Защита на личните данни

Пръстов отпечатък за работното време: какво казват GDPR и КЗЛД

На изложенията за охранителна техника в София почти винаги има щанд с терминали за пръстов отпечатък или лицево разпознаване „за контрол на работното време“. Аргументът е разбираем: никой не може да се регистрира вместо колегата си, картата не се забравя вкъщи, а отчетът е точен до минута. За цех с няколкостотин работници или за верига магазини това звучи като добра инвестиция.

Правната страна обаче е по-сложна, отколкото я представят търговците. По-долу ще видите какво казва Общият регламент относно защитата на данните (GDPR), какви становища е давала Комисията за защита на личните данни (КЗЛД) и какво изисква Законът за защита на личните данни (ЗЗЛД) от всеки работодател, който въвежда система за отчитане на работното време, независимо дали тя е биометрична.

Защо пръстовият отпечатък е „специална категория“ данни

Биометричните данни, обработвани с цел уникална идентификация на човек, попадат в специалните категории по чл. 9 от GDPR. Обработването им по принцип е забранено и е допустимо само при някое от изрично изброените изключения. Паролата може да се смени, пръстът – не. Ако базата данни изтече, вредата е трайна.

В трудовите отношения се появява и въпросът за съгласието. GDPR изисква то да е свободно дадено, а работодателят и работникът не са равнопоставени. Подписът под „Съгласен съм да ползвам биометричния терминал“ рядко е израз на свободна воля, ако отказът означава неудобства или недоволен началник.

Какво е казвала КЗЛД досега

Становището от 2012 г.: алуминиевият завод в Шумен

През 2012 г. производител на алуминиев прокат от Шумен с около 800 работници поиска становище от КЗЛД. Дружеството работеше с магнитни карти и искаше да ги замени с четец на венокод от пръста, който да контролира както достъпа, така и работното време. Аргументите бяха познати: картите се предават от ръка на ръка, контролът не е надежден, има риск от кражби.

Отговорът на комисията беше категоричен. Целта на системата, контрол на работното време и по-добра трудова дисциплина, „е непропорционална и несъизмерима между законния интерес на работодателя и този на работниците“. Според КЗЛД работодателят има и други механизми за контрол, без да се налага да прибягва до „крайни мерки“. Ако все пак се разчита на съгласие, тежестта да докаже, че то е дадено свободно, е изцяло на работодателя. Становището е от времето преди GDPR, но логиката му е същата, която се прилага и днес: необходимост и пропорционалност.

Становището от 2024 г.: лицево разпознаване във фитнес центрове

През април 2024 г. КЗЛД се произнесе по система за лицево разпознаване на входа на спортни центрове. Казусът не е трудов, но мотивите важат в голяма степен и за работното място. Според комисията основанията по чл. 9, пар. 2, букви „б“–„й“ от GDPR в такъв случай са „абсолютно неприложими“, а съгласие, поставено като задължително условие за достъп, не може да е валидно. Оценката на въздействието е задължителна. Изводът е, че пропускателният режим трябва да се осъществи „с други способи“, например с персонализирани карти.

Чл. 25и ЗЗЛД: задължение за всяка система, не само за биометричната

Тази разпоредба често остава незабелязана, а засяга почти всеки работодател. Според чл. 25и, ал. 1, т. 3 ЗЗЛД работодателят в качеството си на администратор на лични данни приема правила и процедури при въвеждане на системи за контрол на достъпа, работното време и трудовата дисциплина.

• Правилата съдържат информация за обхвата, задълженията и методите за прилагането им на практика.
• Съобразени са с предмета на дейност на работодателя и с естеството на работата.
• Не могат да ограничават правата на служителите по GDPR и ЗЗЛД.
• Работниците и служителите трябва да бъдат уведомени за тях.

Санкцията не е символична. Нарушенията на чл. 25и се наказват с глоба или имуществена санкция в размерите по чл. 83, пар. 5 от GDPR (чл. 85, ал. 2 ЗЗЛД), тоест в най-високия диапазон на регламента. С други думи, ако сте въвели електронно отчитане с карти, QR кодове или мобилно приложение, но нямате писмени правила, имате пропуск, колкото и щадяща да е самата технология.

Типичната картина е верига магазини с обекти в Пловдив и Стара Загора, която сменя хартиените присъствени листове с мобилно приложение. Системата тръгва за седмица, хората свикват бързо, а документ по чл. 25и няма никъде. Такъв пропуск обикновено излиза наяве чак когато недоволен служител подаде жалба.

Кога е задължителна оценка на въздействието

Списъкът на КЗЛД с операциите, за които се изисква оценка на въздействието върху защитата на данните (ОВЗД), започва с мащабното обработване на биометрични данни за уникална идентификация, което не е инцидентно. Ежедневното чекиране на целия персонал трудно може да се нарече инцидентно. Самият списък изрично посочва, че не е изчерпателен. Насоките на европейските надзорни органи пък приемат, че оценка обикновено е нужна, когато се съчетаят два рискови критерия. Чувствителните данни и уязвимите субекти са сред тях, а служителите се смятат за уязвими заради зависимостта си от работодателя. За биометрична система за работно време това на практика означава, че ОВЗД е необходима, и то преди системата да бъде въведена.

Добре направената оценка трябва честно да отговори защо по-малко инвазивните средства не вършат работа. На този въпрос много проекти с пръстов отпечатък просто нямат убедителен отговор.

А проверката на местоположението?

Много мобилни приложения за работно време проверяват дали служителят е на обекта в момента на регистрацията. Това не е биометрия, но също са лични данни и подходът е същият: ясна цел, минимален обем и прозрачност. Не открихме специално становище на КЗЛД за GPS проследяване на служители, затова важат общите принципи на GDPR, правилата по чл. 25и ЗЗЛД и европейските насоки за обработване на данни на работното място. Разумната граница е местоположението да се записва само при чекиране, а не непрекъснато, и никога извън работно време.

Как да решите проблема с „чекирането за колега“ без биометрия

• QR код, който се сменя през кратки интервали на екран на входа. Снимка на кода, пратена на колега във Viber, става безполезна почти веднага.
• Регистрация от личния телефон с личен профил. За да се чекира вместо колега, човек трябва да вземе телефона му, а малцина биха го дали.
• Проверка на местоположението, включена по преценка на работодателя и само в момента на регистрацията.
• Изненадващи проверки от бригадира или управителя. Старият метод и днес работи.

Ако вече имате биометричен терминал

Много фирми са купили такива устройства преди години и днес се чудят какво да ги правят. Универсален отговор няма, но разумната последователност обикновено е следната:

1. Спрете регистрирането на нови служители с пръстов отпечатък, докато не прегледате законосъобразността.
2. Направете или актуализирайте оценката на въздействието и запишете честно защо картата или QR кодът не биха свършили същата работа.
3. Ако не можете да обосновете необходимостта, преминете към друг метод и заличете съхранените шаблони. Поискайте от доставчика писмено потвърждение, че са изтрити и от неговите сървъри.
4. Информирайте служителите какво се променя и актуализирайте правилата по чл. 25и.

Това не е признание за нарушение, а нормален преглед, какъвто GDPR очаква от всеки администратор.

Какво да включите в правилата по чл. 25и

Не е нужен трактат. Практичен документ от две-три страници обикновено отговаря на шест въпроса:

1. Каква система се използва и с каква цел: отчитане на работното време, контрол на достъпа или и двете.
2. Какви данни се събират при всяка регистрация: час, обект, устройство, евентуално местоположение.
3. Кой има достъп до данните: прекият ръководител, „Човешки ресурси“, счетоводството.
4. Колко време се съхраняват и как се заличават.
5. Как служителят може да види своите записи и да поиска корекция.
6. Как служителите са уведомени, например срещу подпис или през електронна система.

Отчитане на работното време без биометрия

HelloPDKS е изградена около QR кода. Служителят сканира с мобилното приложение отпечатан QR код на обекта или терминал на стената, чийто QR код се сменя периодично. Работодателят решава дали да включи проверката на местоположението, а данните за местоположение се използват само за потвърждаване на влизането или излизането. Пръстови отпечатъци и лицеви изображения не се събират. Срокът за съхранение на някои категории данни се настройва на ниво фирма.

Интерфейсът е на турски и английски език. Не твърдим, че системата сама по себе си прави работодателя „съответстващ“ на GDPR: правилата по чл. 25и и информирането на служителите остават ваше задължение, с каквато и система да работите.