W wielu spółkach są używane karty wstępu na teren zakładu. Związane jest to z szeroko rozumianym obowiązkiem dbałości o bezpieczeństwo osób i mienia przebywających na terenie spółek.  Niemniej jednak istnieje wiele rodzajów identyfikatorów, zarówno bez wskazanych na nich danych osobowych oraz karty identyfikacyjne z informacją o imieniu i nazwisku posiadacza. Często pojawiają się na nich zdjęcie. Czy jest to jednak zgodne z RODO?

Dane na identyfikatorach a zasada minimalizacja danych

Z uwagi na minimalizację danych osobowych w zgodzie z art. 5 ust  1 lit c RODO przyjąć by należało że zgodne z RODO jest stosowanie „czystych” kart dostępu.  Chodzi w tym przypadku o taki rodzaj katy, które nie posiadają danych osobowych a korzystanie z nich związane jest z informatycznym systemem który umożliwia wstęp na teren danego zakładu. Taki system zapewnia w sposób kompleksowy realizację wymaganej przez RODO zasady minimalizację i bezpieczeństwo danych w procesie przetwarzania.

Wizerunek- to też dana osobowa.

Daną osobową jest każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Tym samym także wizerunek, zwłaszcza w połączeniu z imieniem i nazwiskiem danego pracownika 🙂  Kodeks pracy w sposób jasny (w art. 22[1[]) wskazuje na zakres danych jakie trzeba przetwarzać w związku z zatrudnieniem- brak w tej (jak i w innych przepisach prawa) wyraźnej podstawy prawnej (tj. obowiązku) do przetwarzania wizerunku pracownika. Tym samym niemożliwym jest przetwarzanie wizerunku na podstawie art. 6 ust 1 lit c RODO (obowiązek prawny).

Uzasadniony prawnie interes?

W przypadku korzystania z imiennych kart dostępu (imię, nazwisko, firma), na podstawie art. 6 ust. 1 lit. f RODO istnieje prawnie uzasadniony interes pracodawcy –  kontroli wstępu na teren Spółki. W tym przypadku pracodawcy mają podstawę prawną wynikającą z RODO (prawnie uzasadniony interes) aby w tym celu przetwarzać dane – imię i nazwisko pracownika.

Niemniej jednak należy wskazać iż nie zawsze jest możliwe oparcie na tej samej podstawie – uzasadniony prawnie interes- przetwarzanie także wizerunku pracownika.

Poszukując innej podstawy prawnej wynikającej z RODO właściwej dla przetwarzania wizerunku można odnieść się także właśnie do  interesu prawnego (art. 6 ust. 1 lit. f). Niemniej jednak z tego przepisu oraz z motywu 47 RODO wynika, że warunkiem prawidłowości powołania się na analizowaną przesłankę jest spełnienie łączne następujących wymogów:

1. identyfikacja prawnie uzasadnionego interesu, który jest realizowany przez administratora lub przez stronę trzecią,

2. zweryfikowanie niezbędności przetwarzania dla realizacji celu wynikającego z przedmiotowego interesu;

3. ocena, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej.

Co kluczowe to to, że przetwarzanie oparte na prawnie uzasadnionym interesie musi oparte być na niezbędności przetwarzania. Dane przetwarzane na potrzeby prawnie uzasadnionych interesów powinny być niezbędne do realizacji tegoż celu– gdy bez przetwarzania tych danych realizacja prawnie uzasadnionych interesów byłaby niemożliwa.

Z uwagi na fakt, iż identyfikacja osób wchodzących na teren zakładu i tam pracujących jest możliwa także poprzez imienne identyfikatory za odpowiednim ewentualnym okazaniem do wglądu (bez spisywania danych) dokumentu tożsamości ze zdjęciem, wskazać należy iż zawarcie na identyfikatorach wizerunku (a więc jego stałe przetwarzanie a możliwie także i powierzenie do przetwarzania firmie która wykonuje identyfikatory, nie jest zarówno adekwatne jak i niezbędne do realizacji prawnie uzasadnionego interesu – bezpieczeństwa i ochrony osób i mienia na terenie wielu zakładów.

Oczywiście nie można wykluczyć wyjątków 🙂 Przykładem w jakim naszym zdaniem możliwe jest  zastosowanie tej podstawy prawnej to między innymi zakłady zbrojeniowe czy firmy farmaceutyczne- w których poziom identyfikacji i poziomu bezpieczeństwa uzasadnia adekwatność takich zabezpieczeń i nadrzędność nad interesem samego pracownika.

Zgoda jako przesłanka?

Ostatnią przesłanką jaka mogłaby być brana pod uwagę przy umieszczeniu na identyfikatorach pracowników ich wizerunku (co jest także rozważane przez wielu pracodawców)  jest zgoda pracownika- art. 6 ust 1 lit. a RODO. Niemniej jednak pamiętać należy że nie wszyscy pracownicy mogą wyrazić zgodę na zawarcie ich wizerunku na kartach dostępu, co spowodowało by w efekcie stan- występowanie dwóch rodzajów kart identyfikacyjnych.

Po drugie w każdej chwili osoba fizyczna ma prawo do wycofania swojej zgody. (co może wygenerować po stronie pracodawcy dodatkowe koszty z wyrobieniem dla takiej osoby dodatkowej karty identyfikacyjnej bez zawartego wizerunku).

Po trzecie (najbardziej istotne z punktu widzenia RODO) warunkiem skutecznej i zgodnej z prawem zgody na gruncie RODO jest jej dobrowolność. Pracownicy praktycznie nigdy nie mogą dobrowolnie udzielić zgody, odmówić zgody ani jej cofnąć. Następuje tu bowiem nierównowaga sił w stosunku pracy, między pracodawcą a pracownikiem. Dobrowolne zgody są tym samym wyjątkowe w prawie pracy.

Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa  oraz ma charakter wyłącznie  informacyjny. Stanowi  wyraz poglądów jego  autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.