Nie można kontrolować czasu pracy za pomocą danych biometrycznych

Zdaniem Generalnego Inspektora Ochrony Danych Osobowych pracodawca nie ma do tego prawa, nawet jeśli uzyskał zgodę każdego pracownika. Zakres danych osobowych pracowników, jakich może żądać zatrudniający, określa art. 221 kodeksu pracy. Są to imię (imiona) i nazwisko, imiona rodziców, data urodzenia, miejsce zamieszkania (adres do korespondencji), wykształcenie, przebieg dotychczasowego zatrudnienia. Pracodawca może żądać także numeru PESEL oraz innych informacji, w tym imion i nazwisk oraz dat urodzenia dzieci, jeżeli od ich podania zależy korzystanie przez pracownika ze szczególnych uprawnień. Innych danych pracodawca może żądać jedynie wówczas, gdy ich udostępnienie nakazują odrębne przepisy.

Warto także zauważyć, iż kodeks pracy w zakresie w nim nieuregulowanym odsyła do przepisów ustawy o ochronie danych osobowych (art. 22¹ par. 5 kodeksu pracy). Unormowania zawarte w tej ustawie (art. 23 ust. 1) określają m.in., na jakiej podstawie można legalnie wykorzystywać (przetwarzać) dane osobowe. Wśród przesłanek, które na to zezwalają są m.in. zgoda osoby, której dane dotyczą oraz istnienie przepisu prawa, który zezwala na przetwarzanie danych osobowych w określonym celu (art. 23 ust. 1 ustawy o ochronie danych osobowych). Jednak w przypadku pozyskiwania danych osobowych pracownika, innych niż wskazane wyżej, m.in. linii papilarnych, nie można powoływać się na jego zgodę jako podstawę prawną. Aby zgoda osoby mogła być uznana za podstawę prawną, musi być wyrażona w sposób dobrowolny. Jednak w relacji zachodzącej między pracodawcą a pracownikiem trudno jest mówić o takiej dobrowolności, gdyż brak jest tu równowagi podmiotowej (stosunek nadrzędności i podrzędności podmiotów), co często może sprzyjać wymuszeniu zgody. Stanowisko Generalnego Inspektora Ochrony Danych Osobowych poparł także Naczelny Sąd Administracyjny w wyroku z 1 grudnia 2009 r. (I OSK 249/09, www.giodo.gov.pl) stwierdzając, że wyrażona na prośbę pracodawcy pisemna zgoda pracownika na pobranie i przetworzenie jego danych osobowych narusza prawa pracownika i swobodę wyrażenia przez niego woli. Brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Z tego względu ustawodawca ograniczył przepisem art. 22¹ kodeksu pracy katalog danych, których pracodawca może żądać od pracownika.

A zatem jedyną podstawą do gromadzenia odcisków linii papilarnych może być przepis prawa. Skoro jednak nie ma regulacji zezwalających pracodawcom na żądanie od podwładnych danych biometrycznych, takich jak linie papilarne, obraz tęczówki oka czy kod DNA, to ich gromadzenie jest zabronione.

Dodatkowym argumentem przemawiającym za tym, że pracodawca nie może pobierać i przetwarzać odcisków linii papilarnych w celu rejestracji godzin ich przyjścia i wyjścia z zakładu pracy jest także stanowisko w tej sprawie Grupy Roboczej art. 29 (organu konsultacyjnego, składającego się z przedstawicieli organów ochrony danych osobowych obywateli państw członkowskich Unii Europejskiej, którego zadaniem jest czuwanie nad stosowaniem przez państwa członkowskie Dyrektywy nr 95/46/WE w sprawie ochrony danych osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych). Uznała ona, że ryzyko naruszenia swobód i fundamentalnych praw obywatelskich musi być proporcjonalne do celu, któremu służy. Oznacza to, że przy wykorzystywaniu danych osobowych należy kierować się zasadą proporcjonalności wyrażoną w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych, a więc dane muszą być adekwatne w stosunku do celów, w jakich są przetwarzane.

Podsumowując, Generalny Inspektor Ochrony Danych Osobowych uważa, iż nie można uznać, aby wykorzystywanie danych biometrycznych do kontroli czasu pracy pracowników było proporcjonalne do zamierzonego celu ich przetwarzania. Czas pracy można bowiem kontrolować za pośrednictwem innych środków, mniej ingerujących w czyjąś prywatność.