Pandemia: zasady przetwarzania danych osobowych w miejscu pracy

12 marca br. Prezes Urzędu Ochrony Danych Osobowych wydał oświadczenie o przetwarzaniu danych osobowych w czasie epidemii koronawirusa. W tym oświadczeniu brak jest jednak jakichkolwiek uszczegółowień, które nadawałyby mu charakter wytycznych. Próżno szukać w nim odpowiedzi na wiele istotnych pytań, które nurtują pracodawców od chwili pojawienia się wirusa w Polsce, takich jak np. to, czy mogą oni dokonywać pomiaru temperatury ciała pracowników i gości odwiedzających zakład pracy albo ewentualnie przeprowadzać inne badania medyczne.

Specustawa w zgodzie z RODO

Zgodnie z treścią oświadczenia Prezesa UODO, przepisy dotyczące ochrony danych osobowych same w sobie nie mogą stanowić przeszkody w realizacji działań mających na celu walkę z rozprzestrzenianiem się epidemii koronawirusa. Z tego względu, ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem Covid-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (tekst jedn. DzU poz. 374 ze zm.; dalej: specustawa) nie należy postrzegać jako sprzecznej z zasadami ochrony danych ani naruszającej przepisy Rozporządzenia Ogólnego o Ochronie Danych (RODO). Organ nadzorczy wskazał, że przepisy specustawy korespondują z RODO, które przewiduje sytuacje związane z ochroną zdrowia i zapobieganiem rozprzestrzenianiu się chorób zakaźnych (art. 9 ust. 2 lit. i oraz art. 6 ust. 1 lit. d) oraz zezwala na zgodne z prawem przetwarzanie danych osobowych, jeśli jest ono konieczne dla ochrony żywotnych interesów osób, których dane dotyczą, np. gdy przetwarzanie jest niezbędne do celów humanitarnych, w tym monitorowania rozwoju epidemii (motyw 46 RODO).

W swoim oświadczeniu Prezes UODO wskazał na uprawnienia:

- Głównego Inspektora Sanitarnego (lub działającego z jego upoważnienia państwowego wojewódzkiego inspektora sanitarnego) do nakazania przedsiębiorcom, w drodze decyzji, podejmowania określonych środków zapobiegawczych i kontrolnych oraz współdziałania z innymi organami administracji publicznej i Państwową Inspekcją Sanitarną (art. 17 specustawy),

- Prezesa Rady Ministrów do wydawania – na wniosek wojewody, po uprzednim poinformowaniu ministra właściwego ds. gospodarki – wiążących dla przedsiębiorców poleceń w związku z przeciwdziałaniem Covid-19 (art. 112 specustawy).

W treści oświadczenia pominięto jednak kwestię, czy przedsiębiorcy mogą wdrażać konkretne środki zapobiegawcze lub kontrolne z własnej inicjatywy, a jeśli tak, to w jakim zakresie.

To oświadczenie jest jedynie ogólnikowym zaleceniem, aby przy podejmowaniu jakichkolwiek działań mających na celu zapobieganie rozprzestrzenianiu się epidemii, przedsiębiorcy postępowali zgodnie z komunikatami Państwowej Inspekcji Sanitarnej, a we wszelkich kwestiach związanych z walką z chorobą zwracali się do Głównego Inspektora Sanitarnego jako organu właściwego w tym zakresie.

Czytaj też:

Czy pracodawca zmusi pracownika do pomiaru temperatury?

Koronawirus: wpływ pandemii na ochronę danych osób fizycznych

Zdaniem organu europejskiego

Tydzień po publikacji oświadczenia Prezesa UODO, tj. 19 marca 2020 r., Przewodnicząca Europejskiej Rady Ochrony Danych (EROD) wydała własne oświadczenie o ochronie danych osobowych w kontekście wybuchu epidemii Covid-19.

Podobnie jak polski regulator, Przewodnicząca EROD oświadczyła, że unijne zasady ochrony danych osobowych, takie jak RODO, nie ograniczają środków podejmowanych w ramach walki z pandemią koronawirusa. Walkę z chorobą należy wspierać wszelkimi dostępnymi sposobami, ponieważ jej wyhamowanie i wykorzystanie do walki z nią nowoczesnych technologii leży w interesie ludzkości. Tym niemniej, nawet w tak wyjątkowych okolicznościach należy chronić dane osobowe i zapewnić ich przetwarzanie zgodne z prawem.

W ocenie EROD, wszelkie działania podjęte w celu powstrzymania pandemii muszą być zgodne z obowiązującymi przepisami prawa i nie mogą być nieodwracalne. W sytuacji stanu wyjątkowego określone ograniczenia swobód mogą być uzasadnione, lecz muszą być współmierne do sytuacji (tj. proporcjonalne i adekwatne do celu) oraz ograniczone w czasie. Dane osobowe niezbędne do osiągnięcia tych celów powinny być przetwarzane w konkretnym i wyraźnie określonym celu, zaś osoby, których dane dotyczą, muszą uzyskać przejrzyste informacje o czynnościach przetwarzania i ich głównych cechach (np. o okresie ich przechowywania i celach takiego przetwarzania). Wspomniane informacje powinny być dostępne, jasne i czytelne.

Powinny również zostać wdrożone stosowne środki bezpieczeństwa i polityki poufności zapobiegające dostępowi do danych osobowych przez osoby nieuprawnione. Środki przedsięwzięte w obliczu sytuacji nadzwyczajnej wywołanej chorobą Covid-19 oraz związane z nią procesy decyzyjne należy stosownie dokumentować.

W kwestii przetwarzania danych osobowych w kontekście zatrudnienia EROD wskazała, że RODO zezwala właściwym organom zdrowia publicznego i pracodawcom na przetwarzanie danych osobowych w stanie epidemii, o ile jest to zgodne z przepisami prawa krajowego i odbywa się w jego ramach. EROD wskazała przepisy, które mogłyby stanowić podstawę prawną przetwarzania danych osobowych w sytuacji rozprzestrzeniania się Covid-19. Zaznaczyła m.in., że jeśli przetwarzanie jest niezbędne do realizacji zadań w interesie publicznym w dziedzinie zdrowia publicznego, nie zachodzi konieczność uzyskiwania indywidualnej zgody. W kontekście zatrudnienia przetwarzanie danych osobowych może się natomiast okazać konieczne w celu wypełnienia przez pracodawcę określonych zobowiązań prawnych, np. zapewnienia bezpieczeństwa i higieny pracy, jak również w celu realizacji zadań w interesie publicznym, np. przy zapobieganiu rozprzestrzeniania się chorób i innych zagrożeń zdrowia.

EROD podkreśliła także, że RODO dopuszcza przetwarzanie określonych szczególnych kategorii danych osobowych, np. danych o stanie zdrowia, jeśli jest to konieczne do realizacji istotnych zadań w interesie publicznym (art. 9 ust. 2 lit. i), na podstawie prawa unijnego lub krajowego, lub jeśli zachodzi konieczność ochrony żywotnych interesów osób, których dane dotyczą (art. 9 ust. 2 lit. c), ponieważ pkt 46 Preambuły wyraźnie odnosi się do zapobiegania rozprzestrzenianiu się epidemii.