Uporaba prstnega odtisa za prijavo v službeni računalnik

Datum

26.11.2025

Številka

07121-1/2025/1388

Kategorije

Biometrija, Delovna razmerja

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede uporabe prstnega odtisa za prijavo v službeni računalnik. Kot ste pojasnili bi šlo za samostojno odločitev zaposlenega, konkretna rešitev pa biometrične podatke shrani v zaščiteni modul delovne postaje (t.i. TPM čip, "Trusted Platform Module"), PIN in biometrični podatki pa niso prenešeni niti shranjeni na strežnikih vašega podjetja, prav tako ni možnosti centralnega arhiva biometričnih podatkov. Zanima vas, ali takšna uporaba prstnega odtisa zapade pod ZVOP-2 oziroma pod kakšnimi pogoji glede na določbe 83. člena ZVOP-2.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Uvodoma moramo izpostaviti, da se IP v okviru nezavezujočih mnenj ne more in ne sme opredeljevati, ali je uporaba konkretne informacijske rešitve skladna z zakonodajo o varstvu osebnih podatkov; zakonitost in skladnost obdelav osebnih podatkov v okviru konkretne informacijske rešitve lahko IP preveri le v okviru uradnega inšpekcijskega postopka. Mnenje, kot ga podajamo v nadaljevanju, je zato splošne narave in tako ne predstavlja odobritve ali kakršne koli drugačne potrditve skladnosti konkretne rešitve, ki jo preučujete.

Kot izhaja iz smernic glede uporabe biometrijskih ukrepov (dostopno na: https://www.ip-rs.si/go?u=https%253A%252F%252Fwww.ip-rs.si%252Fprirocniki_smernice%252FSmernice%252520glede%252520uvedbe%252520biometrijskih%252520ukrepov_2.0_%252520%2528ZVOP-2%2529.pdf) je pri uporabi biometrije izključno v zasebne namene (npr. za odklepanje vhodnih vrat v stanovanje), podana izjema domače rabe in se ZVOP-2 na uporablja; drugačna situacija pa velja, če gre za obdelavo osebnih podatkov, ki je povezana z opravljanjem delovnih nalog v okviru delovnega razmerja z delodajalcem, kjer so pa pomembne specifične okoliščine.

Kolikor gre za

prostovoljno odločitev zaposlenega

da bo za prijavo v službeno sredstvo uporabil prstni odtis, pri čemer ima na voljo tudi druge možnosti prijave, ki ne vključujejo obdelave osebnih podatkov (npr. z geslom, PIN številko ipd.), in delodajalec v nobeni fazi obdelave podatkov nima nobenih dejanskih možnosti dostopa do biometričnih osebnih podatkov in jih tako tudi ne obdeluje, potem ne veljajo pogoji po 83. členu ZVOP-2, saj ne pride do obdelave biometričnih podatkov s strani delodajalca, delodajalec ne zasleduje in ni opredelil namena ali sredstev obdelave, niti obdelava ni zahtevana ali pogojevana s strani delodajalca.

Če gre za

odločitev delodajalca

da npr. za vstop v delovne naprave, sisteme ali aplikacije zahteva uporabo biometrijskih podatkov (npr. prepoznavo prstnega odtisa) – gre za klasično uporabo biometrije, za katero veljajo določbe ZVOP-2, v zasebnem sektorju 83. člena ZVOP-2.

Če bo prijava potekala na način, da so dejanja obdelave teh podatkov stranke pod njenim izključnim nadzorom ali njeno izključno oblastjo in omogočala stranki, da izrecno dovoli obdelavo teh podatkov drugim obdelovalcem in upravljavcem za namen dokazovanja točnosti svoje identitete[1], potem menimo, da bi v situaciji, kot jo opisujete, lahko šlo za uporabo biometrijskih ukrepov, ki zapade pod določbe tretjega odstavka 83. člena ZVOP-2, ki določa:

(3) Obdelava biometričnih osebnih podatkov v zasebnem sektorju se sme izvajati tudi pod pogojem, da so dejanja obdelave teh podatkov stranke pod njenim izključnim nadzorom ali njeno izključno oblastjo ter potrjena v skladu s pristojnostmi nadzornega organa za potrjevanje iz 52. člena tega zakona in omogoča stranki, da izrecno dovoli obdelavo teh podatkov drugim obdelovalcem in upravljavcem za namen dokazovanja točnosti svoje identitete.

Poleg zgoraj omenjenih pogojev bi v tem primeru delodajalec moral izpolniti tudi zahtevo po tem, da je takšna rešitev potrjena v skladu s pristojnostmi nadzornega organa za potrjevanje iz 52. člena ZVOP-2 (ko bo potrjevanje možno).

Lepo vas pozdravljamo,

dr. Jelena Virant Burnik,

Informacijska pooblaščenka

Pripravil:

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke

---

[1]Navedeno zahtevo IP razume predvsem v smislu prostovoljnega odločanja osebe o svojih osebnih podatkov, kjer ni nujno, da mora to tudi izkoristiti.