Dane biometryczne – odciski palców, geometria twarzy, wzór tęczówki czy cechy głosu – należą do szczególnych kategorii danych osobowych (art. 9 RODO), których przetwarzanie jest co do zasady zakazane. Pracodawca może je przetwarzać tylko w wąskich przypadkach wskazanych w art. 221b Kodeksu pracy, a czytniki biometryczne w rejestracji czasu pracy są jednym z najczęstszych źródeł wątpliwości przy kontrolach i skargach pracowników.
Poniżej wyjaśniamy, jakie dane są biometryczne, kiedy zgoda pracownika jest wystarczającą podstawą, dlaczego biometria nie powinna być jedyną metodą rejestracji czasu pracy i jak zabezpieczyć takie dane.
W skrócie
Dane biometryczne to szczególna kategoria danych osobowych (art. 9 RODO). Pracodawca może je przetwarzać na podstawie zgody tylko wtedy, gdy pracownik z własnej inicjatywy przekazuje dane (art. 221b § 1 KP), a bez zgody – wyłącznie przy kontroli dostępu do szczególnie ważnych informacji lub pomieszczeń. Pracownik, który nie wyrazi zgody, musi mieć alternatywny sposób rejestracji czasu pracy, np. kartę lub PIN.
Podstawa prawna
- art. 4 pkt 14, art. 5 i 9 RODO — definicja danych biometrycznych, zasada minimalizacji, zakaz przetwarzania szczególnych kategorii danych i wyjątki
- art. 221b KP — kiedy pracodawca może przetwarzać dane biometryczne pracownika
- art. 221a KP — zgoda pracownika i zakaz niekorzystnego traktowania za jej brak lub wycofanie
Stan prawny na: 29 września 2026 r.
Oto przykładowe rodzaje danych biometrycznych:
Odciski palców: Dane związane z unikalnymi wzorami linii i punktów na powierzchni palców.
Skany twarzy: Dane obejmujące analizę geometryczną i strukturalną twarzy, takie jak proporcje, kształt, punkty charakterystyczne.
Skany tęczówki oka: Dane związane z unikalnym wzorem kolorów, linii i punktów na tęczówce oka.
Skany siatkówki oka: Dane odnoszące się do unikalnego wzoru naczyń krwionośnych i innych cech siatkówki oka.
Dane dotyczące dłoni: Dane biometryczne związane z unikalnymi cechami dłoni, takimi jak kształt dłoni, linie papilarne, linie życia itp.
Dane dotyczące głosu: Dane akustyczne związane z charakterystycznymi cechami głosu, takie jak ton, rytm, wysokość, cechy mowy.
Dane dotyczące podpisu: Dane biometryczne związane z charakterystycznymi cechami podpisu, takie jak kształt, ciągłość linii, nacisk pióra.
Czy pracodawca może bez przeszkód przetwarzać dane biometryczne pracownika? Jakie warunki muszą być spełnione? Jakie są ograniczenia i jak zapewnić odpowiednią ochronę tych danych? Odpowiedzi na te pytania znajdziesz w dalszej części naszego artykułu.
Przetwarzanie danych biometrycznych pracowników w miejscu pracy budzi wiele kontrowersji i wywołuje pytania dotyczące zgodności z RODO oraz poszanowania prywatności pracowników. Dlatego istotne jest, aby pracodawcy byli dobrze zorientowani w przepisach RODO i przestrzegali odpowiednich zasad dotyczących przetwarzania danych biometrycznych.
RODO precyzuje, że przetwarzanie danych biometrycznych jest dopuszczalne jedynie w określonych przypadkach i pod pewnymi warunkami. Przede wszystkim, pracodawca musi posiadać odpowiednią podstawę prawowitą do przetwarzania danych biometrycznych pracownika.
Najważniejsze zasady przetwarzania danych biometrycznych pracowników na podstawie RODO to:
Wyraźna zgoda pracownika: Zgoda może być podstawą przetwarzania danych biometrycznych tylko wtedy, gdy przekazanie danych następuje z inicjatywy pracownika (art. 221b § 1 KP), a zgoda jest dobrowolna i wyraźna. Brak zgody lub jej wycofanie nie może powodować niekorzystnego traktowania pracownika (art. 221a § 2 KP). Bez zgody biometria jest dopuszczalna tylko przy kontroli dostępu do szczególnie ważnych informacji lub pomieszczeń wymagających szczególnej ochrony (art. 221b § 2 KP). Pracownik powinien być poinformowany o celach, zakresie i konsekwencjach przetwarzania tych danych oraz ma prawo do wycofania zgody w dowolnym momencie. Treść takiego oświadczenia można oprzeć na wzorze zgody na przetwarzanie danych osobowych.
Alternatywne metody: Pracodawca jest zobowiązany zapewnić alternatywne metody rejestracji czasu pracy, które nie wymagają przetwarzania danych biometrycznych. Pracownik powinien mieć możliwość wyboru innej metody, która jest mniej inwazyjna pod względem ochrony danych osobowych.
Cel i proporcjonalność: Przetwarzanie danych biometrycznych musi być niezbędne do osiągnięcia określonego celu, który został jasno określony i uzasadniony przez pracodawcę. Przetwarzanie powinno być proporcjonalne do tego celu i nie może wykraczać poza niezbędny zakres.
Bezpieczeństwo danych: Pracodawca musi zapewnić odpowiednie środki techniczne i organizacyjne, aby zabezpieczyć przetwarzane dane biometryczne przed nieuprawnionym dostępem, utratą, uszkodzeniem lub nieuprawnionym ujawnieniem. Ochrona danych biometrycznych powinna być szczególnie starannie przestrzegana ze względu na ich wrażliwy charakter.
Rejestracja czasu pracy z użyciem danych biometrycznych:
Zgodnie z RODO, jeśli pracodawca decyduje się na wykorzystanie danych biometrycznych w celu rejestracji czasu pracy pracowników, powinien również zapewnić alternatywne metody rejestracji czasu, które nie wymagają przetwarzania danych biometrycznych. Oznacza to, że pracownik powinien mieć możliwość wyboru innej metody rejestracji czasu pracy, mniej inwazyjnej pod względem ochrony danych osobowych.
Alternatywne metody rejestracji czasu pracy mogą obejmować tradycyjne formy, takie jak karty rejestracyjne, systemy kart magnetycznych, kody PIN lub systemy oparte na hasłach. W przypadku korzystania z takich metod, ważne jest, aby zapewnić odpowiednie środki techniczne i organizacyjne w celu zabezpieczenia tych danych i uniemożliwienia dostępu nieuprawnionym osobom.
Ważne jest, aby pracodawca przed zastosowaniem systemu rejestracji czasu pracy opartego na danych biometrycznych uzasadnił takie rozwiązanie i udokumentował przeprowadzenie analizy ryzyka związanego z przetwarzaniem tych danych. Pracownik powinien być poinformowany o swoich prawach i możliwościach wyboru alternatywnych metod rejestracji czasu pracy.
Należy również zaznaczyć, że organy nadzorujące, takie jak organy ochrony danych osobowych, mogą wymagać dodatkowych warunków i zabezpieczeń dotyczących przetwarzania danych biometrycznych w celu rejestracji czasu pracy. Dlatego ważne jest, aby sprawdzić lokalne przepisy i wytyczne organów nadzorczych w danym kraju, aby mieć pełne zrozumienie wymagań dotyczących danych biometrycznych w kontekście rejestracji czasu pracy.
Podsumowanie
Podsumowując, RODO wprowadza szereg restrykcji i wymagań dotyczących przetwarzania danych biometrycznych pracowników. Pracodawcy powinni być świadomi tych zasad i stosować się do nich w celu zapewnienia zgodności z przepisami oraz poszanowania prywatności swoich pracowników.
Przetwarzanie danych biometrycznych wymaga więc starannego przestrzegania przepisów RODO oraz dbałości o ochronę prywatności pracowników. Pracodawcy powinni przeprowadzić analizę ryzyka związanej z przetwarzaniem danych biometrycznych, dostosować swoje procedury do wymagań RODO i zapewnić odpowiednie szkolenie pracowników w zakresie ochrony danych.
Wprowadzenie nowych technologii, takich jak systemy biometryczne, wymaga ostrożnego podejścia, przemyślanego planowania i przestrzegania odpowiednich przepisów prawnych. Tylko w ten sposób można zabezpieczyć dane biometryczne pracowników i jednocześnie skutecznie zarządzać personelem.