W ostatnim czasie dostajemy wiele zapytań od pracodawców, które sprowadzają się do jednej kwestii: mierzyć czy nie mierzyć temperaturę ciała pracowników przychodzących do pracy, w związku z przeciwdziałaniem COVID19? I jak do tego ma się RODO i przetwarzanie „danych szczególnej kategorii” (dane o stanie zdrowia) w rozumieniu RODO?

Sposobów podejścia do tematu jest przynajmniej trzy:

1. Organizacja pomiaru w taki sposób, aby nie dochodziło do przetwarzania danych osobowych przez pracodawcę. Polega to na tym, że pracodawca ma na wyposażeniu termometr i zachęca pracowników przed wejściem do pracy do samodzielnego zbadania/sprawdzenia swojej temperatury. Pracownik sam się bada (ma dostęp do termometru), a następnie w zależności od wyników sam podejmuje decyzję czy wchodzi/nie wchodzi do firmy i dokonuje odpowiedniego zgłoszenia do przełożonego. Pracodawca nie mając dostępu do wyników nie przetwarza tych danych. Rozwiązanie to ma również słabe strony: pracodawca nie ma kontroli nad poprawnością decyzji pracownika, istnieją również techniczne ograniczenia w szybkim wykonywaniu pomiarów na dużej ilości pracowników (akurat ten problem występuje w każdym scenariuszu).

2. Wykonywanie pomiaru na podstawie zgody pracownika. Jest to najbardziej popularne podejście do tematu które zakłada, że jeżeli pomiar wykonuje pracodawca (względnie w jego imieniu upoważniony pracownik ochrony) to nie może tego zrobić bez zgody pracownika, a co więcej, w myśl przepisu KP, „zgoda pracownika może stanowić podstawę przetwarzania przez pracodawcę wrażliwych danych osobowych, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy pracownika„. Innymi słowy, pracownik musi sam „poprosić” o wykonanie pomiaru, przykładowo w odpowiedzi na kampanię informacyjną/zachęcającą ze strony pracodawcy; przy czym pracodawca nie może pracownika do tego przymusić. W razie stwierdzenia „przymuszenia” lub „braku inicjatywy” po stronie pracownika, istnieje pewne ryzyko, że PIP/UODO uznałby to za naruszenie przepisów kodeksu pracy, chyba że w obliczu epidemii COVID19 uznano by to za usprawiedliwione działania prewencyjne.

3. Wykonywanie pomiaru bez zgody pracownika, na zasadzie obligatoryjnej praktyki stosowanej powszechnie do wszystkich pracowników przed wejściem do pracy. Jest to podejście na pierwszy rzut oka dość radykalne ale może się okazać, że usprawiedliwione okolicznościami związanymi z ogłoszona przez WHO pandemią. Zakłada ono, że pracodawca może powołać się na podstawę przetwarzania m.in. z art. 9 ust. 2 lit. b RODO i wymagać pomiaru temperatury od pracowników (czyli nie czekać na inicjatywę pracownika jak w podejściu b) opisanym powyżej, ale niejako narzucić wymóg kontroli). Zgodnie z tym przepisem RODO, przetwarzanie danych szczególnej kategorii, tzw. „wrażliwych” (tj. m.in. danych o stanie zdrowia) jest dopuszczalne, jeżeli jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy. Z kolei art. 207 kp stanowi, że „Pracodawca jest obowiązany chronić zdrowie i życie pracowników przez zapewnienie bezpiecznych i higienicznych warunków pracy przy odpowiednim wykorzystaniu osiągnięć nauki i techniki”. Ten scenariusz dałoby się również wesprzeć motywem 46 RODO zgodnie z którym „przetwarzanie danych osobowych należy uznać za zgodne z prawem również w przypadkach, gdy jest niezbędne do ochrony interesu, który ma istotne znaczenie dla życia osoby, której dane dotyczą, lub innej osoby fizycznej. Żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej. Niektóre rodzaje przetwarzania mogą służyć zarówno ważnemu interesowi publicznemu, jak i żywotnym interesom osoby, której dane dotyczą, na przykład gdy przetwarzanie jest niezbędne do celów humanitarnych, w tym monitorowania epidemii i ich rozprzestrzeniania się lub w nadzwyczajnych sytuacjach humanitarnych, w szczególności w przypadku klęsk żywiołowych i katastrof spowodowanych przez człowieka.”

Rozwiązanie pierwsze jest najbezpieczniejsze dla pracodawcy z punktu widzenia ochrony przed ryzykiem naruszenia przepisów RODO; jednak może się okazać, że w praktyce najczęściej będzie stosowane rozwiązanie drugie lub trzecie; gdzie również istnieją podstawy do obrony jego zasadności.

Na chwilę obecną nie ma oficjalnych wytycznych polskiego UODO które w jednoznaczny sposób rozstrzygnęłoby wątpliwości wokół tego tematu. Do czasu pisania tej wiadomości ukazało się jedno stanowisko UODO związane z koronawirusem ale nie dotyczy ono tematyki o jakiej piszę, ale ogólnie kwestii zasłaniania się przepisami RODO przed wykonywaniem poleceń organów sanitarnych (można się z nim zapoznać tu: https://uodo.gov.pl/pl/138/1456 ).

Jako ciekawostkę można wskazać, że w omawianym temacie ukazały się natomiast wykładnie organów nadzorczych francuskich, włoskich i duńskich; przykładowo:

a) francuski CNIL wykluczył możliwość dokonywania pomiarów temperatury przez pracodawcę; z opinią można zapoznać się tu: https://www.cnil.fr/fr/coronavirus-covid-19-les-rappels-de-la-cnil-sur-la-collecte-de-donnees-personnelles

b) włoski Garante w swej rekomendacji uznał, że wykonywanie samodzielnych badań przez pracodawcę nie jest dopuszczalne, a jedynie właściwe służby i lekarze mogą go przeprowadzać; z rekomendacją można zapoznać się tu: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9282117#1

c) organ duński w swoich wytycznych uznał, że w niektórych przypadkach dane osobowe, w tym wrażliwe dane osobowe, mogą być gromadzone i ujawniane, ale podkreśla znaczenie oceny, czy przetwarzanie jest zgodne z prawem i ograniczone do tego, co konieczne, zalecając rozważenie:

• czy istnieje dobry powód do gromadzenia lub ujawniania danych osobowych, o których mowa,
• czy konieczne są określone dane osobowe, w tym czy cel pracodawcy można osiągnąć, zbierając mniej danych,
• czy konieczne jest wskazywanie nazwisk – np. nazwiska osoby zarażonej lub poddanej kwarantannie.

W razie zainteresowania tematem, zapraszamy do kontaktu.