Obrada biometrijskih podataka, kao što su snimak otiska prsta ili biometrijski šablon (izvlačenje glavnih karakteristika iz slike otiska prsta i njihovo čuvanje u bazi podataka radi upoređivanja karakteristika biometrijskog šablona i samog prsta, tj. otiska prsta, čime se vrši jedinstvena identifikacija lica, bez obzira na to što se ne može reprodukovati u sliku otiska prsta) nije dozvoljena.
Naime, nije sporno da poslodavac ima pravo i obavezu da kontroliše podatke o radnom vremenu i njegovom korišćenju od strane svojih zaposlenih, a što proizilazi iz Zakona o radu („Sl. glasnik RS", broj 24/2005, 61/2005 i 54/2009) i Zakona o evidencijama u oblasti rada („Sl.list SRJ" br. 46/96 i „Sl. Glasnik RS", br. 101/2005 – dr. Zakon i 36/2009 – dr. zakon), kojim je propisano koje podatke poslodavac mora da vodi u okviru Evidencije o zaposlenim licima (član 5.), a koje u okviru Evidencije o zaradama zaposlenih (član 24.). Za sve podatke koji se obrađuju o zaposlenima, a koji nisu propisani Zakonom o evidencijama u oblasti rada, potrebno je pribaviti pristanak lica u skladu sa odredbama člana 10. i 15. Zakona o zaštiti podataka o ličnosti. Međutim, čak i ako postoji pristanak zaposlenih za prikupljanje biometrijskih podataka (putem snimanja otisaka prstiju), takva obrada podataka nije dozvoljena. Naime, prema odredbi člana 8. tač. 7. Zakona o zaštiti podataka o ličnosti dozvoljeno je obrađivati samo one podatke koji su po broju ili vrsti srazmerni svrsi obrade. Drugim rečima, mogu se prikupljati i obrađivati samo oni podaci koji su u cilju postizanja svrhe nužno neophodni. To podrazumeva da se u svakom konkretnom slučaju za svaku vrstu podatka mora preispitati da li je obrada nekog podatka nužna i neophodna za ostvarenje svrhe obrade. Drugim rečima, postavlja se pitanje da bi se kontrolisalo korišćenje radnog vremena zaposlenih da li je nužno i neophodno vršiti snimanje otisaka prstiju zaposlenih ili se ta svrha može postići i na drugi, manje invazivan način?
U našem pravnom poretku ne postoji zakon koji na opšti i sistemski način uređuje obradu biometrijskih podataka, kao vrste podataka o ličnosti. Međutim, budući da je zaštita podataka o ličnosti članom 42. Ustava Republike Srbije zajemčena kao posebno ljudsko pravo, u tumačenju i zaštiti ovog ljudskog prava potrebno je primeniti odgovarajuće, važeće međunarodne standarde ljudskih prava. Shodno odredbi čl. 18. stav 3. Ustava Republike Srbije, odredbe o ljudskim i manjinskim pravima tumače se u korist unapređenja vrednosti demokratskog društva, saglasno važećim međunarodnim standardima ljudskih i manjinskih prava, kao i praksi međunarodnih institucija koje nadziru njihovo sprovođenje. Odredbom člana 5. Konvencije o zaštiti lica u odnosu na automatsku obradu podataka, koja je postala deo unutrašnjeg pravnog poretka na osnovu Zakona o potvrđivanju Konvencije o zaštiti lica u odnosu na automatsku obradu podataka („Sl. list SRJ – Međunarodni ugovori", br. 1/92 i „Sl. list SCG – Međunarodni ugovori", br. 11/2005 – dr.zakon) propisano je da lični podaci koji se automatski obrađuju:
(a) lojalno se i zakonito dobijaju i obrađuju,
(b) uneti su za tačno utvrđene i legitimne svrhe i ne koriste se nenamenski,
(c) adekvatni su, relevantni i odgovarajućeg obima u odnosu na svrhe za koje su i uneti,
(d) brižljivo su složeni i, kada je potrebno, blagovremeni,
(d) pohranjeni su u obliku koji omogućuje identifikaciju zainteresovanih lica u periodu koji ne premašuje onaj neophodan period za svrhe za koje su i pohranjeni.
Direktiva Evropskog parlamenta i Saveta 95/46/EZ od 24.10.1995. godine o zaštiti građana u vezi sa obradom podataka o ličnosti i o slobodnom kretanju takvih podataka je jedan od temeljnih dokumenata prava Evropske Unije, koji reguliše obradu podataka o ličnosti, štititeći osnovna prava i slobode fizičkih lica, a naročito pravo na privatnost, kao jedno od fundamentalnih ljudskih prava. Relevantna međunarodna institucija koja se bavila biometrijskim podacima i koja je uspostavila određene standarde i smernice u toj oblasti, jeste Radna Grupa 29, osnovano članom 29. navedene Direktive 95/46/EZ od 24.10.1995. godine, a čija je nadležnost propisana članom 30. iste Direktive. Ovo telo ima savetodavni status i nezavisno je u svom radu. Prema Radnom dokumentu o biometriji, koji je usvojila Radna Grupa 29 dana 1. avgusta 2003. godine, biometrijski podaci se mogu koristiti samo ukoliko su adekvatni, relevantni i ako nisu prekomerni.
Svrha za koju se biometrijski podaci mogu koristiti i obrađivati mora biti jasno određena, pri čemu je neophodno izvršiti procenu srazmernosti i zakonitosti obrade, uzimajući u obzir rizik koji takva obrade može predstavljati za zaštitu osnovnih prava i sloboda pojedinaca, a naročito da li se nameravana svrha obrade može postići na manje invanzivan način. Ovo podrazumeva striktnu procenu u pogledu srazmernosti obrađivanih podataka. Centralizovano čuvanje biometrijskih podataka takođe povećava rizik od upotrebe biometrijskih podataka, kao ključno za povezivanje različitih baza podataka, koje može dovesti do detaljnih profila o navikama pojedinaca kako u javnom tako i u privatnom sektoru. Stoga je upotreba biometrijskih podataka nužna i neophodna samo u slučajevima kada je to neophodno za obavljanje delatnosnosti rukovaoca (to se ceni zavisno od toga kojom delatnošću se bavi poslodavac), zaštitu podataka o ličnosti ili poslovnih tajni, bezbednosti ljudi i sl.
Uvođenje biometrijskih mera samo i isključivo radi kontrole korišćenja radnog vremena je prekomerno, nesrazmerno i njihovo uvođenje predstavlja nepotrebno zadiranje u privatnost pojedinca, jer se svrha obrade može postići i na druge načine, boljom organizacijom zaposlenih, određivanjem lica koja će kontrolisati odlazak i dolazak zaposlenih i sl, a šteta koja može nastati zloupotrebom ovih podataka veća je od koristi koju rukovalac podataka može imati.
