RODO vs outsourcing: nie wiadomo, kto będzie uzyskiwał zgody na biometrię

14 października zakończyły się konsultacje publiczne w sprawie projektu ustawy o ochronie danych osobowych, który został przygotowany przez Ministerstwo Cyfryzacji (MC). A wraz z nim towarzyszącego mu projektu ustawy - przepisy wprowadzające ustawę o ochronie danych osobowych. Obie te regulacje mają na celu dostosowanie naszych krajowych aktów prawnych do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: ogólne rozporządzenie o ochronie danych osobowych albo RODO). Unijna regulacja ma być stosowana w państwach członkowskich już od 25 maja 2018 r. Do tego czasu u nas powinny też wejść w życie nowe przepisy ustawowe. I choć przewidują one m.in., że przetwarzanie danych biometrycznych pracowników będzie wyraźnie dopuszczalne, to zarazem narzucają konieczność ich odpowiedniej ochrony przez administratorów. I tu problem mogą mieć usługodawcy, którzy są podwykonawcami u kilkunastu różnych podmiotów - zwłaszcza ci realizujący usługi o charakterze outsourcingowym. Może bowiem się okazać, że staną przed koniecznością wyrażenia zgody na udostępnienie danych biometrycznych swoich pracowników podmiotom, które np. kontrolę dostępu do pomieszczeń i obiektów z wykorzystaniem tradycyjnych środków zastąpią czytnikami biometrycznymi. W takiej sytuacji pojawia się pytanie, kto będzie administratorem danych biometrycznych wykonawców zlecenia i kto będzie brał za nie odpowiedzialność? A także, jakie ryzyko niesie ze sobą pozostawianie danych biometrycznych w wielu różnych miejscach?