TC Transcontinental hat die Gesichtserkennung in einer seiner Druckereien illegal eingesetzt, urteilte die Access to Information Commission. Dies ist eine seltene Entscheidung über den Einsatz biometrischer Daten, die erste seit der Verschärfung der Gesetzgebung im Jahr 2022.
„Dies ist ein Weckruf für Unternehmen“, bemerkt Antoine Guilmain, Co-Direktor der nationalen Praxisgruppe für Cybersicherheit und Datenschutz bei Gowling WLG. „Es ist erst die 10e Entscheidung und der 5e Anordnung der Kommission zur Biometrie seit 2000.“
Im Jahr 2020 richtete Imprimeries Transcontinental im Zusammenhang mit der COVID-19-Pandemie in seinem Werk in Beauceville in Chaudière-Appalaches ein Authentifizierungssystem mit zwei Funktionen ein, einer Gesichtserkennung und einer Temperaturmessung. All dies, um „die Risiken einer Ausbreitung des Virus zu begrenzen“.
Nach der Gesundheitskrise wurde nur noch das Gesichtserkennungstool zur Kontrolle des Kommens und Gehens eingesetzt. Die Commission for Access to Information (CAI) gelangte in einer im Dezember ergangenen Entscheidung, die jedoch unbemerkt blieb, zu dem Schluss, dass das Unternehmen „nicht nachgewiesen hat, dass es notwendig ist“, diese personenbezogenen Daten zu sammeln, um seine Gesundheits- und Sicherheitsziele zu erreichen. .
Laut der Gesetz zum Schutz personenbezogener Daten im privaten Sektor (oder Datenschutzgesetz) müssen öffentliche Stellen und private Unternehmen, die „sensible personenbezogene Daten“ sammeln, sicherstellen, dass diese Sammlung „notwendig“ ist.
Me Guilmain betont, dass der Arbeitgeber die Einwilligung der Arbeitnehmer zur Erhebung ihrer biometrischen Daten eingeholt habe.
Dies ist eine weitere Erinnerung der Kommission: Die Einholung der Einwilligung ändert nichts am Kriterium der Notwendigkeit.
Me Antoine Guilmain, Co-Direktor der nationalen Praxisgruppe für Cybersicherheit und Datenschutz bei Gowling WLG
Seit September 2022 muss jede Einrichtung einer Bank biometrischer Merkmale oder Messungen in Quebec „spätestens 60 Tage vor ihrer Inbetriebnahme offengelegt werden“. Diese neue Frist war Gegenstand einer Änderung Gesetz über die rechtlichen Rahmenbedingungen für Informationstechnologien.
TC Transcontinental gab an, im August 2024 der Gesichtserkennung den Rücken gekehrt zu haben, wenige Wochen vor der Entscheidung, die die Vernichtung der gesammelten Daten vorsah. Von nun an „nutzt keine unserer 15 kanadischen Fabriken diese Form der Identifizierung“, versichert François Taschereau, Vizepräsident für Unternehmenskommunikation und öffentliche Angelegenheiten.
Terroristische Bedrohungen?
Neben gesundheitlichen Gründen äußerte TC Transcontinental den Wunsch, die Anforderungen der „Customs-Trade Partnership Against Terrorism“ (CTPAT)-Zertifizierung zu respektieren, die die Sicherheit privater Lieferketten im Hinblick auf terroristische Bedrohungen regelt. .
Die Kommission antwortet, dass der Einsatz der Gesichtserkennung unter anderem ein Mittel zur Einhaltung der Zertifizierung und keine Verpflichtung sei. „Der CTPAT-Standard sieht andere, weniger in die Privatsphäre eingreifende Mittel vor, mit denen das Ziel der Zugangskontrolle zu Firmengeländen erreicht werden könnte“, heißt es in der Entscheidung.
Warum entscheiden Sie sich nicht für einfache „Ausweise“? Dazu gehören „[nt] Risiken beim Teilen oder Kopieren von Karten, zusätzlich zu einem stärkeren internen Management bei Verlust und Austausch dieser Karten“, argumentierte Imprimeries Transcontinental in einer Antwort an die Kommission für den Zugang zu Informationen.
Diese Nachteile seien ein häufiges Problem bei der Führung eines Unternehmens, so die Kommission. Was die angeführten Risiken betreffe, so stellten diese „keine reale Situation und keine ausreichende Rechtfertigung“ dar, behauptet sie.
Die Entscheidung des Aufsichtsausschusses stehe im Einklang mit den Grundsatzpositionen des CAI, so Anwalt Antoine Guilmain, der die biometrischen Akten sorgfältig verfolgt. „Wir haben ein Szenario, in dem wir Biometrie im Druckkontext für alle Mitarbeiter und in allen Räumlichkeiten nutzen wollen. Es ist etwas ganz Besonderes“, sagt er.
Starkes Wachstum
Biometrische Informationen „haben einen unveränderlichen Charakter, was sie im Falle eines Vertraulichkeitsvorfalls zu besonders sensiblen Informationen macht, und die böswillige Verwendung dieser Informationen kann schwerwiegende Folgen für die betroffenen Personen haben“, erinnert das CAI in seiner Entscheidung gegen Imprimeries Transcontinental.
Dies geschieht zu einer Zeit, in der die Nutzung biometrischer Messbanken in Quebec stark zunimmt. Im Geschäftsjahr 2023–2024 meldeten 124 Unternehmen die Erhebung solcher sensibler Daten, ein Anstieg von 60 % im Vergleich zum Vorjahr (78), wie aus von der Kommission veröffentlichten Daten hervorgeht Die Presse letzten Oktober.
Seit 2022 befürchtet die Regierungsbehörde eine „gewisse Verharmlosung“ der Auswirkungen biometrischer Daten auf den Schutz personenbezogener Daten.
Die letzte Entscheidung des CAI in dieser Angelegenheit stammt aus dem Jahr 2022, als die Auberge du lac Sacacomie gezwungen war, die Erfassung der Gesichtsformen ihrer Mitarbeiter einzustellen und die gesammelten Daten zu vernichten.
