Biometrija za evidentiranje delovnega časa

Datum

27.09.2023

Številka

07120-1/2023/438

Kategorije

Biometrija

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem nas prosite za mnenje, in sicer ste pojasnili, da nameravate v vašem javnem zavodu (knjižnica) uvesti novo evidenco delovnega časa. Najprej ste imeli evidenco delovnega časa s kartično tehnologijo t.j. evidenčne kartice, ki so jo zaposleni zlorabljali (npr. posojanje evidenčnih kartic, izhodi brez evidentiranja…). Zdaj imate računalniško evidenco delovnega časa s pomočjo intraneta, ki omogoča prijavo na delo in odjavo z dela samo na lokaciji knjižnice, ki jo zaposleni žal prav tako zlorabljajo. Strokovnjaki IT rešitev so vam predlagali, da uvedete biometrični registrator delovnega časa, ki omogoča registracijo s prstnim odtisom. Zanima vas, katere postopke morate izvesti in kakšno dokumentacijo je potrebno narediti pred uvedbo biometričnega registratorja delovnega časa, ki omogoča registracijo s prstnim odtisom?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Informacijski pooblaščenec je o biometrijskih ukrepih izdal posebne smernice, ki vključujejo tudi pojasnila, kdaj je uporaba teh dopustna. Uvedba biometrijskih ukrepov za evidentiranje delovnega časa praviloma ne zadosti kriteriju nujnosti in odsotnosti milejših ukrepov.

Obrazložitev

Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da je o biometriji izdal posebne smernice, ki vključujejo tudi pojasnila, kdaj je uporaba biometrijskih ukrepov dopustna. Smernice, ki so posodobljene glede na določbe ZVOP-2, so na voljo na povezavi:

https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-biometrije-po-zvop-2

Na vaše vprašanje najdete odgovor na str. 13 smernic, kjer smo pojasnili, da se po določbi 83. člena ZVOP-2 biometrijski ukrepi lahko izvajajo le, če so nujno potrebni za opravljanje dejavnosti, za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ali poslovne skrivnosti. S takšno določbo je zakonodajalec sledil načelu sorazmernosti in načelo konkretiziral glede obdelave posebne vrste osebnih podatkov, t.j. biometričnih podatkov ter s tem omejil možnosti prekomernih in neupravičenih posegov v zasebnost in dostojanstvo posameznika pri izvajanju biometrijskih ukrepov. Obstajati mora torej resnično upravičen razlog, ki terja, da je biometrično preverjanje oz. ugotavljanje identitete nujno potrebno in da namena, ki ga upravljavec zasleduje, ni mogoče doseči zadovoljivo tudi z drugimi načini preverjanja oz. ugotavljanja identitete, ki ne vključujejo posegov v zasebnost in dostojanstvo posameznika. Izjema je določba za javni sektor in sicer se v javnem sektorju lahko z drugim zakonom izjemoma uvede obdelava biometričnih osebnih podatkov v zvezi z vstopom v stavbo ali dele stavbe, ki se izvedejo ob smiselni uporabi četrtega, petega in šestega odstavka 83. člena tega zakona, če je to nujno potrebno za varnost ljudi, varnost premoženja, varovanje tajnih podatkov ali varovanje poslovnih skrivnosti (peti odstavek 82. člena ZVOP-2). Slednje pomeni, da je za te namene potrebno pridobiti odločbo Informacijskega pooblaščenca, posamezniki morajo biti o tem pisno obveščeni, kadar gre za zaposlene, pa mora upravljavec z zaposlenimi izvesti predhodno posvetovanje o sorazmernosti obdelave.

Če torej organizacija, ki želi uvesti biometrijske ukrepe, ker so ti nujno potrebni za opravljanje dejavnosti, varnost ljudi ali premoženja, varovanje tajnih podatkov ali varovanje poslovne skrivnosti, za dosego teh namenov nujno potrebuje tudi biometrijsko evidentiranje delovnega časa in uspe dokazati, da so biometrijski ukrepi ne samo potrebni, temveč so nujno potrebni in da zasledovanega namena ni mogoče doseči na drug način, ki je s stališča zasebnosti in dostojanstva zaposlenih manj škodljiv oziroma vsiljiv, potem se tudi evidentiranje delovnega časa lahko izvede z biometrijskimi ukrepi.

Praksa pa kaže, da upravljavci uvajajo biometrijske ukrepe za evidentiranje delovnega časa zgolj zato, ker je takšen način bodisi bolj praktičen od sistema z brezkontaktnimi karticami ali pa želijo preprečiti zlorabe s posojanjem kartic, pri čemer slednji razlog zgolj pavšalno navedejo in ne ponudijo tudi dovolj dokazov, da je biometrijsko evidentiranje delovnega časa nujno potrebno za opravljanje dejavnosti, varnost ljudi ali premoženja, varovanje tajnih podatkov ali varovanje poslovne skrivnosti. Zgolj navajanje razlogov za uvedbo biometrije, brez ustrezne utemeljitve podprte z dokazi, ne zadosti pogojem iz zakona. Praksa IP tudi kaže, da je večina odločb glede zahtev za evidentiranje delovnega časa z biometrijskimi ukrepi zavrnilna, saj vlagatelji ne izkažejo nujnosti tovrstnih ukrepov in odsotnosti drugih milejših ukrepov. Morebitne zlorabe glede evidentiranja delovnega časa je namreč pogosto povsem učinkovito mogoče preprečevati in/ali dokazovati z drugimi ukrepi, kot npr. z videonadzorom registratorja delovnega časa, kjer se da v primeru utemeljenega suma, da gre za kršitev (npr. posojanje evidenčnih kartic, izhodi brez evidentiranja), relativno enostavno preveriti ali se podatki, zabeleženi v evidenci delovnega in posnetki videonadzornega sistema ujemajo.

V smernicah IP najdete tudi vsa ostala pojasnila glede uvedbe biometrijskih ukrepov.

S spoštovanjem,

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravil

mag. Andrej Tomšič, namestnik informacijske pooblaščenke