Danych biometrycznych nie wolno wykorzystywać do kontroli czasu pracy.
Pracodawca nie ma prawa pobierać odcisków palców od zatrudnionych, nawet za ich zgodą. Jest to obejście przepisów kodeksu pracy – stwierdził Naczelny Sąd Administracyjny.
– Kodeks pracy w art. 221 wymienia dane, jakich pracodawca może żądać od pracownika. Pobieranie i przetwarzanie innych danych jest niedopuszczalne – podkreśliła sędzia Ewa Dzbeńska.
Tymczasem systemami biometrycznymi wykorzystującymi linie papilarne interesuje się wielu przedsiębiorców. Uważa się je za skuteczniejszy od innych sposób rejestracji czasu pracy.
W spółce LG Electronics Mława wprowadzono rejestrację wejść i wyjść z zakładu za pomocą czytników linii papilarnych, przetwarzanych na zapis cyfrowy. Odbyło się to za zgodą pracowników, wyrażoną w pisemnych oświadczeniach.
Generalny inspektor danych osobowych nakazał usunięcie i zaprzestanie pobierania takich informacji, gdyż nie ma to podstawy prawnej. Nie legalizuje tego wyrażenie zgody przez pracowników. Spółka natomiast powoływała się na art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, który zezwala na przetwarzanie danych (w tym wypadku na pobieranie odcisków palców) za zgodą zainteresowanych.
Wojewódzki Sąd Administracyjny w Warszawie potwierdził, że przetworzone do postaci cyfrowej linie papilarne pracowników spółki są ich danymi osobowymi. Nie podzielił jednak stanowiska o braku podstawy prawnej i uchylił decyzję GIODO zaskarżoną przez spółkę. Taką podstawą jest zgoda zainteresowanych – stwierdził. Mimo że w kodeksie pracy nie ma mowy o danych osobowych w postaci linii papilarnych czy wzoru siatkówki oka, firma może je gromadzić, jeżeli spełniona zostanie choć jedna legalizująca przesłanka.
W wyniku skargi kasacyjnej generalnego inspektora NSA uchylił ten wyrok i oddalił skargę spółki. Żeby mówić o zgodzie jako przesłance legalności, musi istnieć równorzędność obu stron – podkreślił. Pracodawca i pracownik nie są równorzędnymi podmiotami i nie można wykluczyć, że zgoda będzie wymuszona.
Na mocy dyrektyw europejskich dane biometryczne podlegają szczególnej ochronie. Można je pobierać i przetwarzać tylko wówczas, gdy zezwala na to ustawa, np. o policji, o paszportach czy o Straży Granicznej. Kodeks pracy nie zawiera takich przepisów. Zgodnie zaś z zasadą zawartą w ustawie o ochronie danych osobowych, administrator danych powinien zapewnić, że będą one adekwatne do celów, w jakich są zbierane. Trudno zaś uznać za adekwatne pobieranie danych biometrycznych do kontrolowania czasu pracy (sygn. I OSK 249/09).
Danuta Frey