RODO: przetwarzanie danych biometrycznych pracowników w celu kontroli czasu pracy

Aneta Siwek

6 lipca 2020 r.

Zgodnie ze stanowiskiem Prezesa UODO przetwarzanie przez pracodawcę danych biometrycznych pracowników nie może służyć celowi, jakim jest ewidencja czasu pracy. Pracodawca wykorzystując dane biometryczne pracownika do rejestracji czasu pracy przetwarza je wbrew zasadzie legalności, ograniczenia celu oraz minimalizacji danych, ponieważ nie jest w stanie wykazać, dlaczego i na jakiej podstawie prawnej przetwarza dane biometryczne pracowników do celów związanych z kontrolą ich obecności w pracy.

Zgodnie z rekomendacjami Prezesa UODO pracodawca powinien rejestrować czas pracy za pomocą innych narzędzi niż stosowanie technologii przetwarzających dane biometryczne pracowników. Wskazuje także, że cel ten może osiągnąć, wykorzystując m.in. listy obecności, indywidulane identyfikatory lub karty dostępu.

Ewidencja czasu pracy

Prowadzenie ewidencji czasu pracy w celu prawidłowego ustalenia wynagrodzenia i innych świadczeń związanych z pracą należy do obowiązków pracodawcy. Służy nie tylko ustaleniu rzeczywistego czasu pracy pracownika, ale też umożliwia przeprowadzenie skutecznej kontroli przestrzegania prawa pracy przez pracodawcę. Z tego obowiązku pracodawca jest zwolniony wyłącznie w stosunku do pracowników objętych systemem zadaniowego czasu pracy, pracowników zarządzających w imieniu pracodawcy zakładem pracy oraz pracowników otrzymujących ryczałt za godziny nadliczbowe lub za pracę w porze nocnej (art. 149 ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy, dalej: KP).

Przepisy prawa pracy nie narzucają formy, w jakiej powinna być prowadzona ewidencja, pozostawiając to do decyzji pracodawcy. Powszechnym narzędziem prowadzenia ewidencji są spersonalizowane karty ewidencji czasu pracy, a w przypadku pewnej grupy pracodawców również listy obecności. Aktualnie wielu pracodawców korzysta z nowoczesnych rozwiązań bazujących na przetwarzaniu danych biometrycznych pracowników, w szczególności czytników linii papilarnych.

Dane biometryczne

Na gruncie przepisów RODO, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej stanowią dane szczególnej kategorii, których przetwarzanie podlega szczególnemu reżimowi prawnemu. Dane biometryczne w rozumieniu art. 4 pkt 14 RODO oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby – wizerunek twarzy lub dane daktyloskopijne.

Legalność przetwarzania danych biometrycznych

Przetwarzanie przez pracodawcę danych szczególnej kategorii, w których katalog wpisują się również dane biometryczne, możliwe jest tylko w wyjątkowych sytuacjach. Pracodawca jest uprawniony do ich przetwarzania wyłącznie w przypadku spełnienia jednego z warunków określonych w art. 9 ust. 2 RODO.
Przetwarzanie danych sensytywnych jest dopuszczalne zatem m.in. wtedy gdy będzie to niezbędne do wypełnienia przez pracodawcę obowiązków i wykonywania szczególnych praw z zakresu prawa pracy (np. przetwarzanie danych dotyczących zdrowia pracownika w związku z wypełnianiem obowiązków pracodawcy w zakresie medycyny pracy). Podstawą przetwarzania powinien być nadto przepis prawa, w tym prawa UE, przewidujący odpowiednie zabezpieczenie praw i interesów pracownika (art. 9 ust. 2 lit. b RODO).

Uzyskanie zgody pracownika może nie wystarczyć

Podstawę przetwarzania danych biometrycznych pracownika może także stanowić jego wyraźna i dobrowolnie wyrażona zgoda. Jednak w myśl art. 221b § 1 KP zgoda pracownika może stanowić podstawę przetwarzania przez pracodawcę danych szczególnej kategorii wyłącznie w przypadku, gdy przekazanie powyższych danych osobowych nastąpiło z inicjatywy samego pracownika.

Zgodnie ze stanowiskiem judykatury i organu nadzorczego, zgoda pracownika nie może zasadniczo stanowić ważnej podstawy prawnej przetwarzania jego danych osobowych w przypadku, gdy istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem, a relacja taka występuje w stosunku pracodawca-pracownik.

Aktualne pozostaje stanowisko wyrażone przez Naczelny Sąd Administracyjny, zgodnie z którym wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania (por. wyrok NSA z 1.12.2009 r., I OSK 249/09).

Nawet zgoda dobrowolnie wyrażona przez pracownika na przetwarzania jego danych biometrycznych nie będzie postrzegana więc jako ważna podstawa prawna przetwarzania jego danych biometrycznych w celu ewidencji czasu pracy. Zgody w takim przypadku nie można bowiem uznać za udzieloną dobrowolnie.

Zapewnienie kontroli dostępu

Przetwarzanie danych biometrycznych pracownika będzie natomiast dopuszczalne, gdy podanie takich danych jest obiektywnie niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony (art. 221b § 2 KP). W powyższym przypadku wystarczające będzie powołanie się przez pracodawcę na jego uzasadniony interes (art. 9 ust. 2 lit. b RODO).

W razie pytań lub wątpliwości, polecamy kontakt z naszymi specjalistami zajmującymi się tematyką ochrony danych osobowych.