1. Οι φορείς του δημόσιου τομέα, όπως αυτός οριοθετείται στην περ. α΄ της παρ. 1 του άρθρου 14 του ν. 4270/2014 (Α΄ 143), τηρούν στο πληροφοριακό Σύστημα Διαχείρισης Ανθρώπινου Δυναμικού του Υπουργείου Εσωτερικών (ΣΔΑΔ) στοιχεία μέτρησης του χρόνου εργασίας των υπαλλήλων που υπάγονται στον Κώδικα Κατάστασης Δημοσίων Πολιτικών Διοικητικών Υπαλλήλων και Υπαλλήλων Ν.Π.Δ.Δ. (ν. 3528/2007, Α’ 26) και στον Κώδικα Κατάστασης Δημοτικών και Κοινοτικών Υπαλλήλων (ν. 3584/2007, Α’ 143), καθώς και κάθε άλλης κατηγορίας προσωπικού με σχέση εργασίας δημοσίου ή ιδιωτικού δικαίου, αορίστου ή ορισμένου χρόνου και υπηρετούν σε αυτούς. Σε περίπτωση που στους ανωτέρω φορείς τηρείται ήδη ωρομετρικό σύστημα εργασίας, αυτό διαλειτουργεί, εφόσον είναι τεχνικά εφικτό, με το πληροφοριακό Σύστημα Διαχείρισης Ανθρώπινου Δυναμικού του Υπουργείου Εσωτερικών (ΣΔΑΔ). 

2. Μέσω της ψηφιακής κάρτας εργασίας καταγράφονται η ώρα προσέλευσης και αποχώρησης του υπαλλήλου, καθώς και κάθε μεταβολή του ημερήσιου ωραρίου του.

3. Οι προϊστάμενοι των οργανικών μονάδων μεριμνούν για την ορθή εφαρμογή των διατάξεων περί τήρησης του ωραρίου και ελέγχουν την ορθότητα των καταχωρίσεων του προσωπικού που εποπτεύουν.

4. Τα δεδομένα που παράγονται, τηρούνται και διαβιβάζονται με τρόπο που διασφαλίζει τη συμμόρφωση με τον Κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) και τον ν. 4624/2019 (Α΄ 137).

5. Τα δεδομένα της ψηφιακής κάρτας εργασίας χρησιμοποιούνται αποκλειστικά για σκοπούς τήρησης του ωραρίου, υπολογισμού αποδοχών και αποζημιώσεων υπερωριακής απασχόλησης, στατιστικής επεξεργασίας και ελέγχου νομιμότητας από τα αρμόδια όργανα.

6. Απαγορεύεται η χρήση των δεδομένων για σκοπούς που δεν σχετίζονται με τα οριζόμενα στην παρ. 5, καθώς και κάθε μορφή δυσμενούς μεταχείρισης εργαζομένου βάσει αυτών, πέραν των προβλεπόμενων πειθαρχικών και υπηρεσιακών διαδικασιών.

7. Σε εξαιρετικές περιπτώσεις, εφαρμόζεται σύστημα βιομετρικής τεχνολογίας για την ταυτοποίηση και καταγραφή της φυσικής παρουσίας των υπαλλήλων, όταν:  α) η πρόσβαση στο σύνολο ή σε τμήμα των χώρων εργασίας απαιτείται να ελέγχεται αυστηρά λόγω διαβαθμισμένου χαρακτήρα των εγκαταστάσεων, προστασίας των κρίσιμων υποδομών ή εθνικής ασφάλειας, όπως οι κατηγορίες αυτές προσδιορίζονται από την κείμενη νομοθεσία, ή β) στον φορέα έχουν διαπιστωθεί, κατόπιν διενέργειας ελέγχου της Εθνικής Αρχής Διαφάνειας ή πειθαρχικής διαδικασίας, επαναλαμβανόμενες και ουσιώδεις παραβάσεις τήρησης του ωραρίου από το ίδιο ή διαφορετικό πρόσωπο εντός δωδεκαμήνου, οι οποίες τεκμηριώνουν ειδικώς την ανάγκη εντατικοποίησης των μέτρων ελέγχου.  Για την εφαρμογή του συστήματος του πρώτου εδαφίου απαιτούνται σχετική έκθεση τεκμηρίωσης του κατά περίπτωση υπεύθυνου επεξεργασίας περί της ανεπάρκειας ή της αναποτελεσματικότητας της ψηφιακής κάρτας και γνώμη της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. 

8. Η επεξεργασία των βιομετρικών δεδομένων πραγματοποιείται σύμφωνα με ασφαλείς τεχνικές προδιαγραφές, με τρόπο που διασφαλίζει την ακεραιότητα και εμπιστευτικότητα των δεδομένων και αποκλειστικά για την άσκηση της αρμοδιότητας του οικείου φορέα να διασφαλίζει την τήρηση του νόμιμου ωραρίου εργασίας, την ορθή διαχείριση του χρόνου εργασίας και την εύρυθμη λειτουργία της δημόσιας υπηρεσίας, προς εκπλήρωση καθήκοντος που εκτελείται για λόγους ουσιαστικού δημόσιου συμφέροντος ή κατά την άσκηση δημόσιας εξουσίας, σύμφωνα με την περ. ε) της παρ. 1 του άρθρου 6 και την περ. ζ) της παρ. 2 του άρθρου 9 του Κανονισμού (ΕΕ) 2016/679 και το άρθρο 5 του ν. 4624/2019.

9. Η συνδρομή των προϋποθέσεων της παρ. 7 επανεξετάζεται από τον υπεύθυνο επεξεργασίας ανά διετία ή αυτεπαγγέλτως, όποτε μεταβληθούν οι συνθήκες που δικαιολόγησαν την εφαρμογή του μέτρου. Εφόσον από την επανεξέταση προκύψει ότι δεν συντρέχει πλέον καμία εκ των περιπτώσεων της παρ. 7, ο φορέας υποχρεούται να παύσει την εφαρμογή του συστήματος βιομετρικής τεχνολογίας. 

10. Εφόσον συντρέχει κάποια από τις αναφερόμενες στην παρ. 7 περιπτώσεις, πριν από την εγκατάσταση και λειτουργία οποιουδήποτε συστήματος βιομετρικής τεχνολογίας, ο υπεύθυνος επεξεργασίας υποχρεούται να διενεργήσει εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων, σύμφωνα με το άρθρο 35 του Κανονισμού (ΕΕ) 2016/679, σε συνεργασία με τον Υπεύθυνο Προστασίας Δεδομένων. Ο υπεύθυνος επεξεργασίας των βιομετρικών δεδομένων υποχρεούται να:  α) Ενημερώνει τα υποκείμενα των δεδομένων για τον σκοπό, τη νομική βάση της επεξεργασίας, τα δικαιώματά τους και τα τεχνικά μέτρα ασφαλείας που έχουν ληφθεί.  β) Διασφαλίζει την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων για την προστασία των βιομετρικών δεδομένων έναντι ανεπίτρεπτης πρόσβασης, μεταβολής ή διαρροής.

11. Με κοινή απόφαση των Υπουργών Εσωτερικών και Ψηφιακής Διακυβέρνησης καθορίζονται οι τεχνικές λεπτομέρειες εφαρμογής του παρόντος, ιδίως το χρονοδιάγραμμα ένταξης των φορέων της παρ. 1, οι τεχνικές προδιαγραφές διαλειτουργικότητας της ψηφιακής κάρτας εργασίας με το Σύστημα Διαχείρισης Ανθρώπινου Δυναμικού (ΣΔΑΔ), οι τεχνικές προδιαγραφές των βιομετρικών συστημάτων, η διαδικασία επανεξέτασης της παρ. 9 και ο εναλλακτικός τρόπος καταγραφής σε περίπτωση τεχνικής αδυναμίας, τηρουμένης σε κάθε περίπτωση της κείμενης νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα.

12. Με κοινή απόφαση των Υπουργών Εθνικής Οικονομίας και Οικονομικών, Εσωτερικών και του κατά περίπτωση αρμόδιου Υπουργού, κατόπιν αιτιολογημένης εισήγησής του, δύναται να εξαιρούνται από την υποχρέωση της παρ. 1 συγκεκριμένοι φορείς, οργανικές μονάδες ή κλάδοι προσωπικού.