Wojewódzki Sąd Administracyjny w Warszawie w kontrolowanym wyrok uznał, że wyrażenie zgody przewidziane w art. 23 ust.1 pkt.1 ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz.U.nz 2002r. Nr101 poz. 926 ze zm.) legalizuje pobieranie i przetwarzanie przez pracodawcę danych osobowych pracownika, w tym wypadku danych biometrycznych.
Naczelny Sąd Administracyjny nie podziela tego poglądu i stwierdza, że wyrażona na prośbę pracodawcy pisemna zgoda pracownika, na pobranie i przetworzenie jego danych osobowych, narusza prawa pracownika i swobodę wyrażenia przez niego woli. Za tak sformułowanym stanowiskiem przemawia zależność pracownika od pracodawcy. Brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych.). Z tego względu ustawodawca ograniczył przepisem art. 221 Kodeksu pracy katalog danych, których pracodawca może żądać od pracownika. Uznanie faktu wyrażenia zgody przez pracownika, jako okoliczności legalizującej pobranie od pracownika innych danych niż wskazane w art. 221 Kodeksu pracy, stanowiłoby obejście tego przepisu.
Rozszerzenie katalogu danych określonych w art. 221 Kodeksu pracy nie może mieć miejsca poprzez zastosowanie art. 23 ust.1 pkt. 1 ustawy o ochronie danych osobowych, także z tego powodu, że prowadziłoby do naruszenia zasady adekwatności wyrażonej w art. 26 ust. 1 pkt. 3 ustawy o ochronie danych osobowych. Zasada ta została implementowana do ustawy o ochronie danych osobowych z postanowień Dyrektywy Parlamentu Europejskiego i Rady nr 95/46/WE z dnia 24 października 1995r. w sprawie ochrony danych osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UEL z 23 11.1995r.) Dyrektywa ta jako implementowana do polskiego systemu prawnego wiąże podmioty pobierające i przetwarzające dane osobowe, jak również orzekające w sprawach związanych z ochroną danych osobowych sądy i organy administracji. Zasada proporcjonalności wyraża się w obowiązku przetwarzania prawidłowych danych przez administratorów w sposób odpowiedni do celów dla jakich zostały zgromadzone.
Na podstawie art. 29 Dyrektywy powołano organ konsultacyjny nazwany Grupę Roboczą. Organ ten składa się z przedstawicieli organów ochrony danych osobowych obywateli państw członkowskich. Rolą Grupy Roboczej jest czuwanie nad jednolitym stosowaniem przez państwa członkowskie, środków zmierzających do ochrony danych osobowych, przyjętych na podstawie wspomnianej Dyrektywy przez państwa członkowskie. W przyjętym przez Grupę w dniu 1 sierpnia 2003r. dokumencie roboczym w sprawie Biometrii przyjęto jako niezbędną zasadę proporcjonalności i legalności. Oznacza to, że ryzyko naruszeni swobód i fundamentalnych praw obywatelskich musi być proporcjonalne do celu, któremu służy. Skoro zasada proporcjonalności wyrażona w art.26 ust. 1 pkt. 3 ustawy o ochronie danych osobowych jest głównym kryterium przy podejmowaniu decyzji dotyczących przetwarzania danych biometrycznych, to stwierdzić należy, że wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników zatrudnionych w L. sp.z.o.o. jest nieproporcjonalne do zamierzonego celu ich przetwarzania. We wspomnianym dokumencie z dnia 1 sierpnia 2003r. Grupa Robocza stwierdziła, że "pracodawca popełnia błąd jeśli próbuje zalegalizować przetwarzanie danych pochodzących od pracownika za pomocą uzyskanej od pracownika zgody. Można posłużyć się zgodą, jeśli odnosi się ona do przypadku, w którym pracownik ma całkowitą swobodę jej udzielenia i może odmówić udzielenia takiej zgody bez poniesienia szkody". Naczelny Sad Administracyjny w pełni aprobuje wyrażony w dokumencie Grupy Roboczej pogląd,
W świetle powyższych rozważań zarzut naruszenia art. 221 Kodeksu pracy w zw. z art. 23 ust. 1 pkt. 1 cytowanej ustawy z jest uzasadniony co prowadzi i do uchylenia wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie i oddalenia skargi na podstawie art.188 p.p.s.a.