Będą awantury o temperatury

Mija drugi miesiąc epidemii koronawirusa, a pracodawcy wciąż nie wiedzą, czy mogą mierzyć temperaturę pracownikom, których chcą dopuścić do pracy oraz firmowym gościom. Najnowsze stanowisko UODO nie tylko nie wskazuje podstawy prawnej do przetwarzania takich danych, ale jeszcze pogłębia chaos. Odsyła do wytycznych GIS, które nie są prawem i nie dają podstawy do uchylenia zakazu przetwarzania takich danych.

W działach prawnych przedsiębiorstw i działach HR - wrze. Przysłowiowej oliwy do ognia dolało wczorajsze stanowisko prezesa Urzędu Ochrony Danych Osobowych, które pojawiło się na stronie internetowej urzędu. Nie dość, że nie daje ono jasnej odpowiedzi na pytanie, czy pracodawcy w dobie epidemii koronawirusa mogą mierzyć temperaturę swoim pracownikom i, co ważniejsze,  przetwarzać te dane, to jeszcze prezes UODO odsyła w nim do Głównego Inspektoratu Sanitarnego i przyznanych mu w związku z COVID-19 kompetencji do wydawania decyzji, wytycznych i zaleceń.

Czytaj więcej: UODO: Można przetwarzać dane o temperaturze pracowników, by zapobiegać rozprzestrzenianiu się COVID-19

Wytyczne GIS a prawo

- W ocenie Prezesa Urzędu Ochrony Danych Osobowych przepisy o ochronie danych osobowych nie sprzeciwiają się przetwarzaniu danych pracowników i gości w zakresie np. mierzenia temperatury czy wdrażania kwestionariusza z objawami chorobowymi. RODO w swoim art. 9 ust. 2 lit. i) wskazuje, że szczególne kategorie danych (dotyczące zdrowia) można przetwarzać, gdy jest to niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi, jeżeli wynika to z przepisów prawa.

Czytaj w LEX: Ochrona danych osobowych przy pracy zdalnej  >

Przepis ten koresponduje zatem z regulacjami krajowymi z dziedziny walki z pandemią COVID-19.  Zgodnie z art. 17 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz.U. z 2020 r. poz. 374) – tzw. specustawy, Główny Inspektor Sanitarny posiada uprawnienia, aby oddziaływać na inne podmioty oraz na zmiany w obowiązujących przepisach, a także wskazywać na przyjmowanie właściwych rozwiązań – czytamy w stanowisku UODO.

Zobacz w LEX: Tarcza antykryzysowa przewiduje szereg rozwiązań dla przedsiębiorców. Z czego dokładnie mogą skorzystać? >

Prezes UODO wskazuje, że jeżeli inspektor sanitarny uzna, iż niezbędne jest przyjęcie rozwiązania w postaci mierzenia temperatury pracownikom i tzw. gościom wchodzącym na teren zakładu pracy czy też pozyskiwania od pracowników oświadczeń dotyczących ich stanu zdrowia, może skorzystać z właściwego dla niego środka prawnego, w efekcie czego na zakład pracy nałożony zostanie obowiązek w postaci decyzji o dokonywaniu pomiaru temperatury czy też zbieraniu oświadczeń pracowników dotyczących ich stanu zdrowia. Służby sanitarne mogą również podjąć decyzję o konieczności dokonywania pomiarów temperatury ciała interesantów, którzy wchodzą do budynku w celu załatwienia sprawy.

Czytaj również: GIS opublikował wytyczne dla zakładów przemysłowych na czas epidemii

Co więcej, według prezesa UODO, wszelkie działania, jakie będzie podejmował inspektor sanitarny oraz podmioty, na które będzie on oddziaływał, będą wynikały z przepisów prawa, które regulują jego działania oraz z ww. decyzji, wytycznych oraz zaleceń – czyli uprawnień wynikających ze specustawy. Środki te będą stanowiły podstawę prawną tych działań, w tym podstawę do przetwarzania danych osobowych dotyczących stanu zdrowia.

Innego zdania są jednak prawnicy.

Czy pomiar temperatury podlega RODO

- Dylematy prawników dotyczą po pierwsze tego, czy samo mierzenie temperatury podlega RODO, gdyż nie w każdym przypadku będziemy mieć do czynienia z przetwarzaniem danych w sposób zautomatyzowany lub tradycyjny, ale w zamiarze przetwarzania pozyskanych w ten sposób informacji w zbiorze danych – tłumaczy dr Dominika Dörre-Kolasa, radca prawny, partner w kancelarii Raczkowski. – Moim zdaniem, co do zasady, nie. O ile oczywiście mierzymy temperaturę pracowników na wejściu do zakładu pracy, nie odnotowując nigdzie wyniku tego pomiaru, ani nie zbieramy pisemnych oświadczeń o stanie zdrowia pracowników. Potwierdzenie podwyższonej temperatury będzie mogło stanowić przyczynę usprawiedliwionej nieobecności pracownika w pracy – podkreśla dr Dörre-Kolasa. Jak mówi, niepokojące jest natomiast to, że w stanowisku UODO wytyczne są utożsamiane z prawem. Istnienie w ustawie podstawy prawnej do wydawania wytycznych i zaleceń przez GIS nie powoduje, iż można uznać je za przepisy prawa.

Czytaj również: GIS namawia pracodawców do łamania prawa

Na liczne skutki stanowiska prezesa Urzędu Ochrony Danych Osobowych wskazuje także dr Grzegorz Sibiga, adwokat, partner w Traple, Konarski, Podrecki i Wspólnicy, kierownik w Zakładzie Prawa Administracyjnego INP PAN. Według niego, prezes UODO co prawda deklaruje, że przetwarzaniu danych o temperaturze pracowników i gości nie sprzeciwiają się przepisy o ochronie danych osobowych, ale powołuje się na art. 9 ust. 2 lit. i) RODO, który odwołuje się do podstaw w prawie krajowym. W praktyce oznacza to, że o dopuszczalności przetwarzania danych rozstrzygają przepisy polskie, a tych wprost uprawniających pracodawców do przetwarzania danych brakuje. - Trudno uwierzyć, że jeżeli powodem niedopuszczenia do pracy będzie podwyższona temperatura, to nigdzie nie zostanie utrwalona informacja w tym względzie, a tym samym RODO nie znajdzie zastosowania – podkreśla dr Sibiga. I dodaje: - Samo dopuszczenie do pracy też potwierdza, że pracownik miał niższą temperaturę, niż krytyczna.

Dr Sibiga zauważa ponadto, że od 12 marca r. jest to już trzecie upublicznione stanowisko prezesa UODO w tej materii, ale nigdy wcześniej tak jednoznacznie organ nie wskazał, że w polskim prawie jedynie działania inspektora sanitarnego oparte na specustawie, tj. jego decyzje, wytyczne, zalecenia, mogą stanowić podstawę do przetwarzania danych o temperaturze ciała pracownika czy gościa. Wreszcie, jak mówi, UODO nie wskazuje żadnych innych krajowych podstaw prawnych przetwarzania, co może oznaczać, że z mocy samego prawa (bez działania inspekcji sanitarnej) pracodawca nie może skutecznie powoływać się na przepisy pozwalające na przetwarzanie tych danych. W praktyce może to oznaczać, że według UODO samodzielne działania pracodawców w tym zakresie od początku pandemii następowały bez podstawy prawnej.

W ocenie dr Grzegorza Sibigi, UODO wyklucza zgodę pracownika (gościa) jako podstawę przetwarzania danych ze względu na brak równowagi między osobą, której dane dotyczą a administratorem. Jednak, jak mówi, inaczej jest to regulowane w Kodeksie pracy, który generalnie dopuszcza zgodę pracownika na przetwarzanie jego tzw. danych wrażliwych - pod warunkiem, że nastąpi to z inicjatywy pracownika a zgoda pozostaje dobrowolna (art. 221b par. 1 k.p.). Tymczasem UODO podkreśla, że to do służb sanitarnych, a nie do pracodawcy, należy ustalanie, jakie działania mają zostać podjęte.

- Główny Inspektor Sanitarny może działać aktami generalnymi (wytyczne, zalecenia) oraz indywidualnymi wobec konkretnego pracodawcy, tj. decyzjami, w których nakłada obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych. Zgodnie ze specustawą przebywający w naszym kraju są związani tymi wytycznymi (zaleceniami). Jednak w związku z brakiem obecnie wytycznych, po usunięciu przez GIS ich „roboczej wersji”, przeznaczonej zresztą dla bliżej nieokreślonych „zakładów przemysłowych”, pracodawcom, którzy chcą pozostawać w zgodzie ze stanowiskiem UODO pozostaje zwrócenie się do inspekcji sanitarnej o wydanie decyzji w sprawie indywidualnej – uważa dr Grzegorz Sibiga. Jak podkreśla, to dosyć nietypowa konstrukcja w prawie administracyjnym, w której wnioskuje się o nałożenie obowiązku na samego siebie. - Z moich obserwacji wynika, że różnie do tych wniosków podchodzą poszczególni wojewódzcy inspektorzy sanitarni, co świadczy o tym, że najprawdopodobniej nie została w tym przedmiocie ustalona jednolita strategia postępowania wewnątrz sanepidu w naszym kraju. Nie spotkałem się jeszcze z odmową ze strony organów sanepidu, ale z niejednolitym sposobem prowadzenia postępowania już tak – podkreśla.

Czytaj również: GIS: Wytyczne dla zakładów przemysłowych to wersja robocza

- Kierunek stanowiska UODO jest w moim przekonaniu trafny, ale w sprawie uzasadnienia można się spierać. Podstawą do działania administratora danych są kompetencje określone w ustawie. Przy czym jego prawa i obowiązki mogą wynikać wprost z prawa powszechnie obowiązującego lub z aktu jego stosowania, czyli najczęściej z decyzji administracyjnej – mówi z kolei prof. dr hab. Arkadiusz Sobczyk, radca prawny, partner zarządzający w kancelarii Sobczyk & Współpracownicy, wykładowca w Katedrze Prawa Pracy i Polityki Społecznej Uniwersytetu Jagiellońskiego. I dodaje: - Z wypowiedzi UODO zdaje się wynikać zrównanie decyzji administracyjnej z zaleceniami i wytycznymi. A różnica jest istotna. Decyzja kreuje stan prawny jako tzw. akt konkretno-indywidualny. Zalecenia lub wytyczne – jeśli mają mieć walor prawny - tylko o tyle, o ile konkretyzują już istniejące obowiązki lub kompetencje wynikające z ustawy.

W opinii prof. Sobczyka, z wypowiedzi UODO nie wynika, gdzie te obowiązki lub kompetencje zostały określone. Tak więc decyzja urzędu tylko częściowo wyjaśnia stan prawny.

Pracodawcy też mają zastrzeżenia

- Mam problem z opieraniem się na „wytycznych”, a nie na twardych przepisach prawa czy na decyzjach, które są aktami konkretno-indywidualnymi przy ingerowaniu w wolności, prawa i prywatność. To uderza w podstawowe zasady prawa, i - przede wszystkim – zasadę legalizmu - mówi, prosząc o anonimowość, szef zespołu prawnego jednej z dużych firm w Polsce. Według niego, stanowisko UODO nie jest jasne i trudno dopatrywać się w nim zgodności z zasadą legalizmu. - To stanowisko, w kontekście tego, co publikuje GIS, nie daje jasnych wytycznych. Truizmem jest wskazywanie, że przetwarzanie informacji o temperaturze czy stanie zdrowia pracowników i gości jest przetwarzaniem szczególnej kategorii danych (danych wrażliwych) – mówi nasz rozmówca.

Zobacz procedurę w LEX: Praca zdalna w dobie pandemii koronawirusa  >

Z kolei szefowa działu HR dużej międzynarodowej firmy z południa Polski zwraca uwagę na to, że stanowisko UODO nie wyjaśnia, czy każdy przedsiębiorca lub inny podmiot  może badać temperaturę pracowników lub współpracowników czy gości, a jeśli tak, to na jakiej podstawie prawnej ma to robić. - To, co powiedział wprost organ, a mianowicie, że nie można tego robić na podstawie zgody, wiemy – zaznacza.

Znikające wytyczne

Co ciekawe, opisywane przez nas wytyczne dla zakładów przemysłowych, zamieszczone na stronie internetowej GIS, okazały się być – jak twierdził GIS – wersją roboczą. Szybko więc z tej strony zniknęły. Podobnie zresztą jak i ze stron wielu innych inspektoratów. Ale nie wszystkich. Można je nadal zobaczyć np. na stronie Powiatowej Stacji Epidemiologiczno-Sanitarnej w Garwolinie.

Eksperci, z którymi rozmawialiśmy są zdania, że stanowisko UODO nie pojawiło się bez przyczyny i że może być zapowiedzią rychłego opublikowania ostatecznej wersji wytycznych GIS.

- Ministerstwo Rozwoju współpracuje z UODO i GIS w celu przedstawienia wytycznych będących w zgodzie z przepisami RODO. Stanowisko UODO jest dla nas podstawą w sprawach związanych z ochroną danych osobowych i jesteśmy już na ostatnim etapie konsultacji dotyczących szczegółowych zapisów wytycznych - poinformował nas resort rozwoju.

-------------------------------------------------------------------------------------------------------------------

Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.