Przetwarzanie danych osobowych w obliczu pandemii koronawirusa

Poniżej kluczowe informacje na temat przetwarzania danych osobowych w obliczu epidemii koronawirusa SARS-CoV-2 – głównie w aspekcie regulacji dotyczących stosunku pracy.


Jedno z podstawowych pytań, jakie w zakresie ochrony danych osobowych pada w ostatnich dniach, dotyczy zakresu przetwarzania danych osobowych pracowników. Przede wszystkim odnośnie ich stanu zdrowia, możliwości dokonywania pomiarów temperatury ciała czy informacji na temat ewentualnych podróży powodujących zwiększenie ryzyka zakażeniem SARS-CoV-2 .

Poniżej rozwiewamy wątpliwości.

Czy koronawirusowa specustawa pozwala pracodawcom mierzyć temperaturę ciała pracowników lub ustalać ich miejsce podróży?

Nie. Takie upoważnienie nie wynika wprost z przepisów nowej ustawy (tj. Ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem SARS-CoV-2, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych). Upoważnienie tego typu nie wynika także wprost z przepisów Kodeksu pracy. Zmiany wprowadzone specustawą mogłyby nakładać taki obowiązek na pracodawców lub dawać im takie upoważnienie (mowa tu przede wszystkim o art. 17, który wprowadza zmiany w uprawnieniach Głównego Inspektora Sanitarnego i wojewódzkich inspektorów sanitarnych), jeśli umocowani do tego inspektorzy sanitarni np. nałożyliby na pracodawców obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych, czy zażądali od danego pracodawcy szczegółowych informacji w przypadku zagrożenia epidemicznego. Obecnie jednak takie wytyczne nie zostały określone, a Prezes UODO, w swoim komunikacie z 12 marca br., odsyła osoby i instytucje zainteresowane szczegółowymi wytycznymi do Głównego Inspektora Sanitarnego. Równocześnie jednak stoi na stanowisku, iż przepisy o ochronie danych osobowych nie mogą być stawiane jako przeszkoda w realizacji działań w związku z walką z koronawirusem.

Czy sam pomiar temperatury ciała musi się wiązać się przetwarzaniem danych osobowych?

Nie. Pomiar temperatury ciała danej osoby nie musi oznaczać przetwarzania jej danych osobowych, jeżeli w związku z tym pomiarem nie stworzymy katalogu danych pozwalających na identyfikację konkretnej osoby fizycznej. Przykładem może być sytuacja, w której mierzymy temperaturę ciała lub proponujemy taki pomiar osobie chcącej wejść np. na teren centrum logistycznego, a następnie odmawiamy jej wstępu, po stwierdzeniu podwyższonego wyniku badania, nie dokonując przy tym żadnych innych czynności związanych z przetwarzaniem danych (żadnego innego ewidencjonowania).

Niemal analogiczna sytuacja dotyczy ustalenia ewentualnych miejsc podróży pracowników.

Podstawy prawne dla pracodawców przetwarzających dane pracowników w kontekście koronawirusa

Jeżeli administrator danych, tj. pracodawca, mimo wszystko zdecyduje się przetwarzać dane osobowe dot. stanu zdrowia pracownika (np. na podst. pomiaru temperatury ciała), lub przetwarzać nadmierny katalog danych dot. np. szczegółów jego życia prywatnego (np. o podróżach służbowych), to podstaw przetwarzania może doszukiwać się w:

  •     6 ust. 1 lit. d RODO – niezbędność przetwarzania do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej,

  •     9 ust. 2 lit. i RODO – niezbędność przetwarzania ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego.

Dodatkowo zainteresowane podmioty mogą doszukiwać się upoważnienia w art. 207 Kodeksu pracy, tj. obowiązek zapewnienia bezpiecznych i higienicznych warunków pracy.

UWAGA! Organy nadzorcze innych państw wydały stanowiska, w których odradzają zbierania nadmiernego katalogu danych osobowych w związku z epidemią koronawirusa, tj. m.in. stanowisko brytyjskiego ICO z dnia 12 marca 2020 r., czy też francuskiego CNIL. z 6 marca 2020 r.

Praca zdalna w dobie pandemii koronawirusa a RODO

Także zagadnienie zdalnej pracy wiąże się z ochroną danych osobowych. Ustalając miejsce faktycznego wykonywania pracy zdalnej, które nie musi być równoznaczne z miejscem zamieszkania, lub chcąc nawiązać kontakt z pracownikiem w celu sprawnej organizacji pracy zdalnej (np. poprzez jego prywatny numer telefonu komórkowego), pracodawcy powinni upatrywać podstawy prawnej zezwalającej na pozyskanie dodatkowych danych w art. 221 § 4 Kodeksu pracy, w związku z potrzebą realizacji uprawnienia, o którym mowa w art. 3 w/w specustawy.

Ponadto, organizując i realizując wariant pracy zdalnej, należy wziąć pod uwagę konieczność ochrony danych, m.in. poprzez stosowanie tunelu VPN, innych mechanizmów szyfrowania, czy też ograniczenie przetwarzania nośników papierowych.

Przeciwdziałanie i informowanie opinii publicznej o zagrożeniu epidemią jest konieczne. Jednak za zjawisko patologiczne i wysoce niepokojące należy uznać publikowanie informacji na temat życia prywatnego osób chorych lub objętych kwarantanną.