Dane osobowe dotyczące stanu zdrowia, należą do specjalnej kategorii danych tzw. danych wrażliwych, określonych w art. 9 RODO. Przetwarzanie tych danych jest zabronione, o ile nie zachodzą przesłanki ściśle określone w rozporządzeniu.

Zagrożenie epidemiologiczne i wprowadzone w kraju drastyczne środki obrony przed rozprzestrzenianiem się zarażeń koronawirusem, stawiają pracodawców w niespotykanej dotychczas sytuacji. Ci, którzy nie musieli zamknąć firmy z powodu wprowadzonego zakazu działalności lub nie mogli zarządzić pracy zdalnej, stanęli przed wyzwaniem, jak zapewnić bezpieczeństwo pracownikom, nie dopuścić do rozprzestrzeniania się koronawirusa w firmie i nie wejść przy tym w konflikt z RODO.

Jakie dane o zdrowiu przetwarza pracodawca?

W normalnych warunkach, pracodawca przetwarza dane o zdrowiu pracowników w bardzo ograniczonym zakresie, wprost wynikającym z prawa pracy – kieruje pracowników na badania wstępne, okresowe oraz kontrolne. Otrzymuje zaświadczenie o zdolności pracownika do określonej pracy, czyli o tym, że pracownik jest zdrowy. Przetwarzanie informacji o stanie zdrowia w nieco większym zakresie następuje, gdy praca odbywa się w warunkach narażenia na choroby zawodowe. Podstawą prawną jest art. 9 ust. 2 lit. b oraz lit. h RODO i art. 229 kodeksu pracy (k.p.).
Pracodawca ewidencjonuje również zwolnienia lekarskie, a w zakładach, które powołały Fundusz Świadczeń Socjalnych, pracodawca może, w pewnych przypadkach, przetwarzać dane o zdrowiu w celu przyznania ulgowych świadczeń socjalnych na podstawie art. 9 ust. 2 lit. b RODO i ustawy o ZFŚS.

Co w czasie epidemii?

Co jednak ma robić pracodawca, gdy oficjalnie uznanych przypadków zarażenia koronawirusem w kraju jest kilka tysięcy, a biorąc pod uwagę skromną liczbę wykonywanych testów, przyjętą metodologię kwalifikowania przypadków, wydolność służby zdrowia a przede wszystkim w większości przypadków bezobjawowy przebieg zakażenia, liczba osób zarażonych jest wielokrotnie większa.
Ryzyko, że zarażony pracownik może wyłączyć z pracy część lub cała firmę na kwarantannę jest całkiem spore. Podjęcie działań zaradczych, takich jak pytanie pracowników o brak objawów charakterystycznych dla zarażenia i pomiar temperatury, wydaje się więc rozwiązaniem logicznym i uzasadnionym.
Tu powstaje pytanie, czy można przetwarzać dane, niewątpliwie dotyczące zdrowia?

Pracodawca ma obowiązek zapewnienia pracownikom bezpiecznych i higienicznych warunków pracy (art. 15, art. 94 pkt 4, art. 207 § 2 k.p.), a pracownik ma obowiązek współdziałać z pracodawcą i przełożonymi w wypełnianiu obowiązków dotyczących bezpieczeństwa i higieny pracy (art. 211 pkt 7 k.p.).
W przypadku zagrożenia epidemiologicznego i ogłoszonej pandemii koronawirusa oznacza to, że pracodawca jest zobowiązany podjąć środki zapobiegające możliwym przypadkom zarażenia pracowników na terenie zakładu pracy. Na mocy art. 5 ust. 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, osoby przebywające na terenie RP zobowiązane są do zaniechania wykonywania prac, przy wykonywaniu których istnieje możliwość przeniesienia zakażenia lub choroby zakaźnej na inne osoby – jeżeli są osobami zakażonymi, chorymi na chorobę zakaźną lub nosicielami.

Cel uświęca środki

Celu tego nie da się osiągnąć bez przetwarzania, choćby w minimalnym zakresie, danych o stanie zdrowia. Uzasadnionymi środkami, w takiej sytuacji, mogą być: pomiar (termometrem bezkontaktowym) temperatury ciała pracowników przed dopuszczeniem do stanowiska pracy, zapytanie o występowanie typowych dla zarażenia koronawirusem objawów, a także zapytanie o to, czy pracownik nie kontaktował się z osobami zarażonymi, osobami mającymi w rodzinie osobę zarażoną lub nie przybył z obszaru o dużej liczbie zarażonych.
W przypadku podwyższonej temperatury należy pracownika odesłać do lekarza lub jeśli to możliwe, zadecydować o pracy zdalnej na czas konieczny do stwierdzenia, czy stanowi zagrożenie dla innych pracowników. W przypadku uzyskania pozytywnych odpowiedzi na pytania kontrolne, należy zalecić skontaktowanie się z Sanepidem.

Na takie działanie pozwalają wymienione wyżej przepisy kodeksu pracy oraz przepisy RODO zapisane w art. 9 ust. 2 lit. g, h oraz i, a także w motywach 46 i 52, czyli działanie w ważnym interesie publicznym, profilaktyki zdrowotnej i medycyny pracy oraz w dziedzinie zdrowia publicznego i ochrony przed poważnymi trans granicznymi zagrożeniami zdrowotnymi, w powiązaniu z ustawą z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych, oraz ustawą z 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi.
W przypadku powszechnego zagrożenia zdrowia publicznego, ważny interes publiczny, a także ważny życiowo interes innych pracowników, przeważa nad interesem podmiotu danych do zachowania prywatności.

Jaki zakres przetwarzania?

Oczywiście, przetwarzanie takie należy ograniczyć do koniecznego minimum, czyli nie należy tworzyć np. rejestrów wyników pomiarów, czy odpowiedzi na pytania kontrolne, chyba, że tego typu obowiązek zostanie nałożony przez Inspekcję sanitarną, czy inny organ uprawniony na podstawie przepisów o zwalczaniu zagrożeń epidemiologicznych.
Jeśli pracownik nie zostanie dopuszczony do pracy, należy wpisać go na listę osób potencjalnie zarażonych, aby nie wpuścić go na teren zakładu pracy w okresie zagrożenia zarażeniem (ok. 2 tygodni), lub do czasu potwierdzenia, że nie jest nosicielem wirusa. Po tym czasie nieobecność należy, odpowiednio do przypadku, udokumentować w ewidencji czasu pracy, a taką listę zniszczyć.
Zestawienia zbiorcze liczby chorych, czy odsuniętych od pracy nie zawierające danych osobowych, więc mogą być bez przeszkód wykonywane.

W przypadkach uzasadnionego podejrzenia zarażenia pracownika, który nie chce zastosować się do poleceń pracodawcy, uprawnione będzie także przekazanie informacji przełożonemu pracownika, lub stacji Sanepid. Będzie to działanie w ważnym interesie publicznym w celu zapobieżenia szerzeniu się epidemii.

Kto płaci za kwarantannę?

Ponieważ podstawą do wypłaty świadczenia chorobowego jest zaświadczenie lekarskie lub decyzja państwowego inspektora sanitarnego o kwarantannie lub izolacji, to jeśli pracodawca nie dopuści pracownika do pracy z powodu wystąpienia zdarzenia wskazującego na zmianę stanu zdrowia pracownika (art. 207 § 2 k.p.), a ten nie dostarczy któregoś z powyższych dokumentów, koszty wynagrodzenia za czas nieobecności, łącznie ze składkami ubezpieczeniowymi, poniesie pracodawca.

Ochrona danych osobowych obowiązuje także w czasie epidemii i nie jest znoszona przepisami szczególnymi, lecz w sytuacji, gdy ważny interes społeczny tego wymaga, prawo do prywatności musi ulec pewnemu ograniczeniu, jednak w najmniejszym, koniecznym zakresie i przez możliwie krótki czas, niezbędny dla przeciwdziałania epidemii.