Na stronie Kancelarii ukazała się informacja o Oświadczeniu Przewodniczącej Europejskiej Rady Ochrony Danych w sprawie przetwarzania danych osobowych w kontekście pandemii COVID-19 przyjęte w dniu 19 marca 2020 r.

W dokumencie tym wskazano między innymi, że nawet w tych wyjątkowych czasach administrator i podmiot przetwarzający muszą zapewnić ochronę danych osobowych osób, których dane dotyczą.

W dalszej części oświadczenia wskazano, że:

„w kontekście zatrudnienia przetwarzanie danych osobowych może być konieczne do wypełnienia obowiązku prawnego, któremu podlega pracodawca, np. obowiązków związanych ze zdrowiem i bezpieczeństwem w miejscu pracy lub z interesem publicznym, takim jak kontrola chorób i innych zagrożeń dla zdrowia. RODO przewiduje również odstępstwa od zakazu przetwarzania określonych szczególnych kategorii danych osobowych, takich jak dane dotyczące zdrowia, gdy jest to konieczne ze względu na istotny interes publiczny w dziedzinie zdrowia publicznego (art. 9 ust. 2 lit. i RODO), na podstawie prawa Unii lub prawa państwa członkowskiego lub gdy istnieje potrzeba ochrony żywotnych interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. c RODO), ponieważ motyw 46 wyraźnie odnosi się do kontroli epidemii.”

Po zapoznaniu się z tym oświadczeniem należy zwrócić uwagę na brzmienie następujących zapisów rozporządzenia:

1. punktu 46 preambuły rozporządzenia zgodnie z którym:

[46] Przetwarzanie danych osobowych należy uznać za zgodne z prawem również w przypadkach, gdy jest niezbędne do ochrony interesu, który ma istotne znaczenie dla życia osoby, której dane dotyczą, lub innej osoby fizycznej. Żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej. Niektóre rodzaje przetwarzania mogą służyć zarówno ważnemu interesowi publicznemu, jak i żywotnym interesom osoby, której dane dotyczą, na przykład gdy przetwarzanie jest niezbędne do celów humanitarnych, w tym monitorowania epidemii i ich rozprzestrzeniania się lub w nadzwyczajnych sytuacjach humanitarnych, w szczególności w przypadku klęsk żywiołowych i katastrof spowodowanych przez człowieka

2. art. 6 ust. 1 lit. d) rozporządzenia który stanowi, że:
Przetwarzanie jest zgodne z prawem gdy jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;

3. art. 9 ust. 2 lit. c) rozporządzenia dający podstawę do przetwarzania danych wrażliwych:
Zabrania się przetwarzania danych dotyczących zdrowia, chyba że przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody;

Co wynika z przywołanych przepisów? Przede wszystkim to, że w określonych sytuacjach przedsiębiorca dla ochrony swojej lub pracowników ma prawo żądać podania mu określonych informacji, nawet jeśli informacje dotyczą zdrowia.

Dane w związku z ogłoszonym stanem epidemii będą przetwarzane w celu przeciwdziałania, zwalczania, jak również zapobieganiu rozprzestrzeniania się wirusa COVID-19.

Odmowa podania tych informacji może stanowić podstawę do odmowy wykonania świadczenia lub spełnienia określonego zachowania.

Jaki zakres danych powinno się uzyskać? Należy pamiętać o zasadzie proporcjonalności i minimalizacji danych, a więc powinno się wymagać tylko takich danych które służą wskazanemu wyżej celowi i tylko do tego celu można je przetwarzać.

Przykładowo Główny Inspektor Sanitarny przewidział przeprowadzenie wstępnej ankiety w ramach schematu postępowania dla podmiotów leczniczych w sprawie kontaktu i przyjmowania pacjentów w zakresie podstawowej opieki zdrowotnej oraz nocnej i świątecznej opieki zdrowotnej.

Ankieta zawiera następujące pytania:

1. Czy w okresie ostatnich 14 dni przebywał(a) Pan(i) w rejonach transmisji koronawirusa? (lista krajów publikowana codziennie na stronie www.gis.gov.pl)
2. Czy w okresie ostatnich 14 dni miał(a) Pan(i) kontakt z osobą, u której potwierdzono zakażenie koronawirusem SARS CoV-2?
3. Czy występują u Pana(i) objawy?

• gorączka powyżej 38 ℃
• kaszel
• uczucie duszności – trudność w nabraniu powietrza

Jak wskazała również Przewodnicząca Europejskiej Rady Ochrony Danych w swoim oświadczeniu:

„Dane osobowe, które są niezbędne do osiągnięcia zamierzonych celów, powinny być przetwarzane
w konkretnych i wyraźnych celach. Ponadto osoby, których dane dotyczą, powinny otrzymywać przejrzyste informacje na temat prowadzonych działań w zakresie przetwarzania oraz ich głównych cech, w tym okresu przechowywania gromadzonych danych i celów przetwarzania. Dostarczane informacje powinny być łatwo dostępne i przedstawione jasnym i prostym językiem.
Ważne jest, aby przyjąć odpowiednie środki bezpieczeństwa i polityki poufności zapewniające, że dane osobowe nie są ujawniane nieupoważnionym stronom. Środki wdrożone w celu zarządzania bieżącą sytuacją nadzwyczajną oraz leżący u ich podstaw proces decyzyjny powinny być odpowiednio udokumentowane.”

Nie budzi więc wątpliwości, że klauzula informacyjna powinna zostać opracowana i powinna zawierać informacje wymagane przepisami – w tym podstawę prawną którą podano powyżej. Nie wolno jednak zapominać o innych informacjach które powinno się przekazać, w tym okresie przechowywania zgromadzonych danych.

Jeśli potrzebujesz pomocy w opracowaniu takiego dokumentu skontaktuj się z naszymi prawnikami.

radca prawny
Andrzej Fortuna