Koronawirus w firmie a RODO

Dane osobowe dotyczące stanu zdrowia, należą do specjalnej kategorii danych tzw. danych wrażliwych, określonych w art. 9 RODO. Przetwarzanie tych danych jest zabronione, o ile nie zachodzą przesłanki ściśle określone w rozporządzeniu.

Zagrożenie epidemiologiczne i wprowadzone w kraju drastyczne środki obrony przed rozprzestrzenianiem się zarażeń koronawirusem, stawiają pracodawców w niespotykanej dotychczas sytuacji. Ci, którzy nie musieli zamknąć firmy z powodu wprowadzonego zakazu działalności, nie mogli zarządzić pracy zdalnej, stanęli przed wyzwaniem, jak zapewnić bezpieczeństwo pracownikom. Jak nie dopuścić do rozprzestrzeniania się koronawirusa w firmie i nie wejść przy tym w konflikt z RODO.

Jakie dane o zdrowiu przetwarza pracodawca?

W normalnych warunkach, pracodawca przetwarza dane o zdrowiu pracowników w bardzo ograniczonym zakresie, wprost wynikającym z prawa pracy. Kieruje on pracowników na badania wstępne, okresowe oraz kontrolne. Otrzymuje zaświadczenie o zdolności pracownika do określonej pracy, czyli o tym, że pracownik jest zdrowy. Przetwarzanie informacji o stanie zdrowia w nieco większym zakresie następuje, gdy praca odbywa się w warunkach narażenia na choroby zawodowe. Podstawą prawną jest art. 9 ust. 2 lit. b oraz lit. h RODO i art. 229 kodeksu pracy (k.p.).
Pracodawca ewidencjonuje również zwolnienia lekarskie. W zakładach, które powołały Fundusz Świadczeń Socjalnych, pracodawca może przetwarzać dane o zdrowiu w celu przyznania ulgowych świadczeń socjalnych na podstawie art. 9 ust. 2 lit. b RODO i ustawy o ZFŚS.

Co w czasie epidemii?

Co jednak ma robić pracodawca, gdy oficjalnie uznanych przypadków zarażenia koronawirusem w kraju jest kilka tysięcy? Liczba wykonywanych testów jest skromna. Ogranicza ją przyjęta metodologia kwalifikowania przypadków i wydolność służby zdrowia. Przede wszystkim w większości przypadków przebieg zakażenia jest bezobjawowy. Liczba osób zarażonych jest więc wielokrotnie większa.
Ryzyko, że zarażony pracownik może wyłączyć z pracy część lub cała firmę na kwarantannę jest całkiem spore. Podjęcie działań zaradczych, jak pytanie pracowników o objawy charakterystyczne dla zarażenia, pomiar temperatury, wydaje się rozwiązaniem logicznym i uzasadnionym.
Tu powstaje pytanie, czy można przetwarzać dane, niewątpliwie dotyczące zdrowia?

Pracodawca ma obowiązek zapewnienia pracownikom bezpiecznych i higienicznych warunków pracy (art. 15, art. 94 pkt 4, art. 207 § 2 k.p.). Pracownik ma obowiązek współdziałać z pracodawcą i przełożonymi w wypełnianiu obowiązków dotyczących bezpieczeństwa i higieny pracy (art. 211 pkt 7 k.p.).
W przypadku zagrożenia epidemiologicznego, ogłoszonej pandemii koronawirusa,  pracodawca jest zobowiązany podjąć środki zapobiegające możliwym przypadkom zarażenia pracowników na terenie zakładu pracy. Podstawą jest art. 5 ust. 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi. Osoby przebywające na terenie RP zobowiązane są do zaniechania wykonywania prac, przy wykonywaniu których istnieje możliwość przeniesienia zakażenia lub choroby zakaźnej na inne osoby – jeżeli są osobami zakażonymi, chorymi na chorobę zakaźną lub nosicielami.

Cel uświęca środki

Celu tego nie da się osiągnąć bez przetwarzania, choćby w minimalnym zakresie, danych o stanie zdrowia. Uzasadnionymi środkami mogą być: pomiar (termometrem bezkontaktowym) temperatury przed dopuszczeniem do stanowiska pracy, zapytanie o występowanie typowych dla zarażenia koronawirusem objawów. Czy nie kontaktował się z zarażonymi, mającymi w rodzinie osobę zarażoną, nie przybył z obszaru o dużej liczbie zarażonych.
W przypadku podwyższonej temperatury należy pracownika odesłać do lekarza. Jeśli to możliwe, zadecydować o pracy zdalnej na czas konieczny do stwierdzenia, czy stanowi zagrożenie dla innych pracowników. W przypadku uzyskania pozytywnych odpowiedzi na pytania kontrolne, należy zalecić skontaktowanie się z Sanepidem.

Na takie działanie pozwalają wymienione wyżej przepisy kodeksu pracy oraz przepisy RODO zapisane w art. 9 ust. 2 lit. g, h oraz i, a także w motywach 46 i 52, czyli działanie w ważnym interesie publicznym, profilaktyki zdrowotnej i medycyny pracy oraz w dziedzinie zdrowia publicznego i ochrony przed poważnymi trans granicznymi zagrożeniami zdrowotnymi. Powiązane z ustawą z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych, oraz ustawą z 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi.
W przypadku powszechnego zagrożenia zdrowia publicznego, ważny interes publiczny, także ważny życiowo interes innych pracowników, przeważa nad interesem podmiotu danych do zachowania prywatności.

Jaki zakres przetwarzania?

Oczywiście, przetwarzanie takie należy ograniczyć do koniecznego minimum. Nie należy tworzyć np. rejestrów wyników pomiarów, odpowiedzi na pytania kontrolne. Chyba, że tego typu obowiązek nałoży Inspekcja sanitarna, lub inny organ uprawniony na podstawie przepisów o zwalczaniu zagrożeń epidemiologicznych.
Jeśli pracownik nie zostanie dopuszczony do pracy, należy wpisać go na listę osób potencjalnie zarażonych, aby nie wpuścić go na teren zakładu pracy w okresie zagrożenia zarażeniem (ok. 2 tygodni), lub do czasu potwierdzenia, że nie jest nosicielem wirusa. Po tym czasie nieobecność należy, odpowiednio do przypadku, udokumentować w ewidencji czasu pracy, a taką listę zniszczyć.
Zestawienia zbiorcze liczby chorych, czy odsuniętych od pracy nie zawierające danych osobowych, więc mogą być bez przeszkód wykonywane.

W przypadkach uzasadnionego podejrzenia zarażenia pracownika, który nie chce zastosować się do poleceń pracodawcy, uprawnione będzie także przekazanie informacji przełożonemu  lub stacji Sanepid. Będzie to działanie w ważnym interesie publicznym w celu zapobieżenia szerzeniu się epidemii.

Kto płaci za kwarantannę?

Podstawą do wypłaty świadczenia chorobowego jest zaświadczenie lekarskie lub decyzja państwowego inspektora sanitarnego o kwarantannie lub izolacji. Jeśli pracodawca nie dopuści pracownika do pracy z powodu wystąpienia zdarzenia wskazującego na zmianę stanu zdrowia pracownika (art. 207 § 2 k.p.), a ten nie dostarczy któregoś z powyższych dokumentów, koszty wynagrodzenia za czas nieobecności, łącznie ze składkami ubezpieczeniowymi, poniesie pracodawca.

Ochrona danych osobowych obowiązuje także w czasie epidemii i nie jest znoszona przepisami szczególnymi. Lecz w sytuacji, gdy ważny interes społeczny tego wymaga, prawo do prywatności musi ulec pewnemu ograniczeniu. Jednakże w najmniejszym, koniecznym zakresie i przez możliwie krótki czas, niezbędny dla przeciwdziałania epidemii.

---