Rejestracja czasu pracy – „odciski palców”
W dobie dynamicznego rozwoju technologii coraz więcej firm rozważa lub wdraża systemy rejestracji czasu pracy (RCP), które wykorzystują różne formy identyfikacji pracowników, w tym dane biometryczne, takie jak odciski palców. Pozornie rozwiązanie to wydaje się być wygodne dla obu stron – pracodawcy jak również pracownika. Z punktu widzenia pracodawcy jest to rozwiązanie identyfikacji pracownika odporne na nadużycia – eliminuje bowiem możliwość „odbicia” karty przez inną osobę. Da pracownika natomiast wydaje się to również wygodne rozwiązanie, nie musi pamiętać o karcie zbliżeniowej bez której nie zaloguje się na rejestratorze czasu pracy. Pomimo wydawałoby się – samych dobrodziejstw identyfikacji pracownika za pomocą danych biometrycznych – pojawia się istotne pytanie prawne: czy pracodawca ma prawo pobierać odciski palców pracownika w celu ewidencji czasu pracy?
Wątpliwości dotykają wielu istotnych obszarów – ochrony danych osobowych, wolności jednostki, relacji pracownik-pracodawca, a także technologii i bezpieczeństwa informacji. W niniejszym artykule dokonamy kompleksowej analizy problemu z uwzględnieniem prawa krajowego, unijnego (w szczególności RODO), orzecznictwa sądowego oraz stanowiska Prezesa Urzędu Ochrony Danych Osobowych (UODO).
Rejestracja czasu pracy – czym są dane biometryczne?
Zgodnie z art. 4 pkt 14 RODO (rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679), dane biometryczne to dane osobowe wynikające ze specjalnego przetwarzania technicznego dotyczącego cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej, które umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby. Do takich danych należą m.in. odciski palców (linii papilarnych), siatkówka oka, geometria dłoni, rozpoznawanie twarzy lub analiza głosu.
Dane biometryczne są szczególną kategorią danych osobowych, które podlegają szczegółowej ochronie. Ich przetwarzanie co do zasady jest zabronione, z pewnymi odstępstwami ściśle określonymi w art. 9 ust. 2 RODO.
Odcisk linii papilarnych (odcisk palca) choć może wydawać się jedynie metodą identyfikacji pracownika, w kontekście systemów RCP pełni funkcję – umożliwiającą bezpośrednie powiązanie danej osoby z konkretną czynnością (np. rozpoczęciem lub zakończeniem pracy).
RCP – podstawa prawna przetwarzania danych.
Pracodawca, który chce wdrożyć system RCP oparty na identyfikacji pracowników poprzez odciski palców, musi dysponować jedną z przesłanek legalizujących taką formę przetwarzania danych. Najważniejsze przepisy to przepisy:
- art. 9 ust. 2 lit. a) RODO – artykuł mówi, że musi być wyraźna zgoda osoby, której dane biometryczne będą przetwarzane.
- art. 9 ust. 2 lit. b) RODO – przetwarzanie danych biometrycznych jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw administratora lub osoby, której dane dotyczą, w dziedzinie prawa pracy.
Mając na uwadze w/w artykuły prawne nasuwa się jednak poważna wątpliwość – czy w rzeczywistości zgoda pracownika może być dobrowolna, skoro relacja pracodawca-pracownik ma charakter hierarchiczny? To pracodawca w ramach godzin pracy pracownika przydziela zadania oraz decyduje o sposobie i rodzaju pracy. RODO w części nr 43 zaznacza, że w przypadku nierównowagi stron, uzyskanie zgody może nie być uznane za dobrowolne.
Mając na uwadze zapis RODO w części nr 43 oraz bezpieczeństwo obu stron (pracodawca/pracownik) zgoda pracownika na pobieranie i przetwarzanie odcisków palców w systemie RCP musi być:
- wyraźna – forma pisemna w dwóch egzemplarzach po jednym dla obu stron.
- dobrowolna – brak konsekwencji i nacisków ze strony pracodawcy.
- konkretna – dokładne sprecyzowanie celu i zakresu przetwarzania danych biometrycznych.
- określona czasowo – możliwa do wycofania w każdym czasie bez podania przyczyny.
UODO podkreśla, że alternatywą dla pracowników, którzy nie wyrażą zgody, musi być inna, równoważna metoda rejestracji czasu pracy – np. tradycyjna karta, wpis kodu PIN lub inna forma identyfikacji.
UODO i orzecznictwo sądowe ws. RCP
Urząd Ochrony Danych Osobowych w 2020 roku wydał decyzję (sygn. ZSPR.440.73.2018), w której zakwestionował legalność przetwarzania danych biometrycznych w jednym z przedszkoli. Przedszkole wprowadziło system ewidencji obecności dzieci oparty na odciskach linii papilarnych (odciskach palców) rodziców. UODO uznał, że nie było podstawy prawnej do przetwarzania danych biometrycznych i nałożył karę pieniężną. Oczywiście sprawa wydaje się być kuriozalna, ponieważ brak było jasnej i jednoznacznej przesłanki zastosowania systemu rejestracji czasu pracy wobec rodziców dzieci.
W podobny sposób wypowiadają się sądy administracyjne. Przykładem może być wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 4 marca 2020 r. (sygn. II SA/Wa 1030/19), w którym sąd potwierdził, że zgoda pracownika na pobieranie danych biometrycznych musi być autentyczna, a jej brak nie może prowadzić do negatywnych konsekwencji dla zatrudnionego.
W rzeczywistości oznacza to, że pracodawca nie może uzależniać rejestracji czasu pracy wyłącznie od zgody na pobieranie odcisków palców (danych biometrycznych). System rejestracji czasu pracy musi być wyposażony w inne alternatywne metody weryfikacji pracownika. Ponadto wyrażone przez pracownika zgody musze być w pełni świadome oraz całkowicie dobrowolne.
System biometrycznej rejestracji czasu pracy.
Pracodawca planujący wdrożenie rejestracji czas pracy opartej na danych biometrycznych powinien w pierwszej kolejności przeprowadzić analizę ryzyka oraz ocenę skutków dla ochrony danych (DPIA – Data Protection Impact Assessment), zgodnie z art. 35 RODO.
W analizie DPIA należy uwzględnić:
- charakter, zakres i cele przetwarzania danych biometrycznych
- ocenę niezbędności i proporcjonalności;
- środki techniczne będące składową systemu RCP.
- potencjalne zagrożenia i ryzyko dla praw i wolności pracowników.
Pracodawca w ramach wdrożenia systemu rejestracji czasu musi zadbać o:
- zabezpieczenie danych przed nieuprawnionym dostępem.
- określenie czasu przechowywania danych.
- spełnienie obowiązku informacyjnego wobec pracowników (art. 13 RODO).
- prowadzenie rejestru czynności związanych z przetwarzaniem danych
- wprowadzaniem aktualnych zmian na wniosek pracownika.
Rejestratory czasu pracy – metody weryfikacji.
System rejestracji czasu pracy i pracujące w nim rejestratory czasu pracy posiadają zazwyczaj kilka form identyfikacji pracowników. Weryfikacji pracownika za pomocą danych biometrycznych (odcisk palca) z uwagi na kontrowersje prawne jest często pomijana. Weryfikacja biometryczne stosunkowo często spotyka się dezaprobatą pracowników przez co zgodnie z obowiązującymi przepisami prawa nie może zostać wprowadzona i należy zastąpić ją alternatywną metodą. Najpopularniejsze alternatywne metody identyfikacji to:
- karty zbliżeniowe RFID lub NFC
- identyfikatory z kodem kreskowym lub kodem QR
- systemy PIN;
- manualna rejestracja przez aplikację lub portal pracownika.
Choć te rozwiązania mogą być bardziej podatne na nadużycia, to ich zdecydowaną zaletą jest brak konieczności uzyskania zgody przez pracodawcę od pracownika. Pozwalają na lepszą zgodność z przepisami i eliminują ryzyko naruszenia danych wrażliwych.
RCP- kiedy biometria jest uzasadniona?
W określonych sytuacjach rejestracja czasu pracy i weryfikacja biometryczna może być uzasadniona nie tworząc jakichkolwiek wątpliwości prawnych. W wyjątkowych sytuacjach, np. w instytucjach o szczególnych wymaganiach bezpieczeństwa np. zakładach zbrojeniowych przetwarzanie danych biometrycznych może być uzasadnione i nie stwarzać wątpliwości. Podobnie sprawa się ma w przypadku prywatnych przedsiębiorstw o szczególnych warunkach bezpieczeństw, np. przetwarzających odpady niebezpieczne. Wówczas jednak kluczowe jest wykazanie, że inne środki byłyby niewystarczające, a przetwarzanie danych biometrycznych jest niezbędne i proporcjonalne. Przykład: jeśli dana organizacja przetwarza dane o szczególnym znaczeniu dla bezpieczeństwa narodowego, system biometryczny może być uznany za uzasadniony środek ochrony.
System rejestracji czasu pracy – bezpieczeństwo.
System rejestracji czasu pracy ze względu na charakter przechowywanych i przetwarzanych danych wymaga szczególnych względów bezpieczeństwa. W przypadku systemów wykorzystujących do identyfikacji dane biometryczne należy zastosować wszelkie możliwe względy bezpieczeństwa. Prawidłowe zabezpieczenie danych należy do użytkownika i to użytkownik odpowiada za „wyciek” danych osobowych.
Sposób zabezpieczenia danych zależy głównie od rodzaju zastosowanego systemu RCP:
Systemy lokalne – dane przechowywane w rejestratorze lub komputerze lokalnym – zabezpiecz urządzenia przed kradzieżą odpowiednio wybierając miejsce montaży oraz zainstaluj monitoring.
Systemy zdalne RCP online – nigdy nie zapisuj haseł w przeglądarce internetowej oraz na innych nośnikach danych. Korzystaj w zabezpieczonych sieci internetowych – unikaj publicznego Wifi. Jeśli jest możliwość zastosuj do logowania uwierzytelnianie dwuskładnikowe.
Konsekwencje prawne RCP
Nieprawidłowe i bezprawne przetwarzanie danych biometrycznych może skutkować:
- administracyjnymi karami pieniężnymi (do 20 mln euro lub 4% całkowitego rocznego obrotu);
- odpowiedzialnością cywilną – pracownik może dochodzić odszkodowania;
- odpowiedzialnością karną (np. naruszenie ustawy o ochronie danych osobowych);
- naruszeniem dóbr osobistych pracownika (np. prawa do prywatności).
Przykładowo, w decyzji z 2021 roku Prezes UODO nałożył karę 20 tys. zł na szkołę, która bez podstawy prawnej wprowadziła system oparty na skanowaniu odcisków palców uczniów w stołówce szkolnej.
Podsumowanie RCP
Pracodawca może przetwarzać dane biometryczne, w tym odciski palców (odciski linii papilarnych) pracownika, w systemach RCP tylko w wyjątkowych sytuacjach i pod bardzo restrykcyjnymi warunkami. Kluczowe warunki do spełnienia to:
- Zgoda pracownika musi być wyraźna, dobrowolna i możliwa do wycofania wyrażona w formie pisemnej
- Nie można uzależniać dostępu do miejsca pracy ani rejestracji czasu pracy wyłącznie od pobrania danych biometrycznych. Wdrożony system RCP powinien posiadać inne alternatywne metody weryfikacji.
- Przed wdrożeniem systemu należy przeprowadzić ocenę skutków dla ochrony danych (DPIA) oraz przygotować regulamin firmy z zawartymi informacjami o systemie RCP.
- Dane muszą być odpowiednio zabezpieczone, a przetwarzanie ograniczone do niezbędnego minimum. Pracownik na swój wniosek powinien mieć również możliwość wglądu do przechowywanych danych.
Rejestracja czasu pracy w oparciu o dane biometryczne może być atrakcyjna z punktu widzenia technologii, ale jej wdrożenie wymaga głębokiej rozwagi, znajomości prawa i odpowiedzialności za prywatność pracowników. W większości przypadków lepszym rozwiązaniem są klasyczne formy RCP, które nie wiążą się z koniecznością uzyskania zgody od pracownika.
PRZYDATNE LINKI: