COVID i badanie temperatury

[stm_post_details]

Czyli zrozumieć cel przetwarzania danych osobowych.

Dzisiejszy artykuł ma na celu wskazać jak sobie poradzić z dość niejasnymi, zdaniem komentatorów, stanowiskami organów, w szczególności Prezesa Urzędu Ochrony Danych Osobowych. Kanwą będzie COVID-19 i potencjalne uprawnienie pracodawcy do przetwarzania danych dotyczących zdrowia. Również badań innymi urządzeniami, takimi jak np. alkomat.

Zrozumienie a nawet uznanie za właściwe stanowisk nie jest trudne, jeśli dobrze rozszyfrujemy punkt widzenia PUODO i to, do jakiego celu przetwarzania się odnosi.

Cel przetwarzania danych osobowych

Napiszę coś, co jest banałem, ale chyba tylko pozornie. Otóż zanim zaczniemy przetwarzać dane osobowe, musimy oznaczyć, wskazać, zakreślić cel przetwarzania danych osobowych. Pierwszym problemem, jaki zauważam jest “skakanie po przesłankach” (dowolny wybór przesłanek z art 6 i art. 9). Wynika to najczęściej z błędnie lub nieprecyzyjnie wskazanego celu przetwarzania.

Cel przetwarzania danych na przykładzie zatrudnienia

Celem przetwarzania jest zawarcie umowy o świadczenie pracy. W dużym skrócie, pracownik oferuje swoją pracę, w zamian za uzgodnione wynagrodzenie od pracodawcy. Podstawą przetwarzania danych osobowych będzie ta wskazana w art. 6.1.b:

przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy

Za moment wyjaśnienie, dlaczego nie przepis prawa.

Dane dotyczące stanu zdrowia pracownika, mające wpływ na świadczenie pracy (wykonanie umowy), czy inne dane szczególnych kategorii przetwarzane są na podstawie art. 9.2.b

przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;

Kodeks Pracy

Zanim przejdziemy do kwestii przetwarzania danych szczególnych kategorii dotyczących czy to zdrowia, czy stanu psychofizycznego, jeszcze krótka dygresja. Aktem prawnym, którego celem jest utrzymanie równowagi pomiędzy pracodawcą a pracownikiem jest Kodeks Pracy. Określa on pewne prawa i obowiązki związane z umową. Wielu ekspertów wskazuje przepis prawa jako wiodącą podstawę prawną w niektórych przypadkach, w których dochodzi do przetwarzania danych szczególnych kategorii w przypadku umowy o pracę. Np. ciąża.

Proponuję jednak rozważyć, czy naprawdę jest to przepis prawa, czy nadal jednak umowa, której to umowne zapisy reguluje KP. Wszak, jeśli nie zaistnienieje umowa, to nie będziemy mieć obowiązku stosowania przepisów prawnych. A w wielu przypadkach nie będą one dotyczyć wszystkich, a tylko osób, które spełniają parametry. Oraz zapisy te dotyczą wprost umowy o pracę, a nie obowiązków ogólnych.

Efektem przetwarzania tych danych (przykład ciąży) jest zmiana niektórych warunków zatrudnienia, np. zakazy dotyczące wykonywania pracy w nocy, nadgodzinach, czy niektórych rodzajów prac przez kobietę ciężarną, bez zmiany warunków finansowych.

WAŻNE: zakazy nie zawsze wynikać będą bezpośrednio z precyzyjnych regulacji prawnych, zawartych w Kodeksie Pracy. Mogą też wynikać z kart charakterystyki substancji (substancje mutagenne), czy oceny ryzyka zawodowego (ORZ).

O stosunku pracy i podstawach przetwarzania danych osobowych poświęcony zostanie odrębny artykuł, bo wbrew pozorom nie jest to prosty temat.

W tym artykule najistotniejsze jest to, że podstawą do określenia przesłanki przetwarzania danych osobowych jest cel przetwarzania – w tym przypadku wykonywanie konkretnej pracy (nie umowa, bo ona precyzuje – cel to nie to samo co przesłanka).

Przepis prawa

Cel przetwarzania danych z przepisu prawa jest z reguły oznaczony w pierwszych artykułach aktu prawnego. Jest to cel wydania konkretnej regulacji.

Przypadek Kodeksu Pracy omówiony zostanie w innym artykule jako dość szczególnego przepisu z punktu widzenia RODO, o czym już było wskazane.

Badanie trzeźwości a RODO – stanowisko PUODO

Stanowisko PUODO w kontekście badania alkomatem oparte jest w całości o Ustawę o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi. Czytając art. 1 Ustawy w ogóle nie ma wątpliwości do kogo jest skierowana i kto jest głównym jej wykonawcą:

Art. 1. 1 Organy administracji rządowej i jednostek samorządu terytorialnego są obowiązane do podejmowania działań zmierzających do ograniczania spożycia napojów alkoholowych oraz zmiany struktury ich spożywania, inicjowania i wspierania przedsięwzięć mających na celu zmianę obyczajów w zakresie sposobu spożywania tych napojów, działania na rzecz trzeźwości w miejscu pracy, przeciwdziałania powstawaniu i usuwania następstw nadużywania alkoholu, a także wspierania działalności w tym zakresie organizacji społecznych i zakładów pracy (…).

Jak widać Ustawa jest adresowana do organów administracji rządowej i samorządowej. A celem ustawy i celem przetwarzania danych osobowych jest to, co opisano w art 1, czyli ograniczenie spożycia napojów, przedsięwzięcia w zakresie zmiany obyczajów oraz postępowanie następstw nadużywania alkoholu.

A nie zapewnienie bezpiecznych i higienicznych warunków pracy, co jako strona umowy ma zapewnić pracodawca. W związku z tym PUODO jak najbardziej sensownie wydał swoje stanowisko, bo rozpatrywał sytuację z punktu widzenia Ustawy o wychowaniu w trzeźwości. I w tym przypadku przesłanki, jakie są związane z przetwarzaniem to:

  • 6.1.c przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze – w zakresie zadań ciążących na kierowniku zakładu pracy.
  • 9.2.h w tej części dotyczącej: przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej, jako że przeciwdziałanie alkoholizmowi jest działanie profilaktycznym (przeciwdziałanie to zapobieganie, czyli profilaktyka).

Gdyby dane osobowe miały być przetwarzane do celów realizowania obowiązków (umownych) pracodawcy mielibyśmy:

  • 6.1.b – strona umowy (dlaczego nie obowiązek prawny o tym za chwilę);
  • 9.2.b – przetwarzanie niezbędne do zrealizowania obowiązku prawnego.

O zasadzie 6-9 pod koniec artykułu.

Dlaczego umowa nie przepis prawa?

Przesłanka mówiąca o NAKAZIE przetwarzania danych osobowych do wykonania obowiązku, czyli:

6.1.c przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

Nie jest właściwą w powiązaniu z

art 9.2.b. przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, (…);

Dlatego, że w 6.1.c mowa jest o OBOWIĄZKU, a w 9.2.b o OBOWIĄZKU bądź UPRAWNIENIU. Oznaczałoby to, że nagle obowiązek może stać się uprawnieniem.

Zasada 69

Nie jest to tytuł kiepskiego filmu erotycznego (niezłego też nie), a prosta zasada, którą stosuję od lat (ponad 15), choć wcześnie nie nazywała się tak uroczo (23-27). Jej realizacja związana jest z procesem, o którym mowa w całym artykule. A więc:

  • Ustalamy cel przetwarzania danych
  • Określamy zakres danych osobowych
  • Wskazujemy przesłankę z art 6
  • Dla danych szczególnych kategorii wskazujemy przesłankę z art. 9.
  • Przesłanka z art. 9 MUSI BYĆ ZGODNA z art 6, bo tylko wtedy będzie zgodna z celem przetwarzania

Jest to pewien mechanizm kontrolny, o którym już wyżej napisałem, ale poszerzę o COVID-19. Polega na fundamentach matematyki z klasy podstawowej i teorii zbiorów:

  • Dane osobowe przetwarzane do danego celu – są zbiorem (w ujęciu matematycznym);
  • Dane osobowe przetwarzane do tego samego celu, ale będące danymi szczególnych kategorii są podzbiorem zbioru wszystkich danych przetwarzanych do danego celu.

Dzięki temu unikamy „miotania się po przesłankach” i kreatywności poszukiwań w zakresie podstaw dla danych szczególnych kategorii.

COVID – 19 a dane osobowe

Mechanizm opisany wyżej PUODO zastosował również do kwestii przetwarzania danych osobowych traktowanych jako wrażliwe (moim zdaniem nie są), czyli temperatury ciała do celów zwalczania COVID19.

Link: Sprawdzanie temperatury w celu zapobiegania rozprzestrzeniania się COVID-19

Tytuł znamienny, prawda?

Znów mamy:

  • Cel – zwalczanie epidemii.

Tylko czy to zadanie pracodawcy? Czy może jednak Głównego Inspektora Sanitarnego, jak w przypadku alkoholizmu – zadanie organów administracji publicznej?

  • Zakres danych – mamy wskazany. Ale co ciekawe, przesłanką dla danych szczególnych kategorii jest:

9.2.h przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową;

Jak widać w stanowisku PUODO skupia się na działaniu w interesie publicznym.

A dla pracodawcy?

Analogicznie jak w przypadku badań alkomatem do celu profilaktyki zdrowotnej (przeciwalkoholowej), podstawą przetwarzania będzie również obowiązek prawny, a w przypadku przesłanki dotyczącej szczególnych kategorii – 9.2.h. Wcale nie uprawnienie, bo tu już pracodawca otrzyma nakaz. Jeśli otrzyma. Niemniej, jeśli będzie chciał wykorzystać dane do zapewnienia BHP w firmie musi bardzo uważać, bo cel pierwotny zbierania danych jest zupełnie inny. Jest to interes publiczny, a nie jego pracowników i nie wypełnienie postanowień umowy (nakazanych prawem) w zakresie zapewnienia bezpiecznych warunków pracy.

UWAGA!!! Ważne jest jeszcze jedno. Jeśli GIS wydałby jakąkolwiek wytyczną (nie sądzę), to dane osobowe będą przetwarzane na podstawie 9.2.h, w którym jest mowa o personelu objętym tajemnicą zawodową. A więc przetwarzanie danych w oparciu o tę przesłankę w przypadku służby BHP czy pracodawcy w ogóle nie wchodzi w rachubę.

Podsumowanie

Czas na krótkie podsumowanie:

  • PUODO nie odpowiedział na pytania pracodawców, skupiając się tylko na podstawach przetwarzania w celu realizacji zadań publicznych przez organy publiczne. Zarówno w zakresie alkomatów jak i badań temperatury.
  • W tym zakresie wyraził się jak najbardziej zgodnie z przepisami prawa. Pracodawca nie znajdzie tam żadnej podstawy do przetwarzania danych osobowych do celu zapewnienia BHP w firmie, bo to są przepisy regulujące zupełnie inne obszary, w zupełnie innych celach. Natomiast może się pojawić OBOWIĄZEK, ale to już zupełnie inny cel i podstawa.
  • W identyfikacji podstaw prawnych przetwarzania KLUCZOWYM jest określenie celu przetwarzania. I ten cel musi być spójny w zakresie danych przetwarzanych do tego celu w oparciu o przesłankę z art 6 z danymi przetwarzanymi na podstawie przesłanki z art 9. Np. dane o stanie zdrowia (szczególnych kategorii) wystąpią z danymi identyfikacyjnymi (zwykłych kategorii) w przypadku pracowników.

Czy można zatem przetwarzać dane osobowe dotyczące zdrowia w zakresie innym niż stanowi prawo?

Oczywiście

Nawet z wykorzystaniem urządzeń technicznych, których celem jest uwiarygodnienie informacji o stanie zdrowia. Zapraszam na zakłady pracy, gdzie pracujemy w szczególnych warunkach lub te które wytwarzają określone produkty. Z bardziej banalnych przykładów – żywność. Wywiady lokalizacyjne i zdrowotnościowe to standard dla każdej osoby wchodzącej na produkcję, w której produkowana jest żywność czy leki. Podstawą są analizy, np. HACCP. A dla tych szczególnych (ciśnienia, ograniczony dopływ tlenu) też badania przed rozpoczęciem pracy.

Wątek, jaki się od jakiegoś czasu przewija, że dane osobowe NIE REJESTROWANE nie są danymi osobowymi opiszę naprawdę szybko. Bo interpretacja ta jest wyjątkowo szkodliwa i niebezpieczna.

[stm_post_about_author]