Zgodnie z opinią PUODO, badanie temperatury ciała pracowników zakładu pracy lub gości hotelowych oraz gromadzenie takich danych musi mieć odpowiednią podstawę prawną.
Dane zdrowotne to szczególnej kategorii dane osobowe, wymagające szczególnego traktowania (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych; uchylenie dyrektywy 95/46/WE (RODO). Oznacza to znaczne ograniczenie ich przetwarzania, do szczegółowo określonych przypadków. W ocenie PUODO, obecnie obowiązujące prawo nie uniemożliwia jednak przetwarzaniu takich danych. W swojej opinii powołuje się na art. 9 ust. 2 lit. i) RODO, który zezwala na przetwarzanie takich danych w celu ochrony przed poważnymi transgranicznymi zagrożeniami zdrowotnymi.
Do przetwarzania danych wrażliwych przez pracodawcę lub właściciela hotelu może dojść w oparciu o obowiązujące przepisy prawa.
Z uwagi na przyznane Głównemu Inspektorowi Sanitarnemu uprawnienia w ustawie z dnia 3 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych, inspektor sanitarny może uznać, że niezbędne jest przyjęcie rozwiązania w postaci mierzenia temperatury ciała pracownikom i tzw. gościom wchodzącym na teren zakładu pracy czy też pozyskiwania od pracowników oświadczeń dotyczących ich stanu zdrowia. Wówczas inspektor sanitarny może wydać decyzję nakładającą na dany podmiot taki obowiązek i taka decyzja stanowić będzie podstawę przetwarzania wyżej wymienionych danych.
Polecamy: Przedsiębiorca w kryzysie (PDF)
Polecamy: Tarcza antykryzysowa – Podatki i prawo gospodarcze. Pakiet 5 ebooków
Promocja: INFORLEX Twój Biznes Jak w praktyce korzystać z tarczy antykryzysowej Zamów już od 98 zł
PUODO wskazał także, że w stosunku pomiędzy pracodawcą a pracownikiem, zgoda osoby, której dane dotyczą (tj. pracownika), nie może zostać uznana za podstawę prawną przetwarzania. Jeżeli pomiędzy administratorem danych (pracodawcą) a osobą, której dane dotyczą (pracownikiem), występuje nierówność, wówczas zgoda jako podstawa prawna przetwarzania nie będzie w pełni dobrowolna.
Według eksperta, Jarosława Kamińskiego (adwokata, Associate Partnera w Rödl & Partner), przedstawione stanowisko budzi istotne zastrzeżenia w kontekście przepisów Kodeksu pracy, postanowień RODO, a także praktyczne w związku z odpowiedzialnością pracodawców za przestrzeganie zasad bezpieczeństwa w zakładach pracy.
Pomimo stanowiska PUODO, w dobie obecnej sytuacji – stanu epidemii i mając na uwadze przepisy Kodeksu pracy oraz obowiązki pracodawców w zakresie zachowania bezpiecznych i higienicznych warunków pracy, wydaje się uzasadnione, aby mierzenie temperatury ciała osobom z zewnątrz organizacji (nie będących jej pracownikami) mogłoby odbywać się na podstawie ich zgody (art. 9 ust. 2 lit. a) RODO). Z kolei sprawdzanie temperatury osobom z wewnątrz organizacji (pracownikom i współpracownikom), abstrahując od stanowiska urzędu co do kwestii zgody w relacji pracownik – pracodawca (które zostało przez Urząd dość mocno uproszczone) mogłoby odbywać się bez konieczności utrwalania wyników takiego pomiaru temperatury.
Ponadto, jeśli pomiar temperatury wykazałby gorączkę u danej osoby (np. powyżej 37,5 lub 38 stopni Celsjusza), wówczas należałoby nie dopuścić tej osoby do pracy, odizolować od innych pracowników i podjąć dalsze czynności prewencyjnie, mając na uwadze zdrowie danej osoby i pozostałych pracowników, ponownie bez utrwalania takich informacji. Podstawą prawną takich działań mógłby być przepis art. 9 ust. 2 lit. b) w zw. z art. 207 Kodeksu pracy. Te praktyczne wskazówki dawałyby pracodawcom pewną możliwość zachowania wytycznych urzędu. Zatem wydaje się, że przepisy RODO i Kodeksu cywilnego zawierają stosowne podstawy prawne do tego, aby w obecnej, wyjątkowej sytuacji epidemii w Polsce, pracodawcy, którzy są obowiązani do przestrzegania szeregu wymogów bezpieczeństwa i sanitarnych, mogli także przetwarzać dane osobowe szczególnej kategorii zarówno swoich pracowników, współpracowników, jak i osób z zewnątrz danej firmy.