Erwägen Sie die Verwendung biometrischer Daten? Führen Sie jetzt eine Richtlinie für biometrische Daten ein.
Unternehmen und Organisationen, die in Illinois tätig sind – einschließlich aller Unternehmen mit einer Online-Präsenz, die für Einwohner von Illinois zugänglich ist – sollten wachsam bleiben gegenüber den sich ständig ändernden Fallstricken, die sich aus dem Illinois Biometric Information Privacy Act (BIPA) ergeben. Zur Erinnerung: Der BIPA regelt, wie private Einrichtungen biometrische Daten erheben, verarbeiten und nutzen, und gewährt jeder Person, die durch einen Verstoß gegen das Gesetz geschädigt wurde, ein privates Klagerecht.
Wer nicht richtig plant, riskiert möglicherweise harte Strafen wegen technischer Verstöße gegen das Gesetz. Darüber hinaus erhöhen eine Reihe von aktuellen Gerichtsentscheidungen die durch das Gesetz verursachten Risiken. In der jüngsten Entwicklung hat ein Gericht in Illinois ein Urteil gefällt, das eine verschuldensunabhängige Haftung (d. h. die Absichten des Unternehmens werden bei der Feststellung, ob ein Gesetzesverstoß vorliegt, nicht berücksichtigt) für Organisationen schafft, die biometrische Daten erheben, ohne zum Zeitpunkt der ersten Erhebung über eine öffentlich zugängliche schriftliche Richtlinie zu verfügen.
In diesem Fall, Mora gegen J&M Plating, Inc., entschied das Berufungsgericht von Illinois, dass sobald eine private Einrichtung in den Besitz biometrischer Daten gelangt, Abschnitt 15(a) des BIPA greift, der die Einrichtung effektiv dazu verpflichtet, bereits vor der ersten Verarbeitung biometrischer Daten eine schriftliche Richtlinie für den Umgang mit biometrischen Informationen entwickelt und veröffentlicht zu haben.
Eine solche Richtlinie muss einen Zeitplan für die Aufbewahrung der Daten sowie Richtlinien dazu enthalten, wie und wann die biometrischen Daten vernichtet werden. Das Gericht betonte, dass diese Verpflichtung zur Entwicklung und Veröffentlichung einer Richtlinie zusätzlich zu der Anforderung in Abschnitt 15(b) des BIPA gilt, wonach das Unternehmen die schriftliche Einwilligung derjenigen einholen muss, deren biometrische Daten es erfassen und speichern möchte.
Mit anderen Worten: Wenn ein Unternehmen vor der ersten Erfassung biometrischer Daten keine Richtlinien zur Aufbewahrung und Vernichtung dieser Daten festgelegt hat, setzt es sich einer potenziell erheblichen Haftung gemäß der unbegrenzten gesetzlichen Schadensersatzbestimmung des BIPA aus, die 1.000 US-Dollar pro fahrlässigem Verstoß und 5.000 US-Dollar pro vorsätzlichem oder grob fahrlässigem Verstoß vorsieht.
Das Risiko kann sogar noch größer sein, wenn das Unternehmen mit der Erfassung biometrischer Daten beginnt, ohne dass die betroffene Person zuvor ihre schriftliche Einwilligung nach Aufklärung erteilt hat. Bei großzügiger Auslegung des Urteils würde die Entscheidung des Gerichts Unternehmen keine Möglichkeit lassen, diese Haftung durch die spätere Einführung einer schriftlichen Richtlinie zu mindern. Entweder verfügt ein Unternehmen zum Zeitpunkt der ersten Datenerfassung über eine Richtlinie oder es verfügt nicht darüber, und wenn es nicht darüber verfügt, kann es sich der Haftung gemäß Abschnitt 15(a) nicht entziehen.
Angesichts der Stellungnahme von Mora sollten Unternehmen und Organisationen, bei denen auch nur die geringste Möglichkeit besteht, dass sie im Rahmen ihrer Geschäftstätigkeit in Illinois biometrische Daten erfassen, eine Richtlinie entwerfen und umsetzen – auch wenn eine solche Richtlinie derzeit nicht notwendig erscheint. Wenn Ihr Unternehmen oder Ihre Organisation in Illinois tätig ist, aber derzeit keine Richtlinie zur Speicherung und Vernichtung biometrischer Daten hat, sollten Sie in Absprache mit einem Rechtsberater über die Entwicklung einer solchen Richtlinie nachdenken.
