Prema članku 9. stavku 2. točki a. GDPR-a i članku 23. Zakona o provedbi Opće uredbe o zaštiti podataka biometrijski sustav, u kakve spada i obrada otisaka prstiju, u svrhe identifikacije pojedinca može biti korišten samo temeljem izričite privole pojedinca.

A da bi privola bila valjana, mora pojedincu prije njegovog prava izbora biti omogućen pristup prostoru i drugim načinima (RFID kartice, PIN-ovi, ključevi...) bez ikakvog ometanja ili prepreka, mora mu biti dan potpuno slobodan izbor pa čak i ako naknadno povuče svoju privolu.

Stoga definitivno neće svi zaposlenici dati privolu na obradu biometrijskih podataka i samim time poslodavac mora održavati i omogućavati i druge načine i metode pristupa prostoru.

Ako se takav sustav, osim samog dozvoljavanja ulaska, koristi i za vođenje evidencija radnog vremena, praćenje vremena dolaska i odlaska, tada je potrebna dodatna izričita privola za svaku zasebnu svrhu i naravno - osiguranje potpune informiranosti svih pojedinaca o svrhama, načinima, rokovima pohrane i pravima, uključujući i pravo na povlačenje privole i pravo na pritužbu AZOP-u.

Pri tom je važno voditi brigu da se biometrijski podaci prikupljaju i provjeravaju samo i isključivo od osoba koje su izričitom privolom pristale na obradu njihovih biometrijskih podataka.