weniger einschneidende Mittel in Betracht ziehen, um ihren legitimen Zweck der Verarbeitung zu erreichen.
- Die Verwendung biometrischer Erkennungsfunktionen durch private Stellen für ihre eigenen Zwecke (z. B. Marketing, Statistik oder sogar Sicherheit) erfordert in den meisten Fällen die ausdrückliche Einwilligung aller betroffenen Personen (Artikel 9 (2) (a) GDPR), doch könnte auch eine andere geeignete Ausnahme in Artikel 9 anwendbar sein.
- Der Einsatz von VLS in einigen EU-Ländern könnte auch eine Bewertung spezifischer Videoüberwachungsgesetze oder Arbeitsgesetze in diesem Land erfordern. In diesen EU-Ländern kann der Einsatz von VLS für Unternehmen, die einen Betriebsrat haben, einer vorherigen Genehmigung durch den Betriebsrat unterliegen.
- Es sollte eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt werden, um die Auswirkungen auf die Rechte und Freiheiten der Fahrer zu bewerten. Der Umfang der Bewertung sollte VLS umfassen.
- Netradyne empfiehlt, die Fahrer über den Zweck der Verarbeitung ihrer personenbezogenen Daten zu informieren. Es wird empfohlen, zusätzlich zu einer detaillierten Datenschutzerklärung Datenschutzaufkleber in den Fahrzeugen anzubringen, um die Fahrer über die Verarbeitung ihrer personenbezogenen Daten (einschließlich biometrischer Daten, falls zutreffend) zu informieren.
- Netradyne empfiehlt, die informierte Zustimmung aller Fahrer einzuholen , bevor VLS in UK/EUaktiviert wird.
Wenn Sie Fragen haben, wenden Sie sich bitte an privacy@netradyne.com.
Kanadische Anforderungen für VLS - Zusammenfassung der wichtigsten Anforderungen des kanadischen Datenschutzgesetzes.
Zuletzt aktualisiert: 07/2023
- Wie bei der EU-DSGVO gelten biometrische Informationen auch nach den kanadischen Datenschutzgesetzen als sensible personenbezogene Daten. Daher müssen Unternehmen, die solche Daten verarbeiten möchten, in der Regel eine informierte und ausdrückliche Zustimmung einholen.
- Es sollte eine Datenschutz-Folgenabschätzung (PIA) durchgeführt werden, um die Auswirkungen auf die Privatsphäre von Einzelpersonen zu bewerten. Die kanadischen Datenschutzgesetze verlangen, dass die Erhebung und Nutzung personenbezogener Daten auf das unter den gegebenen Umständen angemessene und notwendige Maß beschränkt wird.
- Die Grundsätze der Datenminimierung, der Aufbewahrungsbeschränkung, der Rechte der betroffenen Personen, der Transparenz und der Datensicherheit sollten gebührend berücksichtigt werden.
- In Quebec gelten strengere Anforderungen für die Verarbeitung biometrischer Daten. Die Einrichtung einer Datenbank mit biometrischen Merkmalen oder Messungen muss der Commission d'accès à l'information (CAI) spätestens 60 Tage vor Inbetriebnahme der Datenbank gemeldet werden.
Bei Fragen wenden Sie sich bitte an privacy@netradyne.com.
