Vagla zwrócił dziś uwagę na bardzo istotny wyrok Naczelnego Sądu Administracyjnego odnoszący się do tematu, który będzie coraz częściej powracał w pytaniach i odpowiedziach: czy pracodawca może żądać od pracowników udzielenia zgody na pobieranie wzorca linii papilarnych w celu kontroli czasu pracy i potwierdzenia obecności pracownika?
Wszystko zaczęło się od jakiejś spółki, która podjęła decyzję o zastosowaniu czytników linii papilarnych w celu rejestracji czasu pracy oraz kontroli dostępu (obok kart radiowych, do wyboru przez pracownika). Pracownicy, którzy wybrali potwierdzanie obecności w pracy odciskiem palca, złożyli zgodę o treści "Ja niżej podpisany wyrażam zgodę na pobranie przez L. Sp. z o. o. wzoru moich linii papilarnych w celu wprowadzenia ich do bazy danych osób uprawnionych do wejścia i wyjścia na teren firmy L. Sp. z o. o. oraz do rozliczania czasu pracy".
W toku postępowania Generalny Inspektor Danych Osobowych przyjął, że katalog danych osobowych pracownika, które może przetwarzać pracodawca jest zamknięty i określa go art. 22(1) par. 1-2 kp, chyba że obowiązek podania tych danych wynika z innych przepisów (por. Zaświadczenie o niekaralności przy przyjęciu do pracy), zatem nie jest dopuszczalne przetwarzanie innych danych, nawet za zgodą osoby zainteresowanej.
wyrok NSA z dnia 1 grudnia 2009 r., sygn. akt I OSK 249/09 oraz wyrok WSA w Warszawie z 27 listopada 2008 r., sygn. akt II SA/Wa 903Od decyzji wydanej w wyniku postępowania odwołał się pracodawca, aż do wniesienia skargi do WSA w Warszawie.
Wojewódzki Sąd Administracyjny uwzględnił argumentację spółki i zaskarżone decyzje uchylił, przyjmując, że wprawdzie przetworzone cyfrowo informacje liniach papilarnych stanowią dane osobowe, jednak biorąc pod uwagę, iż ich przetwarzanie następuje na podstawie zgody pracownika, zachowane są warunki z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, wobec czego działania pracodawcy są uprawnione.
art. 22(1) kodeksu pracy:
§ 1. Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
1) imię (imiona) i nazwisko,
2) imiona rodziców,
3) datę urodzenia,
4) miejsce zamieszkania (adres do korespondencji),
5) wykształcenie,
6) przebieg dotychczasowego zatrudnienia.
§ 2. Pracodawca ma prawo żądać od pracownika podania, niezależnie od danych osobowych, o których mowa w § 1, także:
1) innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,
2) numeru PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL).
(...)
§ 4. Pracodawca może żądać podania innych danych osobowych niż określone w § 1 i 2, jeżeli obowiązek ich podania wynika z odrębnych przepisów.
§ 5. W zakresie nieuregulowanym w § 1-4 do danych osobowych, o których mowa w tych przepisach, stosuje się przepisy o ochronie danych osobowych.
WSA przyjął też, że GIODO nie jest uprawniony do kontroli i kwestionowania zasadności i prawidłowości wyrażonej przez pracownika zgody na przetwarzanie jego danych osobowych. Problematyka ta dotyczy bowiem płaszczyzny cywilnoprawnej (ta zaś jest poza obszarem uprawnień Inspektora), zarazem dopóki pracownik wyrażonej zgody nie odwoła bądź nie uchyli się od jej skutków.
Ponadto sąd przyjął, iż podstawą do żądania innego rodzaju danych może być art. 22(1) par. 5 kp, albowiem "w zakresie innych danych pracowniczych, niż wymienione w art. 22(1) par 1-4 kp, zastosowanie mają przepisy ustawy o ochronie danych osobowych. (...) W przepisie nie ma mowy o danych osobowych pracownika w postaci linii papilarnych, nie zmienia to jednak faktu, że - poprzez art. 22 1 par. 5 kp - pracodawca może gromadzić także i tego rodzaju dane, o ile spełniona zostanie choćby jedna z przesłanek legalizujących ich przetwarzanie. Stosunek obu regulacji wskazuje, że jeśli chodzi o dane pracownika takie, jak linie papilarne czy wzór siatkówki oka, pobieranie tych danych, ich gromadzenie, czyli przetwarzanie - co do zasady - nie jest zabronione, lecz odbywać się musi z poszanowaniem przepisów ustawy o ochronie danych osobowych".
Mówiąc wprost: zdaniem WSA pracodawca może przetwarzać innego rodzaju dane osobowe pracowników, jeśli znajdzie po temu przyczynę i podstawę prawną, a możliwość po temu daje mu art. 22(1) par. 5 kp.
(To bardzo dyskusyjna myśl, zwracałem na to uwagę półtora roku temu, napiszę też jeszcze raz poniżej).
Całe szczęście, że GIODO zdecydował się wnieść od wyroku skargę kasacyjną, wskutek której Naczelny Sąd Administracyjny (składowi przewodniczyła Barbara Adamiak -- wierzcie czy nie, ale miałem u p.prof. 4,5 w pierwszym podejściu!) uchylił zaskarżony wyrok I instancji i oddalił skargę spółki.
W dostępnych na stronie internetowej tezach orzeczenia (napisane to jest strasznie niedbale...) postawiono parę mocnych zdań:
1. Brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Z tego względu ustawodawca ograniczył przepisem art. 22(1) kp katalog danych, których pracodawca może żądać od pracownika. Uznanie faktu wyrażenia zgody na podstawie art. 23 ust. 1 pkt 1 UODO, jako okoliczności legalizującej pobranie od pracownika innych danych niż wskazane w art. 22(1)kp, stanowiłoby obejście tego przepisu.
2. Ryzyko naruszenia swobód i fundamentalnych praw obywatelskich musi być proporcjonalne do celu, któremu służy. Skoro zasada proporcjonalności wyrażona w art. 26 ust. 1 pkt 3 UODO jest głównym kryterium przy podejmowaniu decyzji dotyczących przetwarzania danych biometrycznych, to stwierdzić należy, że wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania.
Jak dla mnie -- strzał w dziesiątkę!
Merytorycznie: Wojewódzki Sąd Administracyjny w swoich rozważaniach nt. treści art. 22(1) par. 5 kp pominął zasadniczą kwestię: odesłanie do ustawy o ochronie danych osobowych dotyczy wyłącznie zakresu nieuregulowanego w par. 1-5 i wyłącznie do danych, o których mowa w par. 1-5!
Jedyną podstawą do rozszerzania katalogu danych osobowych, które może przetwarzać chlebodawca jest art. 22(1) par. 4 kp, jednak jak widać na pierwszy rzut oka wyraźnie mówi on, że uprawnienie to musi mieć podstawę w przepisie prawa. Par. 5 jest wyłącznie przepisem "technicznym", czyli określającym powinności (albo ich brak) w zakresie rejestracji zbioru danych, obowiązku zabezpieczenia danych, etc. -- natomiast w żadnym przypadku nie daje uprawnień do domagania się innych danych, niż wskazane w art. 22(1) par. 1-2 kp oraz przepisach, do których odnosi się par. 4.
Z tego właśnie względu NSA określił próbę odwołania się bezpośrednio do zgody wyrażonej przez pracownika (art. 23 ust. 1 pkt 1 UODO), z pominięciem dyspozycji art. 22(1) par. 1-2 kp jako obejście prawa, zwłaszcza wobec faktu, iż w relacji chlebodawca-pracownik zwykle brak jest równowagi.
To słuszna koncepcja.
bezpłatna reklama społeczna: zBiodra -- dużo dobrych zdjęć ;-)
Nie mniej rozsądnie brzmi druga teza, w której NSA odniósł się do zasady adekwatności zakresu przetwarzanych danych w stosunku do celu ich przetwarzania (art. 26 ust. 1 pkt 3 UODO). Zasada ta odnosi się do wszelkich danych osobowych, przetwarzanych na jakiejkolwiek podstawie, a zatem nawet i na podstawie zgody wyrażonej przez zainteresowanego.
Zdaniem Naczelnego Sądu Administracyjnego korzystanie przez pracodawcę z danych biometrycznych pracowników (i to bez podstawy prawnej w art. 22(1) kp) w celu kontroli czasu pracy i dostępu jest środkiem samym w sobie zbyt daleko idącym.
Nie będę ukrywał, że od jakiegoś czasu oczekiwałem podobnego rozstrzygnięcia.
Czy to się komuś podoba czy nie, zakres danych osobowych dopuszczalnych do przetwarzania przez pracodawcę zakreślony w art. 22(1) kp ma charakter względnie zamknięty, zaś jego modyfikacja może nastąpić wyłącznie na podstawie odrębnego przepisu szczegółowego. Dotyczyć to będzie jednak nie tylko danych w postaci odcisków palców czy zaświadczeń o niekaralności z KRK, ale i innych danych, które w swej nieograniczonej wyobraźni wymyślają pracodawcy.
Czy to oznacza, że stosowanie technik tego rodzaju będzie od dziś w Polsce nielegalne? W sensie formalnym nie -- rozstrzygnięcia NSA nie mają charakteru prawotwórczego. Jednak w mojej ocenie argumentacja przedstawiona w orzeczeniu jest bezwarunkowo prawidłowa.
Tak, stosowanie czytników linii papilarnych przez pracodawcę w celu kontroli pracowników jest niezgodne z prawem.
Można zadać pytanie: co należałoby zrobić, aby wyjść naprzeciwko potrzebom niektórych pracodawców i umożliwić jednak stosowanie tak wyrafinowanych technik?
W mojej ocenie jedynie skuteczna byłaby modyfikacja treści art. 22(1) kp (bądź innej normy, która miałaby zastosowanie na podst. ust. 4) poprzez wskazanie wprost technik biometrycznych. Nawet gdyby bowiem ktoś nabrał przekonania, że wystarczałoby rozluźnienie rygorów przepisu (i potraktowanie katalogu jako otwartego -- "w szczególności") sprawy nie załatwi, albowiem zawsze pozostanie wówczas pytanie właśnie o proporcjonalność (adekwatność) zastosowanych środków.
Reasumując: bardzo dobry wyrok, z pewnością do przemyślenia przez zarządy wielu, wielu korporacji.
Zatem nieście słowo poprzez swoje korytarze, niech się dzieje, niech się zdarzy.
[edit po paru godzinach]: Ważna myśl przyszła mi do głowy, wyraziłem ją w komentarzu, ale może nie każdy czyta komentarze. Otóż zakaz ten raczej nie będzie się odnosił do biometrycznych technik zabezpieczenia danych osobowych, być może w bankowości i gdzieś tam jeszcze -- gdzie znajdą się stosowne przepisy nakładające na chlebodawcę jakieś obowiązki (pytanie jak rozstrzygnąć hipotetyczną kolizję: przypuśćmy, że rozporządzenie mówi o możliwości stosowania takich zabezpieczeń, ale nie określa tego jako uprawnienia do gromadzenia danych osobowych).
Natomiast tam gdzie linie papilarne służą do kontroli czasu pracy czy obecności w pracy -- stanowisko Naczelnego Sądu Administracyjnego wydaje się jak najbardziej prawidłowe.
To moje zdanie, ale można polemizować ;-)



Czasem się zastanawiam czy człowiek dorosły jest dorosłym człowiekiem -- w sensie, czy może odpowiedzialnie podejmować decyzje dotyczące własnej osoby?
No tak, znów mamy lukę w prawie, której nie zauważyli projektanci
Czytając rządowy projekt zmian w ledwie co uchwalonej ustawie hazardowej (polecam 