Liczne zachorowania na koronawirus (COVID-19) w Polsce i na świecie, wymuszają na pracodawcach podejmowanie szeregu inicjatyw mających na celu zapewnienie ciągłości działania oraz ograniczania zachorowalności wśród personelu. Działania te coraz częściej sprowadzają się do gromadzenia szeregu informacji o pracownikach i osobach odwiedzających zakład, których w normalnych warunkach nie przetwarzają. W przypadku, gdy dane te powiązane są z konkretnymi osobami (pracownikami, gośćmi) mogą stanowić dane osobowe w rozumieniu RODO.
Czy RODO daje zatem podstawę do przetwarzania danych dot. stanu zdrowia pracownika np. jego temperatury ciała, lub gościa, bądź też gromadzenia informacji o jego pobycie w państwie ryzyka w którym istnieją zachorowania na COVID-19?
Odpowiedź na tak postawione pytanie nie jest jednoznaczna i oczywista.
Na wstępie niniejszego artykułu wskazać należy, że z dniem 08 marca 2020 r. weszła w życie ustawa z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (dalej jako: ustawa o koronawirusie). W samej ustawie pojęcie pracodawcy pojawia się tylko jeden raz – wyłącznie w art. 3 ustawy, który stanowi: „W celu przeciwdziałania COVID-19 pracodawca może polecić pracownikowi wykonywanie, przez czas oznaczony, pracy określonej w umowie o pracę, poza miejscem jej stałego wykonywania (praca zdalna).
Jest to jedyne „narzędzie” pracodawcy, wynikające z powyższego aktu prawnego, zmierzające do zapewnienia bezpiecznych i higienicznych warunków pracy w miejscu pracy, a przy tym zmniejszenia ryzyka zachorowalności. Sprowadza się jednak jedynie do ograniczenia liczby osób świadczących pracę na miejscu, w zakładzie pracy. Powyższe z całą pewnością nie stanowi zatem podstawy prawnej podejmowania działań w celu gromadzenia informacji o stanie zdrowia osób wchodzących na teren zakładu, czy też innych informacji koniecznych do szacowania ryzyka wpuszczenia takiej osoby na teren, np. dotyczących jej pobytu w krajach ryzyka.
Zaznaczyć przy tym należy, że przytoczony art. 3 ustawy o koronawirusie nie dotyczy osób wykonujących na rzecz pracodawcy usługi w ramach umów cywilnoprawnych. Osoby te bowiem nie mieszczą się w pojęciu pracownika. Ustawa zatem, nie przewiduje żadnych szczególnych zasad związanych chociażby z możliwością przetwarzania przez pracodawcę danych osobowych pracowników, współpracowników czy gości odwiedzających zakład pracy w postaci informacji o pobycie w ostatnim czasie w kraju zagrożenia koronawirusem lub kontakcie z osobą zarażoną lub potencjalnie zarażaną, nie mówiąc już o regulacjach dotyczących ewentualnych uprawnień pracodawcy do wykonywania pomiaru temperatury ciała pracownika, współpracownika lub gościa odwiedzającego zakład pracy.
Przetwarzanie danych o stanie zdrowia pracowników przez pracodawcę
Informacje o stanie zdrowia, np. temperatura ciała, należą do kategorii tzw. danych wrażliwych zdefiniowanych w art. 9 ust. 1 RODO, co do których stosujemy ogólny zakaz ich przetwarzania, chyba że administrator danych jest w stanie oprzeć przetwarzanie tych danych na którejś z przesłanek art. 9 ust. 2 RODO.
W ocenie autorów, informacje o pobycie w
ostatnich 14 dniach danej osoby, w kraju ryzyka (zgodnie z wykazem państw publikowanym
przez GIS i MSZ), co do zasady nie stanowią danych zdefiniowanych w art. 9 ust.
1 RODO, albowiem nie przesądzają o stanie zdrowia,
a tym samym powinny być oceniane na zgodność z art. 6 ust. 1 RODO. Taka informacja co najwyżej pozwala na dalsze
miarkowanie ryzyka lecz nie daje podstaw sądzić jaki jest stan zdrowia osoby.
Jedną z możliwości oparcia przetwarzania danych dot. temperatury ciała, jest na pewno dobrowolna zgoda podmiotu danych udzielona w trybie art. 9 ust. 2 lit. a RODO, która to zgoda nie może być udzielona w sposób dorozumiany, lecz jak wynika z przepisu, zgoda musi być wyraźna.
Co więcej, wyrażenie zgody na przetwarzanie przez pracodawcę informacji o stanie zdrowia pracownika musi nastąpić z inicjatywy samego pracownika, co wynika bezpośrednio z art. 221B Kodeksu pracy. Opierając jednak przetwarzanie danych dot. zdrowia o tę przesłankę, trzeba zapewnić każdej osobie możliwość wycofania zgody w każdym czasie, a także dobrowolność jej wyrażenia. Kodeks pracy zabrania także wywierania presji, czy też wyciągania jakichkolwiek negatywnych konsekwencji wobec pracowników, którzy odmówią udzielenia zgody. Powyższe powoduje, że cel pracodawcy może nie być osiągnięty z uwagi na liczną grupę osób która odmówi jej udzielenia.
Wydawać by się mogło, że w przypadku, gdy pracodawca poweźmie informację za zgodą pracownika o jego temperaturze ciała, pobycie w kraju zagrożenia koronawirusem, kontakcie z innych chorym lub inną informacje, która mogłaby wskazywać na potencjalne ryzyko zarażania koronawirusem przez takiego pracownika, może skierowywać go na badanie lekarskie powołując się na art. 207 Kodeksu pracy, nawet w sytuacji gdy pracownik dysponuje ważnymi badaniami okresowymi w rozumieniu art. 229 Kodeksu pracy.
Zgodnie bowiem ze stanowiskiem Sądu Najwyższego wyrażonym w wyroku z dnia 18 grudnia 2002 r. wydanym w sprawie o sygn. akt: I PK 44/02:
Aktualnym orzeczeniem lekarskim w rozumieniu art. 229 § 4 Kodeksu pracy jest orzeczenie stwierdzające stan zdrowia pracownika w dacie, w której pracownik ma być dopuszczony do pracy. Zachowuje ono aktualność w okresie w nim wymienionym, jednak staje się nieaktualne w przypadku wystąpienia w tym okresie zdarzeń, które mogą wskazywać na zmianę stanu zdrowia pracownika.
Podstawą tejże wykładni jest założenie, że każde zdarzenie mogące spowodować zmianę stanu zdrowia pracownika w stopniu, który może wpłynąć na bezpieczeństwo wykonywania pracy przez pracownika może spowodować, że orzeczenie lekarskie o zdolności pracownika do pracy przestanie być aktualne. Argumentacja ta wynika z obowiązku pracodawcy zapewnienia pracownikom bezpiecznych i higienicznych warunków pracy, ujętego w art. 207 Kodeksy pracy.
Zdaniem zwolenników tej interpretacji, obowiązek zapewnienia bezpiecznych i higienicznych warunków pracy powoduje konieczność odsunięcia od pracy pracownika, którego stan zdrowia może uniemożliwiać wykonywanie pracy w sposób bezpieczny i higieniczny, w tym konkretnym przypadku możliwość ewentualnego zarażenia współpracowników koronawirusem.
W tym miejscu wskazać jednak należy, że Państwowa Inspekcja Pracy wydała w dniu 09 marca 2020 r. tzw. wyjaśnienia w sprawie koronawirusa, w którym przyjęła dość radykalne stanowisko (tutaj) . Ze stanowiska organu wynika bowiem, że pracodawca nie ma żadnych możliwości ażeby skierować pracownika na badania w trybie, o którym wspomniano powyżej.
Państwa Inspekcja Pracy we wspomnianych wyjaśnieniach wskazała, że przepisy prawa pracy nie przewidują kierowania pracownika na badania w związku ze zwiększonym ryzykiem zachorowania na choroby wirusowe, a tryb i zakres badań profilaktycznych pracowników są uregulowane przepisami rozporządzenia Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996 r. w sprawie przeprowadzania badań lekarskich pracowników, z zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w kodeksie pracy.
PIP wskazuje, że zgodnie z § 6 wskazanego rozporządzenia, przeprowadzenie badań lekarskich poza terminami wynikającymi z częstotliwości wykonywania badań okresowych i orzekanie o możliwości wykonywania dotychczasowej pracy może zachodzić w przypadku: konieczności przeniesienia pracownika do innej pracy ze względu na stwierdzenie szkodliwego wpływu wykonywanej pracy na zdrowie pracownika (art. 155 § 1 Kodeksu pracy); stwierdzenie u pracownika objawów wskazujących na powstanie choroby zawodowej (art. 230 § 1 Kodeksu pracy); stwierdzenia niezdolności do wykonywania dotychczasowej pracy u pracownika, który uległ wypadkowi przy pracy lub u którego stwierdzono chorobę zawodową, lecz nie zaliczono do żadnej z grup inwalidów art. 231 Kodeksu pracy). Skierowanie na przeprowadzenie badania wydaje pracodawca po zgłoszeniu przez pracownika niemożności wykonywania dotychczasowej pracy.
Przepisy Kodeksu pracy oraz wspomnianego rozporządzenia nie uprawniają natomiast pracodawcy do skierowania pracownika na badania lekarskie w sytuacji, gdy np. pracownik jest przeziębiony i może zagrażać innym pracownikom, bez zgody tego pracownika, jeżeli nie zbiega się to z terminem kolejnego badania okresowego.
Czy pracodawca może żądać podania danych dot. pobytu (miejsca spędzania urlopu) pracownika w kraju ryzyka?
PIP dodaje, że pracodawca nie ma również podstaw prawnych do zbierania informacji dotyczących miejsca wypoczynku (pobytu) pracownika, a pracownik nie jest zobowiązany do ujawniania miejsca spędzania czasu wolnego. Pracodawca nie jest uprawniony do dokonywania samodzielnie oceny stanu zdrowia pracownika z czego wynika, że PIP nie dopuszcza również możliwości dokonywania pomiarów temperatury ciała pracownika przez pracodawcę. Jak argumentuje PIP- niedopuszczenie pracownika do pracy, ze względu na potencjalne zarażeniem wirusem może narazić pracodawcę na zarzut o nękanie, czy stosowanie mobbingu. PIP podkreśla także, że pracodawca nie może zobowiązać pracownika powracającego do pracy z pobytu w strefie zagrożonej koronawirusem do wykorzystania urlopu wypoczynkowego. Nie jest też właściwy do podejmowania działań izolujących pracownika w ramach kwarantanny.
Takie podejście PIP powoduje, że jedyną przesłanką do przetwarzania tej informacji pozostaje dobrowolnie udzielona zgoda przez pracownika. W sytuacji jednak, gdy pracownik wyrazi zgodę na przetwarzanie przez pracodawcę informacji o miejscu jego wypoczynku w kraju zagrożenia koronawirusem to pracodawca wobec stanowiska PIP i tak nie ma żadnych instrumentów prawnych, żeby cokolwiek zrobić z tą informacją. Może jedynie wydać pracownikowi polecenie wykonywania pracy zdalnie zgodnie z treścią art. 3 ustawy o koronawirusie lub zwolnić pracownika z obowiązku świadczenia pracy, w trybie przepisów K.P.
W ocenie autorów niniejszego artykułu wyjaśnienia Państwowej Inspekcji Pracy nie odzwierciedlają aktualnej sytuacji związanej z szybkim rozprzestrzenianiem się groźnej dla życia i zdrowia ludzi epidemii i powodują jeszcze większe trudności w podejmowaniu przez pracodawców decyzji w związku z zagrożeniem epidemią koronawirusa, których działania mogłyby także przyczynić się do spadku zachorowalności.
Przetwarzanie danych bez zgody
Część komentatorów stoi na stanowisku, że z pomocą może przyjść w tej sytuacji art. 9 ust. 2 lit h) RODO, zgodnie z treścią którego przetwarzanie danych wrażliwych jest możliwe bez zgody podmiotu danych, gdy przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3.
W ocenie autorów, z uwagi na odesłanie w ww. przepisie do art. 9 ust. 3 RODO, przetwarzanie informacji o stanie zdrowia pracownika, w tym uprawnienie do wykonania badania temperatury ciała przysługuje wyłącznie osobom objętym obowiązkiem zachowania tajemnicy zawodowej na mocy przepisów prawa, a więc np. personelowi medycznemu a nie pracodawcy o czym stanowi ww. przepis, który brzmi:
„Dane osobowe, o których mowa w ust. 1 (dane wrażliwe – przyp. autorów), mogą być przetwarzane do celów, o których mowa w ust. 2 lit. h), jeżeli są przetwarzane przez – lub na odpowiedzialność – pracownika podlegającego obowiązkowi zachowania tajemnicy zawodowej na mocy prawa Unii lub prawa państwa członkowskiego, lub przepisów ustanowionych przez właściwe organy krajowe lub przez inną osobę również podlegającą obowiązkowi zachowania tajemnicy zawodowej na mocy prawa Unii lub prawa państwa członkowskiego, lub przepisów ustanowionych przez właściwe organy krajowe.”
Stanowisko PUODO dot. przetwarzania danych przez pracodawców na potrzeby walki z koronawirusem
W tym miejscu dodać należy, że Prezes Urzędu Ochrony Danych osobowych na dzień dzisiejszy (12.03.2020 r.) nie wydał wiążącego stanowiska odnoście przetwarzania danych osobowych przez pracodawców w związku z rozszerzająca się epidemią koronawirusa na terenie Rzeczypospolitej Polskiej, co dodatkowo utrudnia położenie pracodawców i podejmowanie przez nich działań.
12 marca 2020 r. pojawiło się jedynie na stronie UODO ( https://uodo.gov.pl/pl/138/1456) oświadczenie organu, które referuje do ustawy o koronawirusie, która jak już wspomniano wcześniej daje niewielkie możliwości pracodawcom i nie stanowi podstawy prawnej do przetwarzania omawianych danych z inicjatywy samych pracodawców. PUODO przypomina, że zgodnie z ustawą o koronawirusie GIS, a także Prezes Rady Ministrów na wniosek wojewody po poinformowaniu ministra ds. gospodarki jest uprawniony do wydania wiążących poleceń lub decyzji przedsiębiorcom, w tym dot. przetwarzania danych osobowych, w związku z przeciwdziałaniem koronawirusowi.
Art. 207 Kodeksu Pracy jako podstawa prawna przetwarzania danych osobowych w związku z koronawirusem
Takie stanowisko organów powoduje, że pracodawcy (administratorzy danych) mają nadal problem z podejmowaniem samodzielnych decyzji zmierzających do zapewnienia bezpiecznych i higienicznych warunków pracy oraz ochrony życia i zdrowia pracowników, do czego zobowiązani są przecież zgodnie z art. 207 K.P.
Pracodawcy zaczynają upatrywać podstaw prawnych dla zbierania danych o zdrowiu pracowników i osób odwiedzających zakład właśnie w art. 207 K.P. Tutaj należy także zwrócić uwagę na treść art. 9 ust. 2 lit b RODO, który stanowi, że przetwarzanie danych wrażliwych jest możliwe, jeśli:
„Przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą”;
Problem w tym, że przepisy Kodeksu pracy nie dają wprost pracodawcy możliwości do zastosowania ww. przesłanki przetwarzania, a co więcej jeszcze bardziej komplikują sytuację z uwagi na treść art. 221B Kodeksu pracy, (o którym była już mowa wyżej), z którego wynika konieczność uzyskania zgody pracownika na przetwarzanie tych danych osobowych.
W ocenie autorów niniejszego artykułu dużym błędem jest pominięcie w ustawie o koronawirusie ww. materii, bowiem możliwe było uregulowanie w tejże ustawie stosownej podstawy prawnej, określenie zakresu informacji jakie pracodawcy mogą czasowo gromadzić, w tym okresu ich przechowywania oraz warunków jakie muszą spełnić.
Próbując odnaleźć się w gąszczu pojawiających się opinii i interpretacji co do gromadzenia informacji od pracowników lub gości odwiedzających zakład w celu ochrony życia i zdrowia pracowników pomocne może być zapoznanie się ze stanowiskami organów dot. ochrony danych opublikowanymi w innych państwach.
Co na to organ irlandzki?
Ciekawe stanowisko przedstawił irlandzki organ nadzorczy (https://dataprotection.ie/en/news-media/blogs/data-protection-and-covid-19). Według tego organu, art. 9 ust. 2 lit. b) RODO zezwala na przetwarzanie danych osobowych, w tym danych dotyczące zdrowia, po wdrożeniu odpowiednich zabezpieczeń. „Pracodawcy są również prawnie zobowiązani do ochrony swoich pracowników na mocy ustawy o bezpieczeństwie w pracy, zdrowiu i opiece społecznej z 2005 r. (..). Obowiązek ten wraz z art. 9 ust. 2 lit. b RODO stanowi podstawę prawną do przetwarzania danych osobowych, w tym danych dotyczących zdrowia, jeżeli zostanie to uznane za konieczne i proporcjonalne. Wszelkie przetwarzane dane muszą być traktowane w sposób poufny, tj. Wszelka komunikacja z personelem na temat możliwej obecności koronawirusa w miejscu pracy nie powinna zasadniczo identyfikować poszczególnych pracowników.”
Powyższe sugeruje, że pracodawcy irlandzcy mając zbliżone obowiązki jak polscy pracodawcy wynikające z art. 207 K.P. mogą i nawet powinni podejmować czynności w celu ochrony swoich pracowników, w tym gromadzić dane o ich stanie zdrowia, lecz powinni ograniczać kojarzenie danych dot. zdrowia z konkretną osobą. Powyższe można osiągnąć (przykład autorów) np.: poprzez wykonywanie kontroli temperatury anonimowo przy wykorzystania automatu do badania temperatury ciała, który drukowałby kod z tymczasową przepustką w przypadku wejścia na teren zakładu pracy. Gdy temperatura przekraczałaby ustalony poziom, taka osoba nie otrzymałaby wówczas kodu. W takiej sytuacji pracodawca nie zbierałby danych osobowych powiązanych z konkretną osobą, co za tym idzie, nie dochodziłoby do przetwarzania danych osobowych i co znalazłoby się poza reżimem RODO.
Organ irlandzki wypowiedział się również, czy pracodawca może wymagać od wszystkich pracowników i gości budynku wypełnienia kwestionariusza zawierającego informacje na temat ich ostatniej historii podróży dotyczącej krajów zagrożenia koronawirusem oraz podania informacji medycznych, takich jak objawy gorączki, czy wysokiej temperatury itp.
Odpowiadając na to pytanie organ przypomniał, że pracodawcy są prawnie zobowiązani do ochrony zdrowia swoich pracowników i utrzymania bezpiecznego miejsca pracy. Wobec powyższego uzasadnione jest aby pracodawcy zwracali się do pracowników oraz gości zakładów pracy z prośba o przekazanie tych informacji. Organ stoi jednak na stanowisku, że wdrożenie bardziej rygorystycznych wymagań, takich jak kwestionariusz, musiałoby mieć silne uzasadnienie oparte na dokonania analizy ryzyka i zachowaniu zasady proporcjonalności przetwarzania danych osobowych. Powinno to uwzględniać szczególne czynniki organizacyjne, takie jak działalność podróżnicza pracowników związanych z ich obowiązkami, obecność osób wymagających szczególnego traktowania w miejscu pracy oraz wszelkie wskazówki lub wytyczne organów publicznych właściwych do spraw zdrowia.
Co na to inne organy europejskie?
W sprawie możliwości przetwarzania przez pracodawcę danych dot. stanu zdrowia w związku z epidemią koronawirusa, w tym dokonywania pomiaru temperatury ciała pracowników w celu przeciwdziałania rozprzestrzenianiu się koronawirusa, wypowiedziały się już organy nadzorcze Danii i Francji oraz licznych innych państw, które również wskazały, że pracodawca nie ma instrumentów, które legalizowałyby ten proces. Duński organ jednak stwierdził (tutaj) :
„Jeżeli
nie narusza to wyżej wymienionych zasad, duńska agencja ochrony danych uważa,
że w ramach zasad ochrony danych pracodawca może w dużej mierze rejestrować i
ujawniać informacje, które nie są tak szczegółowe i konkretne, że można je
uznać za informacje zdrowotne, gdy sytuacja tego wymaga. Może to być na
przykład:
informacja że pracownik powrócił z tak zwanego „obszaru ryzyka”
lub że pracownik jest w kwarantannie domowej (bez podania przyczyny)
lub że pracownik jest chory (bez podania przyczyny)
W tych okolicznościach uzasadnione będzie również, ażeby pracodawca rejestrował
i ujawniał informacje, które można uznać za informacje zdrowotne, np. że
pracownik jest zarażony nowym koronawirusem.”
W tym miejscu należy zauważyć, że dotychczasowe stanowiska organów nadzorczych innych państw członkowskich odnoście uprawnień pracodawcy z związku z epidemią koronawirusa są praktycznie jednomyślne. Podobne stanowiska rysują się z wydawanych poradników przez organy: Szwecji, Szwajcarii, Turcji, Wielkiej Brytanii, Austrii, Belgii, Czech, Francji, Niemiec, Węgier oraz Holandii. Organ hiszpański stoi nawet na stanowisku, że to po stronie pracowników spoczywa obowiązek poinformowania pracodawcy o swoim pobycie w kraju ryzyka lub samym zarażeniu czy kontakcie z osobą zarażoną, a pracodawca jest uprawniony do żądania ujawnienia tych informacji. Jedynie stanowisko rodzimego PIP jest odmienne, co powoduje znaczne problemy w organizowaniu pracy przez polskich przedsiębiorców.
Co ze zbieraniem przez pracodawcę danych o kraju pobytu?
Z
analizy stanowisk europejskich organów dot. ochrony danych osobowych wynika
jednak, że organy te w większości dopuszczają możliwość zbierania od
pracowników i osób odwiedzających, czy też współpracowników informacji o ich
pobycie w ostatnich dniach w kraju ryzyka. Jak już wspomniano powyżej, dane te
będą stanowiły bowiem dane tzw. zwykłe ,
a więc ich przetwarzanie należy oceniać na gruncie przesłanek art. 6 ust. 1
RODO. Organy te nie wskazują jednak na dopuszczalność gromadzenia danych dot.
zdrowia pracowników i osób odwiedzających np. poprzez badania temperatury
ciała.
Powyższe nie wyklucza jednak wyposażenia przez pracodawcę zakładów w termometry do pomiarów temperatury ciała, tak ażeby każdy zainteresowany mógł dobrowolnie dokonać pomiaru temperatury swojego ciała samodzielnie, co może wpłynąć na jego decyzję o opuszczeniu zakładu pracy oraz niezwłocznym udaniu się do właściwych placówek medycznych lub zawiadomieniu inspektora sanitarnego. Nie jest jednak dopuszczalne gromadzenie przez pracodawców takich informacji.
Należy w tym miejscu zauważyć, że to pracodawca decyduje o tym, kto odwiedza jego zakład pracy i może podjąć decyzję o zakazie wstępu dla wszystkich osób odwiedzających (gości), poza pracownikami i współpracownikami świadczącymi usługi na terenie zakładu pracy do dowołania. Co też może przyczynić się do zmniejszenia ryzyka.
Natomiast zgodnie z art. 2071 K.P. pracodawca może i powinien także edukować pracowników o zagrożeniach, zasadach postępowania i doposażyć personel w środki ochronne. Pracodawca może także działaniami zwiększającymi świadomość personelu wpłynąć ażeby sami świadomie informowali go lub poddawali się dobrowolnej kontroli w zakresie badania temperatury ciała i ich stanie zdrowia. Nie może jednak przymusić pracownika do takiego badania. Jest to sytuacja analogiczna do badania stanu trzeźwości na temat którego, wypowiedział się już Prezes Urzędu Ochrony Danych Osobowych zajmując w tej sprawie restrykcyjne stanowisko.
W kontekście przywołanego stanowiska irlandzkiego oraz duńskiego organu nadzoru oraz biorąc pod uwagę, że informacja o pobycie pracownika lub gościa w kraju ryzyka jest daną zwykłą, dopuszczalność przetwarzania przez pracodawcę takiej informacji należy ocenić w kontekście przesłanek art. 6 ust. 1 RODO. Zdaniem autorów artykułu, preferowana powinna być zgoda podmiotów danych, która w zakresie danych zwykłych może być także dorozumiana z wyraźnego działania osoby której dane dotyczą.
Rozważania wymaga także przesłanka ujęta w art. 6 ust. 1 lit. f) RODO tj: „przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.” Powszechnie uznaje się bowiem, że prawnie uzasadnionym interesem pracodawcy jest kontrola dostępu do zakładu pracy oraz zapewnienie bezpiecznych i higienicznych warunków pracy. Z treści przywołanego już art. 207 K.P. wynika także obowiązek ochrony życia i zdrowia pracowników oraz podejmowania przez pracodawcę środków w celu ochrony tych wartości. Niewątpliwie zatem gromadzenie danych, które pozwolą oszacować ryzyko zakażeń pracowników, a tym samym ograniczyć lub wykluczyć możliwość utraty przez nich zdrowia lub życia, jest działaniem prawnie uzasadnionym. Tak samo jako ewidencjonowanie wejść i wyjść do/z zakładu poprzez legitymowanie osób wchodzących.
W świetle pojawiających się zagrożeń epidemiologicznych, zestawiając prawo do ochrony życia i zdrowia pracowników, z prawem do prywatności, skłonić się można do twierdzenia, że w przypadku gdy powyższa informacja o kraju pobytu zbierana jest od wszystkich osób wchodzących, bez dyskryminowania i podawania szczegółów miejsca pobytu oraz bez wiązania jej w sposób trwały z konkretną osobą wskazaną z imienia i nazwiska, nie będzie naruszała praw i wolności jednostki. Jej interes nie będzie także nadrzędny wobec interesów pracodawcy wynikających z art. 207 K.P. oraz zapewnienia ciągłości działalności.
Należy jednak pamiętać, że przesłanka ta jest mocno powiązana z obowiązkami informacyjnymi , o których mowa w art. 13 RODO oraz prawem sprzeciwu, o którym mowa w art. 21 RODO. Zgodnie jednak z art. 21 ust. 1 RODO sprzeciw zgłoszony przez taką osobę na przetwarzanie ww. informacji musi być rozpatrzony indywidualnie, lecz nie powoduje konieczności bezwzględnego zaprzestania przetwarzania tych danych. Nie można zgodzić się także ze stanowiskiem PIP, że niewpuszczenie pracownika na teren zakładu z obiektywnego powodu na występujące ryzyko jego infekcji na skutek pobytu w kraju ryzyka oraz skierowanie go do pracy zdalnej czy też czasowego zwolnienia z obowiązków jej świadczenia przez okres kwarantanny domowej, może być podstawą zarzutu mobbingu lub nękania. Powyższe bowiem musiałoby być ukierunkowane konkretnie w tego pracownika, a przy tym nie wypełnia znamion kwalifikacyjnych dla uznania powyższego za mobbing lub nękanie.
Podsumowując, na te chwilę wydaje się, że pracodawca może zbierać informacje o pobycie pracownika lub gościa zakładu pracy w kraju zagrożenia koronawirusem legalizując ten proces w oparciu o zgodę podmiotu danych lub też wykazując swój prawnie uzasadniony interes.
W przypadku przetwarzania danych osobowych w ramach dokonywania pomiaru temperatury ciała, wymagana byłaby już zgoda wyraźna o czym stanowi art. 9 ust. 2 lit. a) RODO, co znajduje również odzwierciedlenie w treści art. 221B Kodeksu pracy odnoście pracowników.
mec. Piotr Stankiewicz oraz mec. Konrad Czaplicki