1. Wstęp[1].
Ogłoszona przez Światową Organizację Zdrowia (WHO) pandemia choroby COVID-19 wywoływanej przez wirus SARS-Cov-2 (tzw. „koronawirus”) stanowi obecnie jedno z największych wyzwań dla społeczności międzynarodowej. Rządy wielu państw musiały podjąć drastyczne kroki ingerujące w codzienne życie obywateli w celu ograniczenia rozprzestrzeniania się wirusa. Szczególną uwagę opinii publicznej zwróciły działania władz Chin, które m.in. śledzą i monitorują lokalizację jednostek za pomocą aplikacji na telefony[2] w celu informowania ich o tym, czy znajdują się blisko miejsc, w których stwierdzono zakażenia wirusem. Co więcej, w Państwie Środka przedsiębiorstwa działające w branży technologicznej równocześnie opracowują i wdrażają systemy rozpoznawania twarzy, które pozwalają wykryć w tłumie osoby mające podniesioną temperaturę[3] a nawet zidentyfikować te osoby, które noszą maski[4].
Państwa członkowskie Unii Europejskiej również zmagają się ze wrastającą liczbą osób zainfekowanych koronawirusem. Podstawowe prawa obywateli takie jak m.in. swoboda przemieszczania się zostają ograniczane w imię ochrony zdrowia. Obecnie dyskutuje się jak dalece dopuszczalne jest wkraczanie w sferę prywatną jednostki w celu przeciwdziałania rozwojowi pandemii. Należy bowiem zauważyć, że prawo do prywatności w UE cieszy się większymi gwarancjami niż w innych porządkach prawnych, a związane z nim prawo do ochrony danych osobowych, na skutek wejścia w życie rodo[5], stało się jednym z najważniejszych praw podstawowych w Unii Europejskiej[6]. Jednakże nie wolno też zapominać, że prawo do ochrony danych osobowych nie jest prawem bezwzględnym i tym samym może podlegać ono ograniczeniu w przypadku kolizji z innymi podstawowymi wartościami, dobrami. Problem ten jest szczególnie widoczny w kontekście konfliktu pomiędzy obowiązkiem pracodawcy do ochrony życia i zdrowia zatrudnionych przez niego osób w miejscu pracy, a prawem do prywatności tych ostatnich. W związku z tym, celem niniejszego opracowania jest dokonanie analizy powyższego zagadnienia z perspektywy polskiego porządku prawnego w oparciu o metodę dogmatyczną.
2. Prywatność zatrudnionych a obowiązki pracodawcy.
Już na samym początku pandemii spore emocje wzbudziło pytanie, za pomocą jakich środków pracodawca może sprawdzić, czy w zakładzie pracy nie przebywa osoba z objawami koronawirusa. W tym miejscu warto zaznaczyć, że informację o tym, czy dana osoba jest zainfekowana wirusem SARS-Cov-2, ma objawy choroby (lub nie) należy uznać za dane dotyczące zdrowia w świetle rodo, ponieważ jest ona związana z przeszłym, obecnym lub przyszłym stanem fizycznym konkretnej jednostki (art. 4 pkt 15 rodo w zw. z motywem 35 rodo). Jednocześnie trzeba zauważyć, że w okresie epidemii aprioryczna i jednoznaczna klasyfikacja niektórych informacji (np. fakt kontaktu z osobą, która znajduje się w obowiązkowej kwarantannie) o konkretnej jednostce jako tzw. danych zwykłych[7] lub danych dotyczących zdrowia napotyka trudności[8].
Zagadnienie to jest szczególnie istotne z punktu widzenia oceny legalności działań pracodawcy, ponieważ przetwarzanie danych osobowych na gruncie rozporządzenia jest dopuszczalne jedynie wtedy, gdy dany proces jest oparty przynajmniej o jedną z podstaw prawnych określone w art. 6 ust.1 rodo (gdy administrator danych osobowych ma na celu przetwarzanie danych zwykłych) lub o odpowiednią przesłankę z art. 6 ust.1 rodo w połączeniu z jednym z warunków dopuszczalności wyszczególnionych w art. 9 ust. 2 rodo (gdy administrator danych osobowych ma na celu przetwarzanie danych szczególnej kategorii)[9]. Tym samym pracodawca, który chciałby sprawdzić stan zdrowia zatrudnionych przez siebie osób pod kątem występowania objawów charakterystycznych dla koronawirusa (np. poprzez badanie temperatury ciała, przeprowadzenie wywiadu z zatrudnionym) musi wykazać, że działa w oparciu o odpowiednie przepisy.
Jak zauważył austriacki organ nadzorczy (Datenschutzbehörde)[10] oraz niemiecki federalny organ nadzorczy[10] przesłanek pozwalających na kontrolę zdrowia pracowników przez pracodawcę należy szukać nie tylko w ogólnych przepisach rodo, ale również w normach krajowego prawa pracy[11]. W Polsce przedstawiciele doktryny podjęli próbę wyprowadzenia dopuszczalności badania temperatury ciała pracownika[12] na gruncie art. 9 ust. 2 lit.b i h rodo w związku z art. 207 k.p.[13] w oparciu o obowiązek pracodawcy do ochrony zdrowia i życia pracowników. Interpretacja ta wzbudziła jednak wątpliwości w kontekście polskiego porządku prawnego[14]. Słusznie zauważono bowiem, że przepisy krajowe dokładnie określają kwestię oceny stanu zdrowia pracownika pod kątem dopuszczenia go do pracy (np. badania okresowe z art. 229§2 k.p.)[15] a jak wskazała Państwowa Inspekcja Pracy (PIP) obowiązujące przepisy polskiego prawa nie umożliwiają pracodawcy kierowania pracownika na badania z powodu zwiększonego ryzyka zachorowania na choroby wirusowe, ani też nie pozwalają mu samodzielnie oceniać stanu zdrowia zatrudnionych[16].
3. Czy Senat RP rozwiąże spór w doktrynie?
Nie rozstrzygając powyższej dyskusji należy zauważyć, że polski ustawodawca nie zdecydował się do tej pory skorzystać z okazji do rozwiania wątpliwości w zakresie dopuszczalności kontroli stanu zdrowia pracownika przez pracodawcę w okresie epidemii poprzez wprowadzenie odpowiednich przepisów w tzw. specustawie[17], ograniczając się jedynie do wprowadzenia w art. 3 specustawy możliwości dla pracodawcy do polecenia pracownikowi wykonywania przez czas oznaczony pracy zdalnej. Ustawodawca nie sprecyzował jednak w jakich konkretnie okolicznościach pracodawca może wydać takie polecenie. Nadzieję na rozwiązanie powyższego problemu interpretacyjnego i usunięcie wspomnianej luki w przepisach niesie ze sobą Senacki projekt ustawy o zmianie ustawy o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych oraz niektórych innych ustaw [18] (dalej: projekt Senatu RP), w którym zaproponowano dodanie art. 3a do specustawy zezwalającego pracodawcy na:
1) żądanie od pracownika informacji o tym czy przebywał w ostatnim czasie w miejscu zagrożonym zakażeniem COVID-19;
2) żądanie od pracownika, co do którego istnieje uzasadnione podejrzenie, iż jest zakażony COVID-19, lub który przebywał ostatnio w miejscu zagrożonym zakażeniem COVID-19, aby poddał się niezbędnym badaniom lekarskim; badania lekarskie są świadczeniami opieki zdrowotnej w rozumieniu art. 9;
3) kontrolowanie stanu zdrowia pracownika przed dopuszczeniem go do pracy, w szczególności przez pomiar temperatury ciała pracownika;
4) wprowadzenie w miejscu pracy dodatkowych wymagań sanitarnych lub bezpieczeństwa i higieny pracy.
Na chwilę powstawania niniejszego opracowania projekt Senatu RP znajduje się na etapie prac legislacyjnych – 16 marca wpłynął on do Sejmu RP, a 7 kwietnia skierowano go do I czytania w komisjach (do Komisji Finansów Publicznych)[19]. Zmiany zaproponowane przez Senat RP niewątpliwie ułatwiają przeciwdziałanie rozprzestrzeniania się koronawirusa w miejscu pracy oraz pozwalają pracodawcom na przeprowadzenie skutecznych działań profilaktycznych w branżach, których charakter nie pozwala na przejście na zdalny tryb pracy. Jednocześnie punkt 4 projektu Senatu RP w obecnym brzmieniu może wzbudzić kolejne wątpliwości interpretacyjne, ponieważ pojęcie „dodatkowych wymagań” ma zbyt niedookreślony charakter. W konsekwencji pracodawca będzie mógł potencjalnie dokonać zbyt daleko idącej ingerencji w prywatność zatrudnionych poprzez zastosowanie niewspółmiernych środków do realizowanego celu, jakim jest ochrona życia i zdrowia pracowników w miejscu pracy.
4. Stanowisko Prezesa Urzędu Ochrony Danych Osobowych (PUODO) z dnia 5 maja 2020[20].
Po upływie około 2 miesięcy od początku zagrożenia epidemicznego w Polsce PUODO odniósł się do problemu pomiaru temperatury w miejscu pracy w związku z zapobieganiem rozprzestrzeniania się COVID-19. Należy jednak zauważyć, że to spóźnione stanowisko polskiego organu nadzorczego nie spełniło oczekiwań przedstawicieli doktryny[21] ani też nie rozwiało wszystkich wątpliwości w przedmiocie zagadnienia pomiaru temperatury. PUODO bowiem całkowicie pominął kwestię poruszonego wcześniej problemu art. 9 ust. 2 lit. b rodo w zw. z art. 207 k.p. jako podstawy prawnej przetwarzania danych dotyczących zdrowia pracownika. Co więcej organ nie zdecydował się dokonać zaleceń w przedmiocie okresu retencji danych dotyczących zdrowia pracownika pozyskanych przez pracodawcę w celu przeciwdziałania rozprzestrzeniania się koronawirusa. W opublikowanej ocenie PUODO wyraźnie brakuje również wskazówek odnośnie przeprowadzenia ewentualnej oceny skutków dla ochrony danych (DPIA) przez pracodawcę w związku ze sprawdzaniem temperatury w miejscu pracy lub też zbieraniem oświadczeń od pracowników o ich stanie zdrowia.
Zamiast tego w stanowisku przypomniano, że Główny Inspektor Sanitarny (GIS) lub działający z jego upoważnienia państwowy wojewódzki inspektor sanitarny mogą nakazać w formie decyzji określone postępowanie pracodawcy (np. sprawdzanie temperatury pracowników) lub wydać wytyczne w tym zakresie, co tak naprawdę stanowi powtórzenie treści enigmatycznego Oświadczenia PUODO w sprawie koronawirusa z dnia 12 marca 2020 r.[22] Niestety, podkreślając uprawnienia służb sanitarnych organ zdaje się zapominać, że zanim wydadzą one odpowiednie decyzje, to z racji upływu czasu ich treść może nie odpowiadać rzeczywistemu zagrożeniu związanemu z koronawirusem lub doraźnym potrzebom konkretnego podmiotu..
Tym samym stanowisko PUODO należy uznać za niewyczerpujące, stanowi ono bowiem jedynie rozbudowanie o kilka nowych wątków[23] jego wcześniejszego komunikatu. Niewystarczająca inicjatywa polskiego organu nadzorczego jest szczególnie widoczna w kontekście działań podejmowanych przez jego zagraniczne odpowiedniki w szczególności niderlandzkiego Autoriteit Persoonsgegevens oraz brytyjskiego Information Commissioner’s Office (ICO)[24].
5. Co pracodawcy mogą zrobić teraz? Propozycje rozwiązań.
W związku z brakiem odpowiednich przepisów oraz wyczerpujących wytycznych PUODO na gruncie aktualnego stanu prawnego pracodawcy decydując się na wprowadzenie szczególnych środków profilaktycznych w miejscu pracy powinni więc przede wszystkim mieć na uwadze zasady ograniczonego celu oraz minimalizacji danych (art. 5 ust.1 lit. b i c rodo), które nakazują oparcie procesu przetwarzania o usprawiedliwiony cel oraz zachowanie adekwatności między jego realizacją a zakresem interwencji w prywatność osoby, której dane dotyczą. Jak bowiem wyjaśnia motyw 39 rodo „dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami”. Co więcej warto zauważyć, że w aktualnym stanie prawnym nie istnieją przepisy, które określałyby, jaka wysokość temperatury lub występowanie jakich objawów dają podstawę do stwierdzenia, że pracownik jest zakażony koronawirusem. Istnieje więc ryzyko, że np. zobowiązanie pracownika do poddania się badaniom w miejscu zatrudnienia zostanie uznane za działanie nieproporcjonalne[25]. Pracodawca powinien więc każdorazowo w zależności od stanu faktycznego rozważyć, czy konkretne dane osobowe są mu potrzebne, aby skutecznie chronić zdrowie zatrudnionych oraz czy może on zrealizować ten cel w inny (mniej ingerujący w prywatność) sposób.
Tym samym administratorzy danych osobowych powinni starać się podejmować jak najmniej inwazyjne środki, aby pozyskać interesujące ich informacje. Pracodawcy mogą na przykład zachęcać pracowników (poprzez ogłoszenie specjalnego komunikatu), aby samodzielnie zgłaszali mu z własnej inicjatyw, czy mieli kontakt z osobami zarażonymi koronawirusem[26] lub uważają, że występują u nich objawy choroby[27]. Ponadto, rozwiązaniem ograniczającym ingerencję w prywatność zatrudnionych, które również zasługuje na uwagę, jest nieutrwalanie w żaden sposób pozyskanych informacji. Należy jednak podkreślić, że chociaż takie działanie będzie wtedy wykraczać poza materialny zakres stosowania rodo[28], to autonomia informacyjna zatrudnionych wciąż będzie chroniona poprzez konstytucyjne gwarancje z art. 47 i 51 Konstytucji RP[29].
Zgodnie ze wspomnianym wcześniej stanowiskiem PUODO w przypadku wątpliwości pracodawca może też zwrócić się do Głównego Inspektora Sanitarnego lub działającego z jego upoważnienia państwowego wojewódzkiego inspektora sanitarnego o wydanie decyzji nakładającej obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych[30]. Trafnie wskazuje się, że uzyskanie przez administratora danych osobowych takiej decyzji legalizowałoby proces przetwarzania danych[31] oraz umożliwiłoby wykazanie (w przypadku kontroli organu nadzorczego), że pracodawca podjął wszelkie działania zmierzające do legalizacji przetwarzania danych osobowych[32], co jest istotne w kontekście zasady rozliczalności (art. 5 ust.2 rodo).
###
Summary:
Title: Respect for the information autonomy of the individual and control of health at work in the era of epidemics – the Polish perspective.
Due to an epidemiological emergency caused by SARS-CoV-2 coronavirus, employers in the European Union has started asking questions which measures they are allowed to take to ensure safety in the workplace. This issue is especially sensitive as it is related to data protection law. This paper aims to analyse it from the Polish perspective.
###
Bibliografia:
[1] Stan prawny z dnia 6 maja 2020 r. Część uwag poczynionych w niniejszym opracowaniu może stracić swoją aktualność w szczególności w przypadku wprowadzenia jednego z konstytucyjnych stanów nadzwyczajnych lub na skutek kolejnych zmian prawnych.
[2] COVID-19 is rapidly changing people’s day to day lives across the globe., https://www.coindesk.com/mass-surveillance-threatens-personal-privacy-amid-coronavirus.
[3]’The new normal’: China’s excessive coronavirus public monitoring could be here to stay, https://www.theguardian.com/world/2020/mar/09/the-new-normal-chinas-excessive-coronavirus-public-monitoring-could-be-here-to-stay.
[4]How China built facial recognition for people wearing masks, https://www.ft.com/content/42415608-340c-4c0a-8c93-f22cdd4cc2d6.
[5] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej: rodo).
[6] W.Chomiczewski, K.Wygoda Prawo do ochrony danych osobowych jako prawo podstawowe (Karta Praw Podstawowych Unii Europejskiej, europejskie prawo pierwotne i wtórne, Konstytucja RP), [w:] D.Lubasz (red.), MERITUM.Ochrona danych Osobowych, s. 57, Warszawa 2020.
[7] Na przykład: adres zamieszkania, imię, nazwisko, dane kontaktowe
[8]Wątpliwości interpretacyjne w tym zakresie doskonale pokazuje sprzeczność stanowisk duńskiego organu nadzorczego (Datatilsynet) oraz jego fińskiego odpowiednika (Tietosuojavaltuutetun toimisto) co do charakteru informacji o tym, czy zatrudniony przebywał na obszarze dotkniętym epidemią. Pierwszy organ uznaje bowiem takie informacje za dane dotyczące zdrowia, podczas gdy drugi z nich odmawia im przyznania takiego statusu. Więcej informacji: Hvordan er det med GDPR og coronavirus?, https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2020/mar/hvordan-er-det-med-gdpr-og-coronavirus/.; Frequently asked questions on data protection and the coronavirus, https://tietosuoja.fi/en/coronavirus-covid-19. .
[9] I.Małobęcka-Szwast, K.Syska, Podwójne podstawy prawne przetwarzania danych wrażliwych, s.56 i n., ABI Expert 4/2019. Podzielam pogląd obu autorek wyrażony w przywołanym opracowaniu, że nowe stanowiska m.in. Datneschutzkonferenz, ICO zdają się zaprzeczać dominującej w polskiej doktrynie opinii o odrębności przesłanek przetwarzania danych osobowych zwykłych i szczególnych kategorii danych.
[10] Bundesbeauftragter für den Datenschutz und die Informationsfreiheit z siedzibą w Berlinie.
[11] Datenschutzbeörde, FAQ zum Thema Datenschutz und Coronavirus (COVID-19), https://www.dsb.gv.at/documents/22758/23115/FAQ_zum_Thema_Datenschutz_und_Coronavirus_Covid-19.pdf/7cff6131-aed3-4bf5-8515-b724c82915a9ö, ; Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, Datenschutzrechtliche Informationen zur Verarbeitung von personenbezogenen Daten durch Arbeitgeber und Dienstherren im Zusammenhang mit der Corona-Pandemie, https://www.bfdi.bund.de/DE/Datenschutz/Themen/Gesundheit_Soziales/GesundheitSozialesArtikel/Datenschutz-in-Corona-Pandemie.html?nn=5217154.
[12]P.Litwiński, RODO w czasach zarazy, https://www.linkedin.com/pulse/rodo-w-czasach-zarazy-pawel-litwinski,; D.Lubasz, W. Chomiczewski, M.Susałko, J.Hajn, A.Szkurłat, Pomiar temperatury ciała pracowników a RODO, https://www.lubasziwspolnicy.pl/pomiar-temperatury-ciala-pracownikow-a-rodo/.
[13] Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy ( Dz. U. z 2019 r. poz. 1040, 1043, 1495., dalej: k.p.).
[14] G. Sibiga, Uprawnienia pracodawcy a koronawirus, https://www.prawo.pl/kadry/uprawnienia-pracodawcy-a-koronawirus-dr-grzegorz-sibiga,498626.html.; M.Gawroński, Pracodawca nie może zmierzyć temperatury pracownika, ale może go o to poprosić, https://www.prawo.pl/kadry/czy-pracodawca-moze-samodzielnie-badac-stan-zdrowia-pracownika,498623.html.
[15] G. Sibiga, Uprawnienia pracodawcy….
[16] Wyjaśnienia PIP w związku z koronawirusem, https://www.pip.gov.pl/pl/wiadomosci/108072,wyjasnienia-pip-w-zwiazku-z-koronawirusem.html.
[17] Ustawa z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych. (Dz.U. z 2020 r., poz 374., dalej: specustawa).
[18]https://www.senat.gov.pl/prace/senat/proces-legislacyjny-w-senacie/inicjatywy-ustawodawcze/inicjatywa,111.html.
[19] http://www.sejm.gov.pl/Sejm9.nsf/PrzebiegProc.xsp?id=F04D059CEE9890FDC1258534002D3CAD.
[20] Sprawdzanie temperatury w celu zapobiegania rozprzestrzeniania się COVID-19, https://uodo.gov.pl/pl/138/1516.
[21] Warto w tym miejscu wspomnieć o krytyce stanowiska wyrażonej przez osoby zajmujące się ochroną danych osobowych na portalach społecznościowych (Facebook oraz Linkedin).
[22] Oświadczenie Prezesa UODO w sprawie koronawirusa, https://uodo.gov.pl/pl/138/1456.
[23] Między innymi: przypomnienie, że wyraźna zgoda pracownika z art. 9 ust.2 lit. a rodo nie powinna być podstawą przetwarzania danych dotyczących zdrowia pracownika w kontekście przeciwdziałania rozprzestrzeniania się koronawirusa, wskazówki odnośnie spełnienia obowiązku informacyjnego w związku z przetwarzaniem danych dotyczących zdrowia.
[24] Data protection and Coronavirus (COVID-19) resources, https://globalprivacyassembly.org/covid19/.
[25] Nemzeti Adatvédelmi és Információszabadság Hatóság (Węgierski organ nadzorczy), Information on processing data related to the coronavirus epidemic, NAIH/2020/2586/, https://www.naih.hu/files/NAIH_2020_2586_EN.pdf.
[26] W tym miejscu trzeba zaznaczyć, że takie informacje można uznać za dane zwykłe, ponieważ nie dotyczą one przeszłego, obecnego lub przyszłego stanu fizycznego jednostki. Sam fakt kontaktu zatrudnionego z osobą, u której zdiagnozowano chorobę COVID-19 wywoływaną przez wirus SARS-Cov-2, nie wystarcza, aby przesądzić o tym, czy jest on również nosicielem koronawirusa. Tym samym pracodawca może obecnie żądać od pracownika podania takich danych na podstawie art. 6 ust.1 lit.c rodo w związku z art. 221 § 4 i art. 207 k.p. Jeżeli natomiast pracodawca chce uzyskać takie dane od osoby z którą nie łączy ją stosunek pracy to musi wykazać po swojej stronie występowanie prawnie uzasadnionego interesu po uprzednim przeprowadzeniu testu równowagi (art. 6 ust.1 lit.f rodo).
[27] Pracodawcy wolno mierzyć temperaturę i pytać o urlop, https://serwisy.gazetaprawna.pl/praca-i-kariera/artykuly/1459250,pracodawcy-wolno-mierzyc-temperature-i-pytac-o-urlop.html.
[28] Art. 2 ust. 1 rodo „niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.”
[29] A.Sobczyk, RODO.Rozproszona władza publiczna, s.28-29 , Kraków 2019.
[30] Art. 8a ust. 5 pkt 1 lit. a ustawy z dnia 14 marca 2015 r. o Państwowej Inspekcji Sanitarnej (Dz.U.2019.59 t.j.).
[31] Zgodnie ze stanowiskiem PUODO z dnia 5 maja 2020 r. na podstawie art. 9 ust.2 lit. i rodo w związku z art. 17 specustawy.
[32]D.Lubasz, W. Chomiczewski, M.Susałko, J.Hajn, A.Szkurłat, Pomiar temperatury ciała…