Kodeks pracy ani akty prawne wydane w związku z epidemią COVID-19 nie przewidują wprost uprawnienia pracodawcy do badania temperatury pracownikom. Prezes UODO wydał jednoznaczne stanowisko z 5 maja br.  W opinii PUODO, pracodawca nie może dokonywać pomiarów, jeśli nie ma w tej sprawie oparcia w rozstrzygnięciu organu sanitarnego. Oznacza to jeszcze większą dezorientację pracodawców przy organizowaniu powrotu do biur po społecznej samoizolacji.

 

Sytuacja epidemiczna spowodowała, że obowiązek pracodawcy, polegający na zapewnieniu pracownikom warunków pracy wolnych od zagrożeń, zyskał jeszcze większą doniosłość prawną. Zakres dbałości pracodawcy o zdrowie pracowników w procesie świadczenia pracy powinien przyjąć podwyższoną miarę w okresie epidemii. Najczęściej stosowanym rozwiązaniem przez pracodawców jest obowiązkowy pomiar temperatury pracownikom, kontrahentom i gościom przy realizacji fizycznego dostępu do pomieszczeń pracodawcy. Tymczasem zarówno PIP, jak i PUODO stoją na jednoznacznym stanowisku: nie wolno mierzyć temperatury pracownikom przy wejściu do miejsca pracy.

 

Know-how dla danych wrażliwych

 

Prezes Urzędu Ochrony Danych Osobowych w dniu 5 maja 2020 r. wskazał na właściwe postępowanie pracodawców w zakresie przetwarzania danych wrażliwych, do których należą informację dotyczące zdrowia. Te zaś pozostają niezmiennie pod szczególną ochroną. W komunikacie podkreślono, że czynność polegająca na mierzeniu temperatury pracownikom, a następnie utrwalanie, przekazywanie i gromadzenie danych dotyczących stanu zdrowia stanowi przetwarzanie szczególnej kategorii danych osobowych. Taka kwalifikacja nie jest obojętna dla zakresu ochrony, jakim podlegają te informacje. Powołany w stanowisku art. 9 ust. 2 lit. i) RODO[1] istotnie pozwala procedować z danymi sensytywnymi, o ile jest to niezbędne z punktu widzenia interesu publicznego w dziedzinie zdrowia publicznego, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewiduje odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą. Interes publiczny przejawia się m.in. w ochronie przed transgranicznymi zagrożeniami zdrowotnymi, a do takich należy epidemia[2]. W związku z tym, na tej podstawie należy uznać, że przepisy RODO nie stanowią przeszkody dla przetwarzania informacji o temperaturze pracownika oraz gości wchodzących na teren miejsca wykonywania pracy. Choć komunikat PUODO wskazuje zasadniczo na dwie główne formy pozyskiwania danych wrażliwych, tj. przez poddanie się pomiarowi temperatury oraz ankietowanie, należy mieć na uwadze także wszelkie inne sposoby właściwe dla ujawnienia informacji o zdrowiu (żądanie wyników testu, żądanie okazywanie zmian dermatologicznych itp.).

 

Problematyczne w Polsce staje się jednak wskazanie przepisów prawa lokalnego, które przewidywałoby prawo do podejmowania tego typu czynności przetwarzania danych osobowych oraz odpowiednie środki ich ochrony.

 

Koronna decyzja

 

Zgodnie ze stanowiskiem PUODO, wspomniany art. 9 ust. 2 lit. 1) RODO należy łączyć z art. 17 specustawy koronawirusowej[3], który nadał Głównemu Inspektorowi Sanitarnemu lub działającym z jego upoważnienia państwowym wojewódzkim inspektorom sanitarnym nowe kompetencje. Pozwalają one organom sanitarnym na podejmowanie konkretnych rozstrzygnięć w związku z zaistniałą sytuacją epidemiczną. Na ich podstawie pracodawca może być adresatem decyzji administracyjnej nakazującej podjęcie określonych czynności zapobiegawczych lub kontrolnych, a do takich może należeć dokonywanie pomiarów ciepłoty ciała. Równie ważne będą dla pracodawcy wytyczne i zalecenia, które przykładowo mogą objąć daną kategorię branży, do której ów zatrudniający należy.

 

Oznacza to, że tylko środek prawny w formie decyzji, wytycznych, zaleceń wydanych przez właściwe organy będzie uprawniać pracodawcę do wdrożenia szczególnych procesów monitorowania zdrowia pracowników. Na tej podstawie przetwarzanie danych szczególnej kategorii znajdzie uzasadnienie prawne. Sytuacja, w której pracodawca, bez opisanej podstawy, dokonuje pomiarów temperatury u pracowników i uzależnia ich dopuszczenie do pracy od kondycji zdrowotnej, skutkować będzie konsekwencjami przewidzianymi prawem.

 

Niezależnie od kompetencji organów sanitarnych, podkreślenia wymaga, że również Prezes Rady Ministrów może ingerować w działalność pracodawców. Ma prawo do wydawania przedsiębiorcom poleceń pozostających w związku z koniecznością przeciwdziałania COVID-19, na co powoływał się PUODO w oświadczeniu z dnia 12 marca 2020 r.

 

Decyzja GIS w praktyce

 

Nie podejmując dyskusji dotyczącej tego, czy wytyczne lub zalecenia mogą zostać uznane za źródło prawa państwa członkowskiego, poddaliśmy analizie faktyczną możliwość uzyskania decyzji GIS w sprawie obowiązku mierzenia temperatury. Nie ma obecnie żadnych wytycznych lub zaleceń ogólnych w tym zakresie, co oznacza, że aby spełnić wymogi art. 9 ust. 2 lit. i RODO jako podstawy prawnej do mierzenia temperatury pracownikom, każdy przedsiębiorca powinien indywidualnie wystąpić do GIS o wydanie stosownej decyzji i dopiero po otrzymaniu decyzji mógłby rozpocząć dokonywanie pomiarów. Tymczasem od strony praktycznej nie jest to możliwe do zrealizowania: w związku z “odmrażaniem gospodarki” po samoizolacji związanej z walką z koronawirusem przedsiębiorstwa obecnie już powracają do fizycznej działalności, a niektóre nigdy takiej działalności nie zaprzestały (np. sklepy, apteki). Można również przewidzieć, że gdyby obecnie GIS otrzymał tysiące, dziesiątki tysięcy wniosków o wydanie decyzji, przy takim ich nawarstwieniu otrzymanie decyzji nie byłoby możliwe przez wiele miesięcy.

 

Tym samym, mimo że stanowisko Prezesa UODO co do stosowania podstawy prawnej z art. 9 ust. 2 lit. i RODO jest słuszne: musi istnieć odpowiednia podstawa prawna w przepisach lokalnych, nie rozwiązuje ono dylematów przedsiębiorców związanych z legalnością ich działań w celu jednoczesnego zapewnienia powrotu do pracy wykonywanej fizycznie w miejscy pracy, jak i bezpieczeństwa pracowników, gości oraz klientów w obliczu zagrożenia COVID-19.

 

(Bez)radni pracodawcy

 

Pracodawcy podejmujący decyzje o mierzeniu temperatury pracownikom muszą zatem zapewnić inną podstawę prawną z RODO.

 

Podkreślenia wymaga okoliczność, że Prezes UODO oficjalnie i wprost potwierdził, że pracodawca nie może przetwarzać danych dotyczących zdrowia w oparciu o zgodę pracownika lub zgodę osoby, której te dane dotyczą. Choć art. 9 ust. 2 lit. a) RODO legalizuje proces przetwarzanie danych wrażliwych, to PUODO wyklucza jego zastosowanie z uwagi na brak równowagi między stronami stosunku pracy. Element dobrowolności w zgodzie pracownika na taki pomiar jest zasadnie kwestionowany.

 

Pozostaje zatem rozważenie możliwości zastosowania przepisów dotyczących obowiązku zapewnienia bezpieczeństwa i higieny pracy w miejscu pracy. Wydaje się to jedyną możliwą do zastosowania podstawą prawną w Polsce w kontekście braku przepisów szczególnych umożliwiających zastosowanie podstawy prawnej interesu publicznego zgodnie ze wspomnianym art. 9 ust. 2 lit. i RODO. Nie ulega bowiem wątpliwości, że z punktu widzenia przedsiębiorcy działania zapobiegające COVID-19 w miejscu pracy stanowią element zapewnienia pracownikom odpowiednich – bezpiecznych i higienicznych warunków pracy, a nierealizowanie tego obowiązku stanowi naruszenie podstawowych obowiązków pracodawcy. W kontekście epidemii stosowane dotychczas środki ochrony należy uznać za niewystarczające, co oznacza, że pracodawcy są zobligowani na podstawie przepisów ogólnych prawa pracy do wdrożenia innych środków ochrony zapewniających odpowiednie bezpieczeństwo pracowników. W celu przeciwdziałania COVID-19 mitygacja ryzyka wpuszczenia do miejsca pracy osoby zakażonej jest kluczowa, a aby móc osiągnąć ten cel, należy weryfikować istnienie podstawowych objawów typowych dla osób zakażonych, w tym temperaturę ciała. W tym przypadku odpowiednią podstawa prawną z RODO byłby art. 9 ust. 2 lit. b RODO w związku z przepisami BHP w miejscu pracy.

 

Stanowisko PUODO nie odnosi się do innych przesłanek przetwarzania niż interes publiczny oraz zgoda, tym samym okoliczność, czy PUODO wyklucza czy dopuszcza stosowanie innych przesłanek, pozostaje niejasne. Wydaje się jednak, że EROD w swoim stanowisku z 16 kwietnia br. wprost dopuszcza taką możliwość, wskazując, że przetwarzanie danych osobowych przez pracodawcę w kontekście epidemii jest możliwe, jeżeli jest konieczne ze względu na interes publiczny w dziedzinie zdrowia publicznego, w celu ochrony żywotnych interesów (art. 6 i 9 RODO) lub w celu spełnienia innego obowiązku prawnego. Tym samym inne obowiązki prawne mogą stanowić odrębną od interesu publicznego przesłankę do przetwarzania danych osobowych w kontekście zapobiegania koronawirusowi.

 

Pomiar bez zapisów

 

Stanowisko PUODO pozostawia jeszcze jedną wątpliwość. Odnosi się mianowicie do mierzenia temperatury pracownikom, a następnie utrwalania, przekazywania i gromadzenia danych dotyczących stanu zdrowia. Czy zatem dokonywanie samego pomiaru bez odnotowywania jego wyników, a jedynie wpuszczanie lub niewpuszczanie do miejsca pracy osób poddawanych badaniu podlega restrykcjom wskazanym przez PUODO?

 

W praktyce wskazane okoliczności dotyczące utrwalania wyników pomiaru nie mają wpływu na konieczność zapewnienia odpowiedniej podstawy prawnej przetwarzania. Od strony formalnej sam pomiar i uzyskanie informacji o możliwości lub zakazie wejścia jest przetwarzaniem danych osobowych, a RODO nie zawiera wyłączenia jego stosowania wobec krótkotrwałego przetwarzania. Ponadto, w praktyce informacja o wyniku pomiaru temperatury: pozytywnym lub negatywnym będzie w każdym przypadku pośrednio utrwalana, np. w zakresie informacji o odmowie wpuszczenia pracownika do miejsca pracy i obowiązku pracy zdalnej. A zatem fakt, że pracodawca nie odnotowuje wyników pomiaru, stanowi spełnienie wymogów minimalizacji danych i ograniczenia celu, lecz nie zwalnia go od posiadania odpowiedniej podstawy prawnej.

 

FYI

 

W zakresie dokonywania pomiarów temperatury pracodawca będący administratorem ma szereg obowiązków informacyjnych. Klauzula informacyjna powinna zostać sformułowana zgodnie z wymogami RODO i zostać przekazana osobom, których dane osobowe są przetwarzane. Zgodnie z komunikatem PUODO, taka klauzula może być zawarta bezpośrednio w kwestionariuszu, a także upubliczniona w miejscach ogólnodostępnych, np. w recepcji, na tablicy ogłoszeń lub na stronie internetowej. Wobec pracowników wystarczające jest poinformowanie wyłącznie o okolicznościach dotyczących pomiaru. Pozostałe informacje wymagane art. 13 RODO, np. szczegóły dotyczące realizacji praw osób, których dane dotyczą lub kontakt do IOD-a zostały już przekazane wcześniej, np. przy zatrudnieniu i nie ma obowiązku ich powtarzania. Informacja ta może zostać również spełniona poprzez wysyłkę mailową do ogółu pracowników. Natomiast wobec gości klauzula informacyjna powinna zawierać wszelkie informacje wymagane art. 13 RODO.

 

Z perspektywy osób badanych podstawową informacją, jaką należy przekazać, jest informacja o tym, czy wyniki pomiaru lub wypełniane formularze będą utrwalane, a jeżeli tak, przez jak długi czas oraz w jakich celach dane te mogą być przetwarzane. Te informacje pozwolą zweryfikować osobom badanym legalność przetwarzania pozyskiwanych informacji oraz w wielu przypadkach obniżyć ich niepokój dotyczący przetwarzania ich danych szczególnie chronionych.

 

Podsumowując, przepisy wydane dla uregulowania aktualnej sytuacji epidemicznej nie wprowadziły wyłomu dla procedury postępowania z danymi obejmującymi wynik na termometrze. Jedyną potwierdzoną przez PUODO podstawą uprawniającą pracodawców do wdrożenia w organizacji pracy tych szczególnych procedur, jakim jest np. poddanie się pomiarowi temperatury, jest poparcie w postaci decyzji administracyjnej, zalecenia bądź wytycznych wydanych przez inspektora sanitarnego. Ze stanowiska PUODO wynika również, że nie jest planowane zapewnienie ustawowej podstawy prawnej dopuszczającej mierzenie temperatury przez ogół przedsiębiorców celem zapobiegania koronawirusowi. Wydaje się, że w Polsce podstawą umożliwiającą na gruncie RODO dokonywanie pomiaru temperatury może być również prawo pracy w zakresie obowiązku zapewnienia bezpiecznych i higienicznych warunków pracy. Prezes UODO nie odniósł się jednak do takiego rozwiązania.

 

Agnieszka Sagan-Jeżowska i Natalia Nawrocka z kancelarii Eversheds Sutherland Wierzbowski. Artykuł ukazał się na blogu Kodeks w pracy, prowadzonym przez prawników kancelarii. 

 

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. UE. L 2016, nr 119/1).

[2] P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, Legalis.

[3] Ustawa z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. 2020, poz. 374 ze zm.)