Биометрични данни на работното място — пръстов отпечатък, лицево разпознаване и GDPR

Терминалът с пръстов отпечатък на входа изглежда като безобидна инвестиция в ред и дисциплина. От гледна точка на GDPR обаче той поставя работодателя в най-строго регулираната зона на регламента: специалните категории данни по чл. 9. Съгласието на служителя — интуитивното „решение“ на повечето работодатели — почти никога не издържа проверка, а надзорните органи в Испания, Италия и България последователно приемат, че биометрията за отчитане на работно време е непропорционална, когато карта или ПИН вършат същата работа. Разглеждаме кога отпечатъкът и лицевото разпознаване изобщо са „биометрични данни“ по смисъла на регламента, кои основания реално са на разположение, кога DPIA е задължителна по списъка на КЗЛД и какво добавя AI Act — както към август 2026 г.

Може ли работодателят да изисква пръстов отпечатък?

Краткият отговор: по правило не. Пръстовият отпечатък, обработван с цел уникална идентификация на служителя, е специална категория лични данни, чието обработване чл. 9, параграф 1 от Регламент (ЕС) 2016/679 (GDPR) по презумпция забранява. Забраната отпада само при някое от изключенията по чл. 9, параграф 2 — а в трудов контекст нито едно от тях не се прилага лесно:

• Изричното съгласие (буква „а“) е компрометирано от неравнопоставеността между работодател и служител — повече в раздела за съгласието;
• Трудовоправното основание (буква „б“) изисква обработването да е разрешено от правото на ЕС, националното право или колективен трудов договор, предвиждащи подходящи гаранции — доколкото ни е известно, към август 2026 г. българското законодателство не съдържа изрична разпоредба, която да разрешава биометрично отчитане на работното време;
• Останалите изключения (жизненоважни интереси, правни претенции, важен обществен интерес) касаят особени хипотези, а не ежедневния контрол на достъпа.

Отделно от основанието стои и въпросът за пропорционалността по чл. 5, параграф 1, буква „в“ GDPR (свеждане на данните до минимум): когато целта „да знам кой и кога е влязъл“ може да се постигне с карта, чип или ПИН, посягането към характеристика на човешкото тяло е трудно защитимо. Точно на този аргумент стъпват решенията на испанския и италианския надзорен орган, разгледани по-долу.

Кога биометрията е „специална категория“ данни по чл. 9 GDPR?

Дефиницията е в чл. 4, точка 14 GDPR: биометрични данни са лични данни, получени в резултат на специфично техническо обработване, свързани с физическите, физиологичните или поведенческите характеристики на лицето, които позволяват или потвърждават уникалната му идентификация — например лицеви изображения или дактилоскопични данни. Чл. 9, параграф 1 добавя второ условие: в специалните категории попадат биометричните данни, обработвани „за целите единствено на идентифицирането на физическо лице“.

От комбинацията на двете разпоредби следват три практически извода:

Първо — обикновената снимка не е автоматично чл. 9. Съображение 51 GDPR посочва изрично, че обработването на снимки не следва систематично да се счита за обработване на специални категории данни: снимките са биометрични данни само когато се обработват чрез специални технически средства, позволяващи уникална идентификация. Снимка в лично досие или на пропуск не е биометрия; същата снимка, прекарана през алгоритъм за лицево разпознаване, който извлича шаблон — е.

Второ — техническият шаблон е ключът. Биометричните системи не съхраняват „снимка на отпечатъка“, а математически шаблон (минуции, вектори). Самото извличане на шаблона е „специфичното техническо обработване“ по чл. 4, точка 14 — без значение дали системата после сравнява „едно към едно“ (верификация: това ли е лицето, за което се представя) или „едно към много“ (идентификация: кой от всички служители е това).

Трето — при системите за достъп и работно време целта винаги е идентифициране. Има академичен спор дали верификацията „едно към едно“ покрива буквата на чл. 9, параграф 1. За работодателите обаче спорът е до голяма степен приключен в надзорната практика: в насоките си от ноември 2023 г. испанският орган AEPD прие, че и идентификацията, и верификацията при контрол на достъп и работно време представляват обработване на специални категории данни, а италианският Garante третира биометричните системи за присъствие по същия начин. Разумният работен подход за български администратор: приемете, че всяка биометрична система за достъп или отчитане на работно време е в обхвата на чл. 9, и планирайте съответствието на тази база.

Валидно ли е съгласието на служителя?

Почти никога — и това е най-често срещаната грешка в практиката. Аргументацията се крепи на три опори:

Съображение 43 GDPR посочва, че съгласието не следва да е валидно правно основание, когато е налице „очевидна неравнопоставеност“ между субекта на данните и администратора. Насоки 05/2020 на Европейския комитет по защита на данните (ЕКЗД) относно съгласието прилагат това пряко към трудовите отношения: предвид зависимостта, произтичаща от отношението работодател—служител, е малко вероятно служителят да може да откаже съгласие, без да изпитва страх или реален риск от неблагоприятни последици; свободно съгласие в трудов контекст е възможно само по изключение — когато отказът няма да породи каквито и да е негативни последици (EDPB Guidelines 05/2020, т. 21). Още през 2019 г. гръцкият надзорен орган глоби PwC Business Solutions със 150 000 евро именно защото дружеството ползваше съгласие като основание за обработване на данни на собствените си служители.

Изричността по чл. 9, параграф 2, буква „а“ вдига летвата допълнително: за специални категории се изисква изрично съгласие за конкретни цели. Но дори перфектно документирано изрично съгласие не лекува дефекта на свободата — ако единствената реална опция на служителя е „дай отпечатък или обяснявай на прекия ръководител защо не“, съгласието е опорочено в момента на даването му.

Тежестта на доказване е върху работодателя (чл. 7, параграф 1 GDPR). В производство пред КЗЛД именно администраторът трябва да докаже, че всеки служител е имал реална, равностойна и обявена предварително алтернатива — и че отказалите я ползват без никакви последици.

Какво казват надзорните органи — AEPD, Garante, КЗЛД

Технология по технология — кое е биометрия по чл. 9 и какви са алтернативите

Общият принцип зад таблицата: колкото по-близо е технологията до неизменна характеристика на човешкото тяло, толкова по-висока е летвата за законност — и толкова по-важно е да документирате защо по-малко инвазивната колона вдясно не върши работа във вашия случай. За фирмени политики отвъд входната врата — служебна поща, GPS, софтуер за производителност — вижте наръчника ни за мониторинг на служители за HR директори.

Кога е задължителна DPIA?

При биометрия на работното място — на практика винаги, по две независими линии:

Линия 1 — чл. 35, параграф 3, буква „б“ GDPR: оценка на въздействието се изисква при „мащабно обработване“ на специални категории данни по чл. 9, параграф 1. За предприятие с десетки или стотици служители, чиито биометрични шаблони се обработват ежедневно и постоянно, квалификацията „мащабно“ е трудно избежима — а системата работи именно систематично, не спорадично.

Линия 2 — списъкът на КЗЛД по чл. 35, параграф 4: в списъка на видовете операции, изискващи задължителна DPIA (приет на 13 февруари 2019 г. след становище на ЕКЗД), точка 1 гласи: „Мащабно обработване на биометрични данни за целите на уникалната идентификация на физическо лице, което не е спорадично.“ Българският надзорен орган е поставил биометрията на първо място в националния списък — сигнал, който не бива да се подценява.

DPIA се извършва преди внедряването (чл. 35, параграф 1) и по чл. 35, параграф 7 задължително съдържа: системен опис на операциите и целите, оценка на необходимостта и пропорционалността, оценка на рисковете за правата и свободите на служителите и мерките за справяне с тях. Именно в частта „необходимост и пропорционалност“ повечето биометрични проекти се провалят: ако честният отговор на въпроса „защо не карта?“ е „защото служителите си разменяха картите“, DPIA трябва да обясни защо дисциплинарните и организационните мерки не са достатъчни — аргумент, който AEPD и Garante последователно отхвърлят като недостатъчен сам по себе си. Ако оценката покаже висок остатъчен риск, чл. 36 изисква предварителна консултация с КЗЛД преди пускането на системата. Пълна методология — в статията ни за DPIA — оценка на въздействието.

Какво казва AI Act?

От 2 август 2026 г. Регламент (ЕС) 2024/1689 (AI Act) се прилага в основната си част, а забраните по чл. 5 действат още от 2 февруари 2025 г. За работодателите биометричният ъгъл има три пласта:

Практическият извод: AI Act не „разрешава“ нищо, което GDPR ограничава — двата режима се прилагат кумулативно. Работодател с обикновен биометричен терминал няма нови задължения по AI Act (верификацията е изключена), но всяка крачка отвъд — анализ на емоции, категоризиране, разпознаване от разстояние — влиза или в забранената зона на чл. 5, или във високорисковия режим от края на 2027 г. При внедряване на високорискова система с ИИ на работното място чл. 26, параграф 7 AI Act изисква и предварително информиране на работниците и техните представители.

Практически стъпки преди да внедрите (или запазите) биометрична система

Стъпките по-долу следват реда, в който КЗЛД би задала въпросите си при проверка — от целта през основанието към техниката.

• Формулирайте писмено целта и проверете честно: може ли карта, чип или ПИН да я постигне? Ако да — спрете дотук и изберете алтернативата.
• Ако смятате, че алтернативите обективно не работят, документирайте защо — с факти (инциденти, специфичен риск на обекта), не с общи съображения за „дисциплина“.
• Извършете DPIA преди внедряването (чл. 35, параграф 3, буква „б“ + точка 1 от списъка на КЗЛД) и потърсете становището на длъжностното лице по защита на данните, ако имате такова.
• Определете основанието по чл. 9, параграф 2 предварително — и не разчитайте на съгласие, освен ако не можете да гарантирате реална, равностойна, безпоследствена алтернатива за всеки служител.
• Минимизирайте технически: шаблон вместо изображение, локално съхранение (на карта у служителя, където е възможно), криптиране, кратки срокове, незабавно заличаване при напускане.
• Информирайте по чл. 13 GDPR на разбираем език и отразете системата в регистъра по чл. 30 и в политиките за служителите.
• Проверете AI Act слоя: никакви функции за емоции или категоризиране; ако системата е повече от 1:1 верификация — планирайте високорисковия режим от 2 декември 2027 г.
• Преглеждайте конструкцията периодично — надзорната практика в тази област се втвърдява, не се разхлабва.

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират над 90 български компании — банки, застрахователи, телекоми и технологични фирми — по подготовка за КЗЛД проверки, HR обработвания, мониторинг и биометричен контрол на достъпа. Публикуват месечен разбор на правоприлагането по GDPR в ЕС.