Rozprzestrzenianie się koronawirusa SARS-CoV-2 stanowi najpoważniejsze wyzwanie dla ludzi, gospodarki i państwa, przed jakim stanęliśmy w ostatnich kilkudziesięciu latach.
I rzeczywiście trzeba przyjąć, że jest to nadzwyczajna sytuacja, wymagająca nadzwyczajnych środków, które zresztą bardzo szybko są wdrażane.
Czy RODO jest w tej sytuacji przeszkodą, jak twierdzą niektórzy? Z jednej strony uważa się, że blokuje dostęp do niezbędnych informacji i utrudnia walkę z pandemią, a z drugiej w związku z tak wysokim zagrożeniem życia i zdrowia jest ignorowane (by nie powiedzieć naruszane). Dobrze się zatem stało, że wypowiedział się w tej kwestii Urząd Ochrony Danych Osobowych, którego stanowisko postanowiliśmy przeanalizować.
Zdaniem organu nadzorczego działania polegające na przetwarzaniu danych osobowych w celu zapobiegania rozprzestrzenianiu się wirusa nie mogą być blokowane przez przepisy o ochronie danych osobowych. Narzędzia, którymi mogą posłużyć się przedsiębiorcy, mają podstawę m.in. w ustawie o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych („specustawa”), a także w zaleceniach Głównego Inspektora Sanitarnego oraz Prezesa Rady Ministrów[1]. Warto zwrócić uwagę na pierwsze zdanie, które wskazuje na słuszne założenie, że ochrona zdrowia i życia jest najwyższą wartością i RODO nie może blokować działań mających na celu ochronę tychże dóbr. Przez ten pryzmat trzeba patrzeć na to co urząd napisał, a co ważniejsze czego nie wyraził wprost.
Zgodnie z art. 17 specustawy Główny Inspektor Sanitarny lub działający z jego upoważnienia państwowy wojewódzki inspektor sanitarny może wydawać pracodawcom m. in. decyzje nakładające obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych i współdziałania z innymi organami administracji publicznej oraz organami Państwowej Inspekcji Sanitarnej. Polecenia w formie decyzji administracyjnych o natychmiastowej wykonalności mogą być wydawane przez Prezesa Rady Ministrów. Pracodawca może również polecić pracownikowi wykonywanie, przez czas oznaczony, pracy określonej w umowie o pracę, poza miejscem jej stałego wykonywania (praca zdalna)[2].
Prezes Urzędu Ochrony Danych Osobowych zaznacza, że powyższe przepisy nie stoją w sprzeczności z RODO. Przywołuje przy tym motyw 46 RODO legalizujący przetwarzanie danych osobowych w przypadkach, gdy jest to niezbędne do ochrony interesu, który ma istotne znaczenie dla życia osoby której dane dotyczą. Jako podstawę przetwarzania danych w związku z rozprzestrzenianiem się koronawirusa urząd wskazał art. 9 ust. 2 lit. i RODO tj. przepis który stanowi, że: „przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego (…)” oraz art. 6 ust. 1 lit. d RODO, który mówi, że „przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej”. Urząd wskazując wyżej wymienione przesłanki w określonych kontekstach pominął jednak kilka istotnych elementów procesu zbierania danych w celu przeciwdziałania wirusowi. Nie wiemy czy legalne jest zbieranie informacji o tym, gdzie pracownik przebywał? Czy mierzenie temperatury to pozyskiwanie danych szczególnie wrażliwych oraz co równie ważne czy w każdej sytuacji mamy do czynienia ze stosowaniem RODO? Spróbuję poniżej rozwiać kilka z tych wątpliwości.
Legalność zbierania informacji o podróżach
Od strony praktycznej kwestią budzącą niepewność jest możliwość zbierania danych dotyczących podróży pracowników, członków personelu oraz osób przebywających na terenie zakładu pracy. W naszej ocenie Pracodawca aby zapewnić bezpieczeństwo na terenie zakładu pracy nie powinien pytać bezpośrednio pracowników o to, gdzie dokładnie spędzili urlop w ostatnim czasie, lub gdzie planują się udać, ale kierując się prawnie uzasadnionym interesem, jakim jest zapewnienie bezpieczeństwa na terenie zakładu pracy (co jest zresztą obowiązkiem pracodawcy wzmocnionym ewentualną odpowiedzialnością karną w razie jego zaniechania) w pełni dopuszczalne wydaje się odebranie od pracownika oświadczenia, czy przebywał w ostatnim czasie na obszarach zagrożonych koronawirusem[3] lub miał / mógł mieć styczność z osobami zarażonymi/ potencjalnie zarażonymi. W ocenie ekspertów Omni Modo odebranie oświadczeń (przetwarzanie danych w powyższym celu) można oprzeć na przesłance wskazanej w art. 6 ust. 1 lit. d RODO (przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej). W licznych komentarzach odnoszących się do tego problemu wskazuje się także na inne przesłanki, nie negując ich, naszym zdaniem wskazana przez nas jest najbardziej odpowiednia.
Legalność pomiarów temperatury
Inny problem stanowi dokonywanie pomiarów temperatury ciała osób wchodzących na dany obszar. Niestety urząd pominął to zagadnienie, a szkoda bo jest to bardzo ważne z punktu widzenia pracodawców i zarządzających przedsiębiorstwami. Zacznijmy od tego, że w sytuacji gdy wyniki pomiaru nie są wprowadzane do jakiejkolwiek systemu czy nawet intencjonalnie do papierowego zbioru danych (są tylko prostym odczytem – informacją) RODO nie będzie miało zastosowania (dane nie będą przechowywane w zbiorze)[4]. Stanowisko takie, konsekwentnie zresztą prezentowane przez ekspertów Omni Modo już od pewnego czasu (z identycznym rozwiązaniem mamy do czynienia w przypadku badania alkomatem) podzielane jest także przez część prawników zajmujących się RODO [5]. Można mieć także wątpliwości czy taki pomiar temperatury to dane szczególnie chronione, ale pomijając to, zarówno w art. 6 jak i 9 RODO są przesłanki pozwalające naszym zdaniem na takie działania.
Reasumując, pomimo nadal trwającego w pewnym zakresie stanu niepewności, RODO z całą pewnością nie stoi na przeszkodzie normalnym i uzasadnionym sytuacją działaniom związanym z zapobieganiem, przeciwdziałaniem i zwalczaniem koronawirusa COVID-19.
[1] https://uodo.gov.pl/pl/138/1456;
[2] Art. 2 Ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych;
[3] https://gis.gov.pl/aktualnosci/komunikat-dla-podrozujacych-nr-31-24-lutego-2020-r-opracowano-na-podstawie-danych-ecdc-oraz-who;
[4] art. 2 ust. 1 RODO: „Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych”;
[5] https://serwisy.gazetaprawna.pl/praca-i-kariera/artykuly/1459250,pracodawcy-wolno-mierzyc-temperature-i-pytac-o-urlop.html.
