Wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników (I OSK 249/09)

Generalny Inspektor Ochrony Danych Osobowych przeprowadził kontrolę w pewnej spółce i w jej wyniku nakazał jej m.in. "usunięcie danych osobowych obejmujących przetworzone do postaci cyfrowej informacje o charakterystycznych punktach linii papilarnych palców pracowników". Spółka stanęła na stanowisku, że "przetwarzanie danych osobowych pracowników Spółki w postaci charakterystycznych punktów linii papilarnych dla potrzeb ewidencjonowania czasu pracy odbywa się legalnie, gdyż pracownicy zainteresowani tym sposobem rejestrowania wejść i wyjść na teren Spółki wyrazili zgodę na pobranie od nich tychże danych". Sprawa trafiła do Wojewódzkiego Sądu Administracyjnego w Warszawie (sygn. II SA/Wa 903/08), a następnie - 1 grudnia 2009 roku - zapadł w tej sprawie wyrok Naczelnego Sądu Administracyjnego (I OSK 249/09). NSA uznał, że wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania.

Oba wyroki dostępne są w Centralnej Bazie Orzeczeń Sądów Administracyjnych, przy czym Wyrok WSA w Warszawie z dn. 27 listopada 2008 r. (sygn. II SA/Wa 903/08) opublikowano wraz z uzasadnieniem, natomiast w materiałach na temat Wyroku NSA z dn. 1 grudnia 2009 r. (sygn. I OSK 249/09) umieszczono - jak do tej pory - jedynie sentencję oraz tezy. Tezy są (jak zawsze) interesujące i warte odnotowania:

1.Brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Z tego względu ustawodawca ograniczył przepisem art. 22 Kodeksu Pracy katalog danych, których pracodawca może żądać od pracownika. Uznanie faktu wyrażenia zgody na podstawie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, jako okoliczności legalizującej pobranie od pracownika innych danych niż wskazane w art. 22 Kodeksu pracy, stanowiłoby obejście tego przepisu;

2. Ryzyko naruszenia swobód i fundamentalnych praw obywatelskich musi być proporcjonalne do celu, któremu służy. Skoro zasada proporcjonalności wyrażona w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych, jest głównym kryterium przy podejmowaniu decyzji dotyczących przetwarzania danych biometrycznych, to stwierdzić należy, że wykorzystanie danych biometrycznych, to stwierdzić należy, że wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania.

W wyniku rozpatrzenia skargi kasacyjnej GIODO na wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie, NSA m.in. uchylił zaskarżony wyrok. Innymi słowy - NSA przyznał rację Generalnemu Inspektorowi Ochrony Danych Osobowych.

Tu warto przywołać - za uzasadnieniem wyroku WSA - sposób zorganizowania monitoringu pracowników w spółce, która spierała się z GIODO:

Spółce zostało zainstalowanych piętnaście czytników linii papilarnych przy poszczególnych wejściach do budynku Spółki przy ul. [...] w M., w którym znajdują się pomieszczenia biurowe oraz fabryka. Ewidencja czasu pracy w Spółce odbywa się zarówno przy użyciu kart radiowych oraz rejestracji za pomocą czytników linii papilarnych. Pracownik może wybrać sposób rejestracji. Każdy pracownik posiada kartę radiową w celu dostępu do pomieszczeń objętych systemem kontroli dostępu w ramach nadanych uprawnień. Dane biometryczne w postaci odcisków palców są zbierane na podstawie zgody, wyrażonej przez pracownika w postaci pisemnego oświadczenia o następującej treści: "Ja niżej podpisany wyrażam zgodę na pobranie przez L. Sp. z o. o. wzoru moich linii papilarnych w celu wprowadzenia ich do bazy danych osób uprawnionych do wejścia i wyjścia na teren firmy L. Sp. z o. o. oraz do rozliczania czasu pracy". System rejestracji czasu pracy obejmuje czytniki kart radiowych oraz czytniki linii papilarnych wraz z oprogramowaniem służącym do pozyskiwania linii papilarnych oraz do rejestracji wejść i wyjść w oparciu o rejestrowane linie papilarne. Linie papilarne pobierane są z palców dłoni, poprzez służący do tego czytnik. Czytnik skanuje obraz linii papilarnych, nie zachowując ich obrazu w pamięci. Czytnik przesyła obraz do oprogramowania, które przetwarza obraz linii papilarnych na zapis cyfrowy (kod w postaci ciągu cyfr), na podstawie dwunastu charakterystycznych punktów zeskanowanych linii. Obraz linii papilarnych oraz ww. punktów nie jest zapisywany. Na serwerze zainstalowana jest usługa służąca do komunikacji z terminalami (czytnikami służącymi do rejestracji wejść i wyjść za pomocą linii papilarnych) oraz czytnikiem do pobierania danych biometrycznych. Informacja dotycząca każdego pracownika zapisywana jest w osobnym pliku w określonym miejscu na serwerze. W pliku tym zapisywane jest: imię i nazwisko osoby, której linie papilarne zeskanowano, numer identyfikacyjny (ID) danego wpisu oraz obszar, w którym znajdują się czytniki, z których może korzystać dany pracownik. Stosowany jest system, zgodnie z którym nadawany jest taki sam numer Card ID, jaki figuruje na karcie, którą posługuje się pracownik (od czasu, zanim wprowadzono system kontroli dostępu za pomocą linii papilarnych). Następnie dane są przesyłane z serwera do poszczególnych czytników linii papilarnych służących ewidencjonowaniu wejść i wyjść. Dane przesyłane z serwera obejmują numer ID oraz kod w postaci ciągu cyfr.

Opcje przeglądania komentarzy

Wybierz sposób przeglądania komentarzy oraz kliknij "Zachowaj ustawienia", by aktywować zmiany.

Dziwnym trafem...

Tak się akurat złożyło, że powyższą informację przeczytałem prawie w tej samej chwili co news z wyborczej.biz o biometrycznych bankomatach jakie zamierza instalować w Polsce firma Wincor Nixdorf ;)

Te dwie sprawy łączy biometryka, ale...

VaGla's picture

Te dwie sprawy łączy biometryka, ale w opisanej sprawie ewidencji czasu pracy z wykorzystaniem danych biometrycznych ważny jest Kodeks pracy, który przewiduje zamknięty katalog danych, które mogą być przetwarzane przez pracodawcę. Dlatego tych dwóch spraw raczej ze sobą nie należy szczególnie łączyć. Podobnie, jak nie należy łączyć ich z pomysłami na wprowadzenie linii papilarnych do nowych dowodów osobistych (por. Kto zostawia odciski na projekcie założeń projektu ustawy o dowodach osobistych).

Warto jednak nawiązać do takich doniesień, jak:

--
[VaGla] Vigilant Android Generated for Logical Assassination

Wcale nie zamknięty - art.

Wcale nie zamknięty - art. 22 par. 5. kodeksu pracy.
O ile dobrze rozumiem podważono szczerość woli pracowników i ryzyko naruszenia swobód i fundamentalnych praw obywatelskich.

Możliwe, że podobny manewr można zastosować do banków - co prawda klient ma wybór ale to jest zły wybór.

Zamknięty katalog danych - sąd otworzył puszkę Pandorry

Jeżeli pracodawca może wymagać tylko tych danych, które są wyszczególnione w KP, to znaczy m.in., że nie może domagać się zdjęcia pracownika. Tym samym sąd unieważnił wszelkie identyfikatory czy legitymacje służbowe, które nie mają umocowania ustawowego (a przeważająca większość nie ma).

Dobrze myślę, Panie Mecenasie? :-)

Ja tam widzę jeszcze

Ja tam widzę jeszcze więcej problemów.
A co z wypłatą wynagrodzenia na rachunek bankowy?
Przecież art. 22(1) nie przewiduje zbierania takich danych jak numer rachunku (sic!)

Czy wynik jednokierunkowej

Czy wynik jednokierunkowej funkcji przyjmującej jako argumenty dane osobowe też stanowi daną osobową?

Czy np. salt i SHA1(salt+NR_PESEL+NR_DO) same stanowią dane osobowe gdy są powiązane z innymi danymi osobowymi?
Jeśli jakiś podmiot nie ma prawa gromadzić nr PESEL i nr DO to czy ma prawo przechowywać ich skrót np. celem uwierzytelnienia?

Pytam ponieważ w celu jedynie uwierzytelnienia użytkownika można (a nawet trzeba), podobnie jak robi się to w przypadku haseł, postąpić z danymi biometrycznymi.

Ech, kolejny raz sąd stara

Ech, kolejny raz sąd stara się uszczęśliwiać pracownika na siłę. Wniosek z treści wyroku jest bowiem taki, że umowa o pracę praktycznie wyklucza przepisy ustawy o ochronie danych osobowych, w tym sensie, że już tej ustawy do konsekwencji uzyskania dobrowolnej zgody pracownika na przetwarzanie danych osobowych stosować nie można. Bo przecież "wiadomo", że oświadczenie takie zostało złożone pod przymusem. Z dokumentów, które są dostępne wynika, że NSA nawet nie zastanowił się nad tym, że pracownik miał prawo wyboru, albo karta, albo biometryka. Wygląda na to (choć opieram się tylko na tym co przeczytałem w wyrokach), że nie doszło do sytuacji "zainstalowaliśmy biometrykę, więc wyrażajcie zgodę na przetwarzanie danych", tylko pracodawca ma dwa równoległe systemy. Najśmieszniejsze jest to, że wysoce prawdopodobne jest, że pracownicy zupełnie szczerze podpisywali zgodę, bo biometryka jest dla nich po prostu wygodniejsza (nie trzeba pamiętać o karcie itd). A teraz okazuje się, że choćby chcieli, to nie mogą zgody wyrazić bo NSA wprowadził domniemanie wymuszenia zgody uzyskiwanej od pracownika przez pracodawcę :)

a myślisz że jest inaczej?

Wiadome jest jak się to uzyskuje. Chcesz pracować to podpisuj. Bardzo dobrze że takie stanowisko NSA, bo w tym przypadku mają rację. Sam pracuję w takiej firmie i tak to wygląda, chcesz pracować to dawaj odciski. Zrozumiał bym gdyby to była firma związana z bronią lub farmaceutyką, gdzie istnieje niebezpieczeństwo a nie widzi mi się pracodawcy.

Piotr VaGla Waglowski

VaGla
Piotr VaGla Waglowski - prawnik, publicysta i webmaster, autor serwisu VaGla.pl Prawo i Internet. Ukończył Aplikację Legislacyjną prowadzoną przez Rządowe Centrum Legislacji. Radca ministra w Departamencie Oceny Ryzyka Regulacyjnego a następnie w Departamencie Doskonalenia Regulacji Gospodarczych Ministerstwa Rozwoju. Felietonista miesięcznika "IT w Administracji" (wcześniej również felietonista miesięcznika "Gazeta Bankowa" i tygodnika "Wprost"). Uczestniczył w pracach Obywatelskiego Forum Legislacji, działającego przy Fundacji im. Stefana Batorego w ramach programu Odpowiedzialne Państwo. W 1995 założył pierwszą w internecie listę dyskusyjną na temat prawa w języku polskim, Członek Założyciel Internet Society Poland, pełnił funkcję Członka Zarządu ISOC Polska i Członka Rady Polskiej Izby Informatyki i Telekomunikacji. Był również członkiem Rady ds Cyfryzacji przy Ministrze Cyfryzacji i członkiem Rady Informatyzacji przy MSWiA, członkiem Zespołu ds. otwartych danych i zasobów przy Komitecie Rady Ministrów do spraw Cyfryzacji oraz Doradcą społecznym Prezesa Urzędu Komunikacji Elektronicznej ds. funkcjonowania rynku mediów w szczególności w zakresie neutralności sieci. W latach 2009-2014 Zastępca Przewodniczącego Rady Fundacji Nowoczesna Polska, w tym czasie był również Członkiem Rady Programowej Fundacji Panoptykon. Więcej >>