Pomiar temperatury ciała. Dozwolony?

http://www.jakprzetrwackryzys.stronazen.pl/index.php/2020/05/11/czy-mozna-mierzyc-temperature-pracownikom/

Jeszcze przed pojawieniem się pierwszego zachorowania na koronawirusa w Polsce jeden z naszych klientów zwrócił się z zapytaniem, czy można mierzyć temperaturę pracownikom i innym osobom wchodzącym na teren zakładu pracy. Odpowiedziałam, że nie wolno, ale miałam szczerą nadzieję, że UODO podejdzie do tego zagadnienia z większą elastycznością. Nie podszedł…

UODO opublikował ostatnio na swojej stronie długie i dość zawiłe stanowisko na ten temat. W dzisiejszym wpisie postaram się przybliżyć je w sposób bardziej zrozumiały.

UODO rozróżnił dwie sytuacje:

  • kiedy mierzenie temperatury nakazuje upoważniony organ
  • kiedy pracodawca sam występuje z taką inicjatywą.

Zanim przejdę do omówienia tych dwóch przypadków, odpowiedzmy sobie na pytanie,

czy pomiar temperatury stanowi przetwarzanie danych osobowych?

UODO nie ma w tym zakresie żadnych wątpliwości (i słusznie).

Pomiar temperatury ciała, odnotowanie jego wyniku, gromadzenie wyników i ich dalsze przechowywanie stanowią przetwarzanie danych osobowych. I to danych szczególnego rodzaju , bo danych o stanie zdrowia.

RODO zakazuje co do zasady przetwarzania takich danych. Oznacza to, że można to robić WYJĄTKOWO, wyłącznie w przypadkach wskazanych w art. 9 ust. 1 RODO.

Jeśli przeczytamy sobie powyższych (bardzo długi i dość niejasny) przepis i nie znajdziemy żadnego wyjątku, na który moglibyśmy się powołać, nie możemy przetwarzać takich danych.

Przetwarzanie danych bez podstawy prawnej stanowi naruszenie ochrony danych osobowych i może się skończyć karą administracyjną.

A co w sytuacji, gdy chcemy mierzyć temperaturę pracownikom bez zapisywania jej wyniku?

Czy to nadal przetwarzanie danych osobowych?

W mojej ocenie nadal mamy do czynienia z przetwarzaniem danych. Zgodnie z art. 4 pkt. 2 RODO „przetwarzanie” oznacza m.in. zbieranie i wykorzystywanie danych.

Samo mierzenie temperatury wg mnie można uznać za zbieranie danych , a podejmowanie w oparciu pomiar decyzji, czy pracownik/gość może wejść na teren zakładu będzie stanowiło wykorzystywanie danych .

Wiemy już, że:

  1. wynik pomiaru temperatury stanowi dane osobowe o stanie zdrowia
  2. dokonywanie pomiaru temperatury stanowi więc przetwarzanie danych osobowych
  3. dane o stanie zdrowia są szczególną kategorią danych
  4. żeby przetwarzać szczególne kategorie danych osobowych trzeba mieć podstawę prawną wskazaną w art. 9 ust. 2 RODO.

Pojawia się pytanie, czy w art. 9 ust. 2 możemy znaleźć taka postawę? Odpowiedź będzie się również w zależności od sytuacji.

Urzędowy nakaz pomiaru temperatury

Jak słusznie podkreśla UODO art. 9 ust. 2 lit. i) RODO wskazuje, że szczególne kategorie danych (dotyczące zdrowia) można przetwarzać, gdy jest to niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi, jeżeli wynika to z przepisów prawa .

Chodzi tu o konkretny przepis lub przepisy, który umożliwia przetwarzanie danych o stanie zdrowia. Więcej na ten temat pisałam w poprzednim wpisie .

Zgodnie z art. 17 specustawy, Główny Inspektor Sanitarny posiada uprawnienia, aby oddziaływać na inne podmioty oraz na zmiany w obowiązujących przepisach, a także wskazywać na przyjmowanie właściwych rozwiązań mających na celu zapobieganie COVID-19.

Idąc dalej, jeśli inspektor uzna, że jest to niezbędne, może w drodze decyzji nałożyć na pracodawcę/przedsiębiorcę obowiązek dokonywania pomiaru temperatury pracowników lub/i gości wchodzących na teren zakładu. Może także nakazać pozyskiwanie od tych osób oświadczeń dotyczących ich stanu zdrowia.

Decyzja inspektora sanitarnego będzie więc podstawą dla pracodawcy dla wprowadzenia działań zapobiegawczych narzuconych przez urząd.

Takie przetwarzanie danych będzie więc zgodne z prawem.

Samowolny pomiar temperatury

Co ma zrobić pracodawca, który nie otrzymał od inspektora sanitarnego urzędowego nakazu, a chciałby mierzyć temperaturę pracownikom?

Niestety, na chwilę obecną nie znam przepisów prawa, które by wprost pozwalały na przetwarzanie przez pracodawcę danych o stanie zdrowia w celu zapobiegania COVID-19 bez nakazu uprawnionego organu.

Pytanie, czy art. 9 ust. 2 RODO przewiduje jakąś inną przesłankę (poza przepisami prawa), na którą mógłby się powołać pracodawca, który chciałby mierzyć temperaturę pracownikom?

Zgodnie z art. 9 ust. 2 lit. a) RODO dane o stanie zdrowia można przetwarzać na podstawie zgody osoby, której te dane dotyczą.

Czy to oznacza, że można zebrać od pracowników zgody na przetwarzanie danych i tym rozwiązać problem?

Niestety, nie.

Jak podkreśla UODO „zgoda nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji, w której istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem”.

Książkowym przykładem „braku równowagi” jest stosunek łączący pracodawcę z pracownikiem. Uznaj się bowiem, że pracodawca może wymusić na pracowniku wyrażenie zgody np. dając mu do zrozumienia, że wyciągnie negatywne konsekwencje służbowe, a nawet strasząc zwolnieniem.

Zgodnie z RODO zgoda na przetwarzanie danych musi być DOBROWOLNA, w przeciwnym wypadku przetwarzanie danych w oparciu o taką zgodę będzie sprzeczne z RODO.

Według mnie te same wytyczne dotyczą także kamer termowizyjnych instalowanych w biurach czy zakładach pracy, choć znalazłam też odmienną opinię .

Wiemy, już że zgoda pracowników nie wystarczy, aby dokonywać pomiaru temperatury ich ciała. A co z gośćmi?

UODO kategorycznie stwierdza, że „ Pracodawca nie może także nakazać pracownikom i tzw. gościom wchodzącym na teren zakładu pracy dokonywania pomiaru temperatury.”

Z tym stanowiskiem bym polemizowała. Według mnie wszystko będzie zależeć od konkretnego przypadku.

Przykład nr 1

Na teren zakładu chce wejść pracownik firmy remontowej, której zleciliśmy prace. Przedsiębiorca prosi o jego zgodę na pomiar temperatury, zastrzegając, że jeśli odmówi, to nie będzie mógł wejść do środka i rozpocząć prac. W konsekwencji nie zostanie na czas wykonana umowa o prace remontowe, a pracownik firmy remontowej poniesie tego negatywne konsekwencje.

W mojej opinii w tym przypadku zgoda nie będzie dobrowolna, a dokonanie pomiaru ciała na postawie takiej wymuszonej zgody będzie stanowić naruszenie ochrony danych.

Przykład nr 2

Nasz kontrahent upiera się, że zamiast rozmowy on-line koniecznie chce nas odwiedzić w siedzibie firmy, bo woli osobistą rozmowę. Zgadzamy się, ale stawiamy warunek – musi wyrazić zgodę na badanie temperatury.

W mojej opinii kontrahent ma wybór – nie musi pojawiać się osobiście w biurze. Rozmowa za pomocą komunikatora jest bezpieczniejszą opcją, która nie niesie dla niego negatywnych konsekwencji. Będzie obsłużony równie dobrze jak w biurze. Ma więc swobodę wyboru. Albo rozmowa online bez badania albo rozmowa w biurze z badaniem.

W mojej opinii taka zgoda będzie miała charakter zgody dobrowolnej, która mogłaby być podstawą pomiaru temperatury gościa i przetwarzania danych o jego stanie zdrowia.

Podkreślam jednak, że UODO ma inne zdanie w tej materii, zaznaczając że „ przepisy prawa nie regulują, jaka wysokość temperatury daje podstawę do stwierdzenia, że pracownik jest chory bądź zarażony wirusem COVID-19 . Dlatego też to służby sanitarne, a nie pracodawca, podejmując określone działania wskazują w konkretnych przypadkach na przyjmowanie właściwych rozwiązań.”

UODO trafił w punkt. Zgodnie z zasadą minimalizmu nie można przetwarzać więcej danych niż jest to niezbędne do osiągnięcia danego celu – tym celem będzie zapobieganie COVID-19.

Skoro jednak wiele osób przechodzi koronawirusa bezobjawowo, to może się okazać, że mierzenie temperatury jest bezcelowe i wcale nie zapobiega szerzeniu się choroby. W konsekwencji przetwarzanie wyników pomiarów temperatury nie jest niezbędne dla zapobiegania COVID-19…

Nawet w oparciu o dobrowolną zgodę nie powinniśmy bowiem zbierać danych nadmiarowych, na zapas.

Z tego względu byłabym bardzo ostrożna wprowadzając w firmie badanie temperatury gości w oparciu o ich dobrowolną zgodę.

Podsumowując, zgodnie ze stanowiskiem UODO można mierzyć temperaturę pracownikom i gości o stanie zdrowia w celu zapobiegania COVID-19 wyłącznie na podstawie decyzji inspektora sanitarnego.

Obowiązek informacyjny

Jeśli pracodawca taki nakaz otrzyma powinien pamiętać o wywiązaniu się z obowiązku informacyjnego, czyli poinformowanie osoby, których dane przetwarzamy, po co i na jakich zasadach to czynimy.

Jeśli nie wiecie, w jaki sposób sformułować taką klauzulę, prosimy o kontakt .

Aut or: radca prawny Justyna Lisińska