DPC mengumumkan penyelesaian penyelidikan terkait penggunaan teknologi pemindaian wajah dalam kaitannya dengan Kartu Layanan Publik yang dilakukan oleh Departemen Perlindungan Sosial.

Liga335 – DPC hari ini mengumumkan keputusan akhir setelah penyelesaian penyelidikan terhadap Departemen Perlindungan Sosial (DSP). Penyelidikan ini, yang dimulai pada Juli 2021, meninjau proses pengolahan templat wajah biometrik oleh DSP dan penggunaan teknologi pencocokan wajah terkait, sebagai bagian dari proses pendaftaran Kartu Layanan Publik. Proses ini dikenal sebagai “SAFE 2 registration”.

Latar Belakang Penyelidikan ini merupakan kelanjutan dari penyelidikan terpisah yang sebelumnya dilakukan oleh DPC terkait aspek tertentu dari pengolahan data pribadi oleh DSP dalam kaitannya dengan penerbitan Kartu Layanan Publik, yang diselesaikan pada 2019. DSP awalnya mengajukan gugatan hukum terhadap keputusan DPC dalam penyelidikan tersebut melalui banding ke Pengadilan Sirkuit. Banding tersebut akhirnya ditarik, dan kesepakatan bersama antara DPC dan DSP, serta laporan penyelidikan akhir dari penyelidikan tersebut, diterbitkan pada Desember 2021.

Laporan penyelidikan akhir tersebut menyatakan. Pemeriksaan terpisah oleh DPC terkait pengolahan data pribadi, termasuk data biometrik, oleh DSP dalam rangka pendaftaran SAFE 2 telah diselesaikan. Keputusan hari ini merupakan hasil akhir dari proses pemeriksaan terpisah tersebut.

Alasan penyelidikan Pendaftaran SAFE 2 wajib bagi siapa pun yang ingin mengajukan permohonan Kartu Layanan Publik. Orang yang tidak mengikuti proses pengolahan tersebut tidak dapat mengakses layanan DSP, termasuk pembayaran kesejahteraan. Peluncuran pendaftaran SAFE 2 telah mengakibatkan pengumpulan, penyimpanan, dan pengolahan data pribadi yang sangat sensitif, termasuk data biometrik berupa templat wajah, secara besar-besaran oleh DSP.

Berdasarkan GDPR, data biometrik dikategorikan sebagai data kategori khusus yang memerlukan perlindungan dan pengamanan yang lebih tinggi. Pada tahun 2021, DSP menyimpan templat wajah biometrik yang berkaitan dengan 70% populasi negara. Teknologi pencocokan wajah yang digunakan oleh DSP melibatkan pembuatan data biometrik yang berkaitan dengan jumlah yang sangat substan Proporsi populasi yang signifikan.

Skala dan sifat invasif dari pemrosesan data memerlukan justifikasi hukum yang tepat. Dalam keadaan seperti ini, yurisprudensi Eropa yang telah mapan menetapkan bahwa undang-undang yang jelas dan dapat diprediksi diperlukan untuk memastikan perlindungan terhadap campur tangan sewenang-wenang terhadap hak-hak individu.
Mengingat hal di atas, sangat penting bahwa pendaftaran SAFE 2 didasarkan pada landasan hukum yang jelas dan tepat, yang mengatur aturan dan jaminan konkret mengenai sifat dan pengaturan spesifik pemrosesan data biometrik yang mendasarinya, terlepas dari tujuan dan manfaat kebijakan publik yang dimaksudkan untuk dicapai.

Ruang lingkup penyelidikan Ruang lingkup penyelidikan mencakup pemeriksaan dan penilaian terhadap hal-hal berikut: Apakah DSP memiliki dasar hukum yang sah untuk mengumpulkan data biometrik untuk tujuan melakukan pencocokan wajah sebagai bagian dari pendaftaran SAFE 2; Apakah DSP memiliki dasar hukum yang sah untuk menyimpan data biometrik yang dikumpulkan sebagai bagian dari. f Pendaftaran SAFE 2; Apakah DSP telah mematuhi kewajiban transparansinya terhadap subjek data yang menjalani pendaftaran SAFE 2; dan Apakah DSP telah melakukan Penilaian Dampak Perlindungan Data yang memadai sebagai bagian dari pendaftaran SAFE 2. Temuan Keputusan DPC, yang dibuat oleh Komisaris Dale Sunderland dan telah diberitahukan kepada DSP minggu ini, menemukan bahwa DSP:
Melanggar Pasal 5(1)(a), 6(1), dan 9(1) GDPR dengan tidak mengidentifikasi dasar hukum yang sah untuk pengumpulan data biometrik sehubungan dengan pendaftaran SAFE 2 pada saat penyelidikan; Mengingat temuan sebelumnya, melanggar Pasal 5(1)(e) GDPR dengan menyimpan data biometrik yang dikumpulkan sebagai bagian dari pendaftaran SAFE 2;
Melanggar Pasal 13(1)(c) dan 13(2)(a) GDPR dengan tidak menyediakan informasi yang cukup transparan kepada subjek data terkait pendaftaran SAFE 2; dan Melanggar Pasal 35(7)(b) dan (c) GDPR dengan tidak menyertakan detail tertentu dalam Analisis Dampak Perlindungan Data (Data Protection Impact Assessment).

Penilaian yang dilakukan terkait pendaftaran SAFE 2.
Kewenangan Korektif yang Dilaksanakan Mengingat pelanggaran yang diidentifikasi di atas, DPC telah (1) memberikan teguran kepada DSP, (2) mengenakan denda administratif sebesar €550.000, dan (3) mengeluarkan perintah kepada DSP untuk menghentikan pemrosesan data biometrik terkait pendaftaran SAFE 2 dalam waktu 9 bulan sejak keputusan ini jika DSP tidak dapat mengidentifikasi dasar hukum yang sah.

Wakil Komisaris, Graham Doyle berkomentar: “Perlu dicatat bahwa tidak ada temuan pelanggaran yang diidentifikasi, maupun tindakan korektif yang dilakukan oleh DPC, yang berkaitan dengan peluncuran pendaftaran SAFE 2 oleh DSP sebagai prinsip. DPC tidak menemukan bukti adanya langkah-langkah keamanan teknis dan organisasional yang tidak memadai yang diterapkan oleh DSP sehubungan dengan pendaftaran SAFE 2 dalam konteks penyelidikan ini. Penyelidikan ini berfokus pada penilaian apakah kerangka hukum yang saat ini berlaku untuk pendaftaran SAFE 2 memadai.

Masalahnya terletak pada persyaratan undang-undang perlindungan data dan apakah DSP mengoperasikan pendaftaran SAFE 2 sesuai dengan ketentuan perlindungan data, dan temuan yang diumumkan hari ini mengidentifikasi sejumlah kelemahan dalam hal ini.” DPC akan menerbitkan keputusan lengkap dan informasi terkait lainnya pada waktunya.