Biometria w kontroli dostępu a RODO: co wolno, a czego nie
Czytnik linii papilarnych przy wejściu do serwerowni to technicznie najprostsza część projektu. Trudniejsza jest odpowiedź na pytanie, czy w ogóle wolno go tam powiesić — bo dane biometryczne należą do szczególnej kategorii danych osobowych i rządzą się innymi zasadami niż karta zbliżeniowa.
Co mówią przepisy
RODO klasyfikuje dane biometryczne przetwarzane w celu identyfikacji jako dane szczególnej kategorii (art. 9), których przetwarzanie jest co do zasady zakazane, z wąskimi wyjątkami. W relacji pracodawca–pracownik doprecyzowuje to Kodeks pracy: przetwarzanie danych biometrycznych pracownika jest dopuszczalne wtedy, gdy jest to niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji lub pomieszczeń wymagających szczególnej ochrony.
Słowo klucz: niezbędne. Nie „wygodne", nie „nowoczesne". Biometria na wejściu głównym do biura, którym przechodzą wszyscy pracownicy, jest w tym świetle bardzo trudna do obrony. Biometria na wejściu do serwerowni, archiwum z danymi wrażliwymi czy laboratorium — jak najbardziej do uzasadnienia.
Zgoda pracownika jako podstawa przetwarzania jest w praktyce ryzykowna: organ nadzorczy konsekwentnie wskazuje, że w relacji podległości służbowej dobrowolność zgody jest wątpliwa. Lepiej projektować system tak, by opierał się na przesłance niezbędności, a nie na zgodach.
Jak to poprawnie wdrożyć
Po pierwsze: analiza, czy cel można osiągnąć środkami mniej ingerującymi — kartą z PIN-em, dwuskładnikowym potwierdzeniem. Jeżeli tak, RODO każe wybrać środek łagodniejszy. Po drugie: ocena skutków dla ochrony danych (DPIA) — przy biometrii w praktyce obowiązkowa. Po trzecie: architektura systemu. Dobre systemy nie przechowują obrazu odcisku, tylko nieodwracalny wzorzec matematyczny (template); jeszcze lepsze trzymają go wyłącznie na karcie użytkownika, nie w centralnej bazie. To zasadniczo zmienia profil ryzyka i łatwość obrony rozwiązania.
Do tego standardowy pakiet: rejestr czynności przetwarzania, retencja (wzorzec kasowany z dniem ustania zatrudnienia lub odebrania uprawnień), upoważnienia, umowa powierzenia z serwisantem systemu.
Praktyczna rekomendacja
W większości obiektów optymalny model jest hybrydowy: karta lub aplikacja mobilna jako podstawowy identyfikator w całym budynku, biometria wyłącznie na drzwiach stref krytycznych — serwerownia, pomieszczenia zarządu, archiwa. Taki układ jest łatwy do uzasadnienia prawnie, tańszy we wdrożeniu i nie budzi oporu pracowników, który przy biometrii „na wszystkim" pojawia się niemal zawsze.
Kontrola dostępu ma zwiększać bezpieczeństwo, a nie generować ryzyko prawne. Dobrze zaprojektowana robi jedno i drugie naraz: chroni strefy krytyczne i broni się przed każdą kontrolą.
