Pojawienie się w Polsce epidemii koronawirusa (COVID-19) wpłynęło na konieczność wprowadzenia oraz uaktualnienia regulacji związanej z ochroną danych osobowych. Szczególnie istotne było unormowanie kwestii związanych z przetwarzaniem informacji dotyczących stanu zdrowia. Regulacje te niezbędne były m.in. dla pracodawców, którzy jako zwierzchnicy służbowi w zakładzie pracy zobowiązani są do dbania o higienę i bezpieczeństwo pracy zatrudnionych pracowników.
Kwestią budzącą uzasadnione wątpliwości pracodawców jest możliwość gromadzenia przez nich danych pracowników dotyczących ich stanu zdrowia. Zgodnie z treścią przepisu art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) zabronione jest przetwarzanie danych osobowych, które ujawniają pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Umieszczenie w tym katalogu danych dotyczących stanu zdrowia wpływa na szczególną ochronę tego rodzaju danych.
W ocenie Urzędu Ochrony Danych Osobowych, fakt, iż dane takie można w ogóle przetwarzać za zgodą osoby, której dotyczą, wpływa na możliwość ich przetwarzania w sferze zatrudnienia. Wątpliwe jest zatem, czy zgoda pracownika stanowi podstawę dla pracodawcy do przetwarzania danych osobowych zatrudnionych dotyczących stanu zdrowia. Także Kodeks pracy wskazuje, że w przypadku takich delikatnych danych, zgoda pracownika może być podstawą przetwarzania tylko, gdy przekazanie informacji następuje z inicjatywy zatrudnionego. Dochodzić może, bowiem do wynikającego z relacji zachodzących pomiędzy pracodawcą a pracownikiem wpływania przez pracodawcę na dokonanie takiej czynności przez jego podwładnego, co oznaczałoby, iż zgoda pozbawiona byłaby cechy dobrowolności.
Zdaniem Prezesa Urzędu Ochrony Danych Osobowych, przepisy dotyczące ochrony danych osobowych nie zakazują dokonywania przetwarzania danych osobowych o objawach choroby albo też o temperaturze ciała, jeśli wynika to ze szczegółowych przepisów prawa. Podstawą prawną do takiego przetwarzania danych osobowych jest przepis art. 9 ust. 2 lit. i Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO), wskazujący możliwość przetwarzania danych osobowych w przypadku, gdy jest ono niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową.
Przepisem szczegółowym zawartym w prawie krajowym jest art. 17 specustawy o COVID-19 z dnia 2 marca 2020 r., który upoważnia organy inspekcji sanitarnej do wydawania decyzji nakładających obowiązek podjęcia czynności zapobiegawczych lub kontrolnych, a także zaleceń i wytycznych określających sposób postępowania w trakcie realizacji przez podmioty, do których kierowane są takie zalecenia lub wytyczne.
Na podstawie przepisu art. 8a ust. 5 pkt 2 ustawy o Państwowej Inspekcji Sanitarnej, wydanego na postawie w/w przepisu art. 17 specustawy o COVID-19, Główny Inspektor Sanitarny wydał wytyczne dla niektórych branż. W przypadku wytycznych wydanych dla zakładów fryzjerskich i podmiotów, które świadczą usługi kosmetyczne, Główny Inspektor Sanitarny zaleca właśnie dokonywanie pomiarów temperatury ciała pracowników oraz zbieranie w wywiadach innych danych o objawach chorobowych u pracowników. Z wytycznych tych wynika jednak, iż dane te mogą być zbierane tylko i wyłącznie za zgodą pracowników.
Wytyczne Głównego Inspektora Sanitarnego są zatem sprzeczne ze stanowiskiem Prezesa UODO, który wskazuje, że zgoda pracownika nie ma prawa być podstawą zbierania danych przez pracodawcę w tym przypadku.
Pomimo braku jasnych przepisów oraz sprzeczności stanowisk organów specjalizujących się w dziedzinie ochrony danych osobowych, celem legalnego zbierania danych osobowych pracowników zalecanym rozwiązaniem jest złożenie wniosku do inspekcji sanitarnej o nałożenie na pracodawcę decyzji nakazującej mu dokonywanie pomiarów temperatury, bądź też dokonywanie innych czynności zapobiegawczych, przy których konieczne jest zbieranie danych o stanie zdrowia pracowników.
