GDPR والتعرف على الوجوه: دليل عملي لمنظمي الفعاليات

التعرف على الوجوه يحوّل تجربة الضيف، لكنه أيضاً بيانات بيومترية - الفئة الأكثر حساسية تحت GDPR. هذا الدليل يوضح كيف تستخدمه بشكل قانوني.

يُقدّم هذا المقال معلومات عامة حول أطر حماية البيانات كما تنطبق على التعرف على الوجوه في الفعاليات. لا يُشكّل نصيحة قانونية.

لماذا تنطبق اللائحة الأوروبية GDPR على التعرف على الوجوه في الفعاليات

تُصنّف اللائحة الأوروبية العامة لحماية البيانات (GDPR) البيانات البيومترية كـ"فئة خاصة" من البيانات الشخصية بموجب المادة 9. البيانات البيومترية تشمل "البيانات الشخصية الناتجة عن معالجة تقنية محددة تتعلق بالخصائص الجسدية أو الفسيولوجية أو السلوكية للشخص الطبيعي التي تُتيح أو تُؤكد التعريف الفريد لذلك الشخص الطبيعي." بيانات التعرف على الوجوه تستوفي هذا التعريف مباشرة، لأنها تُستخدم لتمييز هوية الشخص بشكل فريد.

ما تبدو عليه الموافقة الصريحة الصحيحة

الموافقة الصريحة لبيانات الفئة الخاصة يجب أن تستوفي معايير أعلى من الموافقة العادية:

• إيجابية: يجب على الشخص اتخاذ إجراء إيجابي للموافقة - تحديد مربع، النقر على "أوافق"، إلخ. لا يمكن الاستدلال على الموافقة من الصمت أو بياضات أو مربعات محددة مسبقاً.
• محددة: لغرض التعرف على الوجه لتوصيل الصور تحديداً - وليس "البيانات الشخصية العامة".
• مُبلَّغة: يجب أن يُوضَّح للشخص: ما البيانات التي تجمعها، وكيف تُستخدم، ومتى تُحذف.
• قابلة للسحب: يجب أن تكون عملية سحب الموافقة بسيطة مثل منحها.

أسئلة يجب على فرق التوريد طرحها من الموردين

• هل تُحذف الصور الشخصية الأصلية بعد استخدامها في المطابقة؟
• هل تُخزَّن بيانات الوجه بشكل منفصل عن بيانات الاتصال بالضيوف؟
• ما هي سياسة الاحتفاظ بالبيانات المُعلنة لدى المزوّد؟
• هل تتوفر وثائق امتثال GDPR وتقييم أثر حماية البيانات (DPIA)؟
• أين تتم معالجة البيانات قانونياً؟ (داخل الاتحاد الأوروبي أم خارجه؟)