Wykorzystanie danych biometrycznych w ewidencji czasu pracy

Wykorzystanie danych biometrycznych pracowników, a zwłaszcza skanów ich linii papilarnych, przez pracodawców do prowadzenia ewidencji czasu pracy jest coraz powszechniejszym zjawiskiem. System ten jest wprowadzany zarówno w prywatnych firmach, jak i w wielu podmiotach publicznych, takich jak szpitale czy urzędy. Popularność swą zawdzięcza szybkości i efektywności. Uniemożliwia on również „podbicie” cudzej karty, jak ma to często miejsce przy zastosowaniu systemu ewidencji przy wykorzystaniu kart magnetycznych.

Istnieją jednak poważne wątpliwości dotyczące legalności takiego systemu.

Na wstępie należy stwierdzić, że dane biometryczne takie jak odcisk palca, skan tęczówki oka, skan siatkówki oka, czy geometria dłoni stanowią dane osobowe w rozumieniu Ustawy z dnia 29 sierpnia 1997 roku o ochronie danych osobowych. Kodeks pracy w artykule 22¹ ustanawia natomiast katalog danych osobowych, których pracodawca może żądać od pracownika. Są to imię (imiona) i nazwisko, imiona rodziców, data urodzenia, miejsce zamieszkania (adres do korespondencji), wykształcenie, przebieg dotychczasowego zatrudnienia. Pracodawca może żądać także numeru PESEL oraz innych informacji, w tym imion i nazwisk oraz dat urodzenia dzieci, jeżeli od ich podania zależy korzystanie przez pracownika ze szczególnych uprawnień. Innych danych pracodawca może żądać jedynie wówczas, gdy ich udostępnienie nakazują odrębne przepisy.

Generalny Inspektor Ochrony Danych Osobowych stoi stanowczo na stanowisku, że wykorzystywanie systemów rejestrujących dane biometryczne do ewidencjonowania czasu pracy jest niezgodne z prawem. Wynika to z faktu, iż w polskim systemie prawa brak jest jakiegokolwiek przepisu, który zezwalałby pracodawcom na pozyskiwanie lub żądanie od podwładnych danych biometrycznych takich jak linie papilarne, obraz tęczówki oka czy kod DNA. GIODO podkreśla również, że niemożliwe jest uzyskanie od pracownika zgody na przetwarzanie jego danych biometrycznych, ponieważ „aby zgoda osoby mogła być uznana za podstawę prawną musi być wyrażona w sposób dobrowolny. Jednak w relacji zachodzącej między pracodawcą a pracownikiem trudno jest mówić o takiej dobrowolności, gdyż brak jest tu równowagi podmiotowej (stosunek nadrzędności i podrzędności podmiotów), co często może sprzyjać wymuszeniu zgody. Stanowisko GIODO poparł także Naczelny Sąd Administracyjny w wyroku z dnia 1 grudnia 2009 r. o sygn. akt I OSK 249/09, stwierdzając, że „wyrażona na prośbę pracodawcy pisemna zgoda pracownika, na pobranie i przetworzenie jego danych osobowych, narusza prawa pracownika i swobodę wyrażenia przez niego woli. (…) Brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Z tego względu ustawodawca ograniczył przepisem art. 22¹ kodeksu pracy katalog danych, których pracodawca może żądać od pracownika” (źródło: http://www.giodo.gov.pl/348/id_art/3358/j/pl/).

Niejednokrotnie podkreśla się również, że wykorzystanie danych biometrycznych pracowników do kontroli czasu pracy jest nieproporcjonalne w stosunku do zamierzonego celu ich przetwarzania, wobec faktu, że cel ten (prowadzenie efektywnej ewidencji czasu pracy) może być zrealizowany na różne inne sposoby, na przykład przy wykorzystaniu kart magnetycznych, czy książki obecności, bez potrzeby przetwarzania danych osobowych pracowników. Ponadto, Konstytucja RP gwarantuje, że nikt inaczej niż na podstawie ustawy nie może zostać zobowiązany do przekazania informacji o sobie. Działania pracodawcy zmierzające do wprowadzenia biometrycznego systemu ewidencji czasu pracy mogą stać w sprzeczności z powyższą zasadą.

Zwolennicy twierdzenia o legalności stosowania tego typu kontroli czasu pracy twierdzą jednak, że skoro brak jest przepisu, który zobowiązywałby pracownika do udzielenia zgody na przetwarzanie jego danych biometrycznych, a odmowa udzielenia takiej zgody nie może stanowić przesłanki rozwiązania stosunku pracy, to nie może być mowy o wywieraniu na pracowniku jakiejkolwiek presji przy okazji wyrażania zgody na przetwarzanie danych osobowych. W wyroku z dnia 27 listopada 2008 roku Wojewódzki Sąd Administracyjny w Warszawie (sygn. akt II SA/Wa 903/08) stwierdził, iż „Nie można przyjąć, że normy prawa pracy zapewniają dalej idącą ochronę informacji o pracowniku, aniżeli ustawa o ochronie danych osobowych (…)Jeśli chodzi o dane pracownika takie, jak linie papilarne czy wzór siatkówki oka, pobieranie tych danych, ich gromadzenie, czyli przetwarzanie - co do zasady - nie jest zabronione, lecz odbywać się musi z poszanowaniem przepisów ustawy o ochronie danych osobowych”. Zatem, w opinii sądu wykorzystywanie linii papilarnych pracowników do celów ewidencjonowania czasu pracy, pod warunkiem uprzedniego uzyskania od pracowników ich zgody, jest zgodne z prawem. Podkreślić należy jednak, że wyrok ten był szeroko krytykowany zarówno przez GIODO, jaki i przez PIP oraz stanowi on odstępstwo od wypracowanej przez wcześniejsze i późniejsze wyroki linii orzeczniczej.

Warto zauważyć, że wykorzystanie systemu rejestrującego dane biometryczne nie budzi wątpliwości w przypadku, gdy jego celem jest ochrona pomieszczeń przed wstępem osób nieupoważnionych czy ochrona informacji niejawnych. Według opinii GIODO: „pracodawca nie ma prawa, by przetwarzać dane biometryczne pracowników np. na potrzeby kontroli czasu ich pracy, ale może wykorzystywać je, by sprawdzać, kto wchodzi do bankowego skarbca czy pomieszczenia, w którym przechowywane są informacje niejawne. Warto jednak zauważyć, że takiemu sprawdzeniu dla potrzeb bezpieczeństwa poddawani powinni być nie tylko pracownicy, ale każda osoba wchodząca do takiego pomieszczenia, np. serwisant czy kontroler” (źródło: www.giodo.gov.pl/plik/id_p/5933/j/pl/).

W praktyce, mimo ostrego sprzeciwu przeciwko wykorzystaniu danych biometrycznych do ewidencji czasu pracy ze strony GIODO i PIP, ryzyko poniesienia konsekwencji takiego działania przez pracodawcę jest niewielkie. Dotychczas jedynie trzy takie sprawy zakończyły się wyrokami, a pracodawcy zostali wyłącznie wezwani do zaprzestanie stosowania tego typu systemów i usunięcia istniejących baz danych biometrycznych, nie ponosząc żadnych kar finansowych.

Z prawnoteoretycznego punktu widzenia taką sytuację należy ocenić jako szczególnie negatywną. Długotrwałe nieprzestrzeganie w praktyce określonej normy prawnej prowadzi z czasem do odebrania jej mocy oraz do spadku społecznego poszanowania i zaufania do obowiązującego porządku prawnego. Wyjściem byłaby zmiana istniejącej regulacji polegająca na dostosowaniu jej do polskiej i światowej praktyki ewidencjonowania czasu pracy oraz zaawansowanych technologicznie rozwiązań.

Paula Nowak

Radca prawny 
Anna Rogowska