Z upływem lat realne sytuacje i rozwój technologiczny pokazał, że ustawowy podział na dane osobowe wrażliwe i niewrażliwe nie do końca im sprostał, a w przypadku danych biometrycznych nie zapewnia ich pełnej ochrony jako danych wrażliwych. Łatwo wyobrazić sobie sytuację, w której dochodzi do nieuprawnionego ujawnienia danych wrażliwych takich jak pochodzenie etniczne, czy danych biometrycznych, np. odcisku palca bądź innych podobnych danych oraz skutki ujawnienia każdego z tych danych, znacząco poważniejsze w przypadku danych biometrycznych.
Kodeksowe reguły
Zgodnie z art. 221 kodeksu pracy pracodawca może żądać odpowiednio od kandydatów do pracy lub pracowników danych osobowych takich jak: imię (imiona) i nazwisko, imiona rodziców, data urodzenia, miejsce zamieszkania (adres do korespondencji), wykształcenie, przebieg dotychczasowego zatrudnienia oraz niektóre inne dane osobowe (w tym numer PESEL) oraz dane osobowe dzieci pracownika – jeśli jest to niezbędne dla skorzystania przez pracownika ze szczególnych uprawnień pracowniczych. W powyższym zakresie nie mieszczą się dane biometryczne.
Zgodnie z § 1 ust. 1 rozporządzenia ministra pracy i polityki socjalnej z 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (dalej: rozporządzenie MPiPS), pracodawca może zbierać dane osobowe z wykorzystaniem kwestionariusza stanowiącego załącznik nr 1 do rozporządzenia ministra pracy i polityki socjalnej z 26 czerwca 2006 r. zmieniającego rozporządzenie MPiPS. Zastosowanie tego formularza nie jest obligatoryjne. Jednak co do zasady pracodawca może modyfikować formularz poprzez rezygnację z niektórych danych bądź umieszczenie dodatkowych, jeśli obowiązek ich podania wynika z określonych przepisów ustawowych, np. w przypadku potwierdzenia niekaralności w odniesieniu do pracowników służby cywilnej.
Na marginesie warto przypomnieć, że – zgodnie z porozumieniem zawartym 14 grudnia 2012 r. przez Państwową Inspekcję Pracy z Generalnym Inspektorem Ochrony Danych Osobowych – PIP w zakresie prowadzonej kontroli ma również prawo kontrolować pracodawców pod kątem zgodności przetwarzania danych osobowych z właściwymi przepisami prawa regulującymi ochronę danych osobowych.
Liczne kontrowersje
W aktualnym stanie prawnym brak jest spójnej regulacji dotyczącej przetwarzania danych biometrycznych. Jako przykład może tu posłużyć m.in. kwestia monitoringu wizyjnego. Jest on uregulowany w pojedynczych przepisach m.in. ustawy o Centralnym Biurze Antykorupcyjnym czy ustawy o Policji, które przyznają tym służbom uprawnienia do wykorzystywania monitoringu w związku z realizacją powierzonych im zadań. Dalej jednak orzecznictwo i komentarze pokazują, że wiele kwestii związanych z przetwarzaniem danych biometrycznych budzi wątpliwości. W odniesieniu do danych biometrycznych pracowników lub kandydatów do pracy na pewno jest to kwestia dobrowolności wyrażenia przez nich zgody.
Między innymi J. Stelina (A. Sobczyk (red.), Kodeks pracy. Komentarz, Warszawa 2017, komentarz do art. 221, Legalis) wskazuje, że kwestia zgody pracownika lub kandydata do pracy jako przesłanka legalizująca działanie pracodawcy jest sporna. Po pierwsze dlatego, że zwykle pracodawcy nie mają wpływu na to, jakiego rodzaju dane dostarczają kandydaci do pracy aplikując na dane stanowisko. Najczęściej są to dane przekraczające zakres określony w art. 221 k.p.