Prawne uregulowania biometrii i monitoringu wizyjnego koniecznywierzbicki.pl Skuteczność Kompetencja Zaufanie
CO TO JEST BIOMETRIA? Technika dokonywania pomiarów istot żywych. Pomiarom poddawane mogą być: 1. cechy fizyczne (np. tęczówka, linie papilarne, układ naczyń krwionośnych na dłoni lub przegubie ręki, rozkład punktów na twarzy, rozkład temperatur na twarzy, kształt i rozmieszczenie zębów, zapach, DNA itp.), 2. cechy behawioralne, tzn. związane z zachowaniem (np. sposób chodzenia, podpis odręczny, dynamika pisania na klawiaturze, głos).
CO TO JEST BIOMETRIA? Możliwe zastosowania biometrii Kontrola dostępu do: - Określonych obszarów i pomieszczeń - urządzeń (telefony komórkowe, laptopy) - usług (gry hazardowe, strony dla dorosłych, bakowość internetowa) Weryfikacja tożsamości: - odprawa paszportowa (Australia SmartGate testy od 2002 r. w użyciu od 2007 r.) - postępowanie karne Kontrola czasu pracy
A K T U A L N Y S T A N PRAWNY Prawo polskie czy istnieje definicja danych biometrycznych? Ustawa z dnia 13 lipca 2006 r. o dokumentach paszportowych Art. 2 Ilekroć w ustawie mowa jest o: pkt 1) danych biometrycznych - należy przez to rozumieć wizerunek twarzy i odciski palców umieszczone w dokumentach paszportowych w formie elektronicznej;
A K T U A L N Y S T A N PRAWNY Inne uregulowania prawa polskiego: Kodeks cywilny dane biometryczne jako dobra osobiste Art. 23 Dobra osobiste człowieka, jak w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, pozostają pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach. Dobrami osobistymi są powszechnie uznane w społeczeństwie wartości niemajątkowe związane ściśle z osobą człowieka i będące przejawami godności osoby ludzkiej, obejmujące przede wszystkim integralność fizyczną i psychiczną oraz indywidualność człowieka (E. Gniewek, P. Machniowski (red.), Kodeks cywilny. Komentarz, Wyd. 8, Warszawa 2017)
A K T U A L N Y S T A N PRAWNY Inne uregulowania prawa polskiego: Kodeks cywilny dane biometryczne jako dobra osobiste - wyliczenie przykładowe i niewyczerpujące - lista o charakterze dynamicznym - brak szczegółowych unormowań - możliwe naruszenia - wyrok NSA z 13 lutego 2003 r. (II SA 1620/01) użycie badań poligraficznych w stosunku do pracowników Generalnego Inspektoratu Celnego narusza ich dobra osobiste - roszczenia (art. 24 Kodeksu cywilnego) o: zaniechanie działania naruszającego dobro, usunięcie skutków naruszenia, zadośćuczynienie pieniężne, zapłata odpowiedniej sumy na cel społeczny, odszkodowanie na zasadach ogólnych
A K T U A L N Y S T A N PRAWNY Inne uregulowania prawa polskiego: Kodeks pracy czy pozwala na przetwarzanie danych biometrycznych pracowników przez pracodawców? art. 22 1 Kodeksu pracy zawiera wyliczenie informacji, jakie pracodawca może żądać od pracownika: - imiona i nazwisko - imiona rodziców - data urodzenia - miejsce zamieszkania (adres do korespondencji) - wykształcenie - przebieg dotychczasowego zatrudnienia - Informacje konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy - PESEL - w innym zakresie zgodnie z przepisami o ochronie danych osobowych
A K T U A L N Y S T A N PRAWNY Dane osobowe a dane biometryczne 1. Dane biometryczne mogą mieścić się w ogólnej definicji danych osobowych Art. 6 ustawy o ochronie danych osobowych 1. W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. 2. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. 2. Dane biometryczne wyjątkowo mogą spełniać kryteria dla danych wrażliwych Art. 27 ust. 1 ustawy o ochronie danych osobowych Dane wrażliwe dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również dane o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.
A K T U A L N Y S T A N PRAWNY Dane osobowe a dane biometryczne Podstawy przetwarzania danych osobowych (art. 23 ust. 1 ustawy o ochronie danych osobowych): 1. zgoda osoby, której dane dotyczą 2. niezbędność dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu 3. niezbędność do realizacji umowy, której osoba jest stroną, lub podjęcia działań przed zawarciem umowy 4. niezbędność do wykonania zadań realizowanych dla dobra publicznego 5. niezbędność dla wypełnienia prawnie usprawiedliwionych celów o ile przetwarzanie nie narusza praw i wolności osoby Dane wrażliwe: - ogólny zakaz przetwarzania, - zgoda ale tylko udzielona na piśmie
A K T U A L N Y S T A N PRAWNY Orzecznictwo sądów polskich i GIODO - dane biometryczne pracowników Wyroki Naczelnego Sądu Administracyjnego z dnia 6 września 2011 r. I OSK 1476/10 oraz Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 czerwca 2011 r. II SA/Wa 719/11: Wyrażona na prośbę pracodawcy pisemna zgoda pracownika na pobranie i przetworzenie jego danych osobowych, narusza prawa pracownika i swobodę wyrażenia przez niego woli. Brak równowagi w relacji pracodawca - pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania. Decyzja GIODO z 15 grudnia 12 2009 r. D IS/DEC-1261/46988/09 Przetwarzanie danych biometrycznych z pewnością nie jest niezbędne dla osiągnięcia celu, jakim jest rejestracja czasu pracy. Czas pracy pracownika może być przez pracodawcę kontrolowany za pomocą innych środków, mniej ingerujących w prywatność osoby zatrudnionej. Złożenie przez pracownika oświadczenia, którego treścią jest wyrażenie zgody na przetwarzanie danych osobowych w postaci linii papilarnych, nie stanowi przesłanki legalizującej przetwarzanie danych osobowych pracowników.
Prawo unijne A K T U A L N Y S T A N PRAWNY Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych - brak osobnej regulacji - dane szczególne - ujawniające pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzanie danych dotyczących zdrowia i życia seksualnego. Orzecznictwo Trybunału Sprawiedliwości UE przetwarzanie danych biometrycznych jest dopuszczalne w zakresie kontroli przekraczania granic UE.
REFORMA OCHRONY DANYCH OSOBOWYCH Przepisy w zakresie ochrony danych osobowych ulegną w ciągu najbliższego roku znaczącej zmianie. Z dniem 25 maja 2018 r. wchodzi w życie nowa regulacja, z obrotu prawnego zniknie znaczna część obowiązujących przepisów, a ustawodawca pracuje nad przygotowaniem nowych. D Y R E K T Y W A U E Dyrektywa Parlamentu Europejskiego i Rady WE 95/46/WE z dnia 24 października 1995 r. Uchylona ze skutkiem od 25 maja 2018 r. U S T A W A Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922 z późn. zm.) Wkrótce zostanie uchylona A K T Y W Y K O N A W C Z E Obowiązujące rozporządzenia krajowe Wkrótce zostaną wyeliminowane z obrotu prawnego R O Z P O R Z Ą D Z E N I E U E Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. ( RODO ) Z dniem 25 maja 2018 r. zaczyna obowiązywać N O W A U S T A W A O O C H R O N I E D A N Y C H O S O B O W Y C H Projekt w fazie konsultacji R E G U L A C J E S E K T O R O W E Szereg zmian w prawie krajowym, projekt w fazie konsultacji P R Z E P I S Y W Y K O N A W C Z E Mogą być przygotowane zarówno krajowe, jak i unijne nowe akty wykonawcze
R E F O R M A O C H R O N Y D A N Y C H O S O B O W Y C H Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) Wyraźna definicja danych biometrycznych Art. 4 pkt 14) RODO Dane biometryczne oznaczają dane osobowe, które: wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne.
Fotografie dane biometryczne, czy nie? Motyw 51 RODO Przetwarzanie fotografii nie powinno zawsze stanowić przetwarzania szczególnych kategorii danych osobowych, gdyż fotografie są objęte definicją danych biometrycznych tylko w przypadkach, gdy są przetwarzane specjalnymi metodami technicznymi, umożliwiającymi jednoznaczną identyfikację osoby fizycznej lub potwierdzenie jej tożsamości. Łatwość wykorzystania porównania wizerunku twarzy jako metody identyfikacji: brak wymaganego specjalistycznego urządzenia, powszechność aparatów w urządzeniach przenośnych i systemów monitoringu.
Ogólna zasada przetwarzania danych biometrycznych wg. RODO Art. 9 ust. 1 RODO ogólny zakaz Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. W Y J Ą T K I ( K I E D Y P R Z E T W A R Z A Ć W O L N O ) istnieje wyraźna zgoda osoby w jednym lub kilku konkretnych celach (o ile przepisy tego nie zabraniają) przetwarzanie jest niezbędne do wypełnienia obowiązków i szczególnych praw administratora lub osoby, której dane dotyczą, o ile jest to dozwolone przepisami przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą dane w sposób oczywisty upublicznione zostały przez osobę, której dotyczą istnieje ważny interes publiczny, a przetwarzanie następuje na podstawie przepisów, proporcjonalnie do celów, bez naruszenia interesów podmiotu danych
Dalsze warunki ustanawiane w prawie państw członkowskich Art. 9 ust. 4 RODO Państwa członkowskie mogą zachować lub wprowadzić dalsze warunki, w tym ograniczenia w odniesieniu do przetwarzania danych genetycznych, danych biometrycznych lub danych dotyczących zdrowia. Motyw 52 RODO Należy również zezwolić na wyjątki od zakazu przetwarzania szczególnych kategorii danych osobowych o ile przewiduje to prawo Unii lub prawo państwa członkowskiego i podlega to odpowiednim zabezpieczeniom chroniącym dane osobowe i inne prawa podstawowe jeżeli uzasadnia to interes publiczny, w szczególności polegający na przetwarzaniu danych osobowych w dziedzinie prawa pracy, prawa zabezpieczenia społecznego, w tym emerytur, oraz do celów bezpieczeństwa, monitorowania i ostrzegania zdrowotnego, zapobiegania chorobom zakaźnym i innym poważnym zagrożeniom zdrowotnym. Motyw 52 RODO Państwa członkowskie powinny móc zachować lub wprowadzić dalsze warunki, w tym ograniczenia, przetwarzania danych genetycznych, danych biometrycznych lub danych dotyczących zdrowia. Co na to przepisy prawa polskiego? 12 września 2017 r. projekty ustaw: o ochronie danych osobowych oraz przepisy wprowadzające ustawę o ochronie danych osobowych
P r o j e k t o w a n e z m i a n y - d a n e p r a c o w n i k ó w Art. 22 2 2 Kodeksu pracy (projekt ustawy wprowadzającej) Przetwarzanie przez pracodawcę danych biometrycznych obejmuje tylko dane osobowe pracownika, jeśli dotyczą one stosunku pracy i pracownik wyrazi na to zgodę w oświadczeniu złożonym w postaci papierowej lub elektronicznej. brak zgody nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, ani innych negatywnych konsekwencji zgoda nie może dotyczyć danych o stanie zdrowia ustawa upoważnia do wydania rozporządzenia wykonawczego Szczególne kategorie pracodawców Art. 13c ust. 2 Prawa bankowego (projekt) Bank ma prawo żądać od pracownika danych biometrycznych, w szczególności w postaci odcisków palców, głosu, obrazu rogówki i sieci żył palców, jeżeli podanie takich danych jest konieczne ze względu na kontrolę dostępu do informacji przetwarzanych przez bank i pomieszczeń. Art. 10a ust. 2 ustawy o usługach płatniczych (projekt) Instytucja płatnicza oraz instytucja pieniądza elektronicznego mają prawo żądać od pracownika danych biometrycznych w szczególności w postaci odcisków palców, głosu, obrazu rogówki i sieci żył palców, jeżeli podanie takich danych jest konieczne ze względu na kontrolę dostępu do informacji i pomieszczeń. - Przetwarzanie dopuszczalne tylko przez okres zatrudnienia!
Dane innych osób niż pracownicy Działalność bankowa Art. 112b. Prawa bankowego (projekt) 1. Banki w zakresie realizowanych zadań mogą przetwarzać dla celów prowadzonej działalności bankowej informacje zawarte w dokumentach tożsamości osób fizycznych oraz dane biometryczne w rozumieniu art. 4 pkt 14 rozporządzenia nr 2016/679 w celu zidentyfikowania lub weryfikacji tożsamości osoby fizycznej, a także uwierzytelnienia czynności dokonywanej przez osobę fizyczną. 2. Instytucje utworzone na podstawie art. 105 ust. 4 mogą przetwarzać informacje zawarte w dokumentach tożsamości osób fizycznych oraz dane biometryczne w rozumieniu art. 4 pkt. 14 rozporządzenia 2016/679 w celu zidentyfikowania lub weryfikacji tożsamości osoby fizycznej. Ar. 105 ust. 4 Prawa bankowego Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania informacji m.in. Innym bankom. koniecznywierzbicki.pl
Dane innych osób niż pracownicy Instytucje płatnicze Art. 10 ust. 2 ustawy o usługach płatniczych (projekt) Instytucje płatnicze oraz instytucje pieniądza elektronicznego mogą przetwarzać dla celów prowadzonej działalności w zakresie świadczenia usług płatniczych informacje zawarte w dokumentach tożsamości osób fizycznych oraz dane biometryczne w rozumieniu art. 4 pkt 14 rozporządzenia nr 2016/679. Co z innymi przedsiębiorcami? W przypadku przedsiębiorców, którzy nie otrzymają specjalnego zezwolenia na przetwarzanie danych biometrycznych w przepisach konieczne będzie uzyskanie innej podstawy na przetwarzanie tych danych (np. wyraźnej zgody udzielonej w danym konkretnym celu).
Inne nadchodzące zmiany w zakresie wykorzystania biometrii Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 z 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego ( Dyrektywa PSD 2 ) Dyrektywa PSD 2 wprowadza pojęcie silnego uwierzytelniania klienta, które oznacza uwierzytelnianie w oparciu o zastosowanie co najmniej dwóch elementów należących do trzech poniższych kategorii: wiedza (coś, o czym wie tylko użytkownik np. hasło czy numer PIN), posiadanie (coś, co posiada wyłącznie użytkownik np. spersonalizowane tokeny), cechy klienta (coś, co jest charakterystyczne dla samego użytkownika w tym cechy służące biometrycznej identyfikacji użytkownika).
Prawne uregulowanie monitoringu wizyjnego Brak osobnej dedykowanej regulacji 1. Ochrona danych osobowych czy monitoring wizyjny zawsze stanowić będzie przetwarzanie danych osobowych? 2. Ochrona wizerunku jako dobra osobistego przed naruszeniami 3. Ochrona wizerunku w ustawie o prawie autorskim i prawach pokrewnych art. 81 (dotyczy rozpowszechniania wizerunku i zawiera wyjątek w stosunku do wizerunku jako szczegół całości) 4. Kodeks pracy brak uregulowań, ale jest ogólny obowiązek poszanowania dóbr osobistych pracownika, regulaminy pracy 5. Przepisy szczególne, odpowiedzialność karna za nielegalny monitoring (art. 267 par. 2 KK)
Projekt nowej regulacji w Kodeksie pracy Art. 224. 1 Kodeksu pracy (projekt zmian) Dla zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, pracodawca podejmuje decyzję o wprowadzeniu szczególnego nadzoru nad miejscem pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring), jeżeli uzna to za koniczne. Monitoring nie może stanowić środka kontroli wykonywania pracy przez pracownika. 2. Monitoring nie obejmuje pomieszczeń, które nie są przeznaczone do wykonywania pracy, w szczególności pomieszczeń sanitarnych, szatni, stołówek lub palarni. 3. Dane osobowe uzyskane w wyniku zastosowania monitoringu pracodawca przetwarza wyłącznie do celów, dla których zostały zebrane i przechowuje przez okres niezbędny dla realizacji tych celów. 4. Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy nie później niż 14 dni przed uruchomieniem monitoringu. Pracodawca przed dopuszczeniem pracownika do pracy informuje go o stosowaniu monitoringu.
M I C H A Ł C Z U R Y Ł O radca prawny e-mail: michal.czurylo@kwkr.pl M: +48 517 853 084 M I C H A Ł K O N I E C Z N Y partner zarządzający, radca prawny e-mail: michal.konieczny@kwkr.pl M: +48 502 326 374 ul. Prądnicka 89/6, 31-202 Kraków e-mail: kancelaria@kwkr.pl T: +48 12 3957161 M A R C I N W I E R Z B I C K I partner zarządzający, radca prawny e-mail: marcin.wierzbicki@kwkr.pl M: +48 504 689 140