Source: https://www.bdolegal.pl/pl-pl/publikacje/2020/czy-pomiar-temperatury-u-pracownika-narusza-rodo-%E2%80%93-stanowisko-prezesa-urzedu-ochrony-danych-osobowy
Timestamp: 2020-06-03 10:33:46+00:00
Document Index: 75795321

Matched Legal Cases: ['art. 9', 'art. 9', 'art. 9', 'art. 207', 'art. 9', 'art. 9', 'art. 9', 'art. 17', 'art. 221', 'art. 9', 'art. 17', 'art. 9', 'art. 207', 'art. 207', 'art. 211']

Home > Publikacje > 2020 > Czy pomiar temperatury u pracownika narusza RODO? – stanowisko Prezesa Urzędu Ochrony Danych Osobowy
Czy pomiar temperatury u pracownika narusza RODO? – stanowisko Prezesa Urzędu Ochrony Danych Osobowych
Dnia 5 maja 2020 r. na stronie internetowej Prezesa Urzędu Ochrony Danych Osobowych opublikowane zostało stanowisko dotyczące dopuszczalności kontroli stanu zdrowia pracownika w czasie epidemii COVID-19. Stanowisko to wzbudziło wśród prawników sporo kontrowersji, ponieważ dopuszcza ono (jak niektórzy wskazują) możliwość istotnej ingerencji w sferę prywatności pracownika i przetwarzanie szczególnej kategorii danych osobowych pracowników, tj. danych o stanie zdrowia, na podstawie dość ogólnego przepisu upoważniającego.
Problemy z określeniem dopuszczalności mierzenia temperatury
Po ogłoszeniu stanu epidemii wielu pracodawców wprowadziło w swoich zakładach pracy kontrole polegające na dokonywaniu pomiaru temperatury ciała pracowników przed dopuszczeniem ich do pracy. Praktyki te były dość mocno krytykowane przez środowiska prawnicze z uwagi na to, że kontrola zdrowia pracownika stanowi istotną ingerencję w jego prywatność i jest formą przetwarzania szczególnej kategorii danych osobowych – danych o stanie zdrowia. Zgodnie z art. 9 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako „RODO”) przetwarzanie tego rodzaju danych jest niedopuszczalne, chyba że zachodzi jeden z wymienionych w rozporządzeniu wyjątków.
Co do zasady, dane o stanie zdrowia mogą być przetwarzane tylko wtedy, gdy istnieją ku temu podstawy wyraźnie wymienione w art. 9 ust. 2 RODO. Niektórzy prawnicy wskazują, że w obecnym stanie prawnym nie ma wyraźnej podstawy prawnej pozwalającej pracodawcy przetwarzać dane o stanie zdrowia pracownika zebrane w toku pomiaru temperatury przed dopuszczeniem pracownika do pracy. Stosowanie pomiaru temperatury ciała pracownika przed dopuszczeniem go do pracy jest więc ich zdaniem niedopuszczalne.
Poszukiwanie podstaw przetwarzania danych osobowych
Ze stanowiskiem takim naszym zdaniem nie można się zgodzić, albowiem zgodnie z art. 9 ust. 2 lit. b RODO przetwarzanie danych szczególnej kategorii (danych wrażliwych) jest dopuszczalne, jeśli jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą. Zgodnie z polskim kodeksem pracy na pracodawcach ciążą zadania publiczne z zakresu bhp, polegające na zapewnieniu przestrzeni pracy w bezpiecznych i higienicznych warunkach dla całej załogi (zob. art. 207 k.p.). Ponadto, zgodnie z art. 9 ust. 2 lit. i RODO przetwarzanie danych szczególnej kategorii (danych wrażliwych) jest również dopuszczalne, jeżeli przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi. Dodatkowej podstawy można poszukiwać także w art. 9 ust. 2 lit. h RODO, według którego przetwarzanie tej kategorii danych jest dopuszczalne, jeżeli jest niezbędne m.in. do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy. Podstawę w tym zakresie muszą określać przede wszystkim przepisy krajowe lub Unii Europejskiej. Ponadto, według motywu 4 preambuły RODO przetwarzanie danych osobowych należy zorganizować w taki sposób, aby służyło ludzkości, co również należy mieć na uwadze w przypadku trwającej epidemii.
W stanowisku z dnia 5 maja 2020 r. Prezes UODO zauważył, że zgodnie z art. 9 ust. 2 lit. i RODO, przetwarzanie danych osobowych o stanie zdrowia jest dopuszczalne, gdy jest to niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi, jeżeli wynika to z przepisów prawa. Podstawy prawnej dla takiego przetwarzania Prezes UODO upatruje w art. 17 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (dalej jako „Specustawa”). Przepis ten przyznał Głównemu Inspektorowi Sanitarnemu i państwowym inspektorom sanitarnym działającym w jego imieniu uprawnienie do nakładania w drodze decyzji na różne podmioty - w tym pracodawców – obowiązków podjęcia określonych środków w celu zapobiegania rozprzestrzeniania się epidemii. Przepis ten upoważnia Głównego Inspektora Sanitarnego i inne organy zajmujące się ochroną zdrowia do wydawania zaleceń i wytycznych w zakresie sposobu podejmowania środków zapobiegawczych. Zdaniem Prezesa UODO, wydanie przez Głównego Inspektora Sanitarnego lub państwowego inspektora sanitarnego decyzji, wytycznych lub zaleceń przewidujących obowiązek mierzenia temperatury u pracowników i gości odwiedzających zakład pracy, należy uznać za wystarczającą podstawę dla przetwarzania danych o stanie zdrowia osoby, której dane dotyczą.
Prezes UODO słusznie zaznaczył jednocześnie, że podstawą przetwarzania danych osobowych poprzez mierzenie temperatury nie może być zgoda pracownika, którego dane dotyczą. Wynika to z przepisów RODO, zgodnie z którymi zgoda nie może być podstawą przetwarzania danych, gdy między osobą przetwarzającą dane a osobą udostępniającą je, istnieje istotna nierównowaga sił. Pracownik będący z założenia słabszą stroną stosunku pracy jest chroniony przed sytuacją, wskutek której pracodawca wykorzystałby służbową zależność pracownika w celu bezprawnego pozyskania informacji o nim. Niemniej jednak naszym zdaniem zauważyć należy, iż pod szczególnymi warunkami możliwość taka istnieje na podstawie art. 221b § 1 k.p. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Dodać można, iż przepis ten wzbudził w poprzednim roku także poważne kontrowersje w przypadku kontroli trzeźwości pracowników.
Obowiązek informacyjny wobec pracowników
Przetwarzanie danych osobowych pracownika łączy się z obowiązkiem poinformowania go o zakresie, sposobach i celach przetwarzania tych danych. Formę i treść klauzuli informacyjnej o przetwarzaniu danych osobowych określa RODO. Zdaniem Prezesa UODO obowiązek informacyjny może być spełniony przez umożliwienie pracownikowi łatwego dostępu do treści klauzuli, co może nastąpić m.in. poprzez umieszczenie klauzuli informacyjnej na stronie internetowej zakładu pracy, na tablicy ogłoszeń lub przez wręczenie wydrukowanej klauzuli pracownikowi. Ważne jest jednak, aby pracownik, którego dane dotyczą, mógł zapoznać się z treścią klauzuli informacyjnej najpóźniej w chwili zbierania danych.
Wątpliwości co do stanowiska Prezesa UODO
W praktyce podnoszone są poważne wątpliwości co do tego, czy art. 17 Specustawy faktycznie jest wystarczającą podstawą do przetwarzania danych o stanie zdrowia i czy wydanie przez Głównego Inspektora Sanitarnego decyzji, zaleceń albo wytycznych faktycznie usprawiedliwia zbieranie tych danych. Pojawiają się stanowiska, iż w swym stanowisku Prezes UODO zaakceptował możliwość, że podstawą dla ograniczenia tych praw będzie zalecenie lub wytyczne – akt, co do którego w przepisach postępowania administracyjnego nie została wprost przewidziana procedura zaskarżenia, jak to jest w przypadku decyzji. Zalecenia i opinie w ogóle nie powinny nakładać na adresatów obowiązków ani ograniczać ich praw, a jedynie doprecyzowywać pewne kwestie techniczne.
Naszym zdaniem podstawy przetwarzania danych osobowych w postaci wyników pomiaru temperatury pracowników poszukiwać można jednak już w przytoczonych wyżej przepisach art. 9 ust. 2 lit. b), h) oraz i) RODO w zw. z art. 207 k.p. Pracodawca bowiem wykonuje zadania publiczne w zakresie zapewnienia bezpiecznej i higienicznej przestrzeni w miejscu pracy, za którą ponosi odpowiedzialność. Pracodawca ma obowiązek chronić zdrowie i życie pracowników oraz zapewnić bezpieczne i higieniczne warunki pracy, co wynika z art. 207 k.p., a pracownik ma współdziałać z pracodawcą w realizacji tych zadań – art. 211 pkt 7 k.p. Oczywistym przy tym jest, że przy przetwarzaniu danych osobowych obowiązują ogólne zasady proporcjonalności oraz celowości, wynikające z RODO. Nie jest niezbędne w tym zakresie wydanie stosownych wytycznych przez Inspektora, aczkolwiek nie ulega wątpliwości, iż wobec istnienia takiej możliwości prawnej i prezentowanego przez UODO powyższego stanowiska mogą mieć one istotne (a w praktyce – w niektórych przypadkach nawet przesądzające) znaczenie przy badaniu spełniania przez pracodawcę wymogów prawnych dotyczących przetwarzania danych osobowych.