Kiedy organy administracji mogą zbierać dane biometryczne

Dane biometryczne są coraz częściej wykorzystywane w gospodarce. Do korzystania z biometrycznych technik identyfikacji przymierza się również administracja publiczna. Na przeszkodzie mogą jednak stanąć obowiązujące przepisy.

Publikacja: 26.01.2016 01:00

Foto: 123RF

Dane biometryczne to dane dotyczące cech fizycznych i fizjologicznych człowieka. Możemy zaliczyć do nich zatem wizerunek, np. uwieczniony na zdjęciu, barwę głosu, odciski palców itp. Dane biometryczne tym różnią się od innych informacji na temat osób fizycznych, że w większości przypadków pozostają niezmienne, w przeciwieństwie do adresu zamieszkania czy kodu PIN, które można zmienić. Dlatego przetwarzanie danych biometrycznych w sposób szczególny może zagrażać prywatności osoby, której dane dotyczą, czyli podmiotu danych.

Zakaz przetwarzania

W niektórych przypadkach dane biometryczne stanowić będą dane osobowe, a nawet tzw. dane sensytywne, w rozumieniu ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (u.o.d.o.). Dane osobowe to wszelkie informacje odnoszące się do zidentyfikowanej lub możliwej do zidentyfikowania osoby. Nie jest to jedynie imię i nazwisko, ale wszelkie dane, które możemy przypisać konkretnej osobie.

Dane sensytywne natomiast to informacje dotyczące pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub filozoficznych, wyznania, przynależności do partii lub związku, stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz dane dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Należy pamiętać, że co do zasady istnieje zakaz przetwarzania takich danych.

Dokumenty paszportowe i legitymacje

Dane biometryczne wykorzystywane są nie tylko przez organy ścigania, ale także do wyrobienia rożnego rodzaju dokumentów. Wszędzie tam, gdzie zamieszczane są zdjęcia, mamy do czynienia z danymi biometrycznymi. Szczególnymi dokumentami są paszporty, które zawierają obecnie dwie cechy biometryczne. Na potrzeby ustawy o dokumentach paszportowych z 13 lipca 2006 r. za dane biometryczne uważa się wizerunek twarzy i odciski palców umieszczone w paszportach w formie elektronicznej, gdyż właśnie takie dane są wykorzystywane do identyfikacji ich właścicieli.

Ponadto administracja, podobnie jak inne podmioty, może w pewnych wypadkach wykorzystywać dane biometryczne do kontroli dostępu do budynków i pomieszczeń.

W wypadku niektórych zawodów istnieje podstawa do przetwarzania danych osobowych pracownika w postaci zdjęcia. Przykładowo rozporządzenie ministra spraw wewnętrznych w sprawie legitymacji pracowników ochrony 11 grudnia 2013 r. wskazuje, jakie informacje powinny znaleźć się na legitymacjach pracowników ochrony. Wspomniane wzory zakładają umieszczenie na nich zdjęć pracowników.

Podstawowym aktem prawnym regulującym przetwarzanie danych biometrycznych jest u.o.d.o. Zwykle dane biometryczne powiązane są bowiem z innymi informacjami pozwalającymi na identyfikację konkretnej osoby.

Odnośnie do danych pracowniczych pamiętać należy, iż kodeks pracy (kp) wskazuje, jakie dane pracowników może wykorzystywać pracodawca. O ile nie ma szczegółowych regulacji dotyczących danego zawodu – jak w przypadku wspominanych pracowników ochrony – co do zasady nie wolno żądać dodatkowych informacji od pracownika. Jest to szczególnie ważne z uwagi na fakt, iż kp nie przewiduje możliwości przetwarzania danych biometrycznych, w tym nawet zdjęć pracowników.

Na wokandzie

Przetwarzanie danych biometrycznych wiąże się w praktyce z wieloma praktycznymi problemami. Do podstawowych należy to, w jakich wypadkach możliwe jest przetwarzanie danych biometrycznych pracowników. W wyroku z 1 grudnia 2011 r. Naczelny Sąd Administracyjny (sygn. I OSK 249/09) wskazał, iż przetwarzanie danych biometrycznych (w tym wypadku: informacji o charakterystycznych punktach linii papilarnych palców) do kontroli czasu pracy jest niedozwolone.

Sąd argumentował, iż taki cel jest nieproporcjonalny w stosunku do ryzyka naruszenia swobód i fundamentalnych praw obywatelskich, jakie niesie ze sobą przetwarzanie danych biometrycznych. Podkreślono także, że w tym wypadku zgody pracowników na użycie odcisków palców nie zostały wyrażone dobrowolnie, ponieważ pracownicy w praktyce nie mieli możliwości odmowy.

Należy jednak zwrócić uwagę, iż w omawianej sprawie monitorowanie wstępu do budynków firmy obejmowało wszystkich pracowników. Cel w postaci odpowiedniego zabezpieczenia wejść do budynków można niewątpliwe osiągnąć za pomocą innych środków, np. kart dostępu niezawierających żadnych danych. Niemniej wydaje się, iż gdyby kontrola biometryczna została zastosowana do pomieszczeń w jakimś sensie szczególnych np. kancelaria tajna, laboratorium, to przetwarzanie takich dodatkowych informacji mogłoby zostać uznane za dozwolone.

Także generalny inspektor ochrony danych osobowych wskazuje, że np. w przypadku wizerunku pomimo braku wyraźnej podstawy do jego pozyskania „istnieją jednak sytuacje wyjątkowe, gdy wizerunek pracownika jest ściśle związany z wykonywanym przez niego zawodem czy charakterem pracy". GIODO, w przypadku wizerunku, dopuszcza ponadto zebranie zgody na jego przetwarzanie. Należy jedynie mieć na uwadze, by zgoda nie została wymuszona, tj. aby pracownik mógł odmówić przekazania swojego zdjęcia bez obawy o negatywne konsekwencje takiej odmowy.

Uprawnienia władz publicznych

Zgodnie z art. 51 ust. 2 Konstytucji „władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym". Ponadto zgodnie z art. 7 konstytucji organy  władzy publicznej działają na podstawie i w granicach prawa (zasada legalizmu). Jeśli nie ma zatem podstawy prawnej do zebrania danych biometrycznych dla danego zadania, np. wyrobienia dokumentu, nie wolno tego robić.

Jeśli jednak np. samorząd terytorialny zdecyduje się na wprowadzenie programu ułatwiającego mieszkańcom korzystanie z obiektów sportowych czy świadczeń z zakresu pomocy społecznej, to czy działanie takie jest zgodne z obowiązującymi przepisami? Przykładem takiego projektu jest „Biometryczna Łomża". Zaplanowano tam m.in. biometryczną identyfikację na podstawie układu naczyń krwionośnych palca, przy korzystaniu z bankomatów oraz niektórych usług publicznych, w tym komunikacji miejskiej.

W naszej ocenie działania niemające charakteru władczego, czyli tzw. działania organizatorskie, nie wymagają konkretnej podstawy prawnej. Jeśli więc nie dochodzi do ingerencji w sferę praw i wolności jednostek, co zapewnia przede wszystkim dobrowolność korzystania z rozwiązań opartych na danych biometrycznych, możliwe jest przetwarzanie takich danych obywateli przez administrację. Wątpliwości może budzić wykorzystanie biometrii przy wypłacie ustawowo należnych świadczeń. Identyfikacja biometryczna powinna być dobrowolna, a organ powinien co najmniej posiadać alternatywne formy potwierdzenia tożsamości.

—dr Arwid Mednis

—Karolina Gałęzowska

podstawa prawna: ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. DzU z 2015 r., poz. 2135)

Komentarze

dr Arwid Mednis, partner w kancelarii Wierzbowski Eversheds

Byłoby wskazane, by ustawodawca uregulował ramy prawne wykorzystania biometrii w administracji publicznej. Dzięki temu uniknęlibyśmy kontrowersji, jakie pojawiły się przykładowo po ogłoszeniu pomysłu Ministerstwa Finansów na zastosowanie głosowej identyfikacji podatników. Byłoby to wskazane, tym bardziej iż najprawdopodobniej za dwa lata wejdzie w życie ogólne rozporządzenie o ochronie danych, które zaliczy dane biometryczne do szczególnej kategorii danych, a wówczas możliwość przetwarzania takich danych zostanie znacząco ograniczona.

Karolina Gałęzowska, prawnik w kancelarii Wierzbowski Eversheds

Dane biometryczne mogą stanowić dane osobowe, choć nie zawsze. O ile na przykład zdjęcie pozwala nam zwykle zidentyfikować konkretną osobę, o tyle np. odcisk linii papilarnych, o ile nie jest połączony z innymi danymi, zwykle nie może być powiązany z konkretną osobą. W przypadku takich danych potrzebny jest wzór i informacja, do kogo odcisk należy, aby porównać nowy odcisk z pobranym wcześniej. W praktyce taki model przetwarzania danych biometrycznych stosują organy ścigania. Bez pierwotnego wzoru odcisk palca byłby bezużyteczny w celach identyfikacyjnych i nie stanowiłby danych osobowych.

Dane biometryczne to dane dotyczące cech fizycznych i fizjologicznych człowieka. Możemy zaliczyć do nich zatem wizerunek, np. uwieczniony na zdjęciu, barwę głosu, odciski palców itp. Dane biometryczne tym różnią się od innych informacji na temat osób fizycznych, że w większości przypadków pozostają niezmienne, w przeciwieństwie do adresu zamieszkania czy kodu PIN, które można zmienić. Dlatego przetwarzanie danych biometrycznych w sposób szczególny może zagrażać prywatności osoby, której dane dotyczą, czyli podmiotu danych.

Pozostało 93% artykułu
2 / 3
artykułów
Czytaj dalej. Subskrybuj
Nieruchomości
Trybunał: nabyli działkę bez zgody ministra, umowa nieważna
Materiał Promocyjny
Wykup samochodu z leasingu – co warto wiedzieć?
Praca, Emerytury i renty
Czy każdy górnik może mieć górniczą emeryturę? Ważny wyrok SN
Prawo karne
Kłopoty żony Macieja Wąsika. "To represje"
Sądy i trybunały
Czy frankowicze doczekają się uchwały Sądu Najwyższego?
Materiał Promocyjny
Jak kupić oszczędnościowe obligacje skarbowe? Sposobów jest kilka
Sądy i trybunały
Łukasz Piebiak wraca do sądu. Afera hejterska nadal nierozliczona