Tak wynika z decyzji generalnego inspektora ochrony danych osobowych Michała Serzyckiego w sprawie jednej z fabryk na Mazowszu (DIS-K-421/146/ 07). Firma miała system telewizji przemysłowej i kontroli dostępu. W tym systemie ochrony zainstalowała 15 czytników linii papilarnych przy poszczególnych wejściach do zakładu. Dzięki temu fabryka chciała kontrolować, czy na jej terenie przebywają tylko upoważnieni pracownicy, a ponadto czy czytniki te służyły rejestracji czasu pracy.
GIODO zarzucił firmie złamanie ustawy o ochronie danych osobowych oraz kodeksu pracy. Zdaniem urzędników przetwarzanie danych (przez zbieranie i identyfikowanie linii papilarnych) odbywało się bez podstawy prawnej. Z art. 22
1
k.p. wynika, że pracodawca nie może żądać od podwładnych innych informacji niż wymienione w tym przepisie, a pracownicy nie mają obowiązku ich podawania. Dotyczy to również danych biometrycznych, bo i one są – zgodnie z przepisami – traktowane jako dane osobowe. Wolno żądać imienia, nazwiska, imion rodziców, daty urodzenia, miejsca zamieszkania, wykształcenia, dotychczasowego zatrudnienia. Niezależnie od tego firma może poprosić pracownika także o inne informacje, w tym numer PESEL, imiona i nazwiska oraz daty urodzenia jego dzieci (jeśli ich podanie jest konieczne, aby zatrudniony korzystał ze szczególnych uprawnień przewidzianych w prawie pracy, m.in. socjalnych). Wolno także żądać innych informacji, gdy wymagają tego odrębne przepisy. Na zbieranie danych biometrycznych przy ewidencji czasu pracy przepisy jednak nie zezwalają.
GIODO nakazał firmie zaprzestanie zbierania danych osobowych pracowników: linii papilarnych w postaci cyfrowej. Ponadto fabryka musi usunąć już zgromadzone w ten sposób informacje. GIODO podkreślił, że zbierania linii papilarnych nie legalizuje nawet to, że pracownik złoży oświadczenie, w którym zgadza się na rejestrację czasu pracy za pomocą czytnika placów.
