Zatrudnienie zawsze wiąże się z koniecznością przetwarzania danych osobowych pracownika. W związku z tym już na etapie rekrutacji kandydat jest proszony o wyrażenie zgody na przetwarzanie jego danych. Czy po podpisaniu umowy o pracę zatrudniający może przetwarzać dane biometryczne pracownika? Odpowiadamy w artykule!
Czym są dane biometryczne?
Definicję danych biometrycznych odnajdziemy w art. 4 ust. 14 rozporządzenia RODO, zgodnie z którym oznaczają one dane osobowe wynikające ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne. Do danych biometrycznych należą zatem m.in. odciski palców, włosy, wygląd twarzy lub struktura siatkówki danego człowieka.
Dane biometryczne możemy zakwalifikować do danych osobowych o szczególnej wrażliwości. Są one indywidualne i bardzo trudne do sfabrykowania. Ze względu na swój charakter są coraz częściej wykorzystywane w codziennych sprawach. Weźmy pod uwagę chociażby możliwość stosowania blokady telefonów komórkowych lub komputerów przy użyciu odcisków palca lub wizerunku twarzy albo dostęp do konta bankowego przy użyciu kamery. Uważa się, że dane biometryczne stanowią jedne z lepszych i skuteczniejszych zabezpieczeń.
Dane biometryczne w pracy
Ze względu na swoją szczególną cechę dane biometryczne mogą być wykorzystywane w zakładach pracy. Dotyczy to przede wszystkim firm, które posiadają istotne tajemnice gospodarcze, do których dostęp jest limitowany. Osoby upoważnione do dostępu do takich informacji muszą najczęściej korzystać z wysokich form zabezpieczeń, aby dostać się do firmowych danych, a następnie ponownie zablokować je po wykonaniu pracy.
Dane biometryczne pojawiają się chociażby w bankach i innych instytucjach finansowych, korporacjach światowych, firmach technologicznych i internetowych. Mogą one stanowić wyłączną formę zabezpieczenia, jak również uzupełniać inne narzędzia stojące na straży bezpieczeństwa danych firmowych. Czy pracodawca może żądać od swoich pracowników udostępniania danych biometrycznych? Tak, ale tylko jeśli jest to niezbędne dla potrzeb prowadzonej działalności i wiąże się z obowiązkami danego pracownika. Jeśli zatrudniony nie będzie miał styczności z chronionymi tajemnicami przedsiębiorstwa, to żądanie udostępnienia przez niego danych biometrycznych może zostać uznane za bezprawne.
Przykład 1.
Jan pracuje w dużej korporacji technologicznej. Firma zajmuje się wdrażaniem na rynek nowych technologii internetowych. Dostęp do wielu programów, w tym tych jeszcze nigdzie nieopublikowanych, jest chroniony narzędziami biometrycznymi, głównie skanem siatkówki. Obowiązki Jana, które wynikają z jego umowy o pracę, wymagają, aby od czasu do czasu sięgał on do takich danych. Czy pracodawca może nakazać pracownikowi udostępnienie jego danych biometrycznych?
Tak, ponieważ jest to związane z pracą, którą wykonuje Jan. W przypadku odmowy przekazania danych biometrycznych może on zostać zwolniony z pracy.
Przykład 2.
Ewa jest emerytką, która dorabia w firmie technologicznej jako sprzątaczka. Zakład pracy szczyci się wysokimi zabezpieczeniami opartymi w głównej mierze na wykorzystywaniu danych biometrycznych swoich pracowników. Ewa nie ma styczności z danymi stanowiącymi tajemnicę przedsiębiorstwa i wykonuje swoją pracę najczęściej wtedy, gdy inne osoby opuszczą już budynek firmy. Pracodawca żąda jednak od kobiety udostępnienia jej danych biometrycznych, twierdząc, że taka jest polityka firmy. Takie dane w żaden sposób nie wiążą się jednak z pracą, którą wykonuje Ewa. Czy pracodawca może żądać od niej udostępnienia danych biometrycznych?
Nie, ponieważ żądanie zatrudniającego jest nieuzasadnione. Dane pracownicy nie są bowiem konieczne do wykonywania jej obowiązków zawodowych. Jeśli Ewa odmówi udostępnienia takich danych, pracodawca nie może zwolnić jej z tego powodu.
Dane biometryczne pracownika - przetwarzanie danych przez pracodawcę
Jeśli pracownik przekazał pracodawcy swoje dane biometryczne, to musi pamiętać o przysługujących mu prawach. Po pierwsze zatrudniający ma obowiązek zagwarantować pełną ochronę takich danych. Po drugie może je wykorzystywać wyłącznie na cele związane z pracą danej osoby. Po trzecie dane biometryczne pracownika nie mogą być udostępnianie innym osobom, w tym innym pracownikom, chyba że będzie to w pełni uzasadnione, zgodne z prawem i będzie wiązało się z potrzebami firmy.
Pod pojęciem przetwarzania danych biometrycznych mieści się tak naprawdę wiele różnych czynności, m.in. gromadzenia takich danych i ich aktywnego wykorzystywania. Jak stanowi art. 221b Kodeksu pracy, zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych biometrycznych wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie ich jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony. Do przetwarzania omawianych danych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.
Z powyższego wynika jasno, że pracodawca w każdym przypadku musi mieć zgodę pracownika na przetwarzanie jego danych biometrycznych. Przepisy nie regulują jednak tej kwestii zbyt dokładnie. Przyjmuje się, że taka zgoda musi być wyraźna, tj. świadomie udzielona przez zatrudnionego na piśmie. Zgoda na przetwarzanie danych biometrycznych może być przy tym udzielona już na etapie zawierania stosunku pracy (np. w treści podpisywanej umowy o pracę), jak również i w późniejszym czasie (np. poprzez podpisanie oświadczenia o odpowiedniej treści).
Czy zgoda na przetwarzanie danych biometrycznych może być cofnięta? Tak, podobnie jak ma to miejsce w przypadku danych osobowych. Taka sytuacja pojawia się najczęściej po rozwiązaniu stosunku pracy z zatrudnionym, bez względu na formę zakończenia umowy o pracę. Oczywiście pracownik może żądać zaprzestania przetwarzania jego danych biometrycznych także w trakcie trwania stosunku pracy, choć zapewne będzie się to wiązało z utratą dostępu do tajemnic przedsiębiorstwa, które są chronione narzędziami wykorzystującymi dane biometryczne.
Przykład 3.
Marek podczas podpisywania umowy o pracę wyraził zgodę na przetwarzanie jego danych biometrycznych – odcisków palców, które są potrzebne przy dostępie do niektórych pomieszczeń firmowych. Po roku pracy mężczyzna zmienił dział i od tej pory dostęp do pomieszczeń chronionych nie będzie już mu potrzebny. Pracodawca aneksował z nim także umowę o pracę, w której zmodyfikował jego zakres obowiązków. Czy pracownik może wycofać zgodę na przetwarzanie jego danych biometrycznych?
Tak, jeśli te dane nie są już przez niego wykorzystywane w pracy. W tym przypadku pracodawca musi zaprzestać przetwarzania danych biometrycznych Marka, co może wiązać się także z koniecznością zmiany niektórych postanowień zawartych w umowie o pracę.
Przykład 4.
Aleksandra pracuje w dużej korporacji i wyraziła zgodę na przetwarzanie jej danych biometrycznych. Po kilku miesiącach pracy została przeniesiona do innego działu, jednak nadal od czasu do czasu korzysta ze swoich danych biometrycznych. Czy zmiana zakresu obowiązków pracownicy pozwala jej żądać zaprzestania przetwarzania tych danych?
Nie, ponieważ w dalszym ciągu są one potrzebne do wykonywania obowiązków zawodowych. Zmiana stanowiska pracy nie spowodowała zmiany w zakresie korzystania z danych biometrycznych w firmie.
W tym miejscu warto wspomnieć o tzw. biometrycznej kontroli czasu pracy. Okazuje się, że pracodawca nie może korzystać z takiej formy ewidencji czasu pracy. Niedopuszczalne jest to nawet za zgodą samego pracownika. Temat ten był badany już kilka lat temu przez Naczelny Sąd Administracyjny, który w wyroku z 6 września 2011 roku (sygn. akt I OSK 1476/10) stwierdził, że brak równowagi w relacji pracodawca – pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Z tego względu ustawodawca ograniczył przepisem art. 22[1] Ustawy z dnia 26 marca 1974 roku – Kodeks pracy (kp) katalog danych, których pracodawca może żądać od pracownika. Uznanie faktu wyrażenia przez pracownika zgody na przetwarzanie jego danych za okoliczność legalizującą pobranie od pracownika innych danych niż wskazane w art. 22[1] kp stanowiłoby naruszenie tego przepisu Kodeksu pracy. Skoro zasada proporcjonalności wyrażona w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych jest głównym kryterium przy podejmowaniu decyzji dotyczących przetwarzania danych biometrycznych, to stwierdzić należy, że wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania.
Dane biometryczne pracownika - podsumowanie
Pracodawca ma prawo do przetwarzania danych biometrycznych pracowników, tylko gdy zatrudniony wyrazi na to zgodę na piśmie oraz gdy jest to konieczne do realizacji obowiązków pracowniczych. Taka zgoda może być w każdym momencie wycofana, przy czym najczęściej będzie wiązała się albo ze zmianą zakresu obowiązków w firmie, albo z utratą zatrudnienia. Pracodawcy nie wolno wykorzystywać danych biometrycznych pracowników do ewidencjonowania ich czasu pracy, nawet gdy sami wyraziliby na to zgodę.
