Czy zdjęcie twarzy jest daną biometryczną?
Odpowiadając na to pytanie, należy odpowiedzieć twierdząco. Tak, każde zdjęcie twarzy pracownika (w tym to wyrabiane do identyfikatora pracowniczego) jest daną biometryczną. Przykład zdjęcia twarzy (fotografii twarzy, ale nie każdej fotografii, bowiem ta nie musi zawierać twarzy) podano wprost w definicji danych biometrycznych w rozporządzeniu.
Czym są dane biometryczne?
Definicję danych biometrycznych znajdujemy w art. 4 pkt. 14 RODO. To jest każda dana fizyczna, fizjologiczna lub behawioralna umożliwiająca identyfikację lub potwierdzenie tożsamości osoby fizycznej.
Art. 4. Na użytek niniejszego rozporządzenia: (...) 14) „dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne;
Należy tutaj zauważyć, że nie podano definicji «specjalnego przetwarzania technicznego». Każde przetwarzanie danych wymaga jakiejś techniki. Nie wskazano tutaj, że musi się to odbywać komputerowo. Oznacza to nic więcej jak istnienie procesu umożliwiającego przypisanie cechom fizycznym, fizjologicznym lub behawioralnym – konkretnej tożsamości osoby.
Zaliczać się będzie nie tylko wizerunek twarzy, gdzie już po samym układzie pieprzyków na twarzy można rozróżnić nawet bliźniaki jednojajowe, ale także film z zamazaną twarzą ukazujący np. osobę bez 3 i 5 palca u ręki poruszającą się charakterystycznym ruchem chwiejnym powypadkowo. Na podstawie rzadkiej cechy takiej jak brak palca 3 i 5 u prawej ręki (zastosowana technika: zatrzymanie nagrania, powiększenie i wykonanie kadrowania w okolicy prawej ręki) oraz zaobserwowanie chwiejności zsynchronizowanej ze stawianiem lewej nogi (zastosowana specjalna technika – obserwacja osoby na filmie względem pionowej linii umieszczonej w okolicy jego sylwetki) pozwala zidentyfikować tą osobę – jest to np. konkretny pracownik lub też klient.
Definicja zawarta w RODO jako przykłady podaje linie papilarne oraz fotografię twarzy. Bez wątpienia więc każda fotografia twarzy stanowi daną biometryczną. To jakim oprogramowaniem zostanie przetworzona nie ma znaczenia, bowiem nośnikiem danych biometrycznych jest w tym przypadku fotografia twarzy i jej istnienie należy tutaj rozważać, a nie dostęp do jakiegoś oprogramowania. Już sam pomiar układu pieprzyków linijką i kątomierzem będzie wystarczający, by rozpoznać kim jest dana osoba.
W motywie (51) RODO można jednak przeczytać, że nie każda fotografia (nie myl z fotografią twarzy, fotografuje się nie tylko twarze) stanowi dane biometryczne. Rzeczywiście tak jest, bowiem zdjęcie sylwetki bez twarzy często nie będzie stanowiło danych biometrycznych. Zdjęcie samochodu pracownika też nie stanowi danych biometrycznych (ale może stanowić dane osobowe zwykłe, gdy widoczny jest numer rejestracyjny). Zdjęcie sylwetki dopiero wtedy będzie stanowić dane osobowe, gdy zawierać będzie cechy fizyczne, fizjologiczne lub behawioralne pozwalające rozpoznać osobę. Cechami takimi mogą być zniekształcenia ciała (np. wspomniany brak 3 i 5 palca u dłoni), tatuaże, charakterystyczne blizny.
(51) Dane osobowe, które z racji swego charakteru są szczególnie wrażliwe w świetle podstawowych praw i wolności, wymagają szczególnej ochrony, gdyż kontekst ich przetwarzania może powodować poważne ryzyko dla podstawowych praw i wolności. Do takich danych osobowych powinny zaliczać się dane osobowe ujawniające pochodzenie rasowe lub etniczne, przy czym użycie w niniejszym rozporządzeniu terminu „pochodzenie rasowe” nie oznacza, że Unia akceptuje teorie sugerujące istnienie osobnych ras ludzkich. Przetwarzanie fotografii nie powinno zawsze stanowić przetwarzania szczególnych kategorii danych osobowych, gdyż fotografie są objęte definicją „danych biometrycznych” tylko w przypadkach, gdy są przetwarzane specjalnymi metodami technicznymi, umożliwiającymi jednoznaczną identyfikację osoby fizycznej lub potwierdzenie jej tożsamości. Takich danych osobowych nie należy przetwarzać, chyba że niniejsze rozporządzenie dopuszcza ich przetwarzanie w szczególnych przypadkach, przy czym należy uwzględnić, że prawo państw członkowskich może obejmować przepisy szczegółowe o ochronie danych dostosowujące zastosowanie przepisów niniejszego rozporządzenia tak, by można było wypełnić obowiązki prawne lub wykonać zadanie realizowane w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Oprócz wymogów szczegółowych mających zastosowanie do takiego przetwarzania, zastosowanie powinny mieć zasady ogólne i inne przepisy niniejszego rozporządzenia, w szczególności jeżeli chodzi o warunki zgodności przetwarzania z prawem. Należy wyraźnie przewidzieć wyjątki od ogólnego zakazu przetwarzania takich szczególnych kategorii danych osobowych, m.in. w razie wyraźnej zgody osoby, której dane dotyczą, lub ze względu na szczególne potrzeby, w szczególności gdy przetwarzanie danych odbywa się w ramach uzasadnionych działań niektórych zrzeszeń lub fundacji, których celem jest umożliwienie korzystania z podstawowych wolności.
Czy pracodawca może przetwarzać dane biometryczne pracownika?
Kodeks pracy zawiera wskazane przypadki kiedy pracodawca może przetwarzać dane biometryczne pracownika. Są to:
- przekazanie danych biometrycznych z własnej inicjatywy (np. pracownik sam zaprosił pracodawcę na wideorozmowę MS Teams, a pracodawca się na to zgodził, pracownik sam bez wzywania do tego złożył CV zawierające fotografię),
- ochrona informacji szczególnie wrażliwych, których ujawnienie może doprowadzić do szkody,
- kontrola dostępu do pomieszczeń chronionych.
Tutaj należy zaznaczyć, że pracodawca podając kwestionariusz osobowy pracownikowi już wtedy powinien poinformować, jakie dane biometryczne będzie przetwarzał oraz na jakiej podstawie i w jakim celu. Zatrzymywanie tej informacji do czasu, aż nastąpi żądanie przekazania tych danych jest nielegalne, bowiem pracownik ma prawo do informacji co będzie robił na stanowisku i ma prawo się nie zgodzić na przekazanie tych danych, np. z powodu ryzyka jakie to dla niego może nieść. W międzyczasie nie doszło do zmiany stanu prawnego i faktycznego. Rozwiązanie umowy o pracę w momencie zażądania danych biometrycznych ze względu na rzekomo chronione pomieszczenie, o czym pracownik nie wiedział wcześniej (a jest zmuszony z pomieszczenia korzystać), jest więc zasadne i pracownik powinien zachować prawo do odszkodowania odpowiadającemu okresowi wypowiedzenia.
W przypadku stosowania jedynie identyfikatorów sprawdzanych wizualnie przez innego pracownika przy dostępie do pomieszczeń chronionych (a więc nie automatycznie), nie ma podstawy przekazywania zdjęcia pracodawcy. Stosując zasadę minimalizacji w przetwarzaniu danych minimum stanowi naklejenie przez pracownika na identyfikatorze fotografii, którą pracownik wcześniej sam wykonał i następnie okazanie identyfikatora pracodawcy. W ten sposób pracodawca nie wchodzi w posiadanie kopii danych biometrycznych (utrwalanie w systemach informatycznych jest zbędne do celu) i jednocześnie pracodawca przy pomocy innego pracownika jest w stanie sprawdzić jego tożsamość przy przekroczeniu progu chronionego pomieszczenia.
Stosowanie systemów rozpoznawania twarzy nosić będzie więc znamiona procesu nadmiernego przetwarzania danych, bowiem ten sam cel można było osiągnąć delegując jednego z pracowników do kontroli dostępu do pomieszczenia chronionego, bez potrzeby utrwalania wizerunku i bez potrzeby ciągłego nagrywania wizerunku pracownika za pomocą kamery.
1. Dane osobowe muszą być:
a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”);
b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami („ograniczenie celu”);
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);
Zdjęcie w intranecie
W związku z faktem, że każde zdjęcie twarzy jest daną biometryczną zgodnie z art. 4 pkt 14 RODO, zaś Kodeks pracy definiuje zamknięty katalog miejsc, gdzie można stosować dane biometryczne oraz zamknięty katalog danych osobowych zwykłych, jakich może żądać pracodawca – każde umieszczenie zdjęcia w internecie lub intranecie, które nie wyszło z inicjatywy pracownika jest niedopuszczalne. W celu ułatwienia wskazania pracownika w intranecie pracodawca może za to publikować numer pokoju, gdzie pracownik przebywa najczęściej i fotografię tego pokoju ze wskazaniem miejsca. To pozwoli na łatwe odnalezienie pracownika i stanowi rzeczywiste minimum do celów ułatwienia kontaktu. Jak widać wizerunek jest tutaj zbędny.