Dane osobowe pracownika podlegają ochronie i można je przetwarzać jedynie w określonych przypadkach. Pracodawcy często nie zdają sobie sprawy, że udostępniane przez nich dane pracowników innym podmiotom są przekazywane w sposób sprzeczny z prawem. Pandemia koronawirusa spowodowała, że wykonawcy i zamawiający celem uzasadnienia problemów związanych koniecznością przesunięcia terminu realizacji zamówienia wykorzystują sytuacje przebywania pracowników wykonawcy na kwarantannie czy izolacji i niemożnością zapewnienia ciągłości realizacji zamówienia. Czy żądanie informacji o stanie zdrowia pracowników może być uzasadnione? Odpowiedź poniżej.
Dane osobowe pracowników – Kodeks pracy
Zgodnie z art. 221 § 1 Kodeksu pracy pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
-
imię (imiona) i nazwisko;
-
datę urodzenia;
-
dane kontaktowe wskazane przez taką osobę;
-
wykształcenie;
-
kwalifikacje zawodowe;
-
przebieg dotychczasowego zatrudnienia.
Dodatkowo pracodawca może żądać od pracownika danych osobowych obejmujących:
-
adres zamieszkania;
-
numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;
-
inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;
-
wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie;
-
numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.
Wobec powyższego dane dotyczące zdrowia pracownika nie podlegają przetwarzaniu.
Ograniczenie wskazane powyżej nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
-
osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić się od powyższego zakazu;
-
przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;
-
przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody;
-
przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą;
-
przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
-
przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy;
-
przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą;
-
przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków oraz zabezpieczeń, o których mowa w art. 9 ust. 3 (pracownika podlegającego obowiązkowi zachowania tajemnicy zawodowej);
-
przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową;
-
przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1 rozporządzenia RODO, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.
Jednak zgodnie z art. 221b ust. 1 Kodeksu pracy zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 RODO, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.
Możliwość przekazywania danych o zdrowia pracownika przez wykonawcę zamawiającemu
Zgodnie z art. 15r Ustawy z dnia 2 marca 2020 roku o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych strony umowy w sprawie zamówienia publicznego, w rozumieniu Ustawy z dnia 11 września 2019 roku – Prawo zamówień publicznych, niezwłocznie wzajemnie informują się o wpływie okoliczności związanych z wystąpieniem COVID-19 na należyte wykonanie tej umowy, o ile taki wpływ wystąpił lub może wystąpić. Strony umowy potwierdzają ten wpływ, dołączając do informacji, o której mowa w zdaniu pierwszym, oświadczenia lub dokumenty, które mogą dotyczyć w szczególności:
-
nieobecności pracowników lub osób świadczących pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, które uczestniczą lub mogłyby uczestniczyć w realizacji zamówienia;
-
decyzji wydanych przez Głównego Inspektora Sanitarnego lub działającego z jego upoważnienia państwowego wojewódzkiego inspektora sanitarnego, w związku z przeciwdziałaniem COVID-19, nakładających na wykonawcę obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych;
-
poleceń lub decyzji wydanych przez wojewodów, ministra właściwego do spraw zdrowia lub Prezesa Rady Ministrów, związanych z przeciwdziałaniem COVID-19, o których mowa w art. 11 ust. 1–3;
-
wstrzymania dostaw produktów, komponentów produktu lub materiałów, trudności w dostępie do sprzętu lub trudności w realizacji usług transportowych;
-
innych okoliczności, które uniemożliwiają bądź w istotnym stopniu ograniczają możliwość wykonania umowy;
-
okoliczności, o których mowa w pkt 1–5, w zakresie, w jakim dotyczą one podwykonawcy lub dalszego podwykonawcy.
Jednakże Prezes Urzędu Ochrony Danych Osobowych powziął wątpliwość, czy powyższy przepis upoważnia wykonawcę jako pracodawcę do przetwarzania danych wrażliwych takich jak informacje o stanie zdrowia pracownika.
Jak wskazuje Prezes Urzędu Ochrony Danych Osobowych w piśmie z 8 lutego 2021 roku do Dyrektora Generalnego w Biurze Rzecznika Małych i Średnich Przedsiębiorstw, zgodnie z motywem 35 rozporządzenia RODO do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której te dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia tej osoby. Dane te objęte są szczególnym reżimem przetwarzania i biorąc pod uwagę przepisy unijnego rozporządzenia o ochronie danych powinny podlegać większej ochronie.
W związku z powyższym Prezes Urzędu Ochrony Danych Osobowych stoi na stanowisku, że przepis art. 15r Ustawy z dnia 2 marca 2020 roku o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych nie może stanowić podstawy i uprawnienia do przetwarzania danych pracownika w zakresie jego stanu zdrowia bez jego zgody.
Powyższe wynika również wprost z art. 221b ust. 1 Kodeksu pracy, gdzie warunkiem przetwarzania danych pracownika jest jego zgoda. Jak wskazuje Sąd Rejonowy w Giżycku w wyroku z 10 września 2019 roku (IV P 49/19): Zgodnie z nowym brzmieniem art. 221b kp zgoda pracownika może stanowić podstawę przetwarzania tzw. danych szczególnej kategorii wyłącznie, gdy ich przekazanie następuje z inicjatywy pracownika. Co za tym idzie, ustawodawca wyłącza stosowanie zgody w sytuacji, gdy pracownik nie jest inicjatorem przekazania informacji.
Wobec powyższego uznać należy, że regulacja wskazana w art. 15r Ustawy z dnia 2 marca 2020 roku o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych jest sprzeczna z przepisami prawa pracy, a pracodawca jako wykonawca nie jest uprawniony do przekazywania danych o stanie zdrowia pracownika zamawiającemu.
Zamawiający nie mogą uzależniać uznania wpływu COVID-19 na należyte wykonanie zamówienia publicznego od przekazania im pełnych informacji na temat stanu zdrowia pracowników oraz pracowników podwykonawców wraz z niezanonimizowaną dokumentacją (decyzje, polecenia) potwierdzającą przebywanie danych osób na zwolnieniach lekarskich lub kwarantannie, a wykonawcy nie mogą samodzielnie przekazywać takich danych, chcąc uzasadnić wpływ pandemii koronawirusa na realizację zamówienia.