Pracodawca może żądać od pracownika informacji o zarażeniu wirusem SARS-CoV-2 (tzw. koronawirusem), a także innych danych związanych z przeciwdziałaniem chorobie COVID-19. Podstawę prawną zapewniają mu przepisy RODO. Wymagają jednak zagwarantowania tym danym bezpieczeństwa i poufności.
1. Przeciwdziałanie epidemii COVID-19 a ochrona danych osobowych
Stany zagrożenia epidemicznego (14 marca 2020 r. - 20 marca 2020 r.) i epidemii (od 20 marca 2020 r. do odwołania) koronawirusa (wirus SARS-CoV-2), wywołującego chorobę COVID-19, nie zwalniają pracodawców z obowiązku przestrzegania przepisów o ochronie danych osobowych. Powodują natomiast więcej sytuacji, w których pracodawca ma prawo (a czasem wręcz obowiązek) przetwarzać dodatkowe dane osobowe pracownikófw, do czego nie miałby podstawy prawnej w zwykłych warunkach. Przeciwdziałanie COVID-19 obejmuje bowiem wszelkie czynności związane ze zwalczaniem zakażenia, zapobieganiem rozprzestrzenianiu się, profilaktyką oraz zwalczaniem skutków, w tym społeczno-gospodarczych (art. 2 ust. 2 ustawy o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych, dalej: ustawa o COVID-19).
1.1. Podstawy przetwarzania danych osobowych
Pracodawca musi mieć podstawę prawną do przetwarzania danych osobowych pracowników. Zwykle są to art. 221-art. 221a Kodeksu pracy w zw. z art. 6 ust. 1 lit. a, c lub f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO). Określają one zakres danych, jakich pracodawca może żądać od zatrudnionego na etacie, a także pozwalają przetwarzać jego dane (w tym dotyczące zdrowia) w celu wypełnienia obowiązku prawnego ciążącego na pracodawcy lub za zgodą pracownika albo ze względu na prawnie uzasadnione interesy realizowane przez pracodawcę.
Wyjaśnienia urzędowe ws. przetwarzania danych
RODO zapewnia podstawy prawne umożliwiające pracodawcom przetwarzanie danych osobowych w kontekście epidemii, bez konieczności uzyskania zgody osoby, której dane dotyczą.
Oświadczenie przewodniczącej Europejskiej Rady Ochrony Danych ws. przetwarzania danych osobowych w kontekście pandemii COVID-19 (www.uodo.gov.pl)
Zgodnie z motywem 46 RODO przetwarzanie danych osobowych należy uznać za zgodne z prawem również w przypadkach, gdy jest to niezbędne do ochrony interesu, który ma istotne znaczenie dla życia osoby, której dane dotyczą, np. gdy przetwarzanie jest potrzebne do celów humanitarnych, w tym monitorowania epidemii i jej rozprzestrzeniania się.
Oświadczenie Prezesa UODO w sprawie koronawirusa (www.uodo.gov.pl)
W czasie walki z koronawirusem pracodawca może korzystać również z innych legalnych warunków przetwarzania danych pracowników. Mianowicie, gdy przetwarzanie jest niezbędne do:
● ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (art. 6 ust. 1 lit. d RODO),
● wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO).
PRZYKŁAD 1
Pracodawca otrzymał nieoficjalną informację, że jeden z jego pracowników przebywał w czasie urlopu wypoczynkowego w strefie objętej koronawirusem. Zażądał od niego potwierdzenia, czy jest to prawda, ale pracownik odmówił, powołując się na wyjaśnienia Państwowej Inspekcji Pracy (dostępne na www.pip.gov.pl), która wskazywała na brak podstaw prawnych do żądania przedstawienia takich danych. Jednak pracodawca nie przyjął jego odmowy. Uznał, że obowiązek zadbania o zdrowie i bezpieczeństwo innych pracowników w warunkach zwalczania koronawirusa pozwala mu żądać przedłożenia tej informacji. Przypomniał także, że wyjaśnienia PIP dotyczyły okresu sprzed obowiązywania najpierw stanu zagrożenia epidemicznego, a potem epidemii. Postępowanie pracodawcy należy uznać za prawidłowe.