COVID-19 • Aktualności firm stowarzyszonych • Analizy i badania
RODO w czasach koronazarazy
Firmy walczą z zagrożeniem związanym z koronawirusem poprzez wprowadzanie weryfikacji ekspozycji na koronawirusa oraz występowania podstawowych objawów psychosomatycznych u osób chcących wejść na teren zakładu pracodawcy. Zewsząd słyszymy, że RODO tego zakazuje. Czy aby na pewno? Wątpliwości rozwiał sam Urząd Ochrony Danych Osobowych – możemy walczyć z koronawirusem i RODO nie powinno być przeszkodą. W tym wpisie wskazujemy podstawy prawne takiego przetwarzania.
Najczęściej występujące procedury weryfikacyjne
Obecnie zarówno nasze życie prywatne, jak i zawodowe zdominował temat koronawirusa i możliwe działania prewencyjne, jakie możemy podjąć, aby być pewnym, że zrobiliśmy wszystko, by uchronić siebie, naszych bliskich i innych przed ekspozycją na wirusa i zarażeniem. W tym celu wiele podmiotów rozważa lub już wprowadziło zaostrzone zasady wstępu do budynków. Wdrażane są procedury przewidujące składanie oświadczeń o potencjalnej ekspozycji na wirusa lub dokonywany jest pomiar temperatury ciała. W ten sposób podmiot dostaje informacje, czy dana osoba przebywała w państwach wskazanych przez GIS jako państwa wysokiego ryzyka zarażenia koronawirusem lub miała kontakt z osobą, która przebywała w tych państwach; ii) zauważyła u siebie objawy takie jak katar, kaszel, duszności, osłabienie oraz iii) ma temperaturę ciała przekraczającą 38 stopni Celsjusza (w przypadku samodzielnego przeprowadzania badania przez podmiot weryfikujący – jaką dokładnie dana osoba ma temperaturę ciała).
Bazując na tak pozyskanych informacjach podmioty dokonują weryfikacji, czy dana osoba wchodząca na teren podległy temu podmiotowi znajduje się w grupie ryzyka ekspozycji na koronawirusa, ale także sprawdzają ogólny stan jej zdrowia. Mimo że informacje te mają charakter ogólny (jaka jest temperatura ciała osoby lub czy wykazuje ona objawy psychosomatyczne charakterystyczne dla wielu chorób) i wyłącznie na ich podstawie nie można stwierdzić, czy dana osoba jest zarażona koronawirusem, to nie ulega wątpliwości, że należy je traktować jako informację o stanie zdrowia.
Pojawia się pytanie o zgodność pozyskiwania informacji o stanie zdrowia lub przeprowadzania badania z przepisami prawa. Pytanie jest wielopłaszczyznowe: inne bowiem przepisy prawa mają zastosowanie do pracowników, inne do osób zatrudnionych w oparciu o odrębną podstawę prawną, a inne do osób trzecich, tj. szeroko pojętych gości.
Tak szybko, jak pojawił się pomysł pozyskiwania informacji, tak szybko z każdej strony słyszymy: RODO zabrania.
Czy faktycznie RODO zabrania takich praktyk?
Aby zgodnie z RODO przetwarzać dane szczególnych kategorii, czyli m.in. dane o stanie zdrowia, należy zapewnić, że występuje jeden z wyjątków od ogólnego zakazu określony w art. 9 ust. 2 RODO.
Przyjrzyjmy się zatem, jakie podstawy prawne RODO proponuje nam w tym zakresie.
Interes publiczny – czy na pewno?
Urząd Ochrony Danych Osobowych w oficjalnym komunikacie z 12 marca br. dostępnym na stronie UODO wskazał, że RODO nie może stanowić przeszkody w walce z koronawirusem i powołuje się na tzw. specustawę ws. koronawirusa. Jest to bardzo pożądany komunikat, który uciął zbędne dyskusje na temat tego, co jest ważniejsze: zdrowie i życie pracowników w obliczu globalnej epidemii, czy formalności.
RODO przewiduje dwie podstawy do przetwarzania danych szczególnych kategorii w następujących sytuacjach:
- gdy przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową (art. 9 ust. 2 lit. h);
- gdy przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osób, których dane dotyczą (art. 9 ust. 2 lit. g).
Tym samym teoretycznie są to podstawy prawne do przetwarzania danych o stanie zdrowia zarówno pracowników, jak i gości.
Od strony formalnej brak jest jednak w specustawie określenia, jakie działania pracodawców są niezbędne do walki z koronawirusem, które uzasadniałyby przetwarzanie danych szczególnych kategorii. Nie wprowadza ona również odpowiednich i konkretnych środków ochrony praw i wolności osób, których dane dotyczą. Specustawa wskazuje jedynie prawo do stosowania przymusowej pracy zdalnej oraz przyznaje prawo do dodatkowego zasiłku opiekuńczego. Do podjęcia ww. działań nie są niezbędne informacje o stanie zdrowia pracownika lub informacje o ekspozycji na wirusa.
Tymczasem RODO daje możliwość oparcia tego rodzaju przetwarzania danych szczególnych kategorii na innych podstawach prawnych.
Dane pracowników a RODO
RODO przewiduje możliwość przetwarzania danych szczególnych kategorii o pracownikach, jeżeli jest to niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego przewidującym odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. b).
Nie ulega wątpliwości, że pracodawca ma bardzo restrykcyjne obowiązki w zakresie zapewniania BHP w miejscu pracy. W sytuacji wyjątkowej, jaką z pewnością jest epidemia wirusa bezpośrednio zagrażającego zdrowiu i życiu pracowników, podstawa ta wydaje się wystarczająca do podejmowania przez pracodawcę działań niezbędnych do zapewnienia bezpieczeństwa zdrowotnego pracowników.
Przeszkodą do podejmowania określonych działań wobec pracowników nie jest więc RODO, a szczególne przepisy prawa pracy, które ograniczają możliwości pracodawcy w tym zakresie. O tym szeroko wypowiedziała się Państwowa Inspekcja Pracy w swoim oficjalnym stanowisku, które znajdziemy tutaj. Stanowisko to należy jednak czytać z uwagą, bowiem o ile słusznie PIP zauważyła, że nie ma podstaw do pozyskiwania informacji, gdzie pracownik był na wakacjach albo czy był za granicą podczas zgłoszonego urlopu zdrowotnego, o tyle pozyskiwanie ogólnej informacji o potencjalnej ekspozycji poprzez kontakt z określonymi osobami nie jest informacją, która może dyskryminować pracownika lub narażać go na inne zarzuty pracodawcy wobec niego.
Dodatkowym wzmocnieniem pozycji pracodawcy jest wspomniana specustawa ws. walki z koronawirusem. Co prawda nie zawiera ona szczególnych podstaw prawnych do przetwarzania dodatkowych informacji o pracowniku czy przeprowadzania na nim badań lekarskich, jednak jest podstawą do określenia, że pozyskiwanie informacji o potencjalnej ekspozycji na wirusa ma na celu zapewnienie bezpieczeństwa BHP pracowników.
Dane gości a RODO
Zgodnie z art. 9 ust. 2 lit. a RODO, administrator może przetwarzać dane osobowe szczególnych kategorii, jeśli m.in. osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie jej danych osobowych. Przy pozyskiwaniu zgody administrator musi zapewnić jej ważność, tj. zgoda ma być dobrowolna, wyraźna, konkretna i jednoznaczna. Innymi słowy – osoba wyrażająca zgodę musi wiedzieć, na co się zgadza i mieć możliwość odmowy.
Jak wiemy, co do zasady zgoda nie powinna być podstawą prawną przetwarzania danych osobowych o pracownikach (w szerokim tego słowa znaczeniu, czyli nie tylko o osobach zatrudnionych na umowę o pracę, ale także o innych osobach pozostających w stosunku podległości lub podobnym, np. o osobach zatrudnionych na umowę zlecenie, stażystach, pracownikach kontrahenta) z uwagi na brak możliwości zapewnienia realnej dobrowolności jej wyrażenia. Uznaje się bowiem, że z powodu silnej pozycji zależności pracownika od pracodawcy będzie on czuł się przymuszony do wyrażenia zgody w obawie o reperkusje pracodawcy wobec niego w przypadku braku zgody.
Zgoda może jednak stanowić podstawę prawną do przetwarzania danych osobowych o osobach, które nie pozostają w pozycji słabszej w stosunku do firmy. Sam fakt, że brak wyrażenia zgody oznacza brak możliwości wejścia na teren firmy w obliczu ogłoszonej przez WHO epidemii wirusa, który stanowi bezpośrednie zagrożenie dla życia, nie może być uznawany za wymuszanie zgody. Osoba ma bowiem wolny wybór, który to wybór wiąże się z określonymi konsekwencjami, adekwatnymi do celów przetwarzania tych danych. A zatem tak samo, jak w innych sytuacjach pozyskujemy zgodę od osób, których dane dotyczą i wiąże się to z określonymi skutkami (np. w salonie SPA, gdzie aby zostać dopuszczonym do zabiegu kosmetycznego, musimy wypełnić ankietę medyczną), tak samo w tym przypadku wyrażenie zgody jest dobrowolne, lecz odmowa wiąże się z koniecznością przesunięcia wizyty osobistej na obszarze podmiotu do czasu ustania stanu epidemii i zagrożenia zakażeniem.
Inną podstawą prawną, którą można zastosować(aczkolwiek może być ona podważana przez organ nadzoru) jest wspomniany już wyżej obowiązek zapewnienia warunków BHP dla pracowników. Art. 9 ust. 2 lit. b RODO nie wskazuje bowiem, że przetwarzanie to, dokonywane w celu wypełnienia obowiązków i wykonywania szczególnych praw w dziedzinie prawa pracy, dotyczy wyłącznie pracowników. Co więcej, standardem jest, że tym przepisem obejmuje się również inne osoby, niezwiązane bezpośrednio z pracodawcą stosunkiem formalnym, np. członków rodzin pracownika lub byłego pracownika. Powstaje zatem pytanie, czy w tak specyficznej sytuacji, jaką jest epidemia koronawirusa i obowiązek zapobiegania jego rozprzestrzenianiu się, pracodawca może objąć tym przepisem również inne osoby, które mogłyby zagrażać bezpieczeństwu zdrowotnemu pracowników. Trudno oceniać, jak do tej podstawy prawnej odniósłby się sam Prezes UODO, jednak dla tych z nas, którzy nie chcą pozyskiwać zgody od gości na przetwarzanie informacji o ich stanie zdrowia, jest to alternatywa, którą mogą zastosować również wobec gości.
Zakres i retencja pozyskiwanych danych osobowych
Stanowisko, zgodnie z którym mamy prawo przetwarzać dane szczególnych kategorii o pracownikach i innych osobach fizycznych celem walki z koronawirusem i zagrożeniem jego rozprzestrzeniania się niezależnie od podstaw prawnych, jest godne aprobaty. Nie oznacza to jednak, że wolno nam zupełnie wyłączyć stosowanie RODO.
Należy pamiętać w szczególności o zasadzie minimalizacji, tj. przetwarzać dane osobowe wyłącznie w zakresie, w jakim są nam one potrzebne do podejmowania bieżącej decyzji wobec pracowników i gości, oraz o zasadzie ograniczenia celu, tj. przetwarzania zebranych w tym celu danych wyłącznie przez niezbędny czas.
Jeśli nie mamy potrzeby przechowywania danych, w szczególności danych o stanie zdrowia, nie powinniśmy tego robić. Taka praktyka jest coraz częściej stosowana: osoby są poddawane badaniu temperatury za ich zgodą, lecz dane te nie są nigdzie odnotowywane. Jeśli temperatura jest podwyższona, osoba nie jest wpuszczana do pomieszczeń, a jeśli temperatura jest prawidłowa, osoba może wejść na obszar firmy.
Jeśli jednak decydujemy się przechowywać pozyskiwane dane (np. zawarte w składanych oświadczeniach) czas ich przechowywania powinien być jak najkrótszy, nie dłuższy niż zakończenie stanu epidemii lub zagrożenia koronawirusem w Polsce.