J.Jarguz_P.Struminski_EROD

Aktualnie trwają intensywne prace Europejskiej Rady Ochrony Danych Osobowych (EROD), nad opracowaniem szerokich i kompleksowych wytycznych dotyczących przetwarzania danych w związku z kryzysem związanym z pandemią COVID-19. Można oczekiwać, że wytyczne te rozwieją wiele pojawiających się w Europie wątpliwości dotyczących zgodności z prawem procesów przetwarzania danych osobowych dotyczących przeciwdziałania rozprzestrzenianiu się wirusa.

Odpowiedź EROD na pandemię COVID-19

W oczekiwaniu na szczegółowe i kompleksowe wytyczne, należy przypomnieć że już wcześniej – 19 marca 2020 r. – zostało przyjęte i opublikowane Oświadczenie EROD w sprawie przetwarzania danych osobowych w kontekście pandemii COVID-19. Rada podkreśliła, że zarówno rządy państwowe, jak i organizacje publiczne i prywatne, podejmując środki mające na celu przeciwdziałanie rozprzestrzenianiu koronawirusa, podejmują najróżniejsze środki, które w pewnym zakresie wiążą się z przetwarzaniem danych osobowych. W związku z tą okolicznością, EROD przygotowało dość ogólne i kierunkowe wytyczne dotyczące zgodnego z prawem przetwarzania danych osobowych w wyjątkowych czasach pandemii i w związku z przeciwdziałaniem rozprzestrzenianiu się COVID-19. Wskazano, iż RODO nie ogranicza środków podejmowanych w ramach walki z pandemią, jednakże zaznaczono również że w żaden sposób nie zwalnia to z obowiązków dotyczących zapewnienia ochrony danych osobowych. Co zostało również podkreślone, sytuacja nadzwyczajna jest warunkiem prawnym, który może uzasadniać ograniczenie wolności, pod warunkiem że ograniczenia te są proporcjonalne i ograniczone do okresu nadzwyczajnego.

Charakter prawny oświadczenia i wskazówek EROD

W oczekiwaniu na bardziej szczegółowe wytyczne, a także przed przejściem do analizy tego, co zostało już wskazane przez EROD, należy uściślić charakter prawny opublikowanego oświadczenia oraz ewentualnych i spodziewanych nowych formalnych wskazówek. Zgodnie z właściwymi przepisami, EROD oprócz kompetencji doradczych względem Komisji, ma również kompetencje do wydawania wytycznych, zaleceń i najlepszych praktyk względem organów nadzorczych. Jedną z kompetencji jest wydawanie przez nią opinii oraz zaleceń w sprawach objętych właściwością jej działania. Dokumenty wydawane przez EROD mają więc przede wszystkim walor interpretacyjny, gdyż stanowią wytyczne wydane w celu jednolitego rozumienia i stosowania RODO przez wszystkich uczestników jednolitego rynku (art. 70 ust. 1 lit. e RODO). W tym świetle, należy więc uznać, iż wskazanemu oświadczeniu, jak i planowanym, nowym wskazówkom, nie można nadać charakteru stricte wiążącego, Mimo to, z uwagi na autorytet Rady, wszelkie wytyczne będą miały zapewne istotny wpływ na praktykę oraz pozwolą przewidzieć postępowanie organów nadzorczych w przyszłości. Skutki wskazanego oświadczenia, jak i przyszłych szczegółowych wytycznych dla praktyki – mimo braku wiążącego charakteru – będą więc znaczne.

Wpływ oświadczenia EROD na działalność pracodawców

Przechodząc do szczegółów, w oświadczeniu z dnia 19 marca 2020 r. EROD wskazała iż przetwarzanie danych osobowych w kontekście zatrudnienia w związku z przeciwdziałaniem rozprzestrzenianiu koronawirusa COVID-19 może być konieczne dla wypełnienia obowiązków prawnych którym podlega pracodawca, szczególnie w kontekście interesu publicznego. Co więcej, w tym zakresie Rada pozytywnie odniosła się do kwestii przetwarzania danych wrażliwych, podkreślając iż motyw 46 RODO odnosi się wyraźnie do epidemii. Oczywiście należy w tym względzie mieć na uwadze prawo krajowe, które pracodawca powinien brać pod uwagę m.in. przy żądaniu danych dotyczących zdrowia. Co zostało podkreślone przez EROD, pracodawcy powinni mieć dostęp do danych dotyczących zdrowia i przetwarzać je tylko wtedy, gdy wymagają tego ich własne zobowiązania prawne. W kontekście pandemii COVID-19, pracodawcy mogą zatem uzyskać dane osobowe w celu wypełnienia swoich obowiązków i zorganizowania pracy zgodnie z prawem krajowym.

Co istotne, EROD wprost wskazuje na konieczność brania pod uwagę zasady celowości, minimalizacji i adekwatności przetwarzania danych, nadto wskazując iż osoby których dane są przetwarzane powinny otrzymać przejrzystą, opisaną prostym językiem informację na temat działań w związku z przetwarzaniem ich danych. Istotne jest przyjęcie odpowiednich środków bezpieczeństwa i polityk poufności, a także ich udokumentowanie.

Jak wskazano, w związku z ujawnieniem przypadku zarażenia COVID-19, pracodawca nie powinien przekazywać załodze więcej informacji dotyczącej zakażonej osoby niż jest to w danym przypadku konieczne. Zdaniem EROD, gdy ujawnienie nazwiska osoby zakażonej wydaje się konieczne, a prawo krajowe na to zezwala, należy poinformować o tym pracownika z wyprzedzeniem.

Podsumowanie

Podsumowując, omawianego oświadczenia nie należy uznać za przełomowe pod kątem zaprezentowanej argumentacji. Patrząc jednak kierunkowo, jest ono niezwykle ważnym sygnałem dla pracodawców, mającym dać przyzwolenie na przetwarzanie – w proporcjonalnym zakresie – danych osobowych, w tym danych wrażliwych, w związku z przeciwdziałaniem koronawirusowi COVID-19. Często odwołując się do prawa krajowego, oświadczenie to daje polskim pracodawcom – z uwagi na liczne obowiązki pracodawcy oraz obciążenie go przez polskie prawo wieloma zadaniami publicznymi – w istocie szerokie pole manewru. Dokładnie przeanalizowane i zabezpieczone procesy przetwarzania danych w związku z występującą pandemią nie powinny więc wiązać się z ryzykiem uznania przez organy nadzorcze, iż doszło do naruszenia RODO. Dla uzyskania pełnego obrazu sytuacji należy jednak poczekać na opublikowanie zapowiedzianych szczegółowych zaleceń i wskazówek.

Omawiane powyżej zagadnienia, a także inne aspekty przetwarzania i ochrony danych osobowych przez pracodawców w dobie koronawirusa zostaną omówione już wkrótce przez współautorkę wpisu, Partnera Kancelarii – Joannę Jarguz, w ramach szkolenia online, pt. RODO A PRAWO PRACY w czasach kryzysu COVID-19, na które chcielibyśmy Państwa serdecznie zaprosić!

[Stan prawny na 30.04.2020 r.]