Linie papilarne zdradzą, ile pracuje zatrudniony

Niedawno w prasie pojawiła się informacja o tym, że jeden ze szpitali wprowadził system ewidencji czasu pracy wykorzystujący linie papilarne. Jednak zdaniem Michała Serzyckiego, szefa GIODO, jest to nieuzasadnione.

[srodtytul]Nie ma regulacji[/srodtytul]ewidenc

Wskazuje, że zgodnie z art. 22[sup]1[/sup] [link=http://www.rp.pl/aktyprawne/akty/akt.spr;jsessionid=AE89BF528781D2C42167CAF23691862B?id=76037]kodeksu pracy[/link] pracodawca w związku z zatrudnieniem może gromadzić tylko ściśle określone dane osobowe.

Są nimi:

- imię (imiona) i nazwisko,

- imiona rodziców,

- data urodzenia,

- miejsce zamieszkania (adres do korespondencji),

- wykształcenie,

- przebieg dotychczasowego zatrudnienia,

- inne dane osobowe zatrudnionego, a także imiona i nazwiska oraz daty urodzenia jego dzieci, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,

- PESEL pracownika, a także inne dane osobowe niż wyżej określone, jeżeli obowiązek ich podania wynika z odrębnych przepisów.

W związku z tym GIODO uznaje, że w obowiązującym stanie prawnym nie ma innych powszechnie obowiązujących przepisów odnoszących się do szerokiej kategorii podmiotów, na podstawie których pracodawca mógłby żądać od załogi jej danych biometrycznych. A do takich należą właśnie m.in. linie papilarne czy obraz tęczówki oka.

[srodtytul]Ochrona danych[/srodtytul]

Pozyskanie takich informacji, w opinii GIODO, aby dzięki nim ewidencjonować czas pracy, naruszałoby zasadę adekwatności ustanowioną w art. 26 ust. 1 pkt 3 ustawy o [link=http://www.rp.pl/aktyprawne/akty/akt.spr;jsessionid=A65BE4DF6A9011225E780407CEB531EA?n=1&id=166335&wid=240660]ochronie danych osobowych[/link].

Wojewódzki [b]Sąd Administracyjny w Warszawie w wyroku z 1 grudnia 2005 r. (II SA/Wa 917/2005)[/b] stwierdził, że [b]wymagana prawem równowaga będzie zachowana, jeżeli administrator zażąda danych tylko w takim zakresie, w jakim jest to niezbędne do wypełnienia celu, w jakim dane są przez niego przetwarzane. [/b]Jeżeli natomiast uzurpuje sobie więcej praw, niż przewidują obowiązujące przepisy, następuje zachwianie omówionej równowagi na korzyść administratora, a zatem ma miejsce bezpodstawne ograniczenie praw osoby, której dane dotyczą.

Wspomniana zasada adekwatności, w przekonaniu Michała Serzyckiego, jest naruszana, gdy pracodawca przetwarza dane biometryczne pracowników, aby w ten sposób ewidencjonować czas pracy. Ten cel bowiem może być osiągnięty w inny sposób lub za pomocą innych technik. Firma bowiem może np. wprowadzić karty magnetyczne, na których będzie zapis czasu pracy zatrudnionych.

GIODO wskazuje także, że takie postępowanie narusza zasadę celowości, zgodnie z którą zbieranie danych osobowych powinno być dokonywane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami (art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych).

[srodtytul]Precedensowy wyrok[/srodtytul]

GIODO wielokrotnie podtrzymywał swoje stanowisko dotyczące bezprawności wspomnianych działań przedsiębiorców. Jedna z jego decyzji w tej sprawie, z lutego 2008 r., została zaskarżona do WSA w Warszawie.

[b]27 listopada 2008 r. WSA w Warszawie wydał precedensowy wyrok (II SA/Wa 903/08; nieprawomocny)[/b]. Uchylił bowiem decyzję generalnego inspektora, uznając, że [b]zgoda pracowników na instalowanie czytników linii papilarnych, za pomocą których mierzono i ewidencjonowano czas pracy zatrudnionych, jest wystarczającą podstawą, która uprawnia pracodawcę do pozyskiwania odcisków palców pracowników[/b].

Sąd powołał się przy tym na art. 22[sup]1[/sup] § 5 [link=http://www.rp.pl/aktyprawne/akty/akt.spr;jsessionid=AE89BF528781D2C42167CAF23691862B?id=76037]kodeksu pracy[/link]. Przewiduje on, że w zakresie nieuregulowanym w art. 22[sup]1[/sup] § 1–4 k.p. do danych osobowych, o których mowa w tych przepisach, stosuje się regulacje o ochronie danych osobowych.

[ramka][b]Uwaga[/b]

Pracodawca jest zobowiązany, aby pozyskiwane dane były adekwatne do celów, w jakich są wykorzystywane. Ta adekwatność powinna być rozumiana jako równowaga między dobrem osoby, której informacje dotyczą, a interesem administratora danych (pracodawcy). Oznacza to, że ten ostatni nie może przetwarzać danych w szerszym zakresie niż niezbędny dla osiągnięcia zamierzonego celu, jak również danych o większym, niż uzasadniony tym celem, stopniu szczegółowości.[/ramka]

Inspektor nie zgadza się z taką interpretacją przepisów. Wniósł skargę kasacyjną, ale na razie nie wyznaczono terminu jej rozpatrzenia. Nadal też podtrzymuje swoją opinię, zgodnie z którą

kiedy zbierającym i przetwarzającym dane osobowe jest pracodawca, a podwładny ma udzielać zgody na administrowanie nimi, powstają wątpliwości co do swobodnego, nieskrępowanego podjęcia decyzji i wyrażenia woli w sprawie zgody. Istniejący stosunek podporządkowania i zobowiązanie zatrudnionego do wykonywania poleceń służbowych sprawia, że ten ostatni raczej nie będzie się sprzeciwiał.

[ramka][b]Ważne [/b]