Ewidencja czasu pracy przy użyciu danych biometrycznych pracownika. Czy RODO dopuszcza takie rozwiązanie?

Jesteśmy świadkami cyfrowej rewolucji. Z owoców tej rewolucji coraz częściej korzystają pracodawcy, a wdrażane rozwiązania najczęściej mają na celu ułatwienie życia pracownikom. Przykładów jest wiele. Jedne są mniej, inne bardziej kontrowersyjne. Z pewnością są pracodawcy, którzy twierdzą, że tradycyjne, podpisywane listy obecności czy personalizowane karty dostępu do pomieszczeń biurowych są passe i chcąc uczynić biuro bardziej innowacyjnym, planują zainstalować czytniki linii papilarnych w celu ewidencjonowania czasu pracy.

Możliwe, że takie rozwiązanie ułatwiłoby życie wielu pracownikom. Głównie tym, którzy notorycznie zapominają karty dostępu lub dla których podpisanie listy obecności jest nie lada wyzwaniem. Koniec z wytrzepywaniem kieszeni, toreb i plecaków w poszukiwaniu karty dostępu. Pomysł może jest innowacyjny i z pewnością znalazłby pewne grono zwolenników, szczególnie wśród tych osób, dla których znalezienie czegokolwiek o poranku jest niczym poszukiwanie Świętego Graala. Jednak czy w świetle prawa, pracodawca powinien przetwarzać dane biometryczne pracowników w celu ewidencjonowania czasu pracy?

Obowiązek prowadzenia ewidencji czasu pracy przez pracodawcę

Jak wiadomo, w świetle regulacji obowiązujących na gruncie polskim, na pracodawcy spoczywa ustawowy obowiązek prowadzenia ewidencji czasu pracy. Przedmiotowe obligo wynika z art. 149 § 1 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2019 r., poz. 1040 ze zm.), zgodnie z którym:

Obowiązek ten podlega co prawda pewnemu ograniczeniu, wskazanemu w  § 2 przedmiotowego artykułu, w świetle którego, ewidencjonowanie czasu pracy nie jest obowiązkowe:

Czym są dane biometryczne?

Dla ustalenia, czy można wprowadzić omawianą innowację i dać kres fruwającym listom obecności lub ginącym kartom dostępu, konieczne jest przypomnienie, czym w ogóle są dane biometryczne. Definicję przedmiotowego pojęcia odnaleźć można w art. 4 pkt. 14) RODO, zgodnie z którym:

Co ważne, art. 9 RODO jednoznacznie określa, że dane biometryczne to dane osobowe podlegające szczególnemu rodzajowi ochrony (tzw. „dane wrażliwe”).

Kiedy mamy do czynienia z przetwarzaniem danych biometrycznych?

Oprócz przytoczonego czytnika linii papilarnych, pracodawca mógłby zaplanować wykorzystanie narzędzia rejestrującego inne elementy fizjonomii pracownika, przykładowo, tęczówkę lub siatkówkę oka, układ żył na ręce czy też biometrię kształtu ucha, które to narzędzie miałoby posłużyć do rejestracji czasu pracy. W tym miejscu warto zaznaczyć, że to właśnie wybrana przez pracodawcę metoda przetwarzania miałaby decydujące znaczenie dla uznania, że mamy do czynienia z przetwarzaniem danych biometrycznych. Bowiem dla oceny, czy przetwarzane są dane biometryczne, kluczowe znaczenie ma ustalenie, czy w wyniku użycia specjalnych narzędzi technicznych, sposób utrwalenia cechy fizycznej, fizjologicznej lub behawioralnej danej osoby (np. linii papilarnych) umożliwia jej jednoznaczną identyfikację.

UODO wypowiedział się sprawie wykorzystywania danych biometrycznych pracowników w celu ewidencjonowania czasu pracy

W maju br., Urząd Ochrony Danych Osobowych, opublikował na swojej stronie internetowej stanowisko w zakresie ewidencjonowania czasu pracy przy wykorzystaniu danych biometrycznych pracowników. Opinia Urzędu jednoznacznie rozstrzyga, czy pracodawca ma prawo wykorzystywać dane biometryczne pracownika do rejestracji czasu pracy. Zdaniem Urzędu, ewidencja czasu pracy nie jest celem, który umożliwia pracodawcy przetwarzanie danych biometrycznych pracownika, które to dane w ocenie Urzędu mają charakter sensytywny. Urząd wskazał, że:

W dalszej części stanowiska, Urząd podkreślił, że wykorzystanie przez pracodawcę danych biometrycznych pracowników w celu rejestracji czasu pracy stanowiłoby naruszenie zasad określonych w RODO, tj. zasady legalności, ograniczenia celu, jak również minimalizacji danych. Ponadto, Urząd wskazał, że z uwagi na brak podstawy prawnej, nie byłoby możliwe uzasadnienie przez pracodawcę celowości przetwarzania danych biometrycznych pracowników do weryfikowania ich obecności w pracy. Stanowisko Urzędu wieńczy zdanie, z którego wynika, że istnieją alternatywy, które pracodawca może wykorzystać do celów rejestracji czasu pracy. Jako przykład legalnych alternatyw Urząd wskazuje karty dostępu, identyfikatory lub listy obecności. Jak widać, na ten moment spać spokojnie mogą wszyscy ci pracownicy, dla których wizja biura, w którym na każdym rogu czyhają żądne odcisków palców czytniki, to wizja antyutopijna.