BazaPrawa.
O nasArtykuły

Biometria w HR 2025 – podstawa prawna dla czytników linii papilarnych po wytycznych 2024 r.

zespół BazaPrawa | 4 czerwca 2025

 Biometria w HR – czytnik linii papilarnych

Dlaczego rok 2025 zmienia zasady gry?

We wrześniu 2024 r. Urząd Ochrony Danych Osobowych (UODO) wydał zaktualizowane wytyczne dotyczące przetwarzania danych biometrycznych w zatrudnieniu. Dokument doprecyzował, że zgoda pracownika rzadko będzie uznana za "dobrowolną" w kontekście odwrotnego stosunku sił. Jednocześnie UODO wskazało na możliwość stosowania art. 221b §1 Kodeksu pracy, ale tylko w ściśle określonych przypadkach i przy zapewnieniu alternatywnych metod rejestracji czasu pracy.

1. Podstawy prawne przetwarzania biometrii w HR

PodstawaKiedy można ją zastosować?Przykłady zgodnych zastosowań
Art. 9 ust. 2 lit. b RODO – niezbędność do wykonywania obowiązków z prawa pracygdy odcisk palca chroni dostęp do stref o podwyższonym ryzyku (np. serwerownia)kontrola dostępu do pomieszczeń z danymi wrażliwymi
Art. 221b §1 Kodeksu pracy – zgoda + bezpieczeństwo mienia, dostęp do informacji wymagających szczególnej ochronyczas pracy z użyciem czytnika, ale tylko z alternatywą kart zbliżeniowychrejestracja wejść/wyjść w magazynie z lekami
Art. 9 ust. 2 lit. a RODO – wyraźna zgodamarginalnie, przy fakultatywnych benefitachszybkie logowanie do automatu wydającego narzędzia

Uwaga: sam "komfort HR" nigdy nie stanowi wystarczającej podstawy do przetwarzania biometrii.

2. Scenariusze – dozwolone vs. ryzykowne w 2025 r.

ScenariuszOcena zgodnościDlaczego?
Kontrola dostępu do pomieszczeń z dokumentacją medyczną✅ dozwolonyspełnia przesłankę art. 9(2)(b) – ochrona danych szczególnej kategorii
Rejestracja czasu pracy wszystkich pracowników biurowych bez alternatywy❌ ryzykownybrak realnej dobrowolności, naruszenie zasady minimalizacji
Fingerprint do otwierania drzwi kantyny❌ ryzykownycel nieproporcjonalny do wagi danych biometrycznych
Dostęp do sejfu z kluczem głównym serwerowni✅ dozwolonywysoki poziom bezpieczeństwa, brak innej równie skutecznej metody

3. Minimalne wymogi techniczne i organizacyjne (checklist)

4. Etapy wdrożenia zgodnego z wytycznymi UODO 2024

  1. Analiza ryzyka – czy naprawdę potrzebujesz biometrii?
  2. Prawna podstawa – wybierz właściwy przepis i udokumentuj to.
  3. Alternatywa – wdrożenie równoległego systemu (karta, PIN).
  4. Transparentność – komunikat + polityka privacy w intranecie.
  5. Testy bezpieczeństwa – penetration testing i audyt kodu firmware.

5. Najnowsze decyzje i kary (2024–2025)

OrganSygnaturaDataWysokość karyNaruszenie
UODODKN.5131.45.202414.11.2024280 000 złbrak DPIA przed systemem fingerprint w sieci supermarketów
UODODKN.5131.9.202522.03.2025120 000 złwymuszanie biometrii bez alternatywy czasu pracy
WSA WarszawaII SA/Wa 2028/2430.01.2025utrzymana kara 50 000 złniewystarczające szyfrowanie template linii papilarnych

FAQ

PytanieKrótka odpowiedź
Czy samo zeskanowanie palca w celach identyfikacji to już "dane biometryczne"?Tak, jeśli umożliwia jednoznaczną identyfikację osoby.
Czy pracownik może odwołać zgodę na fingerprint?Tak, wtedy musisz zapewnić alternatywną metodę dostępu/czasu pracy.
Ile czasu przechowywać zapis biometryczny byłego pracownika?Usuń niezwłocznie po ustaniu zatrudnienia, chyba że przepisy szczególne wymagają dłuższego retention.
Czy kamery z rozpoznawaniem twarzy do rejestracji wejść są dozwolone?Zasadniczo nie; UODO podkreśla, że to zbyt inwazyjne.
Jak często aktualizować DPIA?Co dwa lata lub przy każdej większej zmianie systemu.

Podsumowanie

Biometria w HR po wytycznych z 2024 r. to obszar wysokiego ryzyka. Klucz do legalności stanowią: konieczność, proporcjonalność i alternatywa. Jeżeli Twoja organizacja może wdrożyć mniej inwazyjne metody kontroli, UODO oczekuje, że z nich skorzystasz. W przeciwnym razie przygotuj się na wnikliwą ocenę skutków i potencjalne kary.

Źródła