বায়োমেট্রিক ডেটা, যেমন আঙুলের ছাপ, মুখের ছবি বা কণ্ঠস্বরের ধরণ, GDPR-এর অধীনে ব্যক্তিগত ডেটার একটি বিশেষ শ্রেণীভুক্ত, যখন এটি কোনো ব্যক্তিকে স্বতন্ত্রভাবে শনাক্ত করার জন্য প্রক্রিয়াজাত করা হয়। নেদারল্যান্ডসে এই ধরনের প্রক্রিয়াজাতকরণ নীতিগতভাবে নিষিদ্ধ; এর প্রধান ব্যতিক্রম হলো যেখানে এটি প্রমাণীকরণ বা নিরাপত্তার উদ্দেশ্যে প্রয়োজনীয়, এবং সেইসব কর্মচারীদের ক্ষেত্রে যাদের পরীক্ষার সম্মুখীন খুব কমই টাইম ক্লক বা অফিসের দরজা হয়।
ডাচ ডেটা সুরক্ষা কর্তৃপক্ষ (Autoriteit Persoonsgegevens, AP) এই নিয়মগুলো কঠোরভাবে প্রয়োগ করে এবং বৈধ ভিত্তি ছাড়া বায়োমেট্রিক্স ব্যবহারের জন্য নিয়োগকর্তা ও প্রযুক্তি সংস্থাগুলোকে জরিমানা করেছে। নিচে আমরা ব্যাখ্যা করছি, কোনগুলো বায়োমেট্রিক ডেটা হিসেবে গণ্য হয়, এর জন্য কী কী আইনি ভিত্তি রয়েছে, কখন আপনার ডেটা সুরক্ষা প্রভাব মূল্যায়ন (data protection impact assessment) প্রয়োজন, কী কী সুরক্ষা ব্যবস্থা প্রত্যাশিত এবং কোনো সমস্যা হলে কী করতে হবে।
GDPR অনুযায়ী বায়োমেট্রিক ডেটা বলতে কী বোঝায়?
বায়োমেট্রিক ডেটা হলো কোনো ব্যক্তির শারীরিক, শারীরবৃত্তীয় বা আচরণগত বৈশিষ্ট্যের নির্দিষ্ট প্রযুক্তিগত প্রক্রিয়াকরণের ফলে প্রাপ্ত ব্যক্তিগত তথ্য, যা সেই ব্যক্তির অনন্য শনাক্তকরণকে সম্ভব করে বা নিশ্চিত করে। এর উদ্দেশ্য এবং কৌশলই তা নির্ধারণ করে, ছবি বা রেকর্ডিংয়ের ধরন নয়।
এই সংজ্ঞাটি জেনারেল ডেটা প্রোটেকশন রেগুলেশন (GDPR)- এর ধারা 4(14)-এ রয়েছে । একটি আইডি ব্যাজে থাকা কর্মচারীর ছবি ব্যক্তিগত ডেটা, কিন্তু স্বয়ংক্রিয়ভাবে বায়োমেট্রিক ডেটা নয়। যখনই সেই একই ছবিকে একটি ফেসিয়াল টেমপ্লেটে রূপান্তরিত করা হয় এবং একটি ভবনে প্রবেশের অনুমতি দেওয়ার জন্য একটি শনাক্তকরণ সিস্টেম দ্বারা ব্যবহার করা হয়, তখন এটি বায়োমেট্রিক ডেটা হয়ে যায়। এই পরিবর্তনটি আইনি কাঠামোকে সম্পূর্ণরূপে বদলে দেয়।
বায়োমেট্রিক শনাক্তকারীর উদাহরণ হলো আঙুলের ছাপ, মুখের জ্যামিতিক গঠন, আইরিস ও রেটিনার প্যাটার্ন, কণ্ঠস্বর এবং আচরণগত বৈশিষ্ট্য, যেমন টাইপিংয়ের ছন্দ বা হাঁটার ধরণ। এদের মধ্যে সাধারণ মিল হলো, এগুলো কোনো একজন নির্দিষ্ট ব্যক্তিকে শনাক্ত করতে ব্যবহৃত হয়।
GDPR কেন বায়োমেট্রিক ডেটাকে ভিন্নভাবে বিবেচনা করে?
GDPR-এর ধারা ৯ অনুযায়ী, কোনো ব্যক্তিকে স্বতন্ত্রভাবে শনাক্ত করার উদ্দেশ্যে প্রক্রিয়াকৃত বায়োমেট্রিক ডেটা ব্যক্তিগত তথ্যের বিশেষ শ্রেণীর অন্তর্ভুক্ত। এই একই শ্রেণীতে জাতিগত বা নৃতাত্ত্বিক উৎস, রাজনৈতিক মতামত, ধর্মীয় বিশ্বাস, স্বাস্থ্য এবং যৌন জীবন সম্পর্কিত ডেটাও অন্তর্ভুক্ত।
এর কারণ হলো, এর অপব্যবহারের পরিণতি গুরুতর এবং প্রায়শই অপরিবর্তনীয়। পাসওয়ার্ড পরিবর্তন করা যায়; কিন্তু আঙুলের ছাপ বা আইরিস পরিবর্তন করা যায় না। যদি বায়োমেট্রিক টেমপ্লেটের কোনো ডেটাবেস ফাঁস হয়ে যায়, তবে সংশ্লিষ্ট ব্যক্তিরা পরিচয় জালিয়াতির একটি দীর্ঘস্থায়ী ঝুঁকির সম্মুখীন হন। নিচের সারণিতে এর সাধারণ প্রয়োগগুলো দেখানো হলো।
| বায়োমেট্রিক শনাক্তকারী | উদাহরণ আবেদন | বিশেষ বিভাগ? |
|---|---|---|
| আঙ্গুলের ছাপ | কোম্পানির ফোন আনলক করা, সময় নিবন্ধন | হ্যাঁ, যখন অনন্য শনাক্তকরণের জন্য ব্যবহার করা হয়। |
| মুখের স্বীকৃতি | একটি অ্যাপে অ্যাক্সেস নিয়ন্ত্রণ, পরিচয় যাচাইকরণ | হ্যাঁ, যখন অনন্য শনাক্তকরণের জন্য ব্যবহার করা হয়। |
| আইরিস বা রেটিনা স্ক্যান | উচ্চ-নিরাপত্তা সুবিধাগুলিতে প্রবেশাধিকার | হ্যাঁ, যখন অনন্য শনাক্তকরণের জন্য ব্যবহার করা হয়। |
| কণ্ঠস্বরের ধরণ | একটি সুরক্ষিত পরিষেবাতে কলারের প্রমাণীকরণ | হ্যাঁ, যখন অনন্য শনাক্তকরণের জন্য ব্যবহার করা হয়। |
| কীস্ট্রোক ডায়নামিক্স | জালিয়াতি সনাক্তকরণের জন্য আচরণগত যাচাইকরণ | হ্যাঁ, যখন অনন্য শনাক্তকরণের জন্য ব্যবহার করা হয়। |
| গ্যাট বিশ্লেষণ | হাঁটার ধরণ দেখে ব্যক্তিদের শনাক্ত করা | হ্যাঁ, যখন অনন্য শনাক্তকরণের জন্য ব্যবহার করা হয়। |
উভয়ের মূল ভিত্তি হলো অনন্য শনাক্তকরণের উদ্দেশ্য। যেখানে এই উদ্দেশ্যটি বিদ্যমান থাকে, সেখানে অনুচ্ছেদ ৯-এর নিষেধাজ্ঞা প্রযোজ্য হয় এবং আপনার নির্দিষ্ট ব্যতিক্রমগুলোর মধ্যে একটির প্রয়োজন হয়।
ডাচ পদ্ধতি কতটা কঠোর?
এপি এই নিয়মগুলোকে কঠোরভাবে ব্যাখ্যা করে। তাদের মূল বক্তব্য হলো, বায়োমেট্রিক শনাক্তকরণ নিষিদ্ধ এবং এর ব্যতিক্রমের সুযোগ খুবই সীমিত।
ডাচ জিডিপিআর বাস্তবায়ন আইন (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) একটি জাতীয় ব্যতিক্রম যুক্ত করেছে। UAVG-এর ২৯ নং ধারা অনুযায়ী, অনন্য শনাক্তকরণের জন্য বায়োমেট্রিক ডেটা প্রক্রিয়াজাত করা যেতে পারে, যদি এটি প্রমাণীকরণ বা নিরাপত্তার উদ্দেশ্যে প্রয়োজনীয় হয়। এখানে মূল শব্দটি হলো “প্রয়োজনীয়”। এর অর্থ হলো, ব্যাজ, কোড বা চাবির মতো কম হস্তক্ষেপমূলক উপায়ে উদ্দেশ্যটি যুক্তিসঙ্গতভাবে অর্জন করা সম্ভব নয়। এপি তার নির্দেশিকায় স্পষ্ট করে দিয়েছে যে, দোকানপাটের মতো সর্বসাধারণের জন্য উন্মুক্ত স্থানে ফেসিয়াল রিকগনিশন নীতিগতভাবে অনুমোদিত নয়।
আপনার কোন আইনি ভিত্তি প্রয়োজন?
আপনার দুটি জিনিস প্রয়োজন: প্রক্রিয়াকরণের জন্য GDPR-এর ধারা 6-এর অধীনে একটি বৈধ ভিত্তি, এবং বিশেষ বিভাগের উপর নিষেধাজ্ঞা তুলে নেওয়ার জন্য GDPR-এর ধারা 9(2) অথবা UAVG-এর ধারা 29-এর অধীনে একটি ব্যতিক্রম। এই দুটির কোনোটি ছাড়া, প্রক্রিয়াকরণটি অবৈধ।
GDPR-এর ধারা ৬-এ ছয়টি বৈধ ভিত্তির তালিকা দেওয়া হয়েছে: সম্মতি, চুক্তি সম্পাদন, আইনি বাধ্যবাধকতা, অত্যাবশ্যকীয় স্বার্থ, জনস্বার্থে কোনো কাজ এবং আইনসম্মত স্বার্থ। এটিই প্রথম ধাপ, এবং এটি সকল ব্যক্তিগত তথ্যের ক্ষেত্রে প্রযোজ্য।
যেহেতু বায়োমেট্রিক ডেটা একটি বিশেষ বিভাগ, তাই আপনাকে অবশ্যই GDPR-এর ধারা 9(2)-এর শর্তগুলির মধ্যে একটি, অথবা UAVG-এর ধারা 29-এ থাকা ডাচ ব্যতিক্রমটি পূরণ করতে হবে। এইগুলিই একমাত্র পথ যার মাধ্যমে নিষেধাজ্ঞাটি তুলে নেওয়া যেতে পারে। শুরু করার আগে, কে কন্ট্রোলার এবং কে প্রসেসর হিসাবে কাজ করছে, যেমন স্ক্যানিং সিস্টেমের সরবরাহকারী, তাও নির্ধারণ করুন। GDPR-এর অধীনে কন্ট্রোলার এবং প্রসেসরের ভূমিকা নিয়ে আমাদের নিবন্ধে পার্থক্য এবং আপনার প্রয়োজনীয় প্রসেসিং চুক্তিটি ব্যাখ্যা করা হয়েছে।
সুস্পষ্ট সম্মতি কখন বৈধ হয়?
সুস্পষ্ট সম্মতি সাধারণ সম্মতির চেয়ে উচ্চতর একটি মানদণ্ড। এটি অবশ্যই একটি স্পষ্ট, ইতিবাচক বিবৃতির মাধ্যমে প্রদান করতে হবে এবং তা অবশ্যই সুনির্দিষ্ট, অবহিত, দ্ব্যর্থহীন ও স্বেচ্ছায় প্রদত্ত হতে হবে।
- নির্দিষ্ট: শুধু ‘নিরাপত্তাজনিত কারণে’ এমন সাধারণ উল্লেখ যথেষ্ট নয়; আপনার বায়োমেট্রিক ডেটা কেন প্রয়োজন, তা আপনাকে সুস্পষ্টভাবে উল্লেখ করতে হবে।
- অবগত: জনগণকে অবশ্যই জানতে হবে আপনি কোন ডেটা সংগ্রহ করেন, তা দিয়ে কী করেন, কার কাছে এর অ্যাক্সেস আছে এবং কতদিন ধরে তা সংরক্ষণ করেন।
- স্বেচ্ছায় প্রদত্ত: ব্যক্তিটিকে অবশ্যই কোনো নেতিবাচক পরিণতি ছাড়াই প্রত্যাখ্যান করতে সক্ষম হতে হবে এবং যেকোনো সময় সম্মতি প্রত্যাহার করতে পারতে হবে।
কর্মসংস্থানের সম্পর্কে, শেষ শর্তটিই হলো সমস্যা। যে কর্মী প্রত্যাখ্যান করেন, তিনি পরিণতির ভয় করতে পারেন, এবং তাই এপি (AP) মনে করে যে কর্মীর সম্মতি খুব কমই স্বেচ্ছায় দেওয়া হয়। যে নিয়োগকর্তা সম্মতির উপর নির্ভর করেন, তাকে অবশ্যই দেখাতে সক্ষম হতে হবে যে একটি বাস্তব বিকল্প বিদ্যমান ছিল এবং তা কেবল কাগজে-কলমে নয়, বাস্তবেও প্রস্তাব করা হয়েছিল।
গ্রাহকদের জন্য সম্মতি কার্যকর হতে পারে, যদি অংশগ্রহণটি সত্যিই স্বেচ্ছামূলক হয়। যে গ্রাহক একই কাউন্টারে সমতুল্য বিকল্প থাকা সত্ত্বেও ফেসিয়াল রিকগনিশনের মাধ্যমে অর্থ পরিশোধ করতে চান, তিনি সেই কর্মচারীর থেকে ভিন্ন অবস্থানে থাকেন, যাকে কাজ শুরু করার জন্য ফিঙ্গারপ্রিন্ট স্ক্যানার ব্যবহার করতে হয়।
আর কী কী ব্যতিক্রম আছে?
অন্যান্য ব্যতিক্রমগুলো সংখ্যায় কম। নিচের সারণিতে সবচেয়ে প্রাসঙ্গিক ব্যতিক্রমগুলোর তুলনা করা হয়েছে।
| ব্যতিক্রম | মূল প্রয়োজনীয়তা | উদাহরণ | সাধারণ ফাঁদ |
|---|---|---|---|
| সুস্পষ্ট সম্মতি (ধারা 9(2)(a) GDPR) | সুনির্দিষ্ট, তথ্যভিত্তিক, দ্ব্যর্থহীন এবং স্বেচ্ছায় প্রদত্ত। | একজন গ্রাহক স্বেচ্ছায় মুখ শনাক্তকরণ পেমেন্ট সিস্টেমে নাম নথিভুক্ত করছেন, যার একটি সহজ বিকল্প রয়েছে। | ক্ষমতার ভারসাম্যহীনতা থাকা সত্ত্বেও কর্মচারীর সম্মতির উপর নির্ভর করা। |
| প্রমাণীকরণ বা নিরাপত্তা (অনুচ্ছেদ ২৯ ইউএভিজি) | বায়োমেট্রিক্স অপরিহার্য হতে হবে; এর চেয়ে কম হস্তক্ষেপমূলক পদ্ধতি অপর্যাপ্ত হতে হবে। | বিপজ্জনক পদার্থযুক্ত পরীক্ষাগার বা উচ্চ-নিরাপত্তাসম্পন্ন ডেটা সেন্টারে প্রবেশাধিকার। | সুবিধার জন্য বায়োমেট্রিক্স ব্যবহার করা, যেমন সময় নিবন্ধনের জন্য, যেখানে একটি ব্যাজই যথেষ্ট হতো। |
| কর্মসংস্থান এবং সামাজিক সুরক্ষা আইন (ধারা 9(2)(b) GDPR) | একটি নির্দিষ্ট আইনি বিধানের উপর ভিত্তি করে, কর্মসংস্থান বা সামাজিক সুরক্ষা আইনের অধীনে বাধ্যবাধকতা পূরণের জন্য প্রয়োজনীয়। | বাস্তবে বিরল; প্রক্রিয়াকরণের জন্য একটি বিধিবদ্ধ ভিত্তি প্রয়োজন। | ধরে নেওয়া হচ্ছে যে, কর্মসংস্থান সম্পর্কটিই যথেষ্ট। |
| গুরুত্বপূর্ণ স্বার্থ (ধারা 9(2)(c) GDPR) | শারীরিকভাবে বা আইনগতভাবে সম্মতি প্রদানে অক্ষম কোনো ব্যক্তিকে সুরক্ষা প্রদান করা আবশ্যক। | জরুরী অবস্থায় একজন অচেতন রোগীকে শনাক্ত করা। | দৈনন্দিন পরিস্থিতিতে এর প্রয়োগ। |
| যথেষ্ট জনস্বার্থ (ধারা 9(2)(g) GDPR) | ইইউ বা ডাচ আইনের উপর ভিত্তি করে এবং উদ্দেশ্যের সাথে সামঞ্জস্যপূর্ণ। | একটি নির্দিষ্ট বিধিবদ্ধ আদেশের অধীনে সরকারি কর্তৃপক্ষ কর্তৃক প্রক্রিয়াকরণ। | একটি বেসরকারি কোম্পানি কোনো আইনি ভিত্তি ছাড়াই জনস্বার্থের দোহাই দিচ্ছে। |
সঠিক ভিত্তি বেছে নেওয়ার জন্য আপনার নির্দিষ্ট পরিস্থিতির একটি লিখিত বিশ্লেষণ প্রয়োজন। সেই বিশ্লেষণ ছাড়া সবচেয়ে সুবিধাজনক ভিত্তি বেছে নেওয়া নিয়ম লঙ্ঘনের একটি দ্রুত পথ।
আপনি কি কর্মচারীদের জন্য আঙুলের ছাপ বা মুখমণ্ডল স্ক্যান ব্যবহার করতে পারেন?
শুধুমাত্র তখনই বায়োমেট্রিক্স ব্যবহার করা হয়, যখন প্রমাণীকরণ বা নিরাপত্তার জন্য তা একান্তই অপরিহার্য এবং এর চেয়ে কম হস্তক্ষেপমূলক কোনো পদ্ধতি যথেষ্ট নয়। সময় নিবন্ধন, ক্যাশ রেজিস্টার বা অফিসের সাধারণ দরজার ক্ষেত্রে সাধারণত এমনটা হয় না।
ইউএভিজি-এর ২৯ নং অনুচ্ছেদের অধীনে পরীক্ষাটি হলো, উদ্দেশ্যটি আরও কম হস্তক্ষেপমূলক উপায়ে যুক্তিসঙ্গতভাবে অর্জন করা যেত কিনা। একটি ক্যাশ কাউন্টার, সময়-নিবন্ধন ব্যবস্থা বা অফিসের দরজায় প্রবেশাধিকার নিয়ন্ত্রণকারী একটি স্ক্যানার সাধারণত সেই পরীক্ষায় উত্তীর্ণ হতে পারে না, কারণ একটি ব্যাজ, একটি কোড বা একটি চাবি বায়োমেট্রিক ডেটা ছাড়াই একই ফলাফল অর্জন করে। যেখানে বায়োমেট্রিক প্রবেশাধিকার গ্রহণযোগ্য, সেখানে নিরাপত্তার স্বার্থটি যথেষ্ট গুরুত্বপূর্ণ এবং সুনির্দিষ্ট হয়: যেমন—বিপজ্জনক পদার্থ পরিচালনাকারী কোনো কেন্দ্র, একটি সুরক্ষিত পরীক্ষাগার, একটি ডেটা সেন্টার বা একটি ভল্ট।
উপরে ব্যাখ্যা করা কারণগুলির জন্য, সম্মতি খুব কমই এই ধরনের একটি সিস্টেমকে রক্ষা করতে পারে। এবং একটি দ্বিতীয়, পৃথক প্রয়োজনীয়তা রয়েছে। যেখানে একটি ওয়ার্কস কাউন্সিল (ondernemingsraad) বিদ্যমান, সেখানে ওয়ার্কস কাউন্সিল আইন (Wet op de ondernemingsraden, WOR)-এর ধারা 27(1)(k) এবং (l) অনুসারে, এমন একটি সিস্টেমের জন্য এর সম্মতির প্রয়োজন হয় যা কর্মচারীদের উপস্থিতি, আচরণ বা কর্মক্ষমতা নিবন্ধন বা নিরীক্ষণ করে, অথবা যা তাদের ব্যক্তিগত ডেটা প্রক্রিয়া করে। GDPR মেনে চললেও সেই প্রয়োজনীয়তা দূর হয় না, এবং সম্মতি ছাড়া চালু করা একটি সিস্টেমকে চ্যালেঞ্জ করা যেতে পারে।
আপনি কি গ্রাহকদের জন্য বায়োমেট্রিক্স ব্যবহার করতে পারেন?
কখনো কখনো, কিন্তু একই কঠোর নিয়ম প্রযোজ্য। গ্রাহকদের ক্ষেত্রে, সুস্পষ্ট সম্মতি একটি বৈধ ভিত্তি হতে পারে, যদি বায়োমেট্রিক্স ব্যবহার সত্যিই ঐচ্ছিক হয় এবং এর একটি সমতুল্য বিকল্প উপলব্ধ থাকে।
সাধারণ উদাহরণগুলো হলো আঙুলের ছাপ দিয়ে ব্যাংকিং অ্যাপ আনলক করা, অনলাইনে অ্যাকাউন্ট খোলার সময় সেলফি দিয়ে পরিচয় যাচাই করা এবং মুখ শনাক্তকরণের মাধ্যমে জিম বা কোনো অনুষ্ঠানে প্রবেশ করা। যেখানে বায়োমেট্রিক যাচাইকরণটি গ্রাহকের নিজের ফোনেই, ফোনের অন্তর্নির্মিত প্রযুক্তি ব্যবহার করে সম্পন্ন হয়, সেখানে কোম্পানি সাধারণত সেই বায়োমেট্রিক ডেটা নিজে গ্রহণ করে না। এটি কোম্পানির জন্য ঝুঁকি এবং দায়বদ্ধতা উল্লেখযোগ্যভাবে হ্রাস করে।
যেখানে কোম্পানি নিজেই ডেটা প্রসেস করে, যেমন নিজেদের সার্ভারে সেলফির সাথে পাসপোর্ট ছবির তুলনা করে, সেখানে এর জন্য একটি বৈধ কারণ প্রয়োজন। সম্মতির জন্য প্রয়োজন যে গ্রাহক কোনো অসুবিধা ছাড়াই অন্য কোনো পথ বেছে নিতে পারবেন, যেমন ব্যাংক ট্রান্সফারের মাধ্যমে যাচাইকরণ বা কোনো শাখায় গিয়ে। ব্যাংক এবং অন্যান্য আর্থিক প্রতিষ্ঠানের জন্য, মানি লন্ডারিং-বিরোধী আইনের অধীনে গ্রাহক যাচাইকরণের বাধ্যবাধকতা একটি ভূমিকা পালন করে, কিন্তু সেগুলো নিজে থেকে বায়োমেট্রিক প্রসেসিংকে বাধ্যতামূলক করে না।
মুখ শনাক্তকরণ ক্ষমতাসম্পন্ন ক্যামেরাগুলোর ব্যাপারে কী বলা যায়?
দোকান, স্টেডিয়াম বা অন্যান্য সর্বজনীন স্থানে ব্যক্তিগত ব্যবহারের জন্য ফেসিয়াল রিকগনিশন ক্যামেরা নীতিগতভাবে অনুমোদিত নয়। পাশ দিয়ে হেঁটে যাওয়া ব্যক্তিরা সুস্পষ্ট সম্মতি দিতে পারেন না, এবং এমন কোনো প্রয়োজনীয়তা খুব কমই থাকে যা আর্টিকেল ২৯ ইউএভিজি (UAVG) শর্ত পূরণ করে।
এপি খুচরা বিক্রেতাদের সতর্ক করেছে যে, দোকান থেকে জিনিস চোর বা গ্রাহকদের শনাক্ত করতে ফেসিয়াল রিকগনিশন ব্যবহার করা অনুমোদিত নয়। বায়োমেট্রিক শনাক্তকরণ ছাড়া সাধারণ ক্যামেরা নজরদারির ক্ষেত্রে ভিন্ন ও কম কঠোর নিয়ম প্রযোজ্য, তবে এর জন্যও একটি বৈধ স্বার্থ, স্পষ্ট বিজ্ঞপ্তি এবং সীমিত সময় পর্যন্ত তথ্য সংরক্ষণের প্রয়োজন হয়। বিদ্যমান ক্যামেরা সিস্টেমে ফেসিয়াল রিকগনিশন সফটওয়্যার যুক্ত করা হলে মূল্যায়নটি সম্পূর্ণ বদলে যায়।
কখন আপনার ডেটা সুরক্ষা প্রভাব মূল্যায়ন প্রয়োজন?
প্রায় সবসময়ই। মানুষকে শনাক্ত করার জন্য বায়োমেট্রিক ডেটা প্রক্রিয়াকরণ একটি উচ্চ-ঝুঁকিপূর্ণ প্রক্রিয়া, এবং এপি (AP) এটিকে তাদের সেইসব প্রক্রিয়াকরণ কার্যক্রমের তালিকায় রেখেছে যার জন্য জিডিপিআর (GDPR)-এর ৩৫ নং অনুচ্ছেদ অনুযায়ী ডেটা সুরক্ষা প্রভাব মূল্যায়ন (DPIA) প্রয়োজন।
ডিপিআইএ হলো একটি কাঠামোগত গোপনীয়তা ঝুঁকি মূল্যায়ন। এটি আপনাকে একটিও আঙুলের ছাপ বা মুখ স্ক্যান করার আগে, আপনি কী করতে চান তা বর্ণনা করতে, জড়িত ব্যক্তিদের জন্য ঝুঁকিগুলো চিহ্নিত করতে এবং সেই ঝুঁকিগুলো কীভাবে পরিচালনা করবেন সে বিষয়ে সিদ্ধান্ত নিতে বাধ্য করে। যদি অবশিষ্ট ঝুঁকি বেশি থাকে এবং তা যথেষ্ট পরিমাণে কমানো না যায়, তবে কাজ শুরু করার আগে আপনাকে অবশ্যই এপি-র (AP) সাথে পরামর্শ করতে হবে (জিডিপিআর-এর ৩৬ নং ধারা)।
ডিপিআইএ একটি আইনি ভিত্তির ওপর প্রতিষ্ঠিত: প্রথমে আপনি ধারা ৬-এর অধীনে একটি ভিত্তি এবং ধারা ৯ বা ইউএভিজি-এর ধারা ২৯-এর অধীনে একটি ব্যতিক্রম প্রতিষ্ঠা করেন, এবং তারপর মূল্যায়ন করেন যে নির্দিষ্ট সিস্টেমটি প্রয়োজনীয় ও আনুপাতিক কিনা।
একটি DPIA-তে কী থাকে?
উদাহরণস্বরূপ, সার্ভার রুমে প্রবেশের জন্য একটি ফিঙ্গারপ্রিন্ট স্ক্যানারের কথা ধরা যাক। একটি ডিপিআইএ চারটি উপাদান নিয়ে গঠিত।
- প্রক্রিয়াকরণের বিবরণ। আপনারা কোন ডেটা সংগ্রহ করেন: একটি টেমপ্লেট নাকি একটি সম্পূর্ণ ছবি? এটি কীভাবে সংগ্রহ করা হয়, কোথায় সংরক্ষণ করা হয়, কীভাবে ব্যবহার করা হয় এবং কখন মুছে ফেলা হয়? কার কার অ্যাক্সেস আছে? কোনো সরবরাহকারী কি এর সাথে জড়িত?
- আবশ্যকতা ও আনুপাতিকতা। আপনি ঠিক কোন সমস্যার সমাধান করছেন, যেমন সার্ভার রুমে অননুমোদিত প্রবেশ? এক্ষেত্রে ব্যাজ বা কোড কেন যথেষ্ট নয়? আপনি যে ডেটা সংগ্রহ করেন তা কি ন্যূনতম প্রয়োজনীয়?
- সংশ্লিষ্ট ব্যক্তিদের জন্য ঝুঁকিগুলো। টেমপ্লেটের ডেটাবেস চুরি হয়ে গেলে কী হবে? পরবর্তীতে কি সেই ডেটা অন্য কোনো উদ্দেশ্যে ব্যবহার করা হতে পারে, যেমন কাজের সময় পর্যবেক্ষণ করা (ফাংশন ক্রিপ)? যেসব কর্মচারীর আঙুলের ছাপ পড়া যায় না, তাদের কী হবে? জরুরি অবস্থার সময় সিস্টেম যদি কোনো অনুমোদিত ব্যক্তিকে লগ আউট করে দেয়, তাহলে কী হবে?
- ঝুঁকিগুলো মোকাবেলার পদক্ষেপ। প্রযুক্তিগত ব্যবস্থা, যেমন এনক্রিপশন এবং কার্ড বা ডিভাইসে সংরক্ষণ; প্রাতিষ্ঠানিক ব্যবস্থা, যেমন নীতিমালা, প্রশিক্ষণ এবং লঙ্ঘন মোকাবিলা পরিকল্পনা; এবং একটি নন-বায়োমেট্রিক বিকল্প, যাতে কেউ বাদ না পড়ে।
একটি ডিপিআইএ (DPIA) কোনো এককালীন নথি নয়। প্রক্রিয়াকরণের পরিধি, প্রকৃতি বা প্রেক্ষাপট পরিবর্তিত হলে এটি পর্যালোচনা করুন। এটিই আপনার প্রধান প্রমাণ যে আপনি মোতায়েনটি সতর্কতার সাথে বিবেচনা করেছিলেন। কোনো অভিযোগের পরে লেখা বিশ্লেষণের গুরুত্ব খুব কম; আগে থেকে করা একই বিশ্লেষণ প্রমাণ করে যে সিদ্ধান্তটি সুচিন্তিত ছিল।
কী কী সুরক্ষামূলক ব্যবস্থা প্রত্যাশিত?
যতটা সম্ভব কম সংগ্রহ করুন, প্রয়োজনের চেয়ে বেশি সময় ধরে রাখবেন না এবং শক্তিশালী প্রযুক্তিগত ও সাংগঠনিক ব্যবস্থার মাধ্যমে এটিকে সুরক্ষিত রাখুন। এই নীতিগুলি GDPR-এর ৫ এবং ৩২ নং ধারা থেকে উদ্ভূত।
ডেটা হ্রাসকরণ দিয়ে শুরু করুন: শুধুমাত্র নির্দিষ্ট ও বৈধ উদ্দেশ্যে প্রয়োজনীয় বায়োমেট্রিক ডেটা সংগ্রহ করুন। অ্যাক্সেস নিয়ন্ত্রণের জন্য সাধারণত একটি টেমপ্লেটই যথেষ্ট; উচ্চ-রেজোলিউশনের ফেসিয়াল স্ক্যানের প্রয়োজন নেই। এর সাথে স্টোরেজ সীমাবদ্ধতা যুক্ত করুন: একটি সংরক্ষণের সময়সীমা নির্ধারণ করুন এবং ডেটা অপ্রয়োজনীয় হয়ে গেলেই, যেমন কোনো কর্মচারী চাকরি ছেড়ে দিলে বা তার আর অ্যাক্সেসের প্রয়োজন না থাকলে, তা নিরাপদে মুছে ফেলুন।
কারিগরি এবং সাংগঠনিক ব্যবস্থা
নিরাপত্তা অবশ্যই উচ্চ ঝুঁকির সাথে সামঞ্জস্যপূর্ণ হতে হবে। প্রধান প্রযুক্তিগত ব্যবস্থাগুলোর মধ্যে রয়েছে:
- এনক্রিপশন স্থির অবস্থায় এবং স্থানান্তরিত অবস্থায় থাকা বায়োমেট্রিক ডেটা।
- কঠোর অ্যাক্সেস নিয়ন্ত্রণযাতে শুধুমাত্র সুস্পষ্ট প্রয়োজন রয়েছে এমন অনুমোদিত কর্মীরাই ডেটা অ্যাক্সেস করতে পারেন।
- বিকেন্দ্রীভূত স্টোরেজযেখানে সম্ভব, টেমপ্লেটগুলো কোনো কেন্দ্রীয় ডেটাবেসের পরিবর্তে ডিভাইসে বা ব্যবহারকারীর নিজস্ব কার্ডে সংরক্ষণ করুন। এতে ব্যাপক নিরাপত্তা লঙ্ঘনের সম্ভাবনা অনেক কমে যায়।
শুধু প্রযুক্তিই যথেষ্ট নয়। প্রাতিষ্ঠানিক পদক্ষেপ, যেমন বায়োমেট্রিক ডেটা সংক্রান্ত লিখিত নীতিমালা, কর্মীদের প্রশিক্ষণ, পর্যায়ক্রমিক নিরাপত্তা নিরীক্ষা এবং সরবরাহকারীদের সাথে সুস্পষ্ট চুক্তি, সমানভাবে গুরুত্বপূর্ণ। যদি কোনো সরবরাহকারী আপনার পক্ষ থেকে ডেটা প্রক্রিয়াকরণ করে, তবে GDPR-এর ২৮ নং ধারা অনুযায়ী আপনার একটি প্রক্রিয়াকরণ চুক্তি প্রয়োজন হবে।
একটি স্পষ্ট গোপনীয়তা বিজ্ঞপ্তি
মানুষের এই অধিকার আছে যে, তাদের বায়োমেট্রিক ডেটা দিয়ে আপনি কী করেন তা তারা জানবে (জিডিপিআর-এর ১৩ এবং ১৪ ধারা)। তথ্য অবশ্যই সংক্ষিপ্ত, সহজে খুঁজে পাওয়ার যোগ্য এবং সহজ ভাষায় লেখা হতে হবে।
বায়োমেট্রিক প্রক্রিয়াকরণ সংক্রান্ত একটি গোপনীয়তা বিজ্ঞপ্তিতে ব্যাখ্যা করা উচিত যে আপনি কে এবং আপনার সাথে কীভাবে যোগাযোগ করা যাবে, আপনি কেন ডেটা প্রক্রিয়াকরণ করেন, ধারা ৬-এর অধীনে আইনি ভিত্তি এবং ব্যবহৃত ব্যতিক্রম, আপনি কোন ডেটা সংগ্রহ করেন (উদাহরণস্বরূপ একটি আঙুলের ছাপের টেমপ্লেট), আপনি কতদিন তা সংরক্ষণ করেন, সরবরাহকারী সহ কাদের সাথে আপনি তা শেয়ার করেন, এবং মানুষের কী কী অধিকার রয়েছে, যেমন—তথ্য প্রাপ্তি, সংশোধন, মুছে ফেলা এবং আপত্তি জানানো।
স্পষ্ট ভাষা ব্যবহারের একটি উদাহরণ: “আপনাকে সার্ভার রুমে প্রবেশাধিকার দেওয়ার জন্য আমরা একটি ফিঙ্গারপ্রিন্ট টেমপ্লেট ব্যবহার করি, যা আপনার আঙুলের ছাপের একটি সাংখ্যিক উপস্থাপনা। টেমপ্লেটটি শুধুমাত্র আপনার ব্যক্তিগত অ্যাক্সেস কার্ডে সংরক্ষিত থাকে। আপনার প্রবেশাধিকারের মেয়াদ শেষ হলে আমরা আমাদের সিস্টেম থেকে এটি মুছে ফেলি। আপনি যেকোনো সময় আপনার ডেটা দেখতে বা মুছে ফেলার জন্য অনুরোধ করতে পারেন।”
এআই আইনটিও কি প্রযোজ্য?
হ্যাঁ, নির্দিষ্ট কিছু বায়োমেট্রিক সিস্টেমের জন্য। ইইউ কৃত্রিম বুদ্ধিমত্তা আইন (রেগুলেশন (ইইউ) ২০২৪/১৬৮৯) জিডিপিআর-এর উপরে অতিরিক্ত নিয়মকানুন যোগ করে।
২০২৫ সালের ২ ফেব্রুয়ারি থেকে, এআই আইন বেশ কিছু কার্যক্রমকে সরাসরি নিষিদ্ধ করেছে, যার মধ্যে রয়েছে ফেসিয়াল রিকগনিশন ডেটাবেস তৈরির জন্য ইন্টারনেট বা ক্যামেরার ফুটেজ থেকে উদ্দেশ্যহীনভাবে মুখের ছবি সংগ্রহ করা, কর্মক্ষেত্রে ও শিক্ষাক্ষেত্রে আবেগ শনাক্তকরণ (চিকিৎসা বা নিরাপত্তার কারণ ছাড়া) এবং জাতি বা যৌন অভিমুখিতার মতো সংবেদনশীল বৈশিষ্ট্য অনুমানের জন্য বায়োমেট্রিক শ্রেণিবিন্যাস। অন্যান্য বায়োমেট্রিক সিস্টেম, যেমন রিমোট বায়োমেট্রিক আইডেন্টিফিকেশন, উচ্চ-ঝুঁকিপূর্ণ হিসেবে শ্রেণিবদ্ধ করা হয়েছে এবং এগুলোর ওপর কঠোর শর্তাবলী প্রযোজ্য। কোনো সিস্টেম চালু করার আগে উভয় কাঠামোই যাচাই করে নিন।
অ সম্মতির পরিণতি কি?
উচ্চ জরিমানা, প্রক্রিয়াকরণ বন্ধ করার আদেশ এবং ক্ষতিপূরণের দাবি। বিশেষ শ্রেণীর অবৈধ প্রক্রিয়াকরণের জন্য, জিডিপিআর ২০ মিলিয়ন ইউরো পর্যন্ত বা বিশ্বব্যাপী বার্ষিক টার্নওভারের ৪% পর্যন্ত জরিমানা করার অনুমতি দেয়, যেটি বেশি।
এই সর্বোচ্চ পরিমাণগুলি GDPR-এর ধারা 83(5) থেকে উদ্ভূত এবং অন্যান্য বিষয়ের মধ্যে, বৈধ ভিত্তি বা ব্যতিক্রম ছাড়া প্রক্রিয়াকরণের ক্ষেত্রে প্রযোজ্য। নিরাপত্তা এবং লঙ্ঘন বিজ্ঞপ্তি সংক্রান্ত বাধ্যবাধকতা লঙ্ঘনের (GDPR-এর ধারা 32 থেকে 34) ফলে 10 মিলিয়ন ইউরো পর্যন্ত বা বিশ্বব্যাপী টার্নওভারের 2% জরিমানা হতে পারে। জরিমানা অবশ্যই কার্যকর, আনুপাতিক এবং নিরুৎসাহীমূলক হতে হবে। AP তার নিজস্ব জরিমানা নীতির অধীনে পরিমাণ নির্ধারণ করে।
এপি কী বলবৎ করেছে?
অবৈধ বায়োমেট্রিক প্রক্রিয়াকরণের জন্য এপি নিয়োগকর্তা এবং প্রযুক্তি সংস্থা উভয়কেই জরিমানা করেছে। দুটি সিদ্ধান্ত বিশেষভাবে উল্লেখযোগ্য।
২০২০ সালে এপি (AP) একটি কোম্পানিকে ৭২৫,০০০ ইউরো জরিমানা করে, যারা উপস্থিতি ও সময় নিবন্ধনের জন্য কর্মীদের আঙুলের ছাপ স্ক্যান করত। এপি দেখতে পায় যে, কোনো ব্যতিক্রমই এক্ষেত্রে প্রযোজ্য ছিল না: কর্মীদের সম্মতি স্বেচ্ছায় দেওয়া হয়নি, এবং কর্মঘণ্টা নিবন্ধনের সুবিধা এমন কোনো নিরাপত্তা উদ্দেশ্য নয় যা বায়োমেট্রিক প্রক্রিয়াকরণকে প্রয়োজনীয় করে তোলে। ২০২৪ সালের সেপ্টেম্বরে এপি আমেরিকান কোম্পানি ক্লিয়ারভিউ এআই-কে (Clearview AI) কোনো আইনি ভিত্তি ছাড়াই ডাচ নাগরিকসহ বিভিন্ন ব্যক্তির মুখের ছবির একটি ডেটাবেস তৈরির জন্য ৩০.৫ মিলিয়ন ইউরো জরিমানা করে।
এপি-র প্রয়োগের ক্ষেত্রে চারটি প্রশ্ন জড়িত। এর উদ্দেশ্য কী, যা সাধারণ “নিরাপত্তা” হিসেবে না বলে সুনির্দিষ্টভাবে উল্লেখ করা হয়েছে? এটি কি আরও কম হস্তক্ষেপমূলক উপায়ে অর্জন করা যেত? যদি সম্মতির ওপর নির্ভর করা হয়, তবে মানুষ কি কোনো পরিণাম ছাড়াই তা প্রত্যাখ্যান করতে পারত? এবং সিস্টেমটি চালু করার আগে এই বিষয়গুলো মূল্যায়ন ও নথিভুক্ত করা হয়েছিল কি? ডাচ ডেটা প্রোটেকশন অথরিটির ওপর আমাদের নিবন্ধটি এপি-র ক্ষমতা সম্পর্কে আরও বিস্তারিতভাবে ব্যাখ্যা করে।
অন্যান্য পরিণতি
জরিমানাই একমাত্র ঝুঁকি নয়। এপি (AP) আপনাকে ডেটা প্রসেসিং বন্ধ করার নির্দেশ দিতে পারে, যা আপনার কার্যক্রমের জন্য অপরিহার্য একটি সিস্টেমকে অচল করে দিতে পারে, এবং এটি আপনাকে বেআইনিভাবে সংগৃহীত ডেটা মুছে ফেলার নির্দেশও দিতে পারে। যাদের ডেটা বেআইনিভাবে প্রসেস করা হয়েছে, তারা জিডিপিআর (GDPR)-এর ৮২ নং অনুচ্ছেদ অনুযায়ী বস্তুগত ও অবস্তুগত ক্ষতির জন্য ক্ষতিপূরণ দাবি করতে পারেন, এবং নেদারল্যান্ডসে এই ধরনের দাবি সম্মিলিতভাবেও উত্থাপন করা যায়। একটি প্রকাশ্য প্রয়োগমূলক সিদ্ধান্তের কারণে সুনামের যে ক্ষতি হয়, তা যথেষ্ট গুরুতর হতে পারে।
বায়োমেট্রিক তথ্য ফাঁস হলে আপনি কী করবেন?
লঙ্ঘনটি নিয়ন্ত্রণ করুন, ঝুঁকি মূল্যায়ন করুন, ৭২ ঘণ্টার মধ্যে এপি-কে অবহিত করুন এবং ঝুঁকি বেশি হলে অযথা বিলম্ব না করে ক্ষতিগ্রস্ত ব্যক্তিদের জানান। কোনো কিছু ভুল হওয়ার আগেই একটি প্রতিক্রিয়া পরিকল্পনায় এটি প্রস্তুত করুন।
GDPR-এর ৩৩ নং ধারা অনুযায়ী, আপনাকে ব্যক্তিগত তথ্য লঙ্ঘনের বিষয়টি অযথা বিলম্ব না করে এবং সম্ভব হলে, এটি সম্পর্কে অবগত হওয়ার ৭২ ঘণ্টার মধ্যে AP-কে জানাতে হবে, যদি না এই লঙ্ঘনের ফলে সংশ্লিষ্ট ব্যক্তিদের জন্য কোনো ঝুঁকি তৈরি হওয়ার সম্ভাবনা না থাকে। এই বিজ্ঞপ্তিতে লঙ্ঘনের প্রকৃতি, প্রভাবিত ব্যক্তি ও রেকর্ডের বিভাগ এবং আনুমানিক সংখ্যা, সম্ভাব্য পরিণতি এবং গৃহীত বা প্রস্তাবিত পদক্ষেপগুলোর বর্ণনা দেওয়া থাকে। আপনি যদি একবারে সমস্ত তথ্য সরবরাহ করতে না পারেন, তবে পরে তা পরিপূরণ করতে পারেন।
ধাপ ১: লঙ্ঘনটি নিয়ন্ত্রণ করুন এবং এর প্রভাব মূল্যায়ন করুন
আপনার প্রথম অগ্রাধিকার হলো এই লঙ্ঘন বন্ধ করা। ক্ষতিগ্রস্ত সিস্টেমগুলোকে বিচ্ছিন্ন করুন, তদন্তের জন্য লগ এবং অন্যান্য প্রমাণ সংরক্ষণ করুন, এবং সুনির্দিষ্টভাবে নিশ্চিত করুন যে কোন ডেটা ক্ষতিগ্রস্ত হয়েছে: মূল ছবি নাকি এনক্রিপ্টেড টেমপ্লেট, এবং কার।
ধাপ ২: ক্ষতিগ্রস্ত ব্যক্তিদের জানানো হবে কিনা সে বিষয়ে সিদ্ধান্ত নিন।
GDPR-এর ৩৪ নং ধারা অনুযায়ী, যদি কোনো তথ্য লঙ্ঘনের ফলে ক্ষতিগ্রস্ত ব্যক্তিদের অধিকার ও স্বাধীনতার ক্ষেত্রে উচ্চ ঝুঁকি তৈরি হওয়ার সম্ভাবনা থাকে, তবে আপনাকে অযথা বিলম্ব না করে তাদের জানাতে হবে। বায়োমেট্রিক ডেটার ক্ষেত্রে এই শর্তটি প্রায়শই পূরণ হয়ে যায়, কারণ এই ডেটা পরিবর্তন করা যায় না। এর ব্যতিক্রম হলো, উদাহরণস্বরূপ, সেই ডেটা যা শক্তিশালীভাবে এনক্রিপ্ট করা ছিল এবং যার কী (key) ফাঁস হয়নি। বার্তাটি অবশ্যই সহজ ভাষায় হতে হবে: কী ঘটেছে, কোন ডেটা এতে জড়িত ছিল এবং নিজেদের সুরক্ষার জন্য মানুষ কী করতে পারে।
ধাপ ৩: প্রতিক্রিয়াটি সম্পাদন ও নথিভুক্ত করুন
প্রতিটি পদক্ষেপ রেকর্ড করুন: আবিষ্কারের মুহূর্ত, গৃহীত সিদ্ধান্ত, যোগাযোগ এবং প্রযুক্তিগত ব্যবস্থা। GDPR এর ধারা 33(5) অনুসারে আপনাকে প্রতিটি লঙ্ঘন নথিভুক্ত করতে হবে, এমনকি যেগুলি রিপোর্ট করার প্রয়োজন ছিল না সেগুলিও। ভালো ডকুমেন্টেশন AP-কে দেখায় যে আপনি সতর্কতার সাথে কাজ করেছেন এবং এটি মামলাটি কীভাবে মূল্যায়ন করবে তার উপর প্রভাব ফেলতে পারে।
এটা কিভাবে অনুশীলনে কাজ করে?
আমরা যে প্রশ্নগুলো পাই, তার বেশিরভাগই আসে এমন নিয়োগকর্তাদের কাছ থেকে যারা ব্যাজের পরিবর্তে আঙুলের ছাপ বা মুখমণ্ডল স্ক্যান ব্যবহার করতে চান, এবং এমন কোম্পানিগুলোর কাছ থেকে যারা গ্রাহক যাচাইয়ের জন্য বায়োমেট্রিক্স ব্যবহার করতে চায়। এর ফলাফল নির্ভর করে প্রয়োজনীয়তা এবং উপলব্ধ বিকল্পগুলোর ওপর।
ধরা যাক, একটি লজিস্টিকস কোম্পানি তাদের গুদামের প্রবেশপথে ফিঙ্গারপ্রিন্ট স্ক্যানার ব্যবহার করতে চায়। ডিপিআইএ দেখায় যে এর উদ্দেশ্য হলো ব্যাজ শেয়ারিং প্রতিরোধ করা, কিন্তু পিন কোডসহ ব্যক্তিগত ব্যাজ এই সমস্যাটি অনেকাংশেই সমাধান করে দেবে। কোম্পানিটি ব্যাজ এবং পিন কোড উভয়ই বেছে নেয় এবং শুধুমাত্র উচ্চমূল্যের পণ্যসহ একটি ছোট ভল্ট রুমের জন্য বায়োমেট্রিক অ্যাক্সেস রাখে, যেখানে তারা একটি নন-বায়োমেট্রিক বিকল্পের ব্যবস্থা করে, ব্যক্তিগত কার্ডে টেমপ্লেট সংরক্ষণ করে এবং ওয়ার্কস কাউন্সিলের সম্মতিও পেয়েছে। এপি এই ধরনের যুক্তিই দেখতে প্রত্যাশা করে।
সংক্ষেপে
- অনন্য শনাক্তকরণের জন্য ব্যবহৃত বায়োমেট্রিক ডেটা GDPR-এর ধারা ৯-এর অধীনে একটি বিশেষ বিভাগ; কোনো ব্যতিক্রম প্রযোজ্য না হলে এর প্রক্রিয়াকরণ নিষিদ্ধ।
- নেদারল্যান্ডসে, ইউএভিজি-র ২৯ নং ধারা অনুযায়ী এটি শুধুমাত্র প্রমাণীকরণ বা নিরাপত্তার জন্য প্রয়োজনীয় ক্ষেত্রেই অনুমোদিত; কেবল সুবিধাই যথেষ্ট নয়।
- কর্মচারীর সম্মতি খুব কমই বৈধ হয়; একটি প্রকৃত বায়োমেট্রিক-বিহীন বিকল্প প্রস্তাব করুন এবং যেখানে প্রয়োজন সেখানে ওয়ার্কস কাউন্সিলের সম্মতি নিন।
- আগে থেকেই একটি ডিপিআইএ (DPIA) সম্পন্ন করুন, ডেটার পরিমাণ কমিয়ে আনুন, টেমপ্লেটগুলো স্থানীয়ভাবে সংরক্ষণ করুন এবং সেগুলোকে এনক্রিপ্ট করুন।
- ৭২ ঘণ্টার মধ্যে এপি-কে নিয়ম লঙ্ঘনের বিষয়ে জানান; জরিমানা ২০ মিলিয়ন ইউরো বা বিশ্বব্যাপী মোট লেনদেনের ৪% পর্যন্ত হতে পারে।
সচরাচর জিজ্ঞাস্য
আমি কি কর্মচারীদের বায়োমেট্রিক টাইম ক্লক ব্যবহার করতে বাধ্য করতে পারি?
প্রায় সব ক্ষেত্রেই, না। ব্যাজ বা কোডের মাধ্যমে সময় নিবন্ধন করা যায়, তাই ইউএভিজি-র ২৯ নং ধারা অনুযায়ী প্রমাণীকরণ বা নিরাপত্তার জন্য বায়োমেট্রিক্সের প্রয়োজন নেই। কর্মচারীরা খুব কমই স্বেচ্ছায় সম্মতি দেন। ২০২০ সালে এপি একটি কোম্পানিকে উপস্থিতি ও সময় নিবন্ধনের জন্য কর্মচারীদের আঙুলের ছাপ স্ক্যান করার দায়ে ৭২৫,০০০ ইউরো জরিমানা করেছিল।
কোম্পানির ফোন আনলক করতে ফেসিয়াল রিকগনিশন ব্যবহার করা কি GDPR-এর জন্য ঝুঁকিপূর্ণ?
এটা হতে পারে। যদি ফেসিয়াল টেমপ্লেটটি শুধুমাত্র ডিভাইসে সংরক্ষণ করা হয় এবং কোম্পানির সার্ভারে কখনও পাঠানো না হয়, তাহলে ঝুঁকি অনেক কম থাকে, কারণ নিয়োগকর্তা নিজে বায়োমেট্রিক ডেটা প্রসেস করেন না। এটি কীভাবে কাজ করে সে সম্পর্কে কর্মীদের কাছে স্বচ্ছ থাকুন এবং বিকল্প হিসেবে একটি পিন বা পাসওয়ার্ডের ব্যবস্থা করুন।
একজন কর্মী চাকরি ছেড়ে যাওয়ার পর আমরা কতদিন পর্যন্ত বায়োমেট্রিক ডেটা সংরক্ষণ করতে পারি?
মূল উদ্দেশ্যের জন্য যতটুকু প্রয়োজন, তার চেয়ে বেশি সময় ধরে রাখবেন না। অ্যাক্সেস নিয়ন্ত্রণের জন্য, কর্মচারী চাকরি ছেড়ে দিলে বা তার আর অ্যাক্সেসের প্রয়োজন না থাকলে টেমপ্লেটটি মুছে ফেলুন। সংরক্ষণের একটি সুস্পষ্ট সময়সীমা নির্ধারণ করুন এবং যেখানে সম্ভব, মুছে ফেলার প্রক্রিয়াটি স্বয়ংক্রিয় করুন।
Law & More বায়োমেট্রিক সিস্টেম, ডিপিআইএ, ডেটা লঙ্ঘন এবং এপি-র সামনে মামলা মোকদ্দমার বিষয়ে নিয়োগকর্তা এবং প্রযুক্তি সংস্থাগুলিকে পরামর্শ প্রদান করা হয়। আপনার অবস্থান সম্পর্কে অনিশ্চিত? আপনার পরিস্থিতি আমাদের জানান। আমরা এক কর্মদিবসের মধ্যে আপনার বিকল্পগুলি জানিয়ে দেব।
কিভাবে Law & More এ বিষয়ে আমরা আপনাকে সাহায্য করতে পারি, যা আমাদের ওয়েবসাইটে ব্যাখ্যা করা আছে। আইটি আইনজীবী পাতা.
