Pandemia: zasady przetwarzania danych osobowych w miejscu pracy

Środki wdrażane w celu ograniczenia rozprzestrzeniania się Covid-19 nie mogą naruszać podstawowych zasad przetwarzania danych osobowych. Każdorazowo należy ocenić, co jest ważniejsze – zapewnienie bezpiecznego miejsca pracy, czy ochrona praw i wolności pracowników.

Aktualizacja: 26.04.2020 08:15 Publikacja: 26.04.2020 00:01

Pandemia: zasady przetwarzania danych osobowych w miejscu pracy

Foto: Adobe Stock

12 marca br. Prezes Urzędu Ochrony Danych Osobowych wydał oświadczenie o przetwarzaniu danych osobowych w czasie epidemii koronawirusa. W tym oświadczeniu brak jest jednak jakichkolwiek uszczegółowień, które nadawałyby mu charakter wytycznych. Próżno szukać w nim odpowiedzi na wiele istotnych pytań, które nurtują pracodawców od chwili pojawienia się wirusa w Polsce, takich jak np. to, czy mogą oni dokonywać pomiaru temperatury ciała pracowników i gości odwiedzających zakład pracy albo ewentualnie przeprowadzać inne badania medyczne.

Specustawa w zgodzie z RODO

Zgodnie z treścią oświadczenia Prezesa UODO, przepisy dotyczące ochrony danych osobowych same w sobie nie mogą stanowić przeszkody w realizacji działań mających na celu walkę z rozprzestrzenianiem się epidemii koronawirusa. Z tego względu, ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem Covid-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (tekst jedn. DzU poz. 374 ze zm.; dalej: specustawa) nie należy postrzegać jako sprzecznej z zasadami ochrony danych ani naruszającej przepisy Rozporządzenia Ogólnego o Ochronie Danych (RODO). Organ nadzorczy wskazał, że przepisy specustawy korespondują z RODO, które przewiduje sytuacje związane z ochroną zdrowia i zapobieganiem rozprzestrzenianiu się chorób zakaźnych (art. 9 ust. 2 lit. i oraz art. 6 ust. 1 lit. d) oraz zezwala na zgodne z prawem przetwarzanie danych osobowych, jeśli jest ono konieczne dla ochrony żywotnych interesów osób, których dane dotyczą, np. gdy przetwarzanie jest niezbędne do celów humanitarnych, w tym monitorowania rozwoju epidemii (motyw 46 RODO).

W swoim oświadczeniu Prezes UODO wskazał na uprawnienia:

- Głównego Inspektora Sanitarnego (lub działającego z jego upoważnienia państwowego wojewódzkiego inspektora sanitarnego) do nakazania przedsiębiorcom, w drodze decyzji, podejmowania określonych środków zapobiegawczych i kontrolnych oraz współdziałania z innymi organami administracji publicznej i Państwową Inspekcją Sanitarną (art. 17 specustawy),

- Prezesa Rady Ministrów do wydawania – na wniosek wojewody, po uprzednim poinformowaniu ministra właściwego ds. gospodarki – wiążących dla przedsiębiorców poleceń w związku z przeciwdziałaniem Covid-19 (art. 112 specustawy).

W treści oświadczenia pominięto jednak kwestię, czy przedsiębiorcy mogą wdrażać konkretne środki zapobiegawcze lub kontrolne z własnej inicjatywy, a jeśli tak, to w jakim zakresie.

To oświadczenie jest jedynie ogólnikowym zaleceniem, aby przy podejmowaniu jakichkolwiek działań mających na celu zapobieganie rozprzestrzenianiu się epidemii, przedsiębiorcy postępowali zgodnie z komunikatami Państwowej Inspekcji Sanitarnej, a we wszelkich kwestiach związanych z walką z chorobą zwracali się do Głównego Inspektora Sanitarnego jako organu właściwego w tym zakresie.

Czytaj też:

Czy pracodawca zmusi pracownika do pomiaru temperatury?

Koronawirus: wpływ pandemii na ochronę danych osób fizycznych

Zdaniem organu europejskiego

Tydzień po publikacji oświadczenia Prezesa UODO, tj. 19 marca 2020 r., Przewodnicząca Europejskiej Rady Ochrony Danych (EROD) wydała własne oświadczenie o ochronie danych osobowych w kontekście wybuchu epidemii Covid-19.

Podobnie jak polski regulator, Przewodnicząca EROD oświadczyła, że unijne zasady ochrony danych osobowych, takie jak RODO, nie ograniczają środków podejmowanych w ramach walki z pandemią koronawirusa. Walkę z chorobą należy wspierać wszelkimi dostępnymi sposobami, ponieważ jej wyhamowanie i wykorzystanie do walki z nią nowoczesnych technologii leży w interesie ludzkości. Tym niemniej, nawet w tak wyjątkowych okolicznościach należy chronić dane osobowe i zapewnić ich przetwarzanie zgodne z prawem.

W ocenie EROD, wszelkie działania podjęte w celu powstrzymania pandemii muszą być zgodne z obowiązującymi przepisami prawa i nie mogą być nieodwracalne. W sytuacji stanu wyjątkowego określone ograniczenia swobód mogą być uzasadnione, lecz muszą być współmierne do sytuacji (tj. proporcjonalne i adekwatne do celu) oraz ograniczone w czasie. Dane osobowe niezbędne do osiągnięcia tych celów powinny być przetwarzane w konkretnym i wyraźnie określonym celu, zaś osoby, których dane dotyczą, muszą uzyskać przejrzyste informacje o czynnościach przetwarzania i ich głównych cechach (np. o okresie ich przechowywania i celach takiego przetwarzania). Wspomniane informacje powinny być dostępne, jasne i czytelne.

Powinny również zostać wdrożone stosowne środki bezpieczeństwa i polityki poufności zapobiegające dostępowi do danych osobowych przez osoby nieuprawnione. Środki przedsięwzięte w obliczu sytuacji nadzwyczajnej wywołanej chorobą Covid-19 oraz związane z nią procesy decyzyjne należy stosownie dokumentować.

W kwestii przetwarzania danych osobowych w kontekście zatrudnienia EROD wskazała, że RODO zezwala właściwym organom zdrowia publicznego i pracodawcom na przetwarzanie danych osobowych w stanie epidemii, o ile jest to zgodne z przepisami prawa krajowego i odbywa się w jego ramach. EROD wskazała przepisy, które mogłyby stanowić podstawę prawną przetwarzania danych osobowych w sytuacji rozprzestrzeniania się Covid-19. Zaznaczyła m.in., że jeśli przetwarzanie jest niezbędne do realizacji zadań w interesie publicznym w dziedzinie zdrowia publicznego, nie zachodzi konieczność uzyskiwania indywidualnej zgody. W kontekście zatrudnienia przetwarzanie danych osobowych może się natomiast okazać konieczne w celu wypełnienia przez pracodawcę określonych zobowiązań prawnych, np. zapewnienia bezpieczeństwa i higieny pracy, jak również w celu realizacji zadań w interesie publicznym, np. przy zapobieganiu rozprzestrzeniania się chorób i innych zagrożeń zdrowia.

EROD podkreśliła także, że RODO dopuszcza przetwarzanie określonych szczególnych kategorii danych osobowych, np. danych o stanie zdrowia, jeśli jest to konieczne do realizacji istotnych zadań w interesie publicznym (art. 9 ust. 2 lit. i), na podstawie prawa unijnego lub krajowego, lub jeśli zachodzi konieczność ochrony żywotnych interesów osób, których dane dotyczą (art. 9 ust. 2 lit. c), ponieważ pkt 46 Preambuły wyraźnie odnosi się do zapobiegania rozprzestrzenianiu się epidemii.

W polskim zakładzie

Chociaż polski organ nadzorczy nie odniósł się bezpośrednio do żadnej z konkretnych kwestii dotyczących przetwarzania danych osobowych w kontekście zatrudnienia, zarówno jego oświadczenie, jak i oświadczenie Przewodniczącej EROD wydają się w wystarczającym stopniu wyjaśniać, jaki tryb działania powinni obrać pracodawcy pragnący wdrożyć środki mające na celu walkę z rozprzestrzenianiem się koronawirusa w ich zakładach pracy. Niezależnie od tego, jakie działania pracodawcy zamierzają podjąć w celu walki z epidemią, muszą być one zgodne z obowiązującymi przepisami prawa. O ile zasady ochrony danych osobowych określone w RODO nie utrudniają wdrożenia środków podejmowanych w walce z chorobą, to działania te nie mogą naruszać podstawowych zasad ochrony danych osobowych. Mimo iż organy regulacyjne potwierdzają konieczność zahamowania rozprzestrzeniania się choroby oraz wdrożenia wszelkich środków w tym zakresie, środki te nie mogą naruszać podstawowych zasad przetwarzania danych osobowych, zaś pracodawcy każdorazowo muszą ocenić, co jest ważniejsze: zapewnienie bezpiecznego miejsca pracy w dobie pandemii, czy ochrona praw i wolności pracowników.

Magdalena Gad-Nowak adwokat, Senior Associate w Squire Patton Boggs

12 marca br. Prezes Urzędu Ochrony Danych Osobowych wydał oświadczenie o przetwarzaniu danych osobowych w czasie epidemii koronawirusa. W tym oświadczeniu brak jest jednak jakichkolwiek uszczegółowień, które nadawałyby mu charakter wytycznych. Próżno szukać w nim odpowiedzi na wiele istotnych pytań, które nurtują pracodawców od chwili pojawienia się wirusa w Polsce, takich jak np. to, czy mogą oni dokonywać pomiaru temperatury ciała pracowników i gości odwiedzających zakład pracy albo ewentualnie przeprowadzać inne badania medyczne.

Pozostało 93% artykułu
2 / 3
artykułów
Czytaj dalej. Kup teraz
Prawo karne
Przeszukanie u posła Mejzy. Policja znalazła nieujawniony gabinet
Prawo dla Ciebie
Nowe prawo dla dronów: znikają loty "rekreacyjne i sportowe"
Edukacja i wychowanie
Afera w Collegium Humanum. Wykładowca: w Polsce nie ma drugiej takiej „drukarni”
Edukacja i wychowanie
Rozporządzenie o likwidacji zadań domowych niezgodne z Konstytucją?
Praca, Emerytury i renty
Są nowe tablice GUS o długości trwania życia. Emerytury będą niższe