Pojęcie danych biometrycznych wynika z przepisów rozporządzenia Parlamentu Europejskiego i Rady (ue) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/we (ogólne rozporządzenie o ochronie danych), tzw. RODO.

Zgodnie z przepisami RODO „dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne.

Dopuszczalność przetwarzania danych biometrycznych pracownika wynika z kolei z przepisów ustawy Kodeks pracy.

Zgodnie z art. 22(1b) Kodeksu pracy przetwarzanie danych biometrycznych pracownika jest dopuszczalne wtedy, gdy podanie takich danych jest niezbędne ze względu:

– na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub 

– dostępu do pomieszczeń wymagających szczególnej ochrony, lub

– gdy jest to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa.

Ustawodawca wyraźnie wskazuje w jakich przypadkach dopuszczalne jest przetwarzanie danych biometrycznych pracownika. Należy pamiętać, że zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania szczególnych kategorii danych osobowych, w tym danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. 

Artykuł 4 RODO Definicje

Na użytek niniejszego rozporządzenia:

(…)

14)”dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne;

(…)

Elektroniczne rejestratory czasu pracy przewidują wiele możliwości rejestracji godzin przyjścia i wyjścia z pracy pracownika chociażby przy zastosowaniu fotorejestracji.

Danymi biometrycznymi są, np.  linie papilarne pracownika lub jego tęczówka oka. Zgodnie z przepisami RODO daną biometryczną jest również wizerunek twarzy jednak pod warunkiem, że wynika on ze specjalnego przetwarzania technicznego oraz umożliwia lub potwierdza jednoznaczną identyfikację tej osoby. Aby nazwać pewną daną, daną biometryczną konieczne jest spełnienie wszystkich przesłanek wskazanych w definicji danych biometrycznych, czyli muszą:

– wynikać ze specjalnego przetwarzania technicznego, 

– wynikać z określonych cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej,

– umożliwiać lub potwierdzać jednoznaczną identyfikację tej osoby.

Zatem jeśli pewna dana nie spełnia wszystkich wyżej wymienionych „wymagań”, przetwarzana dana osobowa nie jest daną biometryczną. 

Jeśli pracownik wyrazi zgodę na przetwarzanie jego wizerunku poprzez użycie dostarczonego pracodawcy zdjęcia, a pracodawca nie posiada żadnego programu/systemu, który umożliwiałby porównanie tego zdjęcia z cechą biometryczną osoby, której tożsamość miałaby  być potwierdzona, to przetwarzanie tego zdjęcia nie jest uznane za przetwarzanie danej biometrycznej.

W związku z powyższym, przetwarzanie fotografii, zwłaszcza wizerunku twarzy określonej osoby, zazwyczaj nie będzie oznaczało przetwarzania danych biometrycznych. 

Czy elektroniczne rejestratory czasu pracy są programami, które umożliwiają porównanie zdjęcia z cechą biometryczną osoby, której tożsamość ma być potwierdzona?

W większości przypadków, elektroniczne rejestratory czasu pracy nie zawierają algorytmów, które byłyby zdolne do analizowania wizerunku osoby poprzez wykonanie zdjęcia pracownika a następnie ustalenie jej tożsamości.

Taki rejestrator jedynie wykonuje zdjęcie pracownika i nie spełnia przesłanek wskazanych w przepisach RODO aby uznać taką daną jako daną biometryczną. Dostęp do zdjęć pracowników ma jedynie pracodawca lub osoba przez niego upoważniona, która może samodzielnie zweryfikować czy na zdjęciu jest określony pracownik.

Nie ma zatem przeszkód aby elektroniczne rejestratory czasu pracy odnotowywały czas pracy pracownika za pomocą fotorejestracji.