Dane biometryczne stanowią szczególny rodzaj danych osobowych. Dotyczą one cech fizycznych człowieka i umożliwiają jednoznaczną jego identyfikację. Dane biometryczne to na przykład odciski palca, obraz siatkówki oka, a także – wizerunek twarzy. Przepisy unijnego Ogólnego rozporządzenia o ochronie danych (tzw. RODO) oraz krajowego Kodeksu pracy regulują przypadki, w których pracodawca ma prawo przetwarzać dane biometryczne pracowników. Określają także zasady przetwarzania tego rodzaju danych osobowych.
Dane biometryczne to – według definicji zawartej w Ogólnym rozporządzeniu o ochronie danych – dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby. RODO wskazuje dwa przykłady danych biometrycznych: wizerunek twarzy oraz dane daktyloskopijne.
Kiedy pracodawca może przetwarzać dane biometryczne
Dane biometryczne pracownika lub kandydata do pracy mogą być przetwarzane przez pracodawcę wyłącznie w sytuacjach ściśle określonych przez przepisy. Kodeks pracy zezwala na przetwarzanie danych biometrycznych, a więc w szczególności na ich pozyskiwanie przez pracodawcę pod dwoma warunkami, które muszą być spełnione łącznie:
- podstawę przetwarzania danych biometrycznych może stanowić wyłącznie zgoda pracownika albo osoby osoby ubiegającej się o zatrudnienie,
- przekazanie danych biometrycznych następuje z z inicjatywy pracownika albo osoby ubiegającej się o zatrudnienie.
Powyższe kwestie reguluje art. 221b § 1 Kodeksu pracy w związku z art. 9 ust. 1 Ogólnego rozporządzenia o ochronie danych.
Dane biometryczne w celu dostępu do informacji i pomieszczeń
Przetwarzanie danych biometrycznych pracownika jest dopuszczalne nie tylko w przypadku, gdy dochodzi do niego z inicjatywy pracownika i za jego zgodą. Pracodawca ma prawo przetwarzać dane biometryczne pracownika także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do:
- szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub
- pomieszczeń wymagających szczególnej ochrony.
W takich sytuacja pracodawca ma prawo żądać od pracownika podania danych biometrycznych (np. odcisków palców, obrazu siatkówki czy wizerunku twarzy), a pracownik jest zobowiązany takie dane biometryczne przekazać pracodawcy.
Negatywne konsekwencje za brak zgody
Brak zgody na przetwarzanie danych biometrycznych lub jej wycofanie nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji. Brak zgody lub jej wycofanie nie może w szczególności stanowić przyczyny uzasadniającej:
- odmowę zatrudnienia,
- wypowiedzenie umowy o pracę,
- rozwiązanie umowy o pracę bez wypowiedzenia
– przez pracodawcę.
Inaczej jest w przypadku przetwarzania danych biometrycznych w celu kontroli dostępu do szczególnie ważnych informacji lub pomieszczeń wymagających szczególnej ochrony. W takiej sytuacji pracownik ma obowiązek podania danych biometrycznych pracodawcy, wobec czego ewentualna odmowa może skutkować negatywnymi konsekwencjami dla pracownika. W szczególności pracodawca może uznać odmowę podania danych biometrycznych za naruszenie podstawowych obowiązków pracowniczych, czego konsekwencją może być rozwiązanie umowy o pracę bez wypowiedzenia.
Kto może przetwarzać dane biometryczne
Do przetwarzania danych biometrycznych pracowników oraz kandydatów mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.