Protecția datelor

Pontaj cu amprentă și GDPR: deciziile ANSPDCP și alternativele

Pe 25 septembrie 2026, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a anunțat că a amendat cu 26.236 de lei, echivalentul a 5.000 de euro, firma Tip Top Food Industry SRL. Motivul a fost un sistem de pontaj și control al accesului bazat pe amprentele angajaților. Pe lângă amendă, autoritatea a dispus înlocuirea sistemului biometric. Investigația a pornit de la plângerea unei persoane.

Suma nu e mare. Mesajul însă e clar și deloc nou: pentru simpla evidență a orelor de muncă, amprenta este, de regulă, un mijloc disproporționat. Mai jos găsiți de ce și ce poate folosi un angajator în schimb.

De ce amprenta nu e „încă un identificator”

Datele biometrice prelucrate pentru identificarea unică a unei persoane fac parte din categoriile speciale de date de la art. 9 din Regulamentul general privind protecția datelor (GDPR). Prelucrarea lor este, în principiu, interzisă și e permisă doar în excepțiile prevăzute expres. O parolă compromisă se schimbă. O amprentă compromisă rămâne compromisă toată viața.

Al doilea principiu care contează este minimizarea datelor (art. 5 alin. (1) lit. c) GDPR). Se prelucrează doar datele necesare scopului. Dacă scopul, adică înregistrarea orei de intrare și de ieșire, poate fi atins cu un card sau cu un cod, amprenta e în plus. Exact acesta a fost raționamentul ANSPDCP în 2026, când a arătat că scopurile „puteau fi realizate prin utilizarea unor mijloace alternative, mai puțin intruzive pentru viața privată a angajaților”.

Dar consimțământul? În relația de muncă, consimțământul angajatului este rareori liber, pentru că între angajator și salariat există un dezechilibru evident. Un „sunt de acord” semnat în prima zi de lucru, odată cu contractul de muncă, cu greu poate fi considerat o alegere reală.

Trei decizii, aceeași concluzie

În comunicatul din 2015, autoritatea arăta că instanțele i-au confirmat constant poziția. Folosirea amprentelor cere o analiză temeinică a necesității și proporționalității, iar angajatorul trebuie să caute soluții cu un impact mai redus asupra vieții private a salariaților. Cazul din 2019 arată că linia s-a păstrat și după intrarea în vigoare a GDPR. Decizia din 2026 merge mai departe și obligă firma să renunțe la sistem.

Ce spune Legea 190/2018

Legea nr. 190/2018, prin care GDPR este pus în aplicare în România, are două prevederi relevante pentru pontaj.

Art. 3 alin. (1) se referă la datele genetice, biometrice și privind sănătatea. Prelucrarea lor în scopul unui proces decizional automatizat sau al creării de profiluri este permisă doar cu consimțământul explicit al persoanei ori în temeiul unor dispoziții legale exprese, cu garanții adecvate.

Art. 5 se aplică atunci când angajatorul folosește la locul de muncă sisteme de monitorizare prin mijloace de comunicații electronice sau de supraveghere video. Monitorizarea în baza interesului legitim este permisă numai dacă sunt îndeplinite cumulativ cinci condiții:

1. interesele legitime ale angajatorului sunt temeinic justificate și prevalează asupra drepturilor angajaților;
2. angajații au fost informați în prealabil, complet și explicit;
3. sindicatul sau, după caz, reprezentanții angajaților au fost consultați înainte de introducerea sistemului;
4. alte forme mai puțin intruzive nu și-au dovedit anterior eficiența;
5. datele se păstrează cel mult 30 de zile, cu excepția situațiilor prevăzute expres de lege sau a cazurilor temeinic justificate.

Art. 5 vizează monitorizarea electronică și video, nu biometria ca atare. Ideea din condiția a patra, că întâi se încearcă variantele mai puțin intruzive, este însă aceeași pe care ANSPDCP a aplicat-o în deciziile privind amprenta. Iar acesta este testul pe care pontajul cu amprentă îl pică aproape întotdeauna.

Dar localizarea GPS?

Multe aplicații de pontaj verifică dacă angajatul se află fizic la punctul de lucru în momentul pontării. Nu e biometrie, dar tot de date personale vorbim, iar ANSPDCP a sancționat deja folosirea abuzivă a GPS-ului. În noiembrie 2024, firma UP România SRL a primit o amendă de 19.898,4 lei (4.000 de euro) pentru că monitoriza prin GPS mașinile de serviciu și în afara programului, inclusiv în concediu, fără temei legal. Autoritatea a invocat și art. 5 din Legea 190/2018 și a dat un avertisment pentru păstrarea datelor peste termenul de 30 de zile.

Concluzia pentru pontaj e simplă. Dacă folosiți localizarea, înregistrați-o doar în momentul pontării, nu continuu, și niciodată în afara programului. Informați angajații dinainte și nu păstrați datele de localizare mai mult decât e necesar. Ora de intrare și de ieșire este altceva: e evidența pe care art. 119 din Codul muncii vă obligă să o țineți și să o prezentați la ITM. E bine ca politica internă să trateze separat cele două categorii de date.

Alternative care rezolvă aceeași problemă

Principalul argument pentru amprentă e pontatul „din prietenie”, în locul colegului care întârzie. Problema se poate rezolva și fără date biometrice:

• Un cod QR care se schimbă la câteva secunde, afișat pe un ecran la intrare. O fotografie trimisă pe WhatsApp unui coleg devine inutilă aproape imediat.
• Pontarea de pe telefonul propriu, cu cont personal. Ca să ponteze cineva în locul tău, ar trebui să-i dai telefonul, iar puțini fac asta.
• Verificarea opțională a locației, doar în momentul pontării.
• Cardurile de acces, dacă firma are deja un sistem de control al accesului.
• Verificările prin sondaj ale șefului de tură. Sună banal, dar rămân de multe ori cel mai eficient instrument.

Dacă aveți deja un sistem cu amprentă

Mulți angajatori au cumpărat astfel de terminale acum câțiva ani, fără să se gândească la GDPR. O abordare rezonabilă ar arăta așa:

1. Opriți înrolarea angajaților noi până la o analiză juridică.
2. Faceți sau actualizați evaluarea impactului asupra protecției datelor (art. 35 GDPR) și răspundeți sincer la întrebarea de ce un mijloc mai puțin intruziv nu ar funcționa.
3. Dacă necesitatea nu poate fi demonstrată, treceți la o alternativă și ștergeți șabloanele biometrice. Cereți furnizorului o confirmare scrisă a ștergerii.
4. Informați angajații și actualizați regulamentul intern și nota de informare.

Să luăm un caz concret. Un distribuitor are un depozit lângă Ploiești și câteva puncte de lucru în țară, iar la intrare are terminale cu amprentă montate acum șase ani. Prima întrebare din evaluarea de impact e simplă: ce problemă rezolvă amprenta și nu ar rezolva-o un cod sau un card? Dacă singurul răspuns sincer este pontatul în locul colegilor, alternativele de mai sus acoperă același risc. Trecerea nu trebuie să dureze luni de zile. Noul sistem poate fi pornit întâi la un singur punct de lucru și extins apoi la celelalte. Pe măsură ce fiecare terminal cu amprentă iese din uz, șabloanele biometrice aferente se șterg, cu confirmare scrisă de la furnizor.

Ce să întrebați furnizorul înainte de a semna

Răspunderea pentru prelucrarea datelor rămâne la angajator, în calitate de operator, nu la firma care vinde sistemul. Merită să cereți răspunsuri scrise la câteva întrebări:

• Ce date se colectează la fiecare pontare și unde sunt stocate?
• Se poate dezactiva verificarea locației pentru anumite puncte de lucru sau echipe?
• Cine are acces la ce? Un șef de magazin își vede doar echipa?
• Puteți stabili singuri perioada de păstrare a datelor?
• Ce se întâmplă cu datele când un angajat pleacă sau când încetează contractul cu furnizorul?
• Există un contract de persoană împuternicită, conform art. 28 GDPR?

Un răspuns vag la oricare dintre ele spune deja destul.

Un pontaj fără biometrie

HelloPDKS este construit în jurul codului QR. Angajatul scanează din aplicația de pe telefon fie un cod QR tipărit la punctul de lucru, fie codul afișat de un terminal de perete, care se schimbă periodic. Verificarea locației este o setare pe care firma o activează sau nu, iar datele de localizare sunt folosite doar pentru confirmarea intrării sau a ieșirii. Perioadele de păstrare pentru unele categorii de date se configurează la nivel de firmă. Sistemul nu colectează amprente și nici imagini faciale.

Interfața este în prezent în turcă și engleză. Nu pretindem că un instrument poate face singur o firmă conformă cu GDPR. Informarea angajaților, consultarea reprezentanților lor și politica de păstrare a datelor rămân responsabilitatea angajatorului, indiferent de sistemul ales.