Walka z koronawirusem Sars-Cov-2 wstrząsnęła globalną gospodarką, w większości przypadków wymuszając na przedsiębiorstwach zmianę ich profilu działalności. W dzisiejszym artykule sprawdzamy, czy istnieją konkretne wytyczne dla firm w kontekście ochrony danych osobowych oraz jakich informacji pracownik jest obowiązany udzielić swojemu pracodawcy w czasie pandemii. Temat poruszyliśmy już kiedyś w artykule „pomiar temperatury a RODO„.
Wytyczne Prezesa Urzędu Ochrony Danych
Prezes UODO, w specjalnym oświadczeniu w sprawie koronawirusa przypomniał przedsiębiorcom, że RODO nie może być przeszkodą w zwalczeniu SARS-CoV-2, a ustawa o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych nie podważa zasad przetwarzania danych osobowych, tylko z nimi koresponduje.
Przypominamy, że na mocy wspomnianej ustawy podmioty gospodarcze mogą otrzymać od Głównego Inspektora Sanitarnego (lub upoważnionej jednostki sanitarnej na szczeblu wojewódzkim) decyzje, nakładające „obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych i współdziałania z innymi organami administracji publicznej oraz organami Państwowej Inspekcji Sanitarnej”. Niestety nie wiemy o jakie konkretnie czynności chodzi, a pojęcie „określonych czynności zapobiegawczych i kontrolnych” jest na tyle pojemnym stwierdzeniem (i mało precyzyjnym), że właściwie nie wiemy czego należy się spodziewać.
Tym samym – wbrew oczekiwaniom – wspomniane oświadczenie Prezesa UODO okazało się być jedynie ogólnikowym zaleceniem, aby przy podejmowaniu jakichkolwiek działań mających na celu zapobieganie rozprzestrzenianiu się epidemii, przedsiębiorcy postępowali zgodnie z komunikatami Państwowej Inspekcji Sanitarnej, a we wszelkich kwestiach związanych z walką z chorobą zwracali się do Głównego Inspektora Sanitarnego jako organu właściwego w tym zakresie.
Co więcej, w treści oświadczenia całkowicie pominięto kwestię, czy przedsiębiorcy mogą wdrażać konkretne środki zapobiegawcze lub kontrolne z własnej inicjatywy, a jeśli tak, to w jakim zakresie.
Pogląd Europejskiej Rady Ochrony Danych wyjaśnia jakich informacji pracownik jest obowiązany udzielić swojemu pracodawcy
Znacznie bardziej konkretna w omawianym aspekcie jest Europejska Rada Ochrony Danych, która wyraziła pogląd, że RODO dopuszcza przetwarzanie określonych szczególnych kategorii danych osobowych, np. danych o stanie zdrowia, jeśli jest to konieczne do realizacji istotnych zadań w interesie publicznym (art. 9 ust. 2 lit. i), na podstawie prawa unijnego lub krajowego, lub jeśli zachodzi konieczność ochrony żywotnych interesów osób, których dane dotyczą (art. 9 ust. 2 lit. c), ponieważ pkt 46 Preambuły wyraźnie odnosi się do zapobiegania rozprzestrzenianiu się epidemii.
Na tej podstawie, w naszej ocenie, można wnioskować, że jeżeli pracodawca ma na celu ochronę pozostałych pracowników i działa zgodnie z wymogami nałożonymi przez Państwową Inspekcję Sanitarną oraz Głównego Inspektora Sanitarnego to podwładny nie ma prawa odmówić udzielenia informacji. Do takich działań można zaliczyć przede wszystkim:
- mierzenie temperatury ciała: w trakcie przeprowadzania badań losowych (bez zidentyfikowania danej osoby) w świetle prawa nie zachodzi proces zbierania danych osobowych; według zasady minimalizacji, jedynie przypadki podwyższonej temperatury powinny zaliczać się do identyfikowalnej puli,
- uzyskiwanie od pracownika informacji związanej z historią jego wcześniejszych miejsc pobytu – szczególnym przypadkiem są miejsca podwyższonego ryzyka, czyli takie, gdzie zarejestrowano istotnie wyższą liczbę zachorowań; wówczas od pracodawcy wymaga się w trakcie zbierania tych danych eliminacji wszelkich kroków, mogących zostać odebrane, jako działania szykanujące,
- uzyskiwanie od pracownika informacji o jego zakażeniu lub kwarantannie,
- udzielanie informacji pozostałym pracownikom o zidentyfikowaniu zakażonego pracownika. Również w tym przypadku od pracodawcy wymaga się przekazania danej informacji w taki sposób, by dana osoba mogła uniknąć wszelkich wymierzonych w nią działań, mogących zostać odebrane, jako szykanujące.
