Stanowisko generalnego inspektora ochrony danych osobowych

z 12 lutego 2010 r.

w sprawie możliwości skanowania linii papilarnych pracowników w celu rejestracji godzin ich przyjścia i wyjścia z zakładu pracy

Nie ma do tego prawa, nawet za zgodą każdego pracownika.

Uzasadnienie

Zakres danych osobowych pracowników, jakich może żądać zatrudniający, określa art. 22¹ kodeksu pracy. Są to imię (imiona) i nazwisko, imiona rodziców, data urodzenia, miejsce zamieszkania (adres do korespondencji), wykształcenie, przebieg dotychczasowego zatrudnienia. Pracodawca może żądać także numeru PESEL oraz innych informacji, w tym imion i nazwisk oraz dat urodzenia dzieci, jeżeli od ich podania zależy korzystanie przez pracownika ze szczególnych uprawnień. Innych danych pracodawca może żądać jedynie wówczas, gdy ich udostępnienie nakazują odrębne przepisy.

Warto także zauważyć, iż kodeks pracy w zakresie w nim nieuregulowanym odsyła do przepisów ustawy o ochronie danych osobowych (art. 22¹ § 5 kodeksu pracy). Przepisy tej ustawy określają m.in., na jakiej podstawie można legalnie wykorzystywać (przetwarzać) dane osobowe, wymieniając zgodę osoby, której dane dotyczą, czy istnienie przepisu prawa, który zezwala na przetwarzanie danych osobowych w określonym celu (art. 23 ust. 1 ustawy o ochronie danych osobowych). Jednak w przypadku pozyskiwania danych osobowych pracownika, innych niż wskazane wyżej, m.in. linii papilarnych, nie można powoływać się na jego zgodę, jako podstawę prawną. Aby zgoda osoby mogła być uznana za podstawę prawną musi być wyrażona w sposób dobrowolny. Jednak w relacji zachodzącej między pracodawcą a pracownikiem trudno jest mówić o takiej dobrowolności, gdyż brak jest tu równowagi podmiotowej (stosunek nadrzędności i podrzędności podmiotów), co często może sprzyjać wymuszeniu zgody. Stanowisko GIODO poparł także Naczelny Sąd Administracyjny w wyroku z dnia 1 grudnia 2009 r. o sygn. akt I OSK 249/09, stwierdzając, że „wyrażona na prośbę pracodawcy pisemna zgoda pracownika, na pobranie i przetworzenie jego danych osobowych, narusza prawa pracownika i swobodę wyrażenia przez niego woli. (…) Brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Z tego względu ustawodawca ograniczył przepisem art. 22¹ kodeksu pracy katalog danych, których pracodawca może żądać od pracownika”.

A zatem jedyną podstawą do gromadzenia odcisków linii papilarnych może być przepis prawa. Skoro jednak nie ma regulacji zezwalających pracodawcom na żądanie od podwładnych danych biometrycznych, jak linii papilarnych, obrazu tęczówki oka czy kodu DNA to ich gromadzenie jest zabronione.

Dodatkowym argumentem przemawiającym za tym, że pracodawca nie może pobierać i przetwarzać odcisków linii papilarnych w celu rejestracji godzin ich przyjścia i wyjścia z zakładu pracy jest także stanowisko w tej sprawie Grupy Roboczej art. 29 (organu konsultacyjnego, składającego się z przedstawicieli organów ochrony danych osobowych obywateli państw członkowskich Unii Europejskiej, którego rolą jest czuwanie nad stosowaniem przez państwa członkowskie Dyrektywy nr 95/46/WE w sprawie ochrony danych osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych). Uznała ona – w dokumencie roboczym w sprawie biometrii z dnia 1 sierpnia 2003 r. – że ryzyko naruszenia swobód i fundamentalnych praw obywatelskich musi być proporcjonalne do celu, któremu służy. Oznacza to, że przy wykorzystywaniu danych osobowych należy kierować się zasadą proporcjonalności wyrażoną w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych (dane muszą być adekwatne w stosunku do celów, w jakich są przetwarzane). Nie można zatem uznać, aby wykorzystywanie danych biometrycznych do kontroli czasu pracy pracowników było proporcjonalne do zamierzonego celu ich przetwarzania. Czas pracy można bowiem kontrolować za pośrednictwem innych środków, mniej ingerujących w czyjąś prywatność. Stanowisko to podzielił także Naczelny Sąd Administracyjny w powołanym wyżej wyroku z 1 grudnia 2009 r.