Identyfikacja za pomocą danych biometrycznych coraz szerzej wkracza do naszego życia codziennego. Dostęp do technologii umożliwiających ich pobieranie sprawia, że trafiają do paszportów (w Polsce: wizerunek twarzy i odcisk palca), ale również wykorzystują je banki i prywatne firmy.
Warto zwrócić uwagę na regulacje prawne związane z tą kwestią – a bardzo często raczej ich brak – bo dane biometryczne należą do szczególnej kategorii danych niezmiennych. Bez ingerencji chirurga nie można ich zmienić, a ich niewłaściwe wykorzystanie lub kradzież mogłyby spowodować katastrofalne konsekwencje.
W tym kontekście bardzo interesujący wydaje się wyrok Trybunał Sprawiedliwości Unii Europejskiej wydany w połowie kwietnia, rozstrzygający wątpliwości holenderskiego sądu dotyczące dopuszczalności zamieszczania w dowodach tożsamości danych biometrycznych obywateli państw Unii Europejskiej. Przedmiotem sporu było obowiązkowe pobieranie wizerunków twarzy i odcisków palców w celu umieszczenia ich w holenderskich dowodach tożsamości, stanowiących jednocześnie dokumenty podróży uprawniające do przekraczania granic w obrębie UE. Brak zgody na wykorzystanie takich danych stał się przyczyną odmowy wydania dokumentów kilku osobom, które podkreślały m.in. iż nie mają gwarancji, że dane nie zostaną następnie wykorzystane w celach innych niż weryfikacja autentyczności dokumentu i tożsamości posiadacza.
Powoływali się przy tym na postanowienia rozporządzenia Rady (WE) nr 2252/2004 z 13 grudnia 2004 r. w sprawie norm dotyczących zabezpieczeń i danych biometrycznych w paszportach i dokumentach wydawanych przez państwa członkowskie, w których określone ograniczenie celów wykorzystywania danych biometrycznych przewidziano. – Trybunał Sprawiedliwości poddał analizie przepisy tego rozporządzenia i stwierdził, że nie znajduje ono zastosowania do dowodów tożsamości wydawanych przez państwa członkowskie, niezależnie od możliwości posługiwania się nimi w charakterze dokumentu uprawniającego do odbycia podróży do innego państwa – wyjaśnia prof. Sławomir Dudzik ekspert prawa europejskiego i bankowego z Kancelarii SPCG. – Trybunał stwierdził również, że przepisy rozporządzenia nie wymagają od państw członkowskich zagwarantowania, że dane biometryczne pobrane i przechowywane zgodnie z przepisami tego rozporządzenia nie będą pobierane, przetwarzane i wykorzystywane w celach innych niż wydawanie paszportów lub dokumentów podróży, ponieważ kwestia ta nie mieści się w zakresie stosowania tego rozporządzenia – dodaje.
Trybunał zastrzegł jednocześnie, że jego orzeczenie nie ogranicza badania przez sądy krajowe zgodności stosowanych przepisów z prawem krajowym oraz w danym wypadku z europejską Konwencją o ochronie praw człowieka i podstawowych wolności.
W Polsce przedmiotem rozstrzygnięć sądów było przetwarzanie danych biometrycznych pracowników przez firmy w celu ewidencji czasu pracy. Generalny Inspektor Ochrony Danych Osobowych uznał takie postępowanie za niedopuszczalne. Ponadto zgodnie z orzecznictwem NSA wyrażona na życzenie pracodawcy pisemna zgoda pracownika na pobranie i przetwarzanie danych biometrycznych narusza jego prawa i nie daje podstawy do legalnego ich przetwarzania.
Wyrok Trybunału Sprawiedliwości UE stanowi zatem ciekawy element w analizach i rozważaniach nad dopuszczalnym zakresem przetwarzania danych osobowych w związku z podróżami międzynarodowymi, a w szczególności prawnymi podstawami owego przetwarzania.
Temat ten pozostaje aktualny nie tylko w związku z problemami takimi jak nielegalne przekraczanie granic czy zagrożenie terrorystyczne. Zastosowanie danych biometrycznych będzie coraz powszechniejsze i wprowadzenie odpowiednich przepisów prawa chroniących je i uściślających możliwości ich przetwarzania jest kwestią kluczową.
Kancelaria SPCG
Wojciech Boczoń
