Jak do tego doszło?

Pewna firma wprowadziła system czytników zainstalowanych przy wejściach do budynków, rejestrujący godziny pracy poszczególnych pracowników poprzez skanowanie ich linii papilarnych. W tym celu pracodawca uzyskał od każdego z załogi pisemną zgodę na przetwarzanie jego danych biometrycznych, którymi były w tym przypadku układy charakterystycznych punktów linii papilarnych.

Działanie to spotkało się z wyraźnym sprzeciwem GIODO, który wydał, a następnie podtrzymał decyzję, nakazującą firmie usunięcie uchybień w procesie przetwarzania danych, m. in. poprzez usunięcie danych dotyczących układu linii papilarnych pracowników. Z tą interpretacją nie zgodził się jednak Wojewódzki Sąd Administracyjny w Warszawie uznając w wyroku z 27.11.2008 r. (II SA/Wa 903/08), że przesłanki dopuszczające przetwarzanie danych biometrycznych, wymienione w art. 23 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tj. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.) mają charakter autonomiczny i niezależny, więc w przypadku wyrażenia zgody na przetwarzanie danych osobowych nie ma konieczności poszukiwania kolejnej przesłanki, np. proporcjonalności do zamierzonego celu ich przetwarzania. Sąd wskazał przy tym, że katalog przesłanek stanowi swoistą gradację podstaw legalnego przetwarzania danych osobowych, poczynając od zgody osoby, której dane dotyczą, kończąc zaś na usprawiedliwionych celach administratorów danych lub ich odbiorców.

Skarga kasacyjna od wyroku była efektem działania GIODO wskazującego, że zgoda pracownika na przetwarzanie jego danych osobowych nie musiała być działaniem dobrowolnym, z uwagi na występujący stosunek podporządkowania oraz ryzyko poniesienia szkody, np. poprzez utratę pracy.

Stanowisko NSA

Argumenty te zostały uwzględnione i rozszerzone o własne spostrzeżenia NSA, który w wyroku z 1.12.2009 r. (I OSK 249/09) uznał, że wyrażona na prośbę pracodawcy pisemna zgoda na pobranie i przetworzenie danych osobowych narusza prawa pracownika i swobodę wyrażenia przez niego woli. Uzasadnieniem tego poglądu jest, zgodnie ze stanowiskiem GIODO, zależność pracownika od pracodawcy, która stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych. Z tych powodów art. 221 k.p. ogranicza katalog danych, których pracodawca może żądać od pracownika, więc uznanie zgody podwładnego, jako okoliczności legalizującej pobranie od niego innych danych niż wskazane w przepisach Kodeksu pracy, stanowiłoby próbę ich obejścia.

NSA podkreślił, że nie bez znaczenia dla rozstrzygnięcia sprawy jest również fakt implementowania do art. 26 ust 1 pkt 3 ustawy o ochronie danych osobowych postanowień Dyrektywy Parlamentu Europejskiego i Rady nr 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony danych osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, regulujących zasadę adekwatności (proporcjonalności) środków służących do osiągnięcia założonych przez administratora danych celów. Wprowadza ona obowiązek przetwarzania prawidłowych danych przez administratorów w sposób odpowiedni do celów, dla których zostały one zgromadzone. Innymi słowy ryzyko naruszenia swobód, czy fundamentalnych praw obywatelskich musi być proporcjonalne do celu, któremu służy.

Konieczność ujednolicania stosowanych przez państwa członkowskie środków zmierzających do ochrony danych osobowych stała się przyczyną podjęcia przez UE decyzji o powołaniu Grupy Roboczej. W zakresie danych biometrycznych Grupa uznała jednogłośnie, że pracodawca popełnia błąd, jeśli próbuje zalegalizować przetwarzanie danych pochodzących od pracownika za pomocą uzyskanej od niego zgody. W ocenie Grupy można posłużyć się zgodą, jeśli odnosi się ona do przypadku, w którym pracownik ma całkowitą swobodę jej udzielenia i może odmówić udzielenia takiej zgody bez poniesienia szkody. Wykładnię tą w pełni podzielił i poparł NSA.

Na tej podstawie NSA uznał, że wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania, a wskutek tego uchylił zaskarżony przez GIODO wyrok WSA w Warszawie.