Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE w art. 4 pkt. 14 definiuje dane biometryczne jako: „dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne”.

Biometrycznymi danymi osobowymi są np. wzór linii papilarnych, układ naczyń krwionośnych, wzór tęczówki oka, geometria dłoni czy wykorzystywana przez nas w życiu codziennym przy autoryzacji telefonów geometria twarzy.

Podstawy korzystania przez pracodawcę z danych biometrycznych

Pracodawca może przetwarzać biometryczne dane osobowe zgodnie z art. 21 Kodeksu Pracy wyłącznie w sytuacji kiedy jest do niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej. Zgodnie z art. 221B Kodeksu Pracy pracodawca może korzystać z danych biometrycznych również w celu ograniczenia  dostępu do pomieszczeń wymagających szczególnej ochrony.

Kluczową kwestią jest wynikający z art. 9 ust. 2 Rozporządzenia RODO fakt możliwości przetwarzania takich danych wyłącznie za wyraźnie udzieloną zgodą osoby, której dane dotyczą. Dla celów dowodowych ważne jest aby taka zgoda miała formę pisemną. Pracodawca musi również poinformować oraz umożliwić pracownikowi możliwość wycofania w każdej chwili takiej zgody bez wyciągania wobec niego negatywnych konsekwencji.

Kontrola czasu pracy a dane biometryczne

Zgodnie z Wyrokiem Naczelnego Sądu Administracyjnego z dnia 1 grudnia 2009 r. w sprawie o sygnaturze akt I OSK 249/09 korzystanie z danych biometrycznych do kontroli czasu pracy jest zjawiskiem nieproporcjonalnym do zamierzonego celu ich przetwarzania. Zatem nawet dobrowolnie wyrażona zgoda nie daje pracodawcy podstaw do wykorzystania danych biometrycznych w celu ewidencji czasu pracy.

Legalność przetwarzania danych biometrycznych pracownika

Podsumowując pracodawca może przetwarzać dane biometryczne pracownika wyłącznie gdy:

  1. Spełnia podstawowe zasady przetwarzania danych osobowych z art. 5 RODO,
  2. Powiadomi pracownika o przysługujących mu prawach
  3. Upoważni pracownika przetwarzającego dane biometryczne, zobowiązując go do zachowania poufności
  4. Posiada podstawę prawną do przetwarzania danych biometrycznych
  5. Zapewni odpowiedni poziom bezpieczeństwa przetwarzania danych biometrycznych
  6. Przeprowadzi analizę ryzyka
  7. Uzyska zgodę pracownika do przetwarzania jego danych biometrycznych

Konsekwencje niezgodne z prawem przetwarzania danych biometrycznych

Pracodawca, który przetwarza dane biometryczne w sposób niezgodny z prawem naraża się na wszczęcie postępowania przed Prezesem Urzędu Ochrony Danych Osobowych oraz odpowiedzialność administracyjną, w tym nałożenia kar finansowych. Należy również wskazać ryzyko odpowiedzialności cywilnej oraz karnej.

Pracownikowi, którego dane biometryczne są przetwarzane niezgodnie z prawem przysługuje również możliwość złożenia skargi do Państwowej Inspekcji Pracy oraz wytoczenia powództwa przed sądem pracy.