Co mówią UODO, PIP i MPiPS?

Zdaniem Urzędu Ochrony Danych Osobowych („UODO”) przepisy o ochronie danych osobowych nie mogą być przeszkodą w realizacji działań w związku z walką z koronawirusem. Niemniej jednak UODO w swoim stanowisku odwołuje się do przepisów specustawy o zapobieganiu, przeciwdziałaniu i zwalczaniu COVID-19, która daje pracodawcom narzędzia do podejmowania działań wynikających z zaleceń Głównego Inspektora Sanitarnego i Prezesa Rady Ministrów. UODO wskazuje, że Główny Inspektor Sanitarny lub działający z jego upoważnienia państwowy wojewódzki inspektor sanitarny może wydawać pracodawcom m.in. decyzje nakładające obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych. UODO nie odnosi się jednak do dopuszczalności podejmowania przez pracodawców działań z własnej inicjatywy. Z pomocą nie przychodzą także krajowe przepisy, ponieważ specustawa milczy w tym zakresie.

Państwowa Inspekcja Pracy stoi na stanowisku, że pracodawca nie jest uprawniony do samodzielniej oceny stanu zdrowia pracownika. Nie ma też podstaw prawnych do zbierania informacji dotyczących miejsca wypoczynku pracownika, a pracownik nie jest zobowiązany do ujawniania miejsca spędzania urlopu wypoczynkowego.

Zdaniem Ministerstwa Rodziny, Pracy i Polityki Społecznej Pracodawca powinien uzyskać zgodę zainteresowanego pracownika na dokonanie pomiaru temperatury ciała. Pracownik ma natomiast obowiązek współdziałać z pracodawcą w realizacji zadań związanych z ochroną życia i zdrowia pracowników. Podjęcie przez pracodawcę takiego profilaktycznego działania może mieć znaczenie dla przeciwdziałania COVID-19. Nie jest jednak ustalona przepisami prawa wysokość temperatury pozwalająca na stwierdzenie, że pracownik jest chory albo zarażony wirusem COVID-19.

Co mówią przepisy?

Przepisy RODO przewidują pewne odstępstwa od zakazu przetwarzania szczególnych kategorii danych osobowych, gdy jest to konieczne ze względu na istotny interes publiczny w dziedzinie zdrowia publicznego (art. 9 ust. 2 lit. i RODO i motyw 46 RODO) lub gdy jest to konieczne do wypełnienia obowiązku prawnego, któremu podlega pracodawca (art. 9 ust. 1 lit. b RODO). Niemniej jednak każdy z tych przepisów wskazuje, że tego rodzaju uprawnienie powinno wynikać z przepisów prawa Unii Europejskiej lub prawa krajowego. Niektórzy takich uprawnień pracodawcy, które pozwoliłyby mu podejmować działania związane z zapobieganiem rozprzestrzeniania się COVID-19, dopatrują się w przepisach art. 207 Kodeksu pracy, zgodnie z którymi pracodawca zobowiązany jest chronić zdrowie i życie pracowników przez zapewnienie bezpiecznych i higienicznych warunków pracy. Jako że UODO nie zajął stanowiska w tym zakresie i biorąc pod uwagę rygorystyczne stanowiska PIP i MPiPS, należy do tej interpretacji podchodzić ostrożnie.

Pracodawcy, którzy chcieliby oprzeć przetwarzanie danych osobowych dotyczących zdrowia pracownika na podstawie jego zgody, powinni pamiętać, że zgodnie z przepisami Kodeksu pracy przetwarzanie tego rodzaju danych na podstawie zgody pracownika dopuszczalne jest jedynie z jego inicjatywy. Oznacza to, że pracownik powinien mieć zagwarantowaną całkowitą dobrowolność w tym zakresie. Najbezpieczniejszym rozwiązaniem wydaje się w takim przypadku zapewnienie pracownikom możliwości zmierzenia temperatury np. poprzez pozostawienie termometru przy wejściu do zakładu pracy.

Jeśli chodzi o przetwarzanie zwykłych danych osobowych pracownika (np. dotyczących miejsca, w którym pracownik spędził urlop), wydaje się, że podstawą takiego przetwarzania mógłby być prawnie uzasadniony interes pracodawcy (art. 6 ust. 1 lit. f RODO) polegający na niezbędności zapewnienia bezpieczeństwa pracownikom. Niemniej jednak, biorąc pod uwagę stanowisko PIP, bezpieczniejszym rozwiązaniem byłoby odbieranie zgody na przetwarzanie takich danych. W przypadku danych zwykłych przetwarzanie danych na podstawie zgody może mieć miejsce z inicjatywy pracodawcy.

Jak to rozwiązać w praktyce?

Jeśli pracodawca zdecyduje się podjąć określone działania zabezpieczające jego pracowników przed COVID-19, istotne jest, aby działania te były zaprojektowane w sposób, który zminimalizuje ryzyko narażenia się na zarzut naruszenia przepisów o ochronie danych osobowych i naruszenia dóbr osobistych pracowników, np. prawa do prywatności co do tego, gdzie spędzili urlop/weekend.

Pracodawca powinien przede wszystkim kierować się zasadą minimalizacji, tzn. zbierać jedynie takie dane, które są niezbędne do osiągnięcia danego celu (np. zamiast dopytywać, w jakim kraju przebywał pracownik, spytać go o to, czy przebywał w kraju podwyższonego ryzyka). Deklaracje zbierane od pracowników powinny zostać odpowiednio zabezpieczone, tak by uchronić je przed nieuprawnionym dostępem.

W przypadku podejmowania bardziej inwazyjnych działań, takich jak badanie temperatury pracowników, istotne jest, aby wyniki pomiaru nie były nigdzie rejestrowane i aby podczas wykonywania badań została zachowana prywatność pracownika, tak by osoby trzecie nie mogły uzyskać dostępu do wyników badań. Wydaje się, że jeśli pracodawca nigdzie nie odnotowuje wyników z pomiaru temperatury, przepisy RODO nie znajdą w ogóle zastosowania, jako że nie będziemy mieli do czynienia z przetwarzaniem danych w sposób zautomatyzowany, a dane nie będą stanowiły części zbioru danych (art. 2 RODO). Inną kwestią, która omówiona zostanie w odrębnym artykule, jest to, co jeśli podwyższona temperatura pracownika sprawi, że pracodawca postanowi go nie wpuszczać na teren zakładu pracy.

Karolina Romanowska