Jak wdrożyć system biometryczny w firmie zgodnie z prawem?

Wdrożenie biometrii w firmie nie powinno zaczynać się od zakupu urządzeń. Najpierw trzeba ustalić cel, podstawę prawną i zakres danych. Biometria dotyczy cech człowieka, dlatego wymaga większej ostrożności niż karta, kod PIN czy zwykły identyfikator. Dobrze zaplanowany system może zwiększyć bezpieczeństwo, ale źle wdrożony stworzy ryzyko naruszenia RODO.

Czym jest system biometryczny w firmie i jakie dane przetwarza?

Aby dobrze ocenić legalność takiego rozwiązania, trzeba najpierw wyjaśnić, czym są dane biometryczne i jak działa system, który je wykorzystuje. System biometryczny służy do potwierdzania tożsamości osoby na podstawie jej indywidualnych cech fizycznych lub behawioralnych. W praktyce może wykorzystywać m.in. odcisk palca, geometrię twarzy, tęczówkę oka, układ żył w dłoni albo głos.

W firmie taki system najczęściej działa jako element kontroli dostępu. Pracownik nie przykłada tradycyjnego klucza lub karty, lecz przechodzi weryfikację biometryczną. System porównuje cechę osoby z zapisanym wcześniej wzorcem, czyli tzw. szablonem biometrycznym.

To ważne, bo dane biometryczne nie są zwykłymi danymi osobowymi. RODO traktuje je jako szczególną kategorię danych, jeżeli służą do jednoznacznej identyfikacji osoby. Oznacza to wyższy poziom ryzyka, większe wymagania dokumentacyjne i konieczność bardzo ostrożnego podejścia do celu przetwarzania.

Kiedy firma może legalnie korzystać z biometrii?

Firma może korzystać z biometrii tylko wtedy, gdy potrafi wykazać, że jest to zgodne z prawem, niezbędne i proporcjonalne. Nie wystarczy argument, że system jest wygodny albo nowoczesny. Przed wdrożeniem trzeba odpowiedzieć na trzy pytania: po co firma chce przetwarzać dane biometryczne, czy nie da się osiągnąć tego samego celu mniej inwazyjną metodą oraz jak zostaną zabezpieczone prawa pracowników.

W relacji pracodawca–pracownik szczególnie ostrożnie należy podchodzić do zgody. Zgoda pracownika może być problematyczna, ponieważ w miejscu pracy trudno mówić o pełnej swobodzie decyzji. Dlatego nie należy opierać wdrożenia wyłącznie na formularzu zgody podpisanym przez wszystkich zatrudnionych.

Kodeks pracy przewiduje jednak sytuacje, w których przetwarzanie danych biometrycznych pracownika może być dopuszczalne, przede wszystkim w art. 22 1b § 2. Chodzi przede wszystkim o kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, albo do pomieszczeń wymagających szczególnej ochrony. W praktyce trzeba więc wykazać, że biometria nie jest „dodatkiem”, lecz realnie potrzebnym środkiem bezpieczeństwa.

Przed uruchomieniem systemu warto przygotować analizę ryzyka, ocenę skutków dla ochrony danych, klauzulę informacyjną, procedurę nadawania i odbierania uprawnień oraz zasady retencji danych. Należy też określić, kto ma dostęp do danych, gdzie są przechowywane szablony biometryczne i co dzieje się z nimi po zakończeniu współpracy z pracownikiem.

Do jakich celów można wdrożyć system biometryczny w firmie?

Najbardziej uzasadnionym celem wdrożenia biometrii w firmie jest kontrola dostępu do stref, które rzeczywiście wymagają podwyższonej ochrony. Może to dotyczyć np. serwerowni, archiwum dokumentów, laboratoriów badawczo-rozwojowych, pomieszczeń z tajemnicą przedsiębiorstwa, stref produkcyjnych o podwyższonym ryzyku albo miejsc, w których znajdują się szczególnie wartościowe zasoby.

Biometria może być dobrym rozwiązaniem tam, gdzie karta dostępu, brelok lub kod PIN nie zapewniają wystarczającej kontroli. Kartę można zgubić, pożyczyć innej osobie albo skopiować. Cechy biometryczne trudniej przekazać komuś innemu, dlatego system może lepiej potwierdzać, że do chronionej strefy wchodzi właściwa osoba.

Nie oznacza to jednak, że biometrię można wdrożyć wszędzie. Zastosowanie jej przy wejściu do zwykłego biura, kuchni pracowniczej czy standardowej sali spotkań może być trudne do obrony. Im mniej wrażliwy obszar, tym mocniejszy argument za zastosowaniem prostszej i mniej inwazyjnej metody dostępu.

Biometria do kontroli dostępu a ewidencja czasu pracy pracowników

Trzeba wyraźnie odróżnić kontrolę dostępu od ewidencji czasu pracy. Kontrola dostępu odpowiada na pytanie, kto może wejść do określonej strefy. Ewidencja czasu pracy służy natomiast rozliczaniu godzin pracy, spóźnień, wyjść i obecności.

To rozróżnienie ma duże znaczenie prawne. Dane biometryczne nie powinny być wykorzystywane do rejestracji godzin przyjścia i wyjścia z pracy. UODO wskazuje, że pracodawca nie może skanować ani pobierać danych biometrycznych pracowników w celu rejestracji czasu pracy, nawet za zgodą pracownika.

Bezpieczniejszym rozwiązaniem dla ewidencji czasu pracy są mniej inwazyjne metody: karta pracownicza, aplikacja, kod, system RCP bez biometrii albo lista elektroniczna. Biometria powinna pozostać narzędziem do ochrony miejsc i informacji wymagających szczególnego zabezpieczenia, a nie uniwersalnym sposobem kontroli obecności.

Jak wybrać dostawcę systemu biometrycznego zgodnego z RODO?

Wybór dostawcy powinien obejmować nie tylko cenę i funkcje systemu, ale też sposób przetwarzania danych. Przed podpisaniem umowy warto zapytać, czy system przechowuje pełny obraz cechy biometrycznej, czy tylko zaszyfrowany szablon, gdzie znajdują się dane, kto ma do nich dostęp i czy możliwe jest szybkie usunięcie danych po odebraniu uprawnień pracownikowi.

Dobry dostawca powinien pomóc w konfiguracji zgodnej z zasadą minimalizacji danych. System nie powinien zbierać więcej informacji, niż jest potrzebne do kontroli dostępu. Ważne są też logi zdarzeń, role administratorów, szyfrowanie, możliwość nadawania uprawnień strefowych oraz integracja z innymi elementami bezpieczeństwa, np. zamkami, bramkami, alarmem czy monitoringiem.

W tym kontekście warto rozważyć biometryczną kontrolę dostępu od AutoID, firmy istniejącej na rynku od 1999 roku, mającej za sobą ponad 1000 wdrożeń swoich systemów w ponad 12 krajach. Rozwiązania AutoID obejmują systemy kontroli dostępu dla firm, w których weryfikacja może odbywać się m.in. za pomocą czytników obsługujących karty lub cechy biometryczne, takie jak linie papilarne czy geometria twarzy. To szczególnie przydatne w organizacjach, które chcą ograniczyć dostęp do wybranych stref i zarządzać uprawnieniami pracowników z jednego systemu.

Rekomendacja konkretnego dostawcy nie zwalnia jednak firmy z własnej analizy prawnej. Przed wdrożeniem biometrii trzeba ustalić cel, podstawę prawną, zakres danych, czas przechowywania, obowiązki informacyjne i zabezpieczenia. Warto też upewnić się, że dostawca może podpisać odpowiednią umowę powierzenia przetwarzania danych, jeżeli w danym modelu pełni rolę podmiotu przetwarzającego.

Wdrożenie biometrii powinno być przemyślane

Podsumowując, system biometryczny w firmie może być zgodny z prawem, ale tylko wtedy, gdy jest rzeczywiście potrzebny i dobrze udokumentowany. Najbezpieczniejszym kierunkiem jest stosowanie biometrii do kontroli dostępu do szczególnie chronionych stref, a nie do zwykłej ewidencji czasu pracy. Przed wdrożeniem trzeba wykonać analizę ryzyka, przygotować dokumentację RODO i wybrać dostawcę, który rozumie wymagania ochrony danych. Biometria powinna wzmacniać bezpieczeństwo firmy, ale nie może naruszać praw pracowników.