Żądanie informacji o stanie zdrowia pracowników – stanowisko UODO

Dane osobowe pracownika podlegają ochronie i można je przetwarzać jedynie w określonych przypadkach. Pracodawcy często nie zdają sobie sprawy, że udostępniane przez nich dane pracowników innym podmiotom są przekazywane w sposób sprzeczny z prawem. Pandemia koronawirusa spowodowała, że wykonawcy i zamawiający celem uzasadnienia problemów związanych koniecznością przesunięcia terminu realizacji zamówienia wykorzystują sytuacje przebywania pracowników wykonawcy na kwarantannie czy izolacji i niemożnością zapewnienia ciągłości realizacji zamówienia. Czy żądanie informacji o stanie zdrowia pracowników może być uzasadnione? Odpowiedź poniżej.

Dane osobowe pracowników – Kodeks pracy

Zgodnie z art. 22¹ § 1 Kodeksu pracy pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1. imię (imiona) i nazwisko;

2. datę urodzenia;

3. dane kontaktowe wskazane przez taką osobę;

4. wykształcenie;

5. kwalifikacje zawodowe;

6. przebieg dotychczasowego zatrudnienia.

Dodatkowo pracodawca może żądać od pracownika danych osobowych obejmujących:

1. adres zamieszkania;

2. numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;

3. inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;

4. wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie;

5. numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.

Co do zasady dane dotyczące zdrowia pracownika nie podlegają przetwarzaniu przez pracodawcę. Według art. 9 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [dalej: RODO] Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.

Wobec powyższego dane dotyczące zdrowia pracownika nie podlegają przetwarzaniu.

Ograniczenie wskazane powyżej nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:

1. osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić się od powyższego zakazu;

2. przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;

3. przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody;

4. przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą;

5. przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;

6. przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy;

7. przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą;

8. przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków oraz zabezpieczeń, o których mowa w art. 9 ust. 3 (pracownika podlegającego obowiązkowi zachowania tajemnicy zawodowej);

9. przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową;

10. przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1 rozporządzenia RODO, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.

Jednak zgodnie z art. 22^1b ust. 1 Kodeksu pracy zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 RODO, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.

Możliwość przekazywania danych o zdrowia pracownika przez wykonawcę zamawiającemu

Zgodnie z art. 15r Ustawy z dnia 2 marca 2020 roku o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych strony umowy w sprawie zamówienia publicznego, w rozumieniu Ustawy z dnia 11 września 2019 roku – Prawo zamówień publicznych, niezwłocznie wzajemnie informują się o wpływie okoliczności związanych z wystąpieniem COVID-19 na należyte wykonanie tej umowy, o ile taki wpływ wystąpił lub może wystąpić. Strony umowy potwierdzają ten wpływ, dołączając do informacji, o której mowa w zdaniu pierwszym, oświadczenia lub dokumenty, które mogą dotyczyć w szczególności:

1. nieobecności pracowników lub osób świadczących pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, które uczestniczą lub mogłyby uczestniczyć w realizacji zamówienia;

2. decyzji wydanych przez Głównego Inspektora Sanitarnego lub działającego z jego upoważnienia państwowego wojewódzkiego inspektora sanitarnego, w związku z przeciwdziałaniem COVID-19, nakładających na wykonawcę obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych;

3. poleceń lub decyzji wydanych przez wojewodów, ministra właściwego do spraw zdrowia lub Prezesa Rady Ministrów, związanych z przeciwdziałaniem COVID-19, o których mowa w art. 11 ust. 1–3;

4. wstrzymania dostaw produktów, komponentów produktu lub materiałów, trudności w dostępie do sprzętu lub trudności w realizacji usług transportowych;

5. innych okoliczności, które uniemożliwiają bądź w istotnym stopniu ograniczają możliwość wykonania umowy;

6. okoliczności, o których mowa w pkt 1–5, w zakresie, w jakim dotyczą one podwykonawcy lub dalszego podwykonawcy.

Jednakże Prezes Urzędu Ochrony Danych Osobowych powziął wątpliwość, czy powyższy przepis upoważnia wykonawcę jako pracodawcę do przetwarzania danych wrażliwych takich jak informacje o stanie zdrowia pracownika.

Jak wskazuje Prezes Urzędu Ochrony Danych Osobowych w piśmie z 8 lutego 2021 roku do Dyrektora Generalnego w Biurze Rzecznika Małych i Średnich Przedsiębiorstw, zgodnie z motywem 35 rozporządzenia RODO do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której te dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia tej osoby. Dane te objęte są szczególnym reżimem przetwarzania i biorąc pod uwagę przepisy unijnego rozporządzenia o ochronie danych powinny podlegać większej ochronie. 

W związku z powyższym Prezes Urzędu Ochrony Danych Osobowych stoi na stanowisku, że przepis art. 15r Ustawy z dnia 2 marca 2020 roku o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych nie może stanowić podstawy i uprawnienia do przetwarzania danych pracownika w zakresie jego stanu zdrowia bez jego zgody.

Powyższe wynika również wprost z art. 22^1b ust. 1 Kodeksu pracy, gdzie warunkiem przetwarzania danych pracownika jest jego zgoda. Jak wskazuje Sąd Rejonowy w Giżycku w wyroku z 10 września 2019 roku (IV P 49/19): Zgodnie z nowym brzmieniem art. 22^1b kp zgoda pracownika może stanowić podstawę przetwarzania tzw. danych szczególnej kategorii wyłącznie, gdy ich przekazanie następuje z inicjatywy pracownika. Co za tym idzie, ustawodawca wyłącza stosowanie zgody w sytuacji, gdy pracownik nie jest inicjatorem przekazania informacji.

Wobec powyższego uznać należy, że regulacja wskazana w art. 15r Ustawy z dnia 2 marca 2020 roku o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych jest sprzeczna z przepisami prawa pracy, a pracodawca jako wykonawca nie jest uprawniony do przekazywania danych o stanie zdrowia pracownika zamawiającemu.

Zamawiający nie mogą uzależniać uznania wpływu COVID-19 na należyte wykonanie zamówienia publicznego od przekazania im pełnych informacji na temat stanu zdrowia pracowników oraz pracowników podwykonawców wraz z niezanonimizowaną dokumentacją (decyzje, polecenia) potwierdzającą przebywanie danych osób na zwolnieniach lekarskich lub kwarantannie, a wykonawcy nie mogą samodzielnie przekazywać takich danych, chcąc uzasadnić wpływ pandemii koronawirusa na realizację zamówienia.