Pokuta za dochádzkový systém s odtlačkami prstov (ÚOOÚ SR)

Úrad na ochranu osobných údajov SR („úrad“) vo veci pod zn. 2025/2319/04999/OSK posudzoval prípad, kde zamestnávateľ pri evidencii dochádzky spracúval odtlačky prstov svojich zamestnancov. Podnet na úrad dal bývalý zamestnanec. Ten namietal aj to, že zamestnávateľ včas nevybavil jeho žiadosť o prístup k údajom.

Zamestnávateľ k veci po výzve úradu uviedol:

„Systém zaznamenával iba nevyhnutné údaje: meno bez priezviska, náhodne pridelené identifikačné číslo a časy príchodov a odchodov. Čítačka odtlačkov prstov použitá v našom dochádzkovom systéme zároveň zhromažďovala údaje s nízkym rozlíšením a v obmedzenej kvalite ...... Vzhľadom na túto nízku rozlišovaciu schopnosť a limitovanú kvalitu dát nie je možné tieto údaje považovať za biometrické v zmysle, ako ich definuje legislatíva o ochrane osobných údajov. (...) Okrem toho odtlačky prstov v našom systéme slúžili výhradne na základnú autentifikáciu, čo znamená, že ich využitie bolo obmedzené na overenie prítomnosti oprávnenej osoby, bez akéhokoľvek ďalšieho spracovania alebo schopnosti identifikovať osobu mimo tohto systému.“

K otázke účelu spracúvania sa zamestnávateľ vyjadril, že údaje zamestnanca boli spracúvané za „účelom spracúvania údajov v rámci dochádzkového systému v zmysle čl. 6 ods. 1 písm. b) nevyhnutnom na „plnenie pracovnej zmluvy" uzavretej medzi prevádzkovateľom a navrhovateľom bola evidencia pracovného času, príchodov a odchodov navrhovateľa z pracoviska, dodržiavania pracovnej doby patrilo medzi povinnosti navrhovateľa.“

Čo na to úrad?

Úrad sa v prvom rade vyjadril, že zamestnávateľov obranný argument, že boli spracúvané v takom nízkom rozlíšení a obmedzenej kvalite, že nie sú biometrickými údajmi, neobstojí. Úrad uviedol, že „Keďže dochádzkový systém prevádzkovateľa opatrený čítačkou odtlačkov prstov dokázal identifikovať, ktorá osoba v ktorých časoch prišla do práce, v tomto prípade ide o osobu navrhovateľa, nie je možné súhlasiť s tvrdením prevádzkovateľa, že neboli spracúvané biometrické údaje navrhovateľa. Preto bolo potrebné hľadať príslušný právny základ na spracúvanie biometrických osobných údajov navrhovateľa v čl. 9 ods. 2 Nariadenia a nie v čl. 6 ods. 1 Nariadenia.“.

Nakoľko zamestnávateľ tvrdil, že osobné údaje spracúval na právnom základe plnenia pracovnej zmluvy, a keďže tvrdil, že v prípade spracúvania nešlo o biometrické údaje, tak bolo zároveň vylúčené, aby pred začatím spracúvania určil výnimku zo zákazu spracúvania podľa čl. 9 ods. 2 či dotknutú osobu o spracúvaní riadne informoval predtým, ako k spracúvaniu došlo.

Úrad tiež uviedol, že keďže zamestnávateľ dochádzkový systém s čítačkou odtlačkov prstov po podaní sťažnosti nahradil pevne stanovenou pracovnou dobou, spracúvanie biometrických údajov na účely kontroly dochádzky ani nebolo nevyhnutné – dochádzku bolo možné kontrolovať aj menej invazívnym spôsobom, bez zásahu do osobitnej kategórie osobných údajov zamestnanca.

Za spracúvanie biometrických osobných údajov bez riadneho právneho základu a za nevybavenie žiadosti dotknutej osoby o prístup k údajom úrad zamestnávateľovi uložil pokutu 2300 EUR.

Aké ponaučenie z vyššie uvedeného rozhodnutia vyplýva? Na účely evidencie dochádzky na Slovensku je plošné zavedenie snímania odtlačkov prstov len veľmi ťažko uchopiteľné. Dochádzku zamestnávatelia vedia kontrolovať aj menej invazívnymi spôsobmi (napr. čipová karta). Ak predsa takýto systém evidencie máte alebo chcete mať, myslite na to, že 

• odtlačky prstov sú biometrické údaje a na ich spracúvanie potrebujete naplniť jednu z výnimiek podľa čl. 9 ods. 2 GPDR;

• na štandardnom pracovisku bude takouto výnimkou získanie výslovného súhlasu zamestnanca; 

• ten by mal byť slobodný, čo viete zabezpečiť tak, že zamestnancom, ktorí ho odmietnu udeliť, umožníte iný spôsob evidencie (napr. cez čipovú kartu, zadaním kódu),

• pri tejto spracovateľskej operácii zvážte odborné poradenstvo.

Čítajte ďalej o pokute za spracúvanie GPS údajov prostredníctvom dochádzkového systému a radách, ako takejto pokute predísť.