Monitoring a dane biometryczne – kiedy musisz spełnić dodatkowe wymogi

Marcin Sarna

Autor: Marcin Sarna

Dodano: 7 października 2020
Monitoring a dane biometryczne – kiedy musisz spełnić dodatkowe wymogi

Monitoring w zdecydowanej większości przypadków służy do przetwarzania danych osobowych w postaci wizerunku. Powstaje jednak pytanie, czy monitoring wiąże się z przetwarzaniem danych biometrycznych. Odpowiedź na nie jest bardzo istotna, bowiem dane biometryczne są zaliczane do szczególnej kategorii danych osobowych, a to oznacza konieczność odnalezienia innej podstawy przetwarzania danych.

Czym są dane biometryczne

Dane biometryczne to takie dane osobowe, które:

  • wynikają ze specjalnego przetwarzania technicznego,
  • dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej,
  • umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby (art. 4 pkt 14 RODO).

Aby dane osobowe miały status biometrycznych, muszą zostać spełnione łącznie wszystkie ww. warunki.

Uwaga

Fotografia czy nagranie wideo mieści się w zakresie „danych biometrycznych” jedynie w przypadku, gdy jest wykonana specjalnymi metodami technicznymi, dającymi możliwość jednoznacznej identyfikacji osoby fizycznej lub potwierdzenia jej tożsamości (motyw 51 preambuły RODO).

Sama identyfikacja nie wystarczy

To, że monitoring pozwala na ustalenie tożsamości osoby fizycznej nie oznacza jeszcze, że mamy do czynienia z dana biometryczną. W takim przypadku monitoring służy do przetwarzania zwykłych danych osobowych i administrator powinien oprzeć podstawy przetwarzania danych na art. 6 RODO.

Przykład

Przetwarzając wizerunek pracowników i klientów w celu ochrony mienia pracodawca jako ADO może powołać się art. 6 ust. 1 lit. f RODO (tj. na uzasadniony interes administratora danych osobowych).

Samo to oznacza bowiem jedynie tyle, że mamy do czynienia ze zwykłą daną osobową.Kwalifikacja wizerunku jako danej biometrycznej zależy natomiast od przyjętej specjalnej technologii przetwarzania wizerunku.

Przykład

Pracodawca wprowadził technologię rozpoznającą twarz pracownika a zarazem jego identyfikację w celu uzyskiwania automatycznego dostępu do określonych pomieszczeń. Celem przetwarzania będzie ochrona mienia pracodawcy. W takim przypadku przetwarzana jest dana biometryczna co rodzi konieczność powołania się na jedną z podstaw przetwarzania z art. 9 ust. 2 RODO.

Jaka podstawa przetwarzania

Natomiast w przypadku zastosowania specjalnych technologii np. funkcji automatycznego rozpoznawania twarzy przetwarzaniu podlegają już dane biometryczne. Wówczas administrator musi powołać się na jedną z podstaw przetwarzania z art. 9 ust. 2 RODO.

Dodatkowe wymogi w przypadku danych biometrycznych pracowników

Jeżeli w ramach monitoringu dane biometryczne zamierza przetwarzać pracodawca, wówczas musi być spełniony jeden z poniższych warunków. Otóż:

  • dane te mogą być uzyskane jedynie z inicjatywy pracownika albo
  • pracodawca musi wykazać, że przetwarzanie danych biometrycznych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę lub
  • pracodawca musi wykazać, że podanie danych biometrycznych jest konieczne z uwagi na kontrolę dostępu do pomieszczeń wymagających szczególnej ochrony.

Przeczytaj także:

Marcin Sarna

Autor: Marcin Sarna

Radca prawny, ekspert z zakresu ochrony danych osobowych. Specjalizuje się również w kompleksowej obsłudze prawnej podmiotów gospodarczych, w szczególności świadcząc pomoc prawną dla producentów maszyn i urządzeń, przedsiębiorców funkcjonujących w branży usługowej i w sektorze energetycznym.

Nasi partnerzy i zdobyte nagrody » 


Nagrody i wyróżnienia» 

Poznaj kluczowe zagadnienia, z jakimi możesz się zetknąć podczas codziennej pracy IODO.
E-kurs dla początkującego Inspektora Danych Osobowych. Rzetelna wiedza i praktyczne ćwiczenia.

24-h bezpłatny test portalu!
Zyskaj pełen dostęp do bazy porad i aktualności!

SPRAWDŹ »

x