Η επιλογή δεν κρίνεται από το ποια τεχνολογία υπερτερεί, αλλά από τις απαιτήσεις της συγκεκριμένης εισόδου και από τον τρόπο που τη χρησιμοποιείτε.
Ένα παράδειγμα
Μια επιχείρηση με σαράντα εργαζομένους θέλει να καλύψει δύο ανάγκες: την ωρομέτρηση του προσωπικού, δηλαδή την καταγραφή της ώρας που μπαίνει και βγαίνει ο κάθε εργαζόμενος, και την είσοδο στην αποθήκη υλικών. Η εύκολη απάντηση είναι ένα δακτυλικό αποτύπωμα και για τα δύο, στην πράξη όμως οι δύο ανάγκες αντιμετωπίζονται χωριστά. Για την ωρομέτρηση επιλέγεται κάρτα, γιατί το ίδιο αποτέλεσμα το πετυχαίνετε με ηπιότερο μέσο. Για την αποθήκη, όπου οι χρήστες είναι τέσσερις, μπαίνει κάρτα μαζί με κωδικό: η απώλεια της κάρτας δεν ανοίγει τη θύρα και δεν γεννάται καμία από τις υποχρεώσεις που συνοδεύουν τα βιομετρικά.
Κάρτα ή μπρελόκ εγγύτητας
Είναι η πιο διαδεδομένη λύση σε επιχειρήσεις και πολυκατοικίες. Γρήγορη στη χρήση και απλή στη διαχείριση: αν χαθεί η κάρτα, την ακυρώνετε άμεσα και την αντικαθιστάτε. Έχει έναν περιορισμό: το μέσο μεταβιβάζεται, οπότε η καταγραφή τεκμηριώνει τη διέλευση του μέσου και όχι την ταυτότητα του κατόχου.
Κωδικός
Δεν απαιτεί φυσικό μέσο και είναι η οικονομικότερη λύση. Ταιριάζει σε αποθήκες, μηχανοστάσια και εισόδους με περιορισμένο αριθμό χρηστών. Ο περιορισμός εδώ είναι ότι ο κωδικός διαδίδεται και παραμένει σε γνώση προσώπων που δεν έχουν πλέον δικαίωμα πρόσβασης, γι’ αυτό χρειάζεται τακτική ανανέωση.
Βιομετρική αναγνώριση
Το δακτυλικό αποτύπωμα δεν χάνεται και δεν μεταβιβάζεται, φέρνει όμως υποχρεώσεις που συχνά υποτιμώνται. Το άρθρο 9 παρ. 1 του ΓΚΠΔ κατατάσσει στις ειδικές κατηγορίες τα βιομετρικά δεδομένα που χρησιμοποιούνται για αδιαμφισβήτητη ταυτοποίηση προσώπου. Η επεξεργασία τους κατ’ αρχήν απαγορεύεται και επιτρέπεται μόνο στις περιπτώσεις που αναφέρει μία προς μία η παράγραφος 2.
Η θέση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα είναι τεκμηριωμένη και συγκεκριμένη: η χρήση βιομετρικών για πρόσβαση σε χώρους εργασίας επιτρέπεται μόνο όπου το επιβάλλουν ιδιαίτερες απαιτήσεις ασφαλείας και εφόσον δεν υπάρχει άλλο μέσο για την επίτευξη του σκοπού. Οι δύο προϋποθέσεις πρέπει να ισχύουν και οι δύο μαζί.
Για τον έλεγχο ωραρίου το ζήτημα έχει κριθεί. Με την απόφαση 127/2012 η Αρχή έκρινε μη νόμιμη την εγκατάσταση βιομετρικού συστήματος για τον σκοπό αυτό, με το σκεπτικό ότι «ο έλεγχος μπορεί να πραγματοποιηθεί επαρκώς και με άλλα ηπιότερα εναλλακτικά μέσα, όπως οι μαγνητικές κάρτες». Πιο πρόσφατα, με την απόφαση 42/2024, επέβαλε πρόστιμα συνολικού ύψους 56.000 ευρώ και διέταξε την παύση λειτουργίας συστήματος ελεγχόμενης εισόδου με βιομετρικά, μεταξύ άλλων επειδή δεν είχε προηγηθεί εκτίμηση αντικτύπου.
Η εκτίμηση αυτή δεν είναι προαιρετική: η συστηματική επεξεργασία βιομετρικών δεδομένων εργαζομένων περιλαμβάνεται ρητά στον κατάλογο των πράξεων που απαιτούν Εκτίμηση Αντικτύπου (ΕΑΠΔ) κατά το άρθρο 35 του ΓΚΠΔ. Ούτε λύνεται με συγκατάθεση: ο ν. 4624/2019 (άρθρο 27 παρ. 2) αντιμετωπίζει τη συγκατάθεση εργαζομένου ως κατ’ εξαίρεση νομική βάση, ακριβώς λόγω της σχέσης εξάρτησης.
Πρακτικά: για ωρομέτρηση προσωπικού επιλέγεται κάρτα ή κωδικός. Για είσοδο υψηλής ασφάλειας με περιορισμένο αριθμό χρηστών, η βιομετρική αναγνώριση εξετάζεται μόνο αφού τεκμηριωθεί ότι κανένα ηπιότερο μέσο δεν επαρκεί, και εφόσον γίνει εκτίμηση αντικτύπου.
Συνδυασμός μέσων
Σε χώρους αυξημένων απαιτήσεων εφαρμόζεται ταυτοποίηση δύο παραγόντων, δηλαδή κάρτα και κωδικός μαζί. Η απώλεια του ενός μέσου δεν αρκεί από μόνη της για παραβίαση.
Κριτήρια επιλογής
Μετράνε ο αριθμός των χρηστών, η συχνότητα των μεταβολών στο προσωπικό και το αν χρειάζεστε καταγραφή διελεύσεων ή απλώς απελευθέρωση της θύρας. Τα τρία αυτά στοιχεία καθορίζουν τη λύση περισσότερο από την ίδια την τεχνολογία.
Τα παραπάνω είναι γενική ενημέρωση και όχι νομική συμβουλή.
Πηγές: Κανονισμός (ΕΕ) 2016/679, άρθρα 4, 9 και 35· ΑΠΔΠΧ, αποφάσεις 127/2012 και 42/2024· κατάλογος πράξεων επεξεργασίας που υπόκεινται σε ΕΑΠΔ (ΦΕΚ Β΄ 1622/10-5-2019)· ν. 4624/2019, άρθρο 27.