Zamieszczanie danych osobowych pracownika lub osoby odwiedzającej zakład na karcie umożliwiającej wstęp do firmy jest dopuszczalne, jeśli są to informacje niezbędne do identyfikacji.
W jednym z dużych zakładów przemysłowych pracodawca wprowadził przepustki upoważniające do wejścia na jego teren, na których był umieszczony nr PESEL (oraz zdjęcie, imię i nazwisko oraz numer ewidencyjny). Identyfikatory te są pozostawiane u innych pracowników, co budzi obawy dotyczące braku właściwej ochrony danych osobowych. Związkowcy z firmy mieli wątpliwości, co to tego, czy nr PESEL może być umieszczony na identyfikatorze. Z tym problemem zwrócili się do generalnego inspektora ochrony danych osobowych (GIODO).
W odpowiedzi GIODO zwrócił uwagę, że pracodawca przed umieszczeniem numeru PESEL na przepustce powinien ostrożnie wyważyć celowość i adekwatność wskazanego rozwiązania (z punktu widzenia przepisów ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, t.j. Dz.U. z 2002 r. nr 101, poz. 926 ze zm.).
Adekwatność oznacza, iż dane swym rodzajem i treścią nie powinny wykraczać poza potrzeby wynikające z celu ich zbierania. Oznacza to, że administrator danych nie może ich przetwarzać w zakresie szerszym niż niezbędny dla osiągnięcia zamierzonego celu, jak również informacji o większym stopniu szczegółowości niż uzasadnia to wspomniany cel. Natomiast zgodnie z zasadą celowości na przepustkach upoważniających do wejścia na teren zakładu powinny być zamieszczone tylko te dane osobowe zatrudnionego lub osoby odwiedzającej firmę, które są rzeczywiście niezbędne i konieczne dla identyfikacji konkretnej osoby.
GIODO podkreśla, że numer PESEL jest informacją, która – co do zasady – może być przetwarzana przez pracodawcę. Nie jest to jednak niezbędne do wykonywania obowiązków przez pracownika (nie jest daną służbową w tym znaczeniu).
Numer ten jest ściśle powiązany z konkretną osobą, identyfikujący ją w stosunkach publicznoprawnych. Dodatkowo w ocenie GIODO należy podkreślić, iż obecnie jest on wykorzystywany w różny sposób, w wielu systemach, w tym zbiorach centralnych oraz w obrocie konsumenckim. Przemawia to dodatkowo za koniecznością używania go w sposób wyważony i tylko wtedy, gdy inne rozwiązania organizacyjne nie będą mogły być zastosowane.
Co istotne dana ta nie powinna być upubliczniana. Firma nie powinna przekazywać jej innym pracownikom lub osobom związanym z działalnością zakładu, gdy nie jest to niezbędne, i gdy nie posiadają oni stosownych upoważnień do jej przetwarzania.