Pracodawca może pozyskiwać dane osobowe od pracownika, a zakres tego pozyskiwania określa Kodeks pracy. Kodeks pracy dopuszcza też pozyskiwanie od pracowników innych danych osobowych niż określone w Kodeksie pracy. Czy mieści się tu także pozyskiwanie linii papilarnych od pracownika w celu ewidencjonowania czasu pracy? Poznaj stanowisko, jakie zajął w tej kwestii Naczelny Sąd Administracyjny.
© FotoChannels / Glow Images
Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie oraz od pracownika podania danych osobowych
Zgodnie z przepisami pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących m.in. imię (imiona) i nazwisko, datę urodzenia, miejsce zamieszkania, wykształcenie, co wynika z art. 22¹ kp.
Od pracownika natomiast pracodawca może jeszcze żądać podania innych danych osobowych, niż wskazane w art. 22¹ § 1 kp, jak np. danych osobowych dziecka pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych praw przewidzianych w prawie pracy. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Ponadto pracodawca może też żądać od pracownika innych danych niż określone w art. 22¹ § 1 i § 2 kp, jeżeli obowiązek ich podania wynika z odrębnych przepisów (art. 22¹ § 4 kp).
| Z powyższych przepisów wynika, że polecenie pracodawcy nakładające na pracownika obowiązek udzielenia informacji (danych osobowych) niewymienionych w art. 22¹ § 1 i 2 kp lub w odrębnych przepisach (art. 22¹ § 4 kp) jest niezgodne z prawem (art. 100 § 1 kp) i dlatego odmowa jego wykonania nie może stanowić podstawy rozwiązania umowy o pracę z pracownikiem. |
Czy w danych osobowych, jakie pracodawca ma prawo pozyskać od pracownika, mieści się pobieranie linii papilarnych od pracownika?
W praktyce problem stanowi zakres pozyskiwania przez pracodawcę od pracownika innych danych, niż wynika to wprost z art. 22¹ kp.
Jest to istotne, często bowiem pracodawcy pozyskują niektóre dane osobowe niewymienione w tym przepisie, argumentując to uzyskaniem od pracownika zgody na ich pozyskanie. Chodzi tu np. o pozyskiwanie od pracowników linii papilarnych w celu ewidencjonowania czasu pracy.
Na taki sposób ewidencjonowania czasu pracy zgodzili się pracownicy urzędu skarbowego. Mieli oni do wyboru jedną z dwóch metod rejestracji czasu pracy, mogli korzystać z metody wykorzystującej:
- odcisk linii papilarnych lub
- karty służące do rejestracji czasu pracy.
GIODO: pozyskiwanie linii papilarnych od pracowników sprzeczne z prawem
Generalny Inspektor Ochrony Danych Osobowych, dalej: GIODO, przeprowadził kontrolę w tym urzędzie skarbowym i stwierdził, że naczelnik urzędu skarbowego jako administrator danych osobowych naruszył przepisy o ochronie danych osobowych. W związku z tym nakazał usunięcie tych naruszeń.
Zdaniem GIODO przetwarzanie danych osobowych w zakresie obrazu linii papilarnych przetworzonych na kod cyfrowy odbywa się z naruszeniem przepisów prawa. Pracodawca może żądać od pracownika podania danych tylko w takim zakresie, jaki został wskazany w art. 22¹ kp. Pozostałe informacje o pracowniku ustawodawca uznał generalnie za niedostępne dla pracodawcy. Wprowadził jednak jeden wyjątek (art. 22¹ § 4 kp), tj. pracodawca może żądać podania innych danych osobowych niż określone w art. 22¹ § 1 i § 2 kp, jeżeli obowiązek ich podania wynika z odrębnych przepisów prawa.
W ocenie GIODO w omawianej sprawie nie znajdują zastosowania przepisy prawa, które zezwalałyby na przetwarzanie w celu prowadzenia rejestracji czasu pracy innych danych osobowych niż wymienione w art. 22¹ § 1 i § 2 kp.
GIODO stwierdził też, że powoływanie zgody wyrażonej przez pracowników jako przesłanki legalizującej przetwarzanie danych biometrycznych w sytuacji, gdy przepisy prawa wskazują katalog danych, które mogą być przez pracodawcę przetwarzane, prowadzi do obchodzenia prawa regulującego te kwestie w sposób jednoznaczny. Złożenie przez pracownika oświadczenia, które jest wyrażeniem zgody na przetwarzanie danych osobowych w postaci linii papilarnych, nie stanowi przesłanki legalizującej przetwarzanie danych osobowych pracowników. Pracownik nie inicjuje bowiem podania tych danych, lecz zwraca się o nie pracodawca.
Naczelnik urzędu skarbowego złożył skargę na decyzję GIODO do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której nie zgodził się z twierdzeniem, że oświadczenie woli pracownika nie stanowi przesłanki legalizującej przetwarzanie danych. Podkreślił, że oświadczenie woli podejmowane było przez pracowników dobrowolnie.
Postępowanie przed sądami
WSA w Warszawie uznał skargę naczelnika urzędu skarbowego za bezzasadną i ją oddalił. W związku z tym sprawa trafiła do rozpoznania przez Naczelny Sąd Administracyjny. W skardze naczelnik urzędu skarbowego podkreślił, że przetwarzanie danych biometrycznych było niezbędne w urzędzie skarbowym, ponieważ pozwalało to na dokładne rozliczenie czasu pracy, a ponadto istniały alternatywne formy tej rejestracji. Ponadto nie było możliwości zidentyfikowania osoby fizycznej przez inne osoby niż upoważnione do sprawdzenia tego rejestru.
NSA oddalił skargę kasacyjną. W uzasadnieniu wyroku sąd podkreślił, że jedną z podstawowych (głównych) merytorycznych przesłanek przetwarzania danych osobowych jest zgoda osoby, której dane dotyczą, a uregulowanie to jest pochodną przyznania każdej osobie prawa do ochrony własnych danych osobowych. Wymóg ten realizowany jest wyłącznie w ramach swobodnego, nieskrępowanego podjęcia decyzji i wyrażenia woli w tym zakresie.
Zdaniem NSA wyrażona na życzenie pracodawcy pisemna zgoda pracownika na pobranie i przetworzenie jego danych osobowych, które miało miejsce w omawianej sprawie, narusza prawa pracownika i swobodę wyrażenia przez niego woli, ponieważ stosunek pracy oznacza zależność pracownika od pracodawcy. Brak równowagi w relacji pracodawca - pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Można posłużyć się zgodą pracownika na przetwarzanie danych osobowych, jeśli odnosi się ona do przypadku, w którym pracownik ma całkowitą swobodę jej udzielenia i może odmówić udzielenia takiej zgody bez poniesienia szkody - podkreślił NSA.
Nawet wyrażenie zgody przez pracownika na przetwarzanie jego danych osobowych nie legalizuje pobrania przez pracodawcę od pracownika innych danych niż określone w art. 22¹ kp (wyrok Naczelnego Sądu Administracyjnego z 6 września 2011 r., sygn. akt I OSK 1476/10).
Podstawa prawna: - art. 22¹ § 1 i § 2 i art. 22¹ § 4 Kodeksu pracy - kp.
