Pracodawca ma obowiązek podejmować kroki przeciwdziałające rozprzestrzenianiu się koronawirusa. Z drugiej strony przepisy RODO sprawiają, że w tym zakresie pojawia się sporo pytań. Wątpliwości budzi nie tylko kwestia wielokrotnie poruszanego tematu pomiaru temperatury czy możliwości przeprowadzenia testów w zakładzie pracy. Pracodawcy zastanawiają się także, czy ujawnienie danych osobowych zakażonego pracownika nie narusza przepisów RODO.
Pracodawca musi przede wszystkim dbać o przepisy BHP
Do podstawowych obowiązków pracodawcy zgodnie z art. 94 Kodeksu pracy należy między innymi zapewnienie bezpiecznych i higienicznych warunków pracy. Pracodawca musi więc nie tylko zorganizować odpowiednie szkolenia dla pracowników czy kierować ich na okresowe badania lekarskie. W obecnej sytuacji realizacja tego obowiązku wiąże się także z wdrożeniem w zakładzie pracy szczególnych rozwiązań, które pozwolą zminimalizować ryzyko rozprzestrzeniania się zakażeń. To oznacza nie tylko zapewnienie środków do dezynfekcji czy – jeśli to możliwe – przejście na pracę zdalną. Pracodawca powinien też informować pracowników o możliwości zakażenia w firmie tak, by wirus dalej się nie rozprzestrzeniał.
Na tym etapie pojawia się jednak problem. Dane dotyczące zdrowia są bowiem danymi wrażliwymi. Ich przetwarzanie możliwe jest więc na podstawie jednej z przesłanek określonych w art. 9 ust. 2 RODO. Z drugiej pracodawca nie ma możliwości ustalenia, którzy pracownicy mogli mieć kontakt z zakażonym, bez wskazywania, kim jest ta osoba i bez podawania informacji o jej stanie zdrowia.
Ujawnienie danych osobowych zakażonego pracownika nie musi być sprzeczne z RODO
Przepisy RODO nie stoją jednak na przeszkodzie do zapewnienia bezpieczeństwa w miejscu pracy. Przewodnicząca Europejskiej Rady Ochrony Danych (EROD) wydała oświadczenie odnoszące się do pandemii COVID-19. Jak wskazała:
Pracodawcy powinni informować pracowników o przypadkach COVID-19 i podejmować środki ochronne, ale nie powinni przekazywać więcej informacji niż jest to konieczne. W przypadkach, w których konieczne jest ujawnienie nazwiska pracownika, który zarażony jest wirusem (np. w kontekście profilaktyki), a prawo krajowe na to zezwala, pracownicy, których sprawa dotyczy, powinni zostać poinformowani z wyprzedzeniem.
Co więcej warto pamiętać, że RODO nie zawsze wymaga uzyskania zgody osoby, której dane dotyczą. W rozporządzeniu znajdują się także podstawy prawne dopuszczające przetwarzanie takich danych bez uzyskania zgody, w tym także w czasie pandemii. Na przykład, gdy przetwarzanie tych danych jest konieczne dla pracodawców ze względu na interes publiczny w dziedzinie zdrowia publicznego. Zgodnie z art. 6 i 9 RODO przetwarzanie danych mogłoby odbywać się także w celu ochrony żywotnych interesów osoby fizycznej czy w celu spełnienia innego obowiązku prawnego.
RPO kilkukrotnie wypowiadał się już w tej sprawie
Kwestia ujawniania zakażeń przez pracodawcę budzi wiele pytań, dlatego na stronie RPO ten temat kilkukrotnie spotykał się z komentarzem.
W informacji opublikowanej na stronie w październiku podkreślono, że wiadomość, o dodatnim wyniku przekazywana jest do powiatowej stacji sanitarno-epidemiologicznej. Wówczas rozpoczyna się procedura dochodzeniowa i przeprowadzany jest wywiad. Zakażony wskazuje między innymi, z kim ostatnio miał kontakt, by takie osoby można było objąć kwarantanną lub nadzorem epidemiologicznym. To sprawia, że już na tym etapie wielu pracowników może się dowiedzieć o zakażeniu, otrzymując tę informację od pracownika sanepidu.
Jeśli zaś chodzi o samego pracodawcę, to zdaniem RPO ujawnienie danych osobowych zakażonego pracownika jest możliwe zgodnie z art. 2092 Kodeksu pracy. W przypadku wystąpienia zagrożenia dla zdrowia lub życia pracodawca ma bowiem obowiązek między innymi poinformować pracowników o tym zagrożeniu. Ciąży też na nim obowiązek podjęcia działań pozwalających na zapewnienie odpowiedniej ochrony. Takim działaniem może być nie tylko zabezpieczenie miejsca pracy, ale nawet ujawnienie możliwości zakażenia koronawirusem. Zdaniem RPO pracodawca powinien jednak przekazywać takie informacje jedynie tym pracownikom, który rzeczywiście mieli styczność z osobą zarażoną. Takie stanowisko pozostaje zresztą zgodne z cytowanym wyżej oświadczeniem EROD.
W informacji opublikowanej 3 dni temu podkreślono natomiast, że obowiązek informowania o zakażeniach nie wynika z żadnego z rozporządzeń. Da się go jednak wywieść z Kodeksu pracy, a dokładniej przepisów o BHP w pracy. Na pracodawcy spoczywa odpowiedzialność za bezpieczeństwo pracownika. Jeśli zaobserwował u pracownika objawy koronawirusa, powinien zgłosić taki przypadek, ale także reagować na potrzeby w zakresie BHP. Obowiązany jest też dostosować środki do zmieniających się warunków pracy.
Nieco innego zdania jest natomiast UODO
UODO w odpowiedzi na pytanie zadane przez Prawo.pl wskazał z kolei, że Kodeks pracy dopuszcza przetwarzanie danych pracowników, natomiast nie reguluje kwestii ich przetwarzania (w tym ujawnienia danych zakażonego pracownika) w celu zwalczania epidemii.
Zdaniem UODO to służby sanitarne powinny wskazywać kierunki podejmowanych działań, nie pracodawcy. Spceustawa przyznaje bowiem Głównemu Inspektorowi Sanitarnemu uprawnienie do wydawania decyzji, w których może zobowiązać inne podmioty do przetwarzania danych i określić zasady takiego przetwarzania. Zdaniem UODO pracodawca powinien więc przedstawić kluczowe informacje służbom sanitarnym, a te – na podstawie informacji i wiedzy epidemiologicznej – podjąć właściwe decyzje i wprowadzić odpowiednie rozwiązania.
