Postęp technologiczny w nieunikniony sposób przenika do wszystkich dziedzin naszego życia. Zmiany te obserwujemy również w dziedzinie ochrony danych osobowych. Coraz częściej pojawiają się pytania i wątpliwości, czy nie dochodzi do zbyt daleko idącej ingerencji w życie społeczeństwa i prawa jednostki. Jednym z częstych i powtarzających się w ostatnim czasie pytań jest zagadnienie wykorzystywania przez pracodawców danych biometrycznych pracownika w związku ze stosunkiem pracy.

 

Na początku warto sprecyzować, czym są owe dane biometryczne. Są to dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne (art. 4 pkt 14 RODO). Przez specjalne przetwarzanie techniczne należy rozumieć wykorzystanie takich metod i środków, których celem jest dokonanie analizy cech biometrycznych i doprowadzenie do identyfikacji osoby fizycznej (np. skanowanie linii papilarnych czy tęczówki oka). Do fizycznych cech biometrycznych należą: cechy tęczówki oka, linie papilarnych palców, geometria twarzy, rozkład temperatury na twarzy i geometria dłoni, DNA, zapach, kształt ust, kształt uszu, barwa głosu, siatkówka oka (dno oka), kształt linii zgięcia wnętrza dłoni, układ naczyń krwionośnych na dłoni lub przegubie ręki. Cechą fizjologiczną jest np. sposób poruszania się. Za najważniejsze biometryczne cechy behawioralne uważa się głos oraz sposób wykonywania własnoręcznego podpisu [P. Litwiński (red.), Rozporządzenie UE, komentarz do art. 4 pkt 1, Nb 137].

 

Identyfikacja osób fizycznych za pomocą danych biometrycznych, których przykłady wskazano powyżej występuje coraz częściej, głównie w celu kontroli dostępu osób do różnego rodzaju obiektów, pomieszczeń, weryfikacji prawa do skorzystania z określonych usług. O ile jednak identyfikacja osoby fizycznej na podstawie jej świadomej i dobrowolnej zgody za pomocą linii papilarnych lub geometrii twarzy podczas wejścia na siłownię w związku z posiadaniem karty multisport, o tyle wątpliwości pojawiają się przy wykorzystaniu tych samych danych celem identyfikacji pracowników wchodzących na teren zakładu pracy, a to za sprawą relacji łączących strony umowy o pracę, a ściślej stosunku podległości pracownika względem pracodawcy. Tymczasem pracodawcy coraz częściej wyrażają chęć wdrożenia w swoich zakładach (zwłaszcza tych dużych, zatrudniających znaczną ilość osób) systemów identyfikacji pracowników oraz ewidencji czasu pracy właśnie za pomocą danych biometrycznych (np. skanowania linii papilarnych).

 

Prowadzenie ewidencji czasu pracy w celu prawidłowego ustalenia wynagrodzenia oraz innych świadczeń związanych ze stosunkiem pracy należy do obowiązków pracodawcy. Służy nie tylko ustaleniu faktycznego czasu pracy pracownika, ale umożliwia również pracodawcy skuteczną kontrolę przestrzegania prawa pracy przez pracodawcę. Z tego obowiązku pracodawca jest zwolniony wyłącznie w stosunku do pracowników objętych systemem zadaniowego czasu pracy, pracowników zarządzających w imieniu pracodawcy zakładem pracy oraz pracowników otrzymujących ryczałt za godziny nadliczbowe lub za pracę w porze nocnej (art. 149 ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy, dalej: KP).

 

Przepisy prawa pracy nie narzucają formy, w jakiej powinna być prowadzona ewidencja, pozostawiając to do decyzji pracodawcy. Powszechnie stosowanymi narzędziami prowadzenia ewidencji są spersonalizowane karty ewidencji czasu pracy, a także listy obecności. Dostawcy usług oferują aktualnie nowoczesne rozwiązania bazujące na przetwarzaniu danych biometrycznych pracowników, w szczególności czytników linii papilarnych. Czy jednak taki sposób działania jest dozwolony?  

 

Dane biometryczne jako kategoria wrażliwych danych osobowych podlega szczególnej ochronie wynikającej z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako RODO). Na mocy art. 22 1 b Kodeksu pracy kolei przetwarzanie ich przez pracodawcę zostało mocno ograniczone i może wystąpić w dwóch przypadkach:

 

  1. za zgodą osoby ubiegającej się o zatrudnienie bądź pracownika wyłącznie, gdy ich przekazanie następuje z inicjatywy tych osób,
  2. wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony.

 

Czy, któraś z powyższych przesłanek stanowi podstawę dla korzystania z biometrii w związku z ewidencjonowaniem czasu pracy?

 

Według aktualnego wciąż stanowiska Prezesa Urzędu Ochrony Danych Osobowych z dnia 11 maja 2020 roku, przetwarzanie przez pracodawcę danych biometrycznych pracowników nie może służyć celowi, jakim jest ewidencja czasu pracy. Pracodawca legalnie przetwarza dane biometryczne swoich pracowników, jeżeli wynika to ze szczególnych przesłanek określonych w RODO oraz znajduje podstawę w obowiązujących przepisach prawa. W ocenie Prezesa UODO, w obowiązujących przepisach prawa brak jest podstawy do wykorzystywania danych biometrycznych pracownika w celu ewidencjonowania jego czasu pracy. Pracodawca zatem naruszyłby zasady określone w RODO (art. 5 ust. 1 RODO). W szczególności przetwarzałby dane wbrew zasadzie legalności (lit. a), ograniczenia celu (lit. b) oraz minimalizacji danych (lit. c), ponieważ nie byłby w stanie wykazać, dlaczego i na jakiej podstawie prawnej przetwarza dane biometryczne pracowników do celów związanych z weryfikowaniem ich obecności w pracy.

 

W ocenie Prezesa UODO przetwarzanie danych biometrycznych nie jest niezbędne dla osiągnięcia celu, jakim jest ewidencjonowanie czasu pracy pracownika. Pracodawca może przeprowadzić identyfikację pracownika za pomocą innych środków, które nie ingerują tak dalece w jego prywatność.  

 

Powyższe zagadnienie z pewnością będzie przedmiotem dalszych dyskusji i nowych rozstrzygnięć organów administracji, jak i sądów, szczególnie z uwagi na wciąż postępujący rozwój nowych technologii i ich przenikania do naszej codzienności – zarówno w sferze prywatnej, jak i zawodowej.