Rozporządzenie RODO a pomiar temperatury ciała pracowników i/lub gości odwiedzających firmę

Rozporządzenie RODO a pomiar temperatury ciała pracowników i/lub gości odwiedzających firmę jako środek zapobiegający rozpowszechnianiu wirusa COVID-19 (2020-03-19)

Czy pracodawca może dokonywać pomiaru temperatury pracowników i/lub osób odwiedzających firmę?


Uwaga: niniejszy materiał nie oddaje osobistego stanowiska autora w odniesieniu do przedmiotowego zagadnienia. Jest jedynie analizą stanu prawnego na dzień 2020-03-19


Dane o stanie zdrowia zaliczane są szczególnych kategorii danych osobowych, o których mowa w artykule 9 Rozporządzenia RODO. Danymi osobowymi szczególnych kategorii zgodnie z tym artykułem (art. 9, ust. 1) są dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, zabrania się również przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.

W artykule tym (RODO, art. 9) zostały wyszczególnione warunki, w przypadku których zakaz dotyczący przetwarzania danych osobowych szczególnych kategorii nie ma zastosowania. Oznacza to, że spełnienie minimum jednego z tych warunków umożliwia zgodne z prawem przetwarzanie tego rodzaju danych osobowych, w tym danych o stanie zdrowia, do których zaliczyć można informację dotyczącą temperatury ciała.


Potencjalne podstawy prawne do przetwarzania danych z art. 9 Rozporządzenia RODO (danych szczególnych w tym o stanie zdrowia) przedstawione zostały poniżej wraz z komentarzami odnoszącymi się do ich potencjalnego zastosowania w sytuacji, kiedy zamierzamy przetwarzać dane dotyczące temperatury pracowników i/lub osób odwiedzających naszą firmę:

  1. Rozporządzenie RODO, art. 9, ust 2 lit a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych.
    Zgoda będzie w tym wypadku zawsze wymuszona. W każdej chwili jest to możliwe do podważenia, że pracownik lub klient po prostu nie mieli innego wyjścia tylko podpisać zgodę. Zbieranie nadmiarowych zgód w przypadku, gdy rzeczywiście to nie zgoda jest podstawą do przetwarzania danych lub zbieranie wymuszonych zgód może zakończyć się karą. W Polsce jeszcze to nie miało miejsca, ale np. w Grecji ich organ nadzoru (APDPC /HDPA, grecki odpowiednik UODO) ukarał PWC Business Solutions karą, w wysokości ok 150 000,00 Euro za to, że Spółka przetwarzając dane osobowe swoich pracowników naruszyła zasady legalności, rzetelności i przejrzystości. Dotyczyło to między innymi faktu, że Spółka przetwarzała dane pracowników pozyskując na to od nich zgodę. Oznaczało to według greckiego organu nadzoru, że Spółka dawała pracownikom fałszywe wrażenie, że przetwarza ich dane na podstawie udzielonej zgody (Rozporządzenie RODO art. 6 ust 1 lit a)) podczas gdy rzeczywiście dane były przetwarzane na innej podstawie. (źródło: https://lawnet.gr/law-news/gdpr).

  2.  

  3. Rozporządzenie RODO, art. 9, ust 2 lit b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą.
    Była by to idealna podstawa do tego abyśmy mogli przetwarzać takie dane, gdybyśmy posiadali przepisy prawa (unijnego lub krajowego), które umożliwiałyby nam takie przetwarzanie.

  4.  

  5. Rozporządzenie RODO, art. 9, ust 2 lit c) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody.
    Możliwe było by zastosowanie tej regulacji pod warunkiem, że pracownik albo osoba odwiedzająca firmę była by fizycznie lub prawnie niezdolna do wyrażenia zgody – musiałaby być nieprzytomna, ale wtedy pomiar temperatury byłby bezcelowy, czyli pomiar temperatury też byłby niezgodny z prawem, ponieważ wtedy należy wezwać służby ratunkowe.

  6.  

  7. Rozporządzenie RODO, art. 9, ust 2 lit d) przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą.
    Nie ma zastosowania w tym przypadku

  8.  

  9. Rozporządzenie RODO, art. 9, ust 2 lit e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą.
    Nie ma zastosowania w tym przypadku

  10.  

  11. Rozporządzenie RODO, art. 9, ust 2 lit f) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy.
    Nie ma zastosowania w tym przypadku

  12.  

  13. Rozporządzenie RODO, art. 9, ust 2 lit g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.
    Podstawa, która mogła by być wykorzystana przez pracodawców w przypadku, jeśli ten pomiar temperatury wraz np. z innymi czynnościami ograniczającymi rozwój pandemii byłby wskazane w przepisach prawa do realizacji ze względów na ważny interes publiczny.

  14.  

  15. Rozporządzenie RODO, art. 9, ust 2 lit h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3.
    Warunek ten mógłby być wykorzystany jako podstawa do przetwarzania danych o stanie zdrowia (jak temperatura ciała), jeśli pracodawca posiadałby na mocy przepisów prawa UE lub prawa krajowego uprawnienia do realizacji zadań niezbędnych do osiągnięcia tych celów. Uprawnienia takie posiadają jednak, jedynie uprawnione podmioty oraz zawody zgodnie z przepisami o ochronie zdrowia.

  16.  

  17. Rozporządzenie RODO, art. 9, ust 2 lit i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową.
    Analogicznie jak w powyższym przypadku, aby móc użyć tego warunku jako podstawy prawnej do przetwarzania danych o stanie zdrowia musi to być określone w przepisach prawa UE lub przepisach prawa krajowego.

  18.  

  19. Rozporządzenie RODO, art. 9, ust 2 lit j) przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.
    Nie ma zastosowania w tym przypadku.

Jak wynika z powyższego możliwe jest teoretycznie zastosowanie jako podstawy prawnej przetwarzania danych dotyczących stanu zdrowia (temperatury ciała) kilku warunków w tych przedstawionych w:

  1. RODO, art. 9, ust 2 lit b)

  2. RODO, art. 9, ust 2 lit g)

  3. RODO, art. 9, ust 2 lit h)

  4. RODO, art. 9, ust 2 lit i)

Aby możliwe było zastosowanie tych warunków niezbędne jest jednak, aby zostało to określone w konkretnych przepisach prawa w formie uprawnień lub obowiązków dla pracodawców lub przedsiębiorców.

Czy takie przepisy istnieją lub czy zostały wprowadzone w związku z obecną sytuacją związaną z rozprzestrzenianiem się pandemii spowodowanej przez COVID-19.?

W związku z pogarszającą się sytuacją w kraju oraz na świecie prawodawca opublikował na początku marca specustawę dotyczącą zapobiegania, przeciwdziałania i zwalczania CoViD-19 (ustawa z dnia 2 marca 2020r., DZ.U.2020 poz. 374 o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych). Niestety ani w tej ustawie ani w rozporządzeniu, w którym ogłoszono na obszarze Polski stan zagrożenia epidemicznego (Rozporządzenie MZ z dnia 13 marca 2020r., DZ.U. 2020 poz. 433 z późniejszymi zmianami) nie znalazły się przepisy jednoznacznie nadające przedsiębiorcom /pracodawcom tego typu uprawnienia lub nakładające obowiązki związane z pomiarem temperatury ciała pracowników i/lub osób wchodzących na teren firmy.


Poszukajmy w takim razie gdzie indziej.
Sprawdźmy, czy tematem tym zainteresował się już sam Urząd Ochrony Danych Osobowych.

Zarówno Prezes Urzędu Ochrony Danych Osobowych jaki i Przewodnicząca Europejskiej Rady Ochrony Danych podchodzą bardzo zachowawczo do tematu przetwarzania danych osobowych w świetle obecnej pandemii. W swoich wypowiedziach powołują się na przepisy prawne wprowadzane w związku z zaistniałą sytuacją. Z tych z kolei wynika to co przedstawiono powyżej – nic jednoznacznego. Na stronie UODO (www.uodo.gov.pl) obecnie znajdują się 3 artykuły odnoszące się do COVID-19, które tematycznie związane są z przedmiotowym zagadnieniem pomiaru temperatury u pracowników i gości odwiedzających firmę.

 

Jednym z tych artykułów jest opublikowane przez UODO „Oświadczenia przewodniczącej EROD ws. przetwarzania danych osobowych w kontekście pandemii COVID-19” (art. z dnia 2020-03-16, www.uodo.gov.pl/pl/138/1458). Przewodnicząca EROD stwierdziła, że obecne przepisy (przede wszystkim RODO) nie utrudniają działań podejmowanych w walce z pandemią koronawirusa. Jednak, co zostało podkreślone w oświadczeniu: „[…] nawet w tych wyjątkowych czasach administrator musi zapewnić ochronę danych osobowych osób, których one dotyczą”. Z treści ogłoszenia wynika, że daje podstawy prawne umożliwiające pracodawcom przetwarzanie danych osobowych w kontekście epidemii, bez konieczności uzyskiwania zgody osoby, której dane dotyczą. Te podstawy prawne (warunki z artykułu 9 Rozporządzenie RODO) do przetwarzania danych osobowych szczególnych kategorii (w tym o stanie zdrowia, czyli wyników pomiaru temperatury) zostały przedstawione powyżej.

 

Kolejne dwa artykuły, czyli: „Oświadczenie Prezesa UODO w sprawie koronowirusa” z dnia: 2020-03-12 (www.uodo.gov.pl/pl/138/1456) oraz „Globalna współpraca na rzecz ochrony danych i walki z koronawirusem” (www.uodo.gov.pl/pl/138/1460) z dnia 2020-03-18 w zakresie przedmiotowego przypadku oraz obszaru naszego kraju dotyczą właściwie tych samych kwestii. Drugi z artykułów prowadzi do strony, na której opublikowane zostały linki do oświadczeń poszczególnych organów ds. ochrony danych osobowych (naszego UODO i odpowiedników naszego UODO z innych krajów członkowskich). Po kliknięciu w link odnajdujemy oświadczenie Prezesa UODO i po kliknięciu w link przechodzimy do anglojęzycznej wersji „Oświadczenie Prezesa UODO w sprawie koronowirusa” z dnia: 2020-03-17 (www.uodo.gov.pl/en/553/1103).

Z treści niniejszego oświadczenia wynika jednoznacznie, że przetwarzać dane dotyczące stanu zdrowia można, ale trzeba to robić zgodnie z Rozporządzeniem RODO oraz że wprowadzone przepisy dotyczące zapobiegania rozprzestrzenianiu się COVID-19 nie stoją w sprzeczności z Rozporządzeniem RODO.
W oświadczeniu tym znalazło się jednak istotne wskazanie. Prezes UODO zwrócił uwagę na artykuł 17 wspomnianej wcześniej ustawy z dnia 2 marca 2020r. (DZ.U.2020 poz. 374) o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych, w którym prawodawca napisał co następuje:

 

“Art. 17. W ustawie z dnia 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej (Dz. U. z 2019 r. poz. 59 oraz z 2020 r. poz. 322) w art. 8a dodaje się ust. 5–9 w brzmieniu:
5. Główny Inspektor Sanitarny lub działający z jego upoważnienia państwowy wojewódzki inspektor sanitarny może wydawać osobom prawnym, osobom fizycznym i jednostkom organizacyjnym nieposiadającym osobowości prawnej, w szczególności podmiotom wykonującym działalność leczniczą, pracodawcom, […]
  1) decyzje nakładające obowiązek:
     a) podjęcia określonych czynności zapobiegawczych lub kontrolnych […],
     b) […]
     c) […]
  2) zalecenia i wytyczne określające sposób postępowania w trakcie realizacji zadań
– w przypadku stanu zagrożenia epidemicznego, stanu epidemii albo w razie niebezpieczeństwa szerzenia się zakażenia lub choroby zakaźnej, które może stanowić zagrożenie dla zdrowia publicznego, w szczególności wystąpienia choroby szczególnie niebezpiecznej lub wysoce zakaźnej, o których mowa w przepisach o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi.
6. Do decyzji, o których mowa w ust. 5 pkt 1, stosuje się przepisy ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256), […] ”

 

Dlaczego Prezes UODO wskazał na ten artykuł. Ponieważ na mocy tych regulacji prawnych GIS (Główny Inspektor Sanitarny) lub WIS (Wojewódzki Inspektor Sanitarny) mogą wydać zalecenia i wytyczne, w tym dla pracodawców, określające sposób postępowania w trakcie realizacji zadań w razie niebezpieczeństwa szerzenia się zakażenia lub choroby zakaźnej, które może stanowić zagrożenie dla zdrowia publicznego. Takie wydane przez uprawnione instytucje zalecenia i wytyczne, których należy przestrzegać, mogłyby stanowić podstawę prawną dla przedsiębiorców /pracodawców umożliwiającą im przetwarzanie danych osobowych o stanie zdrowia pracowników i gości (w zakresie wyników pomiarów temperatury). Takie wydane zalecenia i wytyczne stanowiłyby, na mocy specustawy, krajową podstawą prawną do przetwarzania danych z artykułu 9 w ramach wyszczególnionych wyżej warunków. Jeśli GIS lub WIS przedstawią takie zalecenia i wytyczne wówczas podstawą do przeprowadzania pomiarów temperatury pracowników i gości będzie jeden z niżej przedstawionych warunków. Zakaz przetwarzania danych osobowych szczególnych kategorii nie ma zastosowania, gdy:

     

  • Rozporządzenie RODO, art. 9, ust 2 lit g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.

  •  

  • Rozporządzenie RODO, art. 9, ust 2 lit h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3.

  •  

  • Rozporządzenie RODO, art. 9, ust 2 lit i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, […]

Niestety GIS na swoich stronach pomimo publikacji licznych komunikatów i informacji nie wskazał zaleceń i wytycznych dla pracodawców w zakresie pomiaru temperatury ciała pracowników i/lub osób odwiedzających firmę jako środka odnoszącego się do ryzyka rozwoju pandemii wywołanej przez COVID-19. W dniu 18 marca 2020r. na swojej stronie GIS opublikował artykuł: „Koronawirus: informacje i zalecenia – portal.gov.pl”. W artykule tym znajduje się przekierowanie na serwis rządowy: www.gov.pl/web/koronawirus, na którym znajdują się oficjalne komunikaty, informacje, porady zatwierdzone przez Ministerstwo Zdrowia i Główny Inspektorat Sanitarny. Idąc za wskazaniami linków docieramy do strony, na której wybieramy interesującą nas zakładkę tematyczną: dla przedsiębiorców: www.gov.pl/web/koronawirus/informacje-dla-przedsiebiorcow. Na stronie, na którą zostajemy przekierowani po kliknięciu na tę zakładkę, ukazują się nam kolejne linki. Najbardziej interesującym z przedmiotowego punktu widzenia tego opracowania jest: artykuł zatytułowany: “Przeczytaj także informacja dla przedsiębiorców, które przygotowaliśmy w porozumieniu z GIS“. W tym miejscu znajduje się kilkanaście zaleceń dla przedsiębiorców w związku z rozprzestrzenianiem się koronawirusa. Niestety wśród nich nie ma nic o przeprowadzaniu profilaktycznego pomiaru temperatury ciała pracowników i/lub gości odwiedzających firmę. W związku z brakiem takich wytycznych na mocy Rozporządzenia RODO nie mamy podstawy prawnej do przetwarzania tych danych, stąd też nie możemy takich pomiarów przeprowadzać.

 

W przypadku Wojewódzkich Inspektoratów Sanitarnych na stronach Wojewódzkich Stacji Sanitarno-Epidemiologicznych najczęściej znajdujemy te same informacje i przekierowania do tych samych informacji z którymi mamy do czynienia na stronie www.gis.gov.pl.


W związku z powyższym pozostaje nam znalezienie innej podstawy prawnej, która umożliwiła by pracodawcy prowadzenie pomiaru temperatury ciała pracowników i/lub osób odwiedzających przedsiębiorstwo.

Mamy np. Kodeks Pracy, który wymaga od pracodawcy zapewnienia dla pracowników bezpiecznych i higienicznych warunków pracy (Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy. Z późniejszymi zmianami: http://prawo.sejm.gov.pl/Kodekspracy).

W tym przypadku warunkiem, dodatkowym do wyżej wymienionych (art. 9 ust 2 lit g) h), i), który moglibyśmy wykorzystać, mógłby być warunek, zgodnie z którym zakaz przetwarzania danych osobowych szczególnych kategorii nie ma zastosowania gdy: przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą, RODO, art. 9, ust.2 lit. b).

Kodeks Pracy. Dział 10, BHP; Rozdział I, Podstawowe obowiązki pracodawcy. Z artykułu 207 paragraf 1 i 2 wynika, że Pracodawca ponosi odpowiedzialność za stan bezpieczeństwa i higieny pracy w zakładzie pracy oraz że jest obowiązany chronić zdrowie i życie pracowników przez zapewnienie bezpiecznych i higienicznych warunków pracy przy odpowiednim wykorzystaniu osiągnięć nauki i techniki. W dalszej części zostały wymienione szczegółowe obowiązki pracodawcy w tym zakresie.

Czy w związku z takimi wymaganiami przedstawionymi w Kodeksie Pracy pracodawca chcąc dopełnić tych obowiązków w świetle obecnej pandemii spowodowanej przez COVID-19 może w ramach zapewnienia tych bezpiecznych warunków pracy przeprowadzać pomiar temperatury ciała pracowników i/lub gości odwiedzających firmę. W końcu celem tego jest niedopuszczenie do kontaktu osoby potencjalnie zarażonej, będącej nosicielem wirus COVID-19 z innymi pracownikami i osobami przebywającymi na terenie firmy. Przecież w ten sposób dbamy o to, aby wirus nie przeszedł na inne osoby, dbamy o bezpieczeństwo tych osób, o ich zdrowie. Możliwe jest użycie tych przepisów jako podstawy do tego, aby stosując ze względu na charakter przepisów warunek RODO, art. 9, ust 2 lit b), przetwarzać dane osobowe szczególnych kategorii. W związku z tym zgodnie z przepisami prawa pracodawca mógłby zgodnie z prawem dokonywać pomiaru temperatury ciała pracowników i/lub gości odwiedzających firmę. Jednak pamiętajmy o tym co jest podstawowym celem Rozporządzenia RODO określonym w artykule 1 ust. 2. „Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych”. W związku z tym, jeśli osoba, w przypadku której przeprowadziliśmy pomiar temperatury uzna, że zostały naruszone jej podstawowe prawa i wolności może przedłożyć do Urzędu Ochrony Danych Osobowych stosowną skargę (korzystając z dostępnych na stronie UODO narzędzi i informacji: www.uodo.gov.pl/skargi). Obowiązki nałożone na pracodawcę na mocy Kodeksu Pracy z zakresu BHP nie dają mu bowiem możliwości łamania praw i wolności osób i zmuszania ich do podawania informacji o swoim stanie zdrowia. Do PUODO będzie należało przeprowadzenie analizy oraz oceny czy swoim postępowaniem przedsiębiorca nie przekroczył swoich uprawnień, przez co naruszył podstawowe prawa do ochrony danych osobowych swojego pracownika lub osoby odwiedzającej jego firmę.


Czy są jakieś inne przepisy, np. przepisy branżowe?

W przypadku kilku branż istnieją przepisy, które można zastosować jako uzasadnienie konieczności przeprowadzania badania stanu zdrowia pracowników. Dotyczy to tych branż, które wymagają od przedsiębiorcy przeprowadzenia oceny poziomu ryzyka dla zagrożeń, które mogą mieć wpływ na zdrowie konsumentów. Do branż takich zaliczyć można między innymi spożywczą, farmaceutyczną, kosmetyczną, w tych branżach w których w ramach działalności muszą funkcjonować Dobre Praktyki Produkcyjne /Dobre Praktyki Wytwarzania. W tych zakładach, w których kontakt osoby będącej nosicielem wirusa COVID-19 może doprowadzić do wystąpienia zagrożenia biologicznego dla konsumenta uzasadnionym jest dopuszczać do kontaktu z tymi produktami wyłącznie osoby zdrowie. Dotyczy to zarówno pracowników jak i innych osób, których miałyby dostęp do pomieszczeń produkcyjnych. Oczywiście nie dotyczy to od razu wszystkich zakładów z tych branż. Aby zastosować przepisy branżowe określone musiałoby być spełnione takie warunki jak na przykład: brak możliwości wyeliminowania zagrożenia biologicznego w ramach kolejnych etapów procesu technologicznego czy też możliwość przeżycia wirusa do momentu kiedy produkt znajdzie się u konsumenta. Zagadnienie to nie dotyczy jednak ogółu przedsiębiorstw i jest wystarczająco obszernym zagadnieniem na opracowanie podobnie obszernego artykułu. Podsumowując jednak – w przypadku pewnych branż, część jej przedstawicieli ma możliwość zastosowania jako podstawy prawnej do przetwarzania tego typu danych jak stan zdrowia pracowników (temperatura ciała), przepisów dotyczących Dobrych Praktyk Produkcyjnych /Dobrych Praktyk Wytwarzania oraz przepisów dotyczących obowiązku zapewnienia produktów bezpiecznych dla konsumentów.


Jak można sobie poradzić z problemem w innych przedsiębiorstwach, które nie mają takiej możliwości?

Ciekawym pomysłem wydawać by się mogło stworzenie takich warunków, aby pracownik lub osoba odwiedzająca firmę mogła przeprowadzić pomiar temperatury samodzielnie. Wymagałoby to oczywiście stworzenia odpowiednich warunków, nie tylko ze względu na potrzebę zapewnienia odpowiedniego poziomu bezpieczeństwa danych osobowych (to nie powinno być trudne, jeśli wyniki nie były by w żaden sposób utrwalane), co odpowiednich warunków sanitarnych. Należałoby zapewnić takie warunki, aby w przypadku, jeśli wśród dokonujących samodzielnego pomiaru osób znalazłaby się osoba chora, nie było możliwości zarażenia się osób, które przeprowadzałyby tę czynność po niej (w tym samym środowisku, z zastosowaniem tych samych elementów infrastruktury i sprzętu pomiarowego).

Podobnie ciekawym pomysłem wydaje się przeprowadzanie badań bez identyfikowania osoby, która jest badana. Problematycznym jednak wydaje się jednak fakt stworzenia takich warunkach że anonimowość ta będzie pełna, nie będzie tymczasowa (na chwilę badania) oraz że nie będzie iluzoryczna zarówno względem osób o normalnej temperaturze jak i tych o podwyższonej temperaturze.

Po co bowiem przeprowadza się takie pomiary, po to, aby zidentyfikować osobę, która może być potencjalnym nosicielem wirusa, aby nie dopuścić do jej kontaktu z pracownikami firmy i innymi osobami przebywającymi na terenie firmy. Z tego względu, jeśli osoba po dokonanym pomiarze przekazałaby jakiekolwiek informacje o swoim stanie zdrowia w jakikolwiek sposób innej osobie (np. pracownikowi pilnującemu, aby każdy wchodzący na teren firmy przeprowadzał samobadanie temperatury) mielibyśmy już do czynienia z przetwarzaniem danych osobowych szczególnej kategorii.


Niestety obecny stan prawny, nawet wprowadzona na początku marca specustawa, nie daje jednoznacznego prawa pracodawcom do tego, aby w ramach dbania o własnych pracowników oraz bezpieczeństwo publiczne przeprowadzali badanie temperatury ciała swoich pracowników i osób odwiedzających firmę. Jak zostało przedstawione powyżej, teoretycznie są przesłanki i podstawa prawna, którą można wykorzystać do przetwarzania danych szczególnej kategorii jakimi są dane dotyczące stanu zdrowia. Jeśli jednak osoba, której te dane dotyczą (podmiot danych) uzna, że zostały naruszone jej podstawowe prawa w odniesieniu do przetwarzania jej danych osobowych, może zaistnieć konflikt, który rozwiązać będzie mógł tylko Urząd Ochrony Danych Osobowych a najprawdopodobniej finalnie tylko prawomocny wyrok sądu.

 

Należy mieć na uwadze fakt, że temat pomiaru temperatury ciała i dopuszczania do pracy wyłącznie osób zdrowych (nie wykazujących podwyższonej temperatury) jest podobny do tematu badania alkomatem . Urząd Ochrony Danych Osobowych powołując się na Rozporządzenie RODO oraz obowiązujące przepisy jasno określił że: „obecny stan prawny nie pozwala pracodawcy zbadać pracownika alkomatem”. Wskazał, że zgodnie z przepisami takie badanie może być przeprowadzone jedynie przez „[…] uprawniony organ powołany do ochrony porządku publicznego (np. policja), zaś zabiegu pobrania krwi dokonuje osoba posiadająca odpowiednie kwalifikacje zawodowe, […]”. Artykuł ten został zakończony jednoznacznym stwierdzeniem: „UODO przypomina, że jeżeli ustawodawca postanowi umożliwić pracodawcom samodzielne przeprowadzanie badań stanu trzeźwości pracowników, to będzie wówczas bacznie przyglądał się takiej inicjatywie, by zostały zapewnione gwarancje dla praw i wolności osób. Potrzeba zapewnienia bezpieczeństwa publicznego nie może nie uwzględniać prawa do prywatności i godności pracowników.

Artykuł opublikowany został na stronie UODO we wrześniu 2019r. Z dzisiejszego punktu widzenia niefortunnym wydaje się ostatnie zdanie. Nikt nie był jednak wtedy w stanie przewidzieć obecnej sytuacji. (źródło: www.uodo.gov.pl/pl/138/1188, artykuł z dnia 2019-09-16).


Przedsiębiorca, któremu wstępnie przypadł do gustu pomysł z pomiarem temperatury ciała pracowników i /lub gości odwiedzających firmę stoi w związku z powyższymi rozważaniami przed wyborem:

  1. Organizuje i przeprowadza pomiar temperatury ciała pracowników i osób odwiedzających firmę. W ten sposób zmniejsza ryzyko rozprzestrzeniania wirusa wśród pracowników swojej firmy oraz ogranicza rozprzestrzenianie wirusa.
    W przypadku jednak, jeśli osoba, względem której przeprowadzono pomiar temperatury ciała złoży skargę do PUODO odnośnie naruszenia jej praw, urząd będzie zobowiązany do uruchomienia procesu rozpatrywania skargi. Być może UODO analizując i odnosząc się do skargi weźmie pod uwagę okoliczności i będą to okoliczności łagodzące dla przedsiębiorcy. Być może urząd uzna nadrzędność przywołanej powyżej podstawy prawnej (Kodeks Pracy i wymagania dotyczące obowiązków zapewnienia odpowiednich, bezpiecznych warunków pracy), być może uzna nadrzędność praw i wolności osoby, która złożyła skargę bowiem uznała, że jej prawa zostały naruszone.

  2. Ze względu na niejednoznaczność przepisów prawa i brak jednoznacznej wykładni w tym zakresie Przedsiębiorca postanawia nie prowadzić pomiaru temperatury ciała swoich pracowników i osób odwiedzających firmę. W takim przypadku możliwe jest wystąpienie takich okoliczności, że na teren firmy wejdzie osoba będąca nosicielem wirusa, co może spowodować, że ze względu na ekspozycję na zagrożenie, wirusem zostaną zarażone kolejne osoby. To z kolei spowoduje zakłócenie w funkcjonowaniu firmy oraz rozszerzanie się pandemii wywołanej przez COVID-19.

 

Wszystkim twierdzącym, że fakt że wyniki pomiarów nie są dokumentowane oznacza, że nie dokonujemy przetwarzania danych osobowych polecam zapoznać się z definicją terminu „przetwarzanie” z Rozporządzenia RODO.

Rozporządzenie RODO, art. 4 pkt. 2): „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie”.
Wśród wymienionych operacji występuje np. „wykorzystywanie”. W przedmiotowym przypadku wykorzystujemy dane osobowe do tego aby zakwalifikować kogoś jako zdrowego, kto może wejść na teren firmy lub określić, że jego stan zdrowia stwarza zbyt duże ryzyko dla pracowników, osób przebywających na terenie firmy, osób z którymi będą oni mieli kontakt oraz oczywiście dla przedsiębiorstwa. Dane osobowe wcale nie muszą być w żaden sposób utrwalone aby mówić o ich przetwarzaniu.


Rafał Malon


Zapraszamy do zapoznania z naszą ofertą dotyczącą zapewnienia i utrzymywania zgodności z Rozporządzeniem RODO i innymi przepisami (link do informacji o Rozporzadzeniu RODO oraz naszej oferty związanej z ochroną danych osobowych).




Back to Top