Pomiar temperatury ciała pracowników a RODO 

Ze względu na stan zagrożenia epidemiologicznego związany z chorobą COVID-19 i wywołującym ją koronawirusem SARS-CoV-2, pojawiały się pytania przedsiębiorców dotyczące możliwości badania pracowników pod kątem temperatury ich ciała. Większość pracodawców traktuje te badania jako możliwe działania o charakterze profilaktycznym, które z jednej strony mają na celu właściwą organizację pracy i zapewnienie bezpieczeństwa pracowników, z drugiej zaś – są działaniami zmierzającymi do zapobieżenia rozprzestrzenienia się koronawirusa. Oświadczenie Prezesa UODO w tej materii, wydane w dniu 12 marca 2020 r., połączone z odesłaniem zainteresowanych do Głównego Inspektora Sanitarnego oraz brakiem jednoznacznego stanowiska, nie wyjaśnia sytuacji prawnej co do dopuszczalności badania pracowników pod kątem występowania jednego z objawów koronawirusa. 

Połączenie tego faktu ze stanowiskiem zajętym przez francuski czy włoski organ nadzorczy w dziedzinie ochrony danych osobowych, które uznają, że przetwarzanie danych osób fizycznych dotyczących temperatury ich ciała nie jest dopuszczalne na gruncie RODO, pogłębia wątpliwości pracodawców. Również część polskich prawników opowiada się za poglądem, w myśl którego badanie temperatury ciała pracowników przez pracodawcę jest niedozwolone. Taka interpretacja przepisów nie odpowiada sytuacji, w której się aktualnie znajdujemy i zbyt literalnie podchodzi do przepisów RODO. Dodatkowo, wywołuje to negatywny oddźwięk zarówno wśród podmiotów danych, jak i administratorów. Konsekwencją powyższego jest upowszechnienie wśród adresatów RODO krytycznego stosunku do problematyki ochrony danych osobowych i traktowania rozporządzenia jako nieprzystającego do rzeczywistości.  

Pomiar temperatury ciała a dane osobowe szczególnych kategorii 

Wątpliwa jest kwalifikacja pomiaru temperatury ciała i uzyskanych wyników jako danych osobowych szczególnych kategorii (wrażliwych), czyli wymagających szerszej ochrony. Przyjęcie, że pomiar temperatury nie dostarcza nam informacji o stanie zdrowia osoby fizycznej, a jest jedynie pewną daną liczbową czy statystyczną, jest wyrażane przez komentatorów, choć są oni w mniejszości. Przyjęcie tej koncepcji daje podstawę dla dokonywania pomiarów temperatury gości zakładu pracy i pracowników w oparciu o art. 6 ust. 1 lit. f RODO. Interes administratora w tym wypadku wiąże się z koniecznością zapobieżenia rozprzestrzeniania się wirusa wśród członków personelu, a w konsekwencji zapewnieniu im bezpieczeństwa. To również interes polegający na wprowadzeniu działań profilaktycznych przed zmniejszeniem się kadry i obsady stanowisk pracy oraz zapobieżenie wstrzymaniu produkcji, czy generalnie pracy zakładu. Z pewnością taka kwalifikacja jest najwygodniejsza z punktu widzenia przesłanek legalizujących przetwarzanie, bowiem pozwala uniknąć wymagań przewidzianych dla przetwarzania danych szczególnych kategorii.  

Niemniej jednak odwołanie się do przesłanki uzasadniającej przetwarzanie zwykłych danych osobowych, podczas gdy organ nadzorczy uznałby, że przetwarzane dane mają charakter wrażliwy, niesie ryzyko nałożenia administracyjnej kary pieniężnej przez organ nadzorczy. Zwłaszcza, że wynik pomiaru temperatury jest informacją podobną do rezultatu badania alkomatem, w którego przypadku większość autorów uznaje jego pozytywny wynik za daną szczególnej kategorii. Dlatego w przypadku badania temperatury ciała bezpieczniejsze byłoby przyjęcie, że jednak należy kwalifikować te informacje jako dane szczególnych kategorii. 

Podstawy prawne dla przetwarzania pomiaru temperatury 

Art. 9 ust. 1 RODO przewiduje zakaz przetwarzania danych osobowych szczególnej kategorii. Wyjątki od niego przewidziane są w zamkniętym katalogu określonym w art. 9 ust. 2 RODO. Żadna z tych przesłanek nie jest dostosowana do aktualnie występującej sytuacji, jednak mając na uwadze konflikt prawa do prywatności z prawem do ochrony życia i zdrowia wielu osób, specyfikę koronawirusa, jego transmisji oraz działań podejmowanych na poziomie całego kraju, konieczne jest dokonanie takiej wykładni, która pozwoli na uzasadnienie takich badań temperatury. Wśród potencjalnych podstaw przetwarzania tego rodzaju danych należy wskazać na: 

1. Art. 9 ust. 2 lit. b RODO, który pozwala na przetwarzanie danych osobowych szczególnych kategorii, gdy  przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą. Nie ulega wątpliwości, że w polskim prawodawstwie brak jest konkretnego przepisu, z którego wprost wynikałby obowiązek pracodawcy do mierzenia temperatury pracownikom, nawet w sytuacji zagrożenia epidemiologicznego.  

Warto jednak zwrócić uwagę na przepisy kodeksu pracy, a w szczególności normy zawarte w art. 207 k.p. Przywołany przepis nakłada na pracodawcę odpowiedzialność za stan bezpieczeństwa i higieny pracy w zakładzie pracy. Dodatkowo w paragrafie drugim tego przepisu ustawodawca zobowiązuje pracodawcę do ochrony zdrowia i życia pracowników przez zapewnienie bezpiecznych i higienicznych warunków pracy przy odpowiednim wykorzystaniu osiągnięć nauki i techniki. Szczegółowym obowiązkiem w tym zakresie jest reagowanie na potrzeby w zakresie bezpieczeństwa i higieny pracy oraz dostosowywanie środków podejmowanych w celu doskonalenia istniejącego poziomu ochrony zdrowia i życia pracowników, biorąc pod uwagę zmieniające się warunki wykonywania pracy. Na tej podstawie można uznać, że biorąc pod uwagę aktualną wiedzę o koronawirusie, pracodawca powinien w oparciu o art. 207 k.p. dążyć do minimalizacji ryzyka związanego z transmisją wirusa.

Działania podejmowane przez Radę Ministrów i samorządy pokazują przy tym kierunek działań, w ramach których konieczne jest izolowanie osób potencjalnie chorych od pozostałej części społeczeństwa oraz unikanie zdarzeń, w których transmisja wirusa może następować. Znane są przy tym również objawy choroby wywołanej koronawirusem, takie jak m.in. kaszel i gorączka. W konsekwencji możliwe jest wnioskowanie, w ramach którego na pracodawcy spoczywa obowiązek analizy, czy u pracowników występują powyższe objawy, a w razie ich wystąpienia – obowiązek kierowania takich osób do domu z zaleceniem wykonania badań lekarskich. Działania te są bowiem właściwą odpowiedzią na zaistniałą sytuację i dopasowaniem do niej podejmowanych środków. Pośrednio powyższy obowiązek można wyinterpretować także z przepisów art. 3 w zw. z art. 2 ust. 1 i 2 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych [Dz.U.2020.374; dalej: „specustawa”], ponieważ przyznają one pracodawcy uprawnienie do polecenia pracownikowi wykonywania pracy zdalnej, w związku z przeciwdziałaniem COVID-19.  

Zapewnienie bezpiecznych i higienicznych warunków pracy oznacza też, że w tym kontekście badanie temperatury ciała może być stosowane wobec gości zakładu pracy – osób innych niż pracownicy, gdyż wejście na teren zakładu pracy osoby zakażonej innej niż pracownik, również może doprowadzić do braku zapewnienia bezpiecznych i higienicznych warunków pracy.  

W efekcie podstawy prawnej do badania temperatury pracowników należy upatrywać w art. 9 ust. 2 lit. b RODO w związku z art. 207 k.p. oraz art. 3 w zw. z art. 2 ust. 1 i 2 specustawy. Nie ulega przy tym wątpliwości, że należy bezwzględnie zapewnić poufne prowadzenie badań temperatury ciała – pracownicy powinni wchodzić na nie indywidualnie i powinna wykonywać je jedna osoba. W przypadku podwyższonej temperatury pracownik powinien móc opuścić zakład pracy tak, by inni pracownicy nie widzieli związku z badaniem temperatury. Wyniki badań muszą być poufne. Niezależnie od powyższego, by zminimalizować liczbę badanych, pracownicy powinni otrzymać rekomendację samodzielnego mierzenia temperatury ciała w domu przed wyjściem do pracy i w przypadku wyniku podwyższonego pójść do lekarza bez przychodzenia do zakładu pracy. 

1. Art. 9 ust. 1 lit. h RODO: przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3. Przepis art. 9 ust. 1 lit. h RODO, zgodnie z art. 9 ust. 3 RODO, może być stosowany, jeżeli dane osobowe przetwarza pracownik zobowiązany do zachowania tajemnicy zawodowej np. lekarz lub pielęgniarka (te dwa zawody są zobowiązane do dochowania tajemnicy zawodowej), dlatego powołanie się na to rozwiązanie wymagałoby zatrudnienia lekarza lub pielęgniarki, która wykonywałaby pomiar temperatury. Przepis nie daje przy tym podstawy prawnej dla przetwarzania danych osobowych gości, a jedynie samych pracowników. W tym wypadku przepis należy powiązać z art. 207 § 2 pkt 1 i 3 k.p. 

1. Art. 9 ust. 2 lit. i RODO: przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową. Na chwilę obecną brak jest prawa Unii lub prawa krajowego, który byłby podstawą przetwarzania tych danych, brak jest także konkretnych środków ochrony praw podstawowych. Natomiast taką podstawę mogłoby stanowić rozporządzenie o ogłoszeniu stanu zagrożenia epidemiologicznego lub stanu epidemii, wydane na podstawie art. 46a ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi (Dz.U.2019.1239 t.j.). Zgodnie z art. 46b pkt. 4 przywołanej ustawy rozporządzenie, o którym mowa wyżej może wprowadzać obowiązek poddania się badaniom lekarskim oraz stosowaniu innych środków profilaktycznych i zabiegów przez osoby chore i podejrzane o zachorowanie 

Należy także zwrócić uwagę na możliwość wystąpienia przez pracodawcę do Głównego Inspektora Sanitarnego lub Wojewódzkiego Inspektora Sanitarnego o wydanie decyzji nakładającej obowiązek wykonywania pomiarów temperatury ciała. Zgodnie z wprowadzonym specustawą art. 8a ust. 5 pkt 1 lit. a ustawy z dnia 14 marca 2015 r. o Państwowej Inspekcji Sanitarnej (Dz.U.2019.59 t.j.) Główny Inspektor Sanitarny lub działający z jego upoważnienia państwowy wojewódzki inspektor sanitarny może wydawać osobom prawnym, osobom fizycznym i jednostkom organizacyjnym nieposiadającym osobowości prawnej, w szczególności podmiotom wykonującym działalność leczniczą, pracodawcom, podmiotom prowadzącym działalność w zakresie lotnictwa cywilnego, użytkownikom statków powietrznych, użytkownikom cywilnych statków powietrznych niewpisanych do rejestru statków powietrznych oraz zarządzającym lotniskami (…) decyzje nakładające obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych oraz żądać od nich informacji w tym zakresie”. Pozyskanie takiej decyzji sankcjonowałoby przetwarzanie danych. Znaczące byłoby także wystąpienie z wnioskiem do inspektora sanitarnego, bowiem pozwoliłoby na wykazanie, w razie kontroli organu nadzorczego, że administrator podjął wszelkie działania zmierzające do legalizacji przetwarzania danych. Zwłaszcza mając na uwadze wskazaną powyżej lukę w przepisach i niedopasowanie przepisów o ochronie danych osobowych do podejmowania działań zapobiegawczych w przeciwdziałaniu chorobie zakaźnej tego typu. W okresie oczekiwania na wydanie decyzji możliwe jest oparcie przetwarzania na art. 9 ust. 1 lit. b RODO w zw. z art. 207 § 1 i § 2 pkt 1 oraz 3 k.p. Nie jest to działanie w pełni wolne od ryzyka, jednak biorąc pod uwagę aktualne zagrożenie epidemiologiczne, ustalane na podstawie dostępnych publicznie informacji, występuje sytuacja konfliktu dwóch dóbr prawem chronionych. Z jednej strony jest to zgodne z prawem przetwarzanie danych osobowych, a z drugiej – ochrona życia lub zdrowia większej grupy osób. Z tego względu wydaje się, że ewentualne działania kontrolne i nadzorcze ze strony Prezesa UODO powinny uwzględniać okoliczności, w jakich zaszła potrzeba przetwarzania tych danych. 

Autorzy: radca prawny Dr Dominik Lubasz, radca prawny Witold Chomiczewski,  radca prawny Monika Susałko, adwokat Jerzy Hajn, adwokat Adam Szkurłat