Czy można przetwarzać dane biometryczne bez zgody pracownika?

Dane biometryczne, takie jak linie papilarne, wizerunek twarzy czy siatkówka oka należą do tzw. kategorii danych szczególnych (wrażliwych). Ich przetwarzanie może odbywać się jedynie w drodze wyjątku i za wyraźną zgodą osoby, której dane te dotyczą. Czy od obowiązku uzyskania wyraźnej zgody istnieją odstępstwa? Analiza prawna

Generalny zakaz przetwarzania danych biometrycznych

Przetwarzanie danych należących do tzw. kategorii szczególnej, o których mowa w art. 9 ust. 1 RODO, w tym danych biometrycznych, jest co do zasady zabronione. W art. 9 ust. 1 RODO zawarto szeroki katalog danych osobowych. Mowa tam m.in. o danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych. W katalogu tym zamieszczono także dane biometryczne.

W myśl art. 4 pkt 14 RODO dane biometryczne oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne.

„Wyraźna” zgoda na przetwarzanie danych biometrycznych

Od zasadniczego zakazu przetwarzania omawianej kategorii danych osobowych ustanowiono wyjątki już na poziomie prawa unijnego, tj. na gruncie art. 9 ust. 2 RODO.

W polskim ustawodawstwie pracy przewidziano możliwość przetwarzania danych biometrycznych zarówno za „wyraźną” zgodą (art. 9 ust. 2 lit. a RODO w zw. z art. 22[1b] § 1 k.p.), jak i bez wyrażenia takiej zgody (art. 9 ust. 2 lit. b RODO w zw. z art. 22[1b] § 2 k.p.).

Stosownie do art. 22[1b] § 1 k.p., zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 RODO, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.

Przepis art. 22[1a] § 2 k.p. stosuje się odpowiednio. Niepodanie danych biometrycznych lub wycofanie zgody nie może więc powodować dla osoby ubiegającej się o pracę lub pracownika negatywnych konsekwencji.

Sytuację z art. 22[1b] § 1 k.p. trzeba odróżnić od sytuacji opisanej w ramach 22[1b] § 2 k.p. Według tego przepisu przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie tego typu danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony. W takim przypadku nie ma potrzeby uzyskania od pracownika „wyraźnej” zgody na przetwarzanie jego danych biometrycznych, ponieważ przetwarzanie następuje na podstawie art. 9 ust. 2 lit. b RODO w zw. z art. 22[1b] § 2 k.p. Poniżej przytoczono art. 9 ust. 1 oraz art. 9 ust. 2 lit a i b RODO.

Artykuł 9.
1. Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
2. Ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;
b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;
(…)

Obowiązek poszanowania godności pracownika

Oczywiste jest to, że nawet w przypadku sytuacji określonej przez art. 22[1b] § 2 k.p. przetwarzanie tak wrażliwych danych osobowych nie może odbywać się bez zgody osoby, której dane te dotyczą. W szczególności zbieranie danych biometrycznych nie może odbywać się pod jakimkolwiek przymusem, także psychicznym. Sprzeciwia się temu zasada poszanowania godności pracownika oraz charakter dóbr osobistych jako praw bezwzględnych. Pracownik powinien więc wyrazić zgodę co najmniej w sposób dorozumiany, godząc się na osiągniecie celu w postaci np. ochrony dobra zakładu pracy poprzez zachowanie w tajemnicy szczególnie cennych informacji.

Ważne
Nawet w przypadku korzystania z unormowania art. 22[1b] § 2 k.p. pracodawca ma obowiązek przeprowadzenia analizy umożliwiającej ustalenie ponad wszelką wątpliwość, że przetwarzanie danych biometrycznych jest niezbędne do osiągnięcia określonego celu, jak też że nie dochodzi do przetwarzania takich danych w zbyt szerokim zakresie.

Stan prawny: 28.1.2023 r.

Treści publikowane w serwisie internetowym PlanetaPrawo.pl mają charakter informacyjno-edukacyjny. Nie stanowią one porad prawnych i nie zastępują profesjonalnej pomocy prawnej. Administrator nie ponosi odpowiedzialności za jakiekolwiek skutki związane z ich wykorzystywaniem. Wszelkie prawa zastrzeżone – powołując się na publikację podaj źródło.