W prawie ochrony danych osobowych informacje o zdrowiu zostały zakwalifikowane do danych szczególnej kategorii. Nie tylko informacja dotycząca przebytych chorób, leczenia czy rekonwalescencji należy do owego katalogu. Należy rozważyć kwestię czy informacja o nałogu nikotynowym lub znajdowaniu się pod wpływem alkoholu kwalifikuje się również do tej grupy.
Co do zasady przetwarzanie danych dotyczących zdrowia jest zakazane (art. 9 ust 1. RODO) ale od każdej reguły jest wyjątek. W art. 9 ust. 2 RODO wymieniono katalog warunków, przy których dozwolone jest przetwarzanie danych osobowych dotyczących zdrowia. Pierwszym wyjątkiem jest wyrażenie zgody, który w połączeniu z motywem 43 RODO, zwraca uwagę, że nie zawsze zachodzi równowaga pomiędzy osobą, która tą zgodę wyraża a administratorem danych. Tak właśnie może być w relacji pracownik – pracodawca. Fakt wyrażonej, w tym przypadku zgody, budzi wiele wątpliwości, ponieważ w mojej ocenie ciężko będzie wykazać dobrowolność przekazania takiej zgody z uwagi na powyższy fakt. Inną sytuacją jest zgoda przekazania z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika np. w liście motywacyjnym, CV czy w korespondencji z pracownikiem. Jednak pamiętajmy by w stosunkach pracy nie nadużywać zgody pracownika jako podstawy prawnej przetwarzania danych osobowych dotyczących zdrowia. Bardzo często miało to miejsce podczas pandemii Covid-19, gdzie pracodawcy chcieli pozyskać informacje o zaszczepieniu się pracownika na podstawie zgody. Oczywiście w pierwszej kolejności należy zastanowić się nad dobrowolnością tej zgody oraz postępowaniu w przypadku jej wycofania. Dodatkowo, bardzo często zdarzało się, że pracownicy, którzy nie zaszczepili się zostawali kierowani na pracę zdalną lub wykluczani z możliwości pracy w siedzibie organizacji, co oczywiście nie ma podstaw w przepisach krajowych (na dzień publikacji).
Następną przesłanką jest przetwarzanie niezbędne do wypełnienia i wykonywania szczególnych praw nałożonych na administratora lub osobę, której dane dotyczą. Przesłanka ta zezwala na przetwarzanie danych dotyczących zdrowia w obszarze prawa pracy i z zakresu obowiązków pracodawcy nałożonych na niego przepisami prawa pracy. Zgodnie z przepisami kodeksu pracy pracodawca ma uprawnienia do przetwarzania danych związanych z poddawaniem (pracowników) badaniom profilaktycznym i innym badaniom lekarskim oraz stosowanie się do wskazań lekarskich, obowiązek poddania się badaniom profilaktycznym przez osobę przyjmowaną do pracy i przez pracownika w celu ustalenia przeciwwskazań do wykonywania określonej pracy, zakaz dopuszczenia pracownika do pracy bez aktualnego orzeczenia lekarskiego, które stwierdza brak przeciwwskazań do pracy na określonym stanowisku, obowiązek wypłaty świadczeń pracownikom w związku z czasową niezdolnością do pracy oraz obowiązki pracownicy w ciąży lub karmiącej dziecko piersią. Dokumenty jakie wymagane są do potwierdzenia ww. sytuacji wystawiane są przez lekarza i przekazywane do pracodawcy zgodnie z przepisami szczegółowymi. Warto również wiedzieć, że pracodawca posiada możliwość przetwarzania danych biometrycznych pracownika (np. odcisk palca) tylko wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony o czym mówi art. 221b § 2.
Podczas pracy mogą zdarzyć się sytuacje losowe, które mogą wiązać się z przetwarzaniem danych zdrowia pracownika czy osoby znajdującej się na terenie zakładu pracy. W związku z tym odkrywamy kolejną przesłankę, która dopuszcza do przetwarzania danych, czyli niezbędność do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej a która to osoba nie jest w stanie wyrazić zgody. Ratowanie życia, zdrowia czy spraw majątkowych można zaliczyć do wyżej wymienionego sformułowania.
W przypadku pracowników, którzy pełnią funkcje zarządzające lub kierownicze w zakładzie pracy o których informacje mogą być przedmiotem zainteresowania społeczności opinii publicznej czy mediów może się zdarzyć, że pracownik sam ujawni pewne informacje dotyczące zdrowia. Co za tym idzie zbliżamy się do ostatniego wyjątku jakim jest przetwarzanie danych poprzez upublicznienie ich przez osobę, której dane dotyczą w sposób oczywisty, czyli właśnie przez wywiad czy wypowiedź prasową.
W związku przesłanką dotyczącą przetwarzania danych dotyczących zdrowia w stosunku pracy -informacje do celów profilaktyki zdrowotnej lub medycyny pracy, czyli do oceny zdolności jej pracy, diagnozy medycznej czy zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego warto również zwrócić uwagę, że zgodnie z artykułem 221 § 3 Kodeksu Pracy osoby które dopuszczone są do przetwarzania danych dotyczące zdrowia winny posiadać pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę.
Prawodawca określił furtkę do dookreślenia dalszych warunków w odniesieniu do przetwarzania danych biometrycznych, genetycznych i dotyczących zdrowia. Dane dotyczące zdrowia są obszarem informacji o pracowniku, który pracodawca może pozyskać ale tylko w zakresie określonym w przepisach prawa. Nie należy stosować zgody jako podstawowej przesłanki, gdyż w relacji pracownik – administrator (pracodawca), to właśnie pracownik zdaje się stać na pozycji bez wyjścia, a co przeczy definicji dobrowolności wyrażanej zgody.
Autor: Monika Jędro – Kierownik Projektu CompNet Sp. z o.o.