- Narodowy Program Szczepień nie stanowi podstawy do zbierania danych przez pracodawców, bo nie jest źródłem prawa. Pracodawca, zbierając dane pracowników chętnych do zaszczepienia się, powinien legitymować się inną przesłanką - wyjaśnia money.pl rzecznik prasowy Urzędu Ochrony Danych Osobowych Adam Sanocki.
Na odpowiedzi na nasze zapytanie Sanocki zwraca uwagę na art. 9 ust. 2 RODO. Przepis ten zawiera szereg przesłanek dopuszczających przetwarzanie szczególnych danych, czyli np. tych o zdrowiu. Pracodawca powinien zatem spełnić co najmniej jeden z nich, aby móc przetwarzać dane o stanie zdrowia pracowników.
Specjalnymi przesłankami w tym przypadku są m.in. zgoda pracownika na przetwarzanie danych (choć z nią sytuacja nie jest tak klarowna, o czym za chwilę), ale także w przypadku, gdy przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, lub też np. gdy przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby. Pełną listę przesłanek znajdziesz tutaj.
Przesłanek tych jest jednak więcej. Na jedną z nich zwracał uwagę w rozmowie z money.pl dr Maciej Kawecki, dziekan Wyższej Szkoły Bankowej. Tłumaczył, że jeżeli przyjąć, że "zaszczepienie się jest informacją o stanie zdrowia", to należy pamiętać o tym, że "interes publiczny przemawia za tym, żeby pracodawca przetwarzał dane o szczepieniu pracowników".
Rzecznik UODO poniekąd zgadza się z ekspertem. Zastrzega jednak, że szczególna kategoria danych, o których mowa w art. 9 RODO (czyli tych dotyczących m.in. zdrowia), dotyczy wyłącznie osób już zaszczepionych, co potwierdzają wytyczne Europejskiej Rady Ochrony Danych Osobowych. Natomiast dane osób dopiero chcących się zaszczepić, do kategorii szczególnych danych nie należą.
- RODO dopuszcza przetwarzanie danych o zdrowiu m.in. gdy jest to niezbędne w interesie publicznym lub ze względu zdrowia publicznego o ile jest to oparte na podstawie prawnej określonej w krajowych lub unijnych regulacjach - tłumaczy Sanocki.
- Zatem pracodawca, chcąc przetwarzać dane osobowe pracownika w postaci danych o stanie zdrowia, powinien wykazać się jedną z przesłanek określonych w art. 9 ust. 2 RODO dopuszczających przetwarzanie tej kategorii danych - dodaje.
Zgoda pracownika nie musi być skuteczną przesłanką
Rzecznik Urzędu zawraca uwagę na przesłankę zawartą w art. 9 ust. 2 RODO, która umożliwia przetwarzanie danych, jeżeli ich właściciel udzielił na to wyraźną zgodę. Sanocki zastrzega przy tym, że zgoda ta "nie powinna jednak stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji".
Cytuje przy tym motyw 43 RODO przewidujący, że między właścicielem danych a ich administratorem może występować "wyraźny brak równowagi". Za sprawą tegoż braku jest zatem "mało prawdopodobne, by w tej konkretnej sytuacji zgodę wyrażono dobrowolnie we wszystkich przypadkach".
- Wątpliwości w ocenie Prezesa UODO budzi zatem uznanie zgody za podstawę legalizującą przetwarzanie danych dotyczących zdrowia w sektorze zatrudnienia, a zatem w relacji pracodawca-pracownik, w której występuje nierówność tych podmiotów - tłumaczy Adam Sanocki.
Jeżeli zatem pracodawca przetworzy dane o zdrowiu pracowników za sprawą zgody samego zatrudnionego, to powinien spełnić określone warunki.
- Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia - mówi rzecznik UODO.
- Zgoda powinna również dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele - dodaje.
GIS może nakazać pracodawcy zbierać dane
Rzecznik zwraca również uwagę na fakt, że Kodeks pracy wyraźnie reguluje zakres danych, które może przetwarzać pracodawca. Może on jednak żądać od pracownika podania także danych osobowych, w stosunku do których obowiązek ich podania wynika z odrębnych przepisów prawa.
Pewną furtkę w tym zakresie uchyliła stawa o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych. Adam Sanocki zwraca uwagę, uprawnienia, jakie dała ta ustawa Głównemu Inspektorowi Sanitarnemu.
Zgodnie z jej zapisami GIS może wydać decyzję, w której zobowiąże "różne podmioty do pozyskiwania danych na potrzeby walki z koronawirusem". Może również określić zasady, w jaki sposób ów podmiot ma pozyskać te dane, a także komu powinien je przekazać. GIS może wyznaczyć również czas, przez jaki dane te powinny być przetwarzane.
- Z punktu widzenia UODO istotne jest, by administratorzy dysponowali podstawą do przetwarzania danych osobowych. A zgodnie z przywołaną wyżej specustawą decyzja GIS wydana na podstawie tych regulacji może być taką podstawą - kończy rzecznik Urzędu Ochrony Danych Osobowych.
