Zgoda na przetwarzanie linii papilarnych nie wystarczy

Spółka LG Electronics chciała ewidencjonować czas pracy pracowników m.in. za pomocą czytników linii papilarnych, czyli z wykorzystaniem tzw. danych biometrycznych. Uzyskała pisemną zgodę pracowników na przetwarzanie tych danych.

Zatrudnieni mogli wybrać sposób ewidencjonowania czasu pracy przy użyciu kart elektronicznych lub danych biometrycznych. Główny inspektor ochrony danych osobowych uznał, że spółka przetwarza dane biometryczne bez podstawy prawnej.

Zdaniem GIODO zgoda pracowników nie była skuteczna.

Wojewódzki sąd administracyjny uchylił decyzję GIODO, wskazując, że zgoda pracowników jest wystarczającą podstawą legalizującą przetwarzanie danych biometrycznych. GIODO nie jest natomiast uprawniony do badania skuteczności oświadczeń woli pracowników.

[srodtytul]Każdy sąd inaczej[/srodtytul]

Sprawą następnie zajął się NSA, który uchylił ten wyrok i oddalił skargę spółki.

Uznał, że [link=http://www.rp.pl/aktyprawne/akty/akt.spr;jsessionid=B5E347C50E4D2860978BAD3D891C7A48?n=1&id=76037&wid=337521]kodeks pracy[/link] zawiera zamknięty katalog danych o pracownikach, które mogą być przetwarzane przez pracodawcę, a danych biometrycznych w nim nie ma.

Uzyskanie zgody pracownika na ich przetwarzanie byłoby obejściem przepisów kodeksu pracy.

Co więcej przetwarzanie danych biometrycznych w celu ewidencji czasu pracy sprzeciwia się zasadzie proporcjonalności i adekwatności przetwarzania danych osobowych wyrażonej w art. 26 [link=http://www.rp.pl/aktyprawne/akty/akt.spr;jsessionid=ADD9B293DF71EED6A81302EB0D0F663C?id=166335]ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (DzU z 2002 r. nr 101, poz. 926 ze zm.).[/link]

[srodtytul]Niesłuszne ograniczenia[/srodtytul]

Wyrok jest istotny, nie tylko ze względu na wyrażony przez NSA zakaz wykorzystywania danych biometrycznych w relacji pracodawca – pracownik.

Przyjmując bowiem wykładnię tego sądu, pracodawcy są ograniczeni do przetwarzania wyłącznie bardzo wąskiego zakresu danych pracowników .

[ramka][b]Jak brzmi art. 22[sup]1[/sup] kodeksu [/b]

§ 1. Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1) imię (imiona) i nazwisko,

2) imiona rodziców,

3) datę urodzenia,

4) miejsce zamieszkania (adres do korespondencji),

5) wykształcenie,

6) przebieg dotychczasowego zatrudnienia.

§ 2. Pracodawca ma prawo żądać od pracownika podania, niezależnie od danych osobowych, o których mowa w § 1, także:

1) innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,

2) numeru PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL).

§ 3. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Pracodawca ma prawo żądać udokumentowania danych osobowych osób, o których mowa w § 1 i 2.

§ 4. Pracodawca może żądać podania innych danych osobowych niż określone w § 1 i 2, jeżeli obowiązek ich podania wynika z odrębnych przepisów.

§ 5. W zakresie nieuregulowanym w § 1 – 4 do danych osobowych, o których mowa w tych przepisach, stosuje się przepisy o ochronie danych osobowych. [/ramka]

Nie mogą tego zakresu rozszerzyć za zgodą pracowników.