Dlaczego nie warto stosować biometrii w systemach kontroli dostępu? Przykład z praktyki UODO

Rosnące zainteresowania nowoczesnymi technologiami identyfikacji osób powoduje, że coraz więcej firm decyduje się na wdrażanie systemów kontroli dostępu opartych na danych biometrycznych – takich jak odciski palców. Choć może się to wydawać rozwiązaniem wygodnym i nowoczesnym, to niesie ze sobą istotne ryzyka prawne i organizacyjne. Najnowsza decyzja Prezesa Urzędu Ochrony Danych Osobowych (UODO) doskonale to pokazuje.

Kara za brak współpracy i nieprawidłowości przy przetwarzaniu danych biometrycznych

W lipcu 2025 roku Prezes UODO, Mirosław Wróblewski, nałożył administracyjną karę pieniężną w wysokości 18 941 zł na przedsiębiorcę z branży gastronomicznej z województwa śląskiego. Powód? Przedsiębiorca nie zapewnił dostępu do danych osobowych oraz zignorował wielokrotne wezwania do złożenia wyjaśnień w związku ze skargą dotyczącą przetwarzania danych biometrycznych pracownika.

Sprawa miała swój początek w 2021 roku, kiedy to były pracownik firmy złożył skargę do UODO, wskazując na nieprawidłowości w zakresie wykorzystywania jego danych biometrycznych – prawdopodobnie odcisków palców – przez pracodawcę. Pomimo wielokrotnych wezwań ze strony organu, przedsiębiorca nie przedstawił żadnych informacji dotyczących podstawy prawnej, celu, zakresu ani okresu przetwarzania tych danych.

Brak współpracy z UODO został uznany za celowy i uporczywy, co dodatkowo obciążyło ocenę sytuacji. W efekcie organ nadzorczy wszczął postępowanie administracyjne i nałożył karę za naruszenie przepisów RODO – konkretnie art. 58 ust. 1 lit. a) i e), które dotyczą obowiązku współpracy z organem nadzorczym oraz zapewnienia dostępu do niezbędnych danych i informacji.

Dane biometryczne – dane szczególnej kategorii

Warto przypomnieć, że dane biometryczne (np. linie papilarne, geometria twarzy, tęczówka oka) są w świetle RODO danymi szczególnej kategorii, których przetwarzanie co do zasady jest zabronione, chyba że spełnione zostaną szczególne przesłanki określone w art. 9 RODO. Co więcej, takie przetwarzanie musi być niezbędne i proporcjonalne względem celu, w jakim jest realizowane.

W praktyce oznacza to, że pracodawca nie może stosować systemów biometrycznych „dla wygody” – np. do rejestracji czasu pracy czy dostępu do zaplecza – jeśli istnieją inne, mniej inwazyjne metody, jak karty dostępu, PIN-y dynamiczne czy aplikacje mobilne. Wykorzystanie danych biometrycznych musi być uzasadnione i oparte na jednej z wyjątkowych podstaw prawnych, np. wyraźnej zgodzie (która w relacji pracodawca–pracownik z reguły nie spełnia wymogu dobrowolności).

Rekomendacja: unikać biometrii w kontroli dostępu

Sprawa ukazana w decyzji UODO powinna być wyraźnym sygnałem dla pracodawców i administratorów danych: biometria to nie zabawka, ale poważne zobowiązanie prawne. Jej stosowanie wiąże się z wysokimi wymaganiami w zakresie:

• legalności i niezbędności przetwarzania,
• przejrzystości i obowiązku informacyjnego,
• zapewnienia bezpieczeństwa danych,
• gotowości do współpracy z organem nadzorczym.
• Brak któregokolwiek z tych elementów może skończyć się – jak w omawianym przypadku – nie tylko skargą byłego
• pracownika, ale także karą finansową oraz utratą reputacji.

Alternatywy dla biometrii

Zamiast ryzykować, warto rozważyć bezpieczniejsze i mniej inwazyjne formy kontroli dostępu, takie jak:

• szyfrowane karty zbliżeniowe,
• aplikacje mobilne,
• dynamiczne kody PIN,
• Te rozwiązania nie prowadzą do naruszeń RODO i są łatwiejsze do wdrożenia w zgodzie z przepisami.

Podsumowanie

Stosowanie biometrii w systemach kontroli dostępu w miejscu pracy może przysporzyć więcej problemów niż korzyści. Najnowsza decyzja UODO to kolejny dowód na to, że brak ostrożności i ignorowanie obowiązków informacyjnych i współpracy z organem nadzorczym może zakończyć się dotkliwą karą. Jeśli nie masz pewności, czy możesz legalnie przetwarzać dane biometryczne – lepiej ich nie przetwarzaj. Masz więcej pytań zapraszamy do naszych Biur Handlowych. Nasi specjaliści pomogą w dobraniu odpowiedniego rozwiązania.

Źródło:  https://uodo.gov.pl/pl/138/3834