Σύμφωνα με το άρθρο 9 παρ.1 του Γενικού Κανονισμού ΕΕ/2016/679 απαγορεύεται εν γένει η επεξεργασία βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου. Τέτοιου είδους επεξεργασία καθίσταται επιτρεπτή, κατ’ εξαίρεση, κατόπιν ρητής συναίνεσης του Υποκειμένου των δεδομένων βάσει του άρθρου 9 παρ. 2 περ. α του Γενικού Κανονισμού ΕΕ/2016/679, όπως προκύπτει και από το υπ’ αρ. 259/28.11.2017 (ερμηνευτικό) κείμενο κατευθυντηρίων γραμμών σχετικά με την συναίνεση στα πλαίσια του Κανονισμού GDPR “Guidelines on Consent under Regulation” 2016/679» (όπως τροποποιήθηκε την 10.4.2018 και ακολούθως υιοθετήθηκε από το European Data Protection Board).
Ωστόσο σύμφωνα με τις αποφάσεις της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για το εν λόγω θέμα, καθώς και την υπ’ αρ. 2/2018 γνώμη της Επιτρόπου Προστασίας Προσωπικών Δεδομένων Κύπρου,  η συλλογή και επεξεργασία βιομετρικών δεδομένων στο πλαίσιο της σύμβασης εργοδότησης, όπως για παράδειγμα εγκατάσταση και λειτουργία συστήματος δακτυλοσκόπησης ή αναγνώριση προσώπου μέσω οπτικής σάρωσης για οποιοδήποτε σκοπό (όπως π.χ. για σκοπούς ελέγχου τήρησης του ωραρίου των εργοδοτουμένων ή για σκοπούς αξιολόγησης της ικανότητας για εργασίας των εργοδοτουμένων) απαγορεύεται, καθότι παραβιάζει την αρχή της αναλογικότητας καθώς επίσης και το δικαίωμα προστασίας της ιδιωτικής ζωή των εργοδοτουμένων.
Είναι δε σημαντικό να σημειωθεί ότι ενώ ο Κανονισμός (GDPR), προνοεί ότι επεξεργασία βιομετρικών δεδομένων θα μπορούσε να είναι νόμιμη στην περίπτωση εξασφάλισης συγκατάθεσης από το υποκείμενο των δεδομένων (ήτοι τους εργοδοτούμενους της επιχείρησης), τέτοια συγκατάθεση στο πλαίσιο της εργασιακής σχέσης δεν θεωρείται ότι δίνεται ελεύθερα και επομένως δεν αίρει την παρανομία.
Σημειώνεται ότι η χρησιμοποίηση βιομετρικών δεδομένων για τη διαπίστωση της ταυτότητας των εργαζομένων και την πρόσβαση στο σύνολο ή τμήμα των χώρων εργασίας, είναι επιτρεπτή μόνο στις περιπτώσεις που αυτό επιβάλλεται από ιδιαίτερες απαιτήσεις ασφαλείας των χώρων εργασίας και εφόσον δεν υπάρχει άλλο μέσο για την επίτευξη του σκοπού αυτού (π.χ. στρατιωτικές εγκαταστάσεις, εργαστήρια υψηλού κινδύνου).
Συνεπώς και με βάση όλα τα ανωτέρω, προτείνουμε να υιοθετηθούν λιγότερο επαχθή και πιο αναλογικά μέτρα, προκειμένου να επιτευχθεί ο έλεγχος της τήρησης του ωραρίου από τους εργοδοτούμενους, όπως είναι οι συχνοί/ απροειδοποίητοι έλεγχοι από το Διευθυντή/ Προϊστάμενο στο σύστημα της κάρτας, ή εναλλακτικά η τοποθέτηση κάμερας παρακολούθησης πάνω από το μηχάνημα κάρτας.
Σε περίπτωση, ωστόσο,  που κρίνεται απαραίτητη η επεξεργασία των βιομετρικών δεδομένων των δακτυλικών αποτυπωμάτων των εργαζομένων για την παρακολούθηση της τήρησης του ωραρίου από αυτούς, ή ενδεχομένως έχει ήδη τεθεί σε λειτουργία ένα τέτοιο σύστημα επεξεργασίας βιομετρικών δεδομένων, αφενός θα πρέπει να δοθεί η συγκατάθεση των εργαζομένων προς τούτο – με ό,τι σημαίνει αυτό, ως αναλύθηκε ανωτέρω – και αφετέρου η επεξεργασία αυτή θα πρέπει να πραγματοποιηθεί υπό τον όρο της πλήρους προστασίας της ασφάλειάς τους.
Έτσι, ενδεικτικώς, τα στοιχεία που συλλέγονται από τη συσκευή που θα εγκατασταθεί θα πρέπει να καταγράφονται και να αποθηκεύονται σε αρχείο που κρυπτογραφείται, ενώ θα πρέπει να διασφαλιστεί ότι δεν πρόκειται να διαρρεύσουν τα δεδομένα σε μη εξουσιοδοτημένα πρόσωπα. Προς το σκοπό αυτό συνιστάται να ανατεθεί ο χειρισμός του κρυπτογραφημένου αρχείου με τα συλλεχθέντα στοιχεία σε ένα μοναδικό υπάλληλο, ο οποίος θα υπογράψει σχετική εξειδικευμένη δήλωση εχεμύθειας.