Czy pracodawcy będą mogli sprawdzać kto z pracowników jest zaszczepiony przeciw COVID – 19?
Publikacja aktualna na dzień: 22.08.2021 r.
Szczepienia przeciwko Covid-19 mają charakter dobrowolny. Tym samym, wiele osób uważa, że zarówno decyzja, jak i informacja na temat przyjęcia szczepionki przeciw COVID-19 jest wyłącznie ich prywatną sprawą i podlega ochronie wynikającej m.in. z RODO. Wiele osób zastanawia się czy pracodawca może przetwarzać takie dane osobowe, a jak tak, to na jakiej podstawie?
Czy informacja o szczepieniu przeciwko COVID-19 to dana osobowa?
Tak. Informacja o zaszczepieniu przeciw COVID- 19 zawiera dane osobowe dotyczące zdrowia, co oznacza, że stanowią szczególną kategorię danych osobowych (art. 9 ust. 1 RODO). Warto wiedzieć, że przetwarzanie takich danych jest co do zasady zakazane, ale RODO wprowadza szereg wyjątków (art. 9 ust. 2 lit. a – j RODO).
Art. 9 ust. 1 RODO
Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
Czy RODO jest przeciwko pandemii COVID-19?
Warto przypomnieć stanowisko Prezesa Urzędu Ochrony Danych Osobowych, który podkreślił, że „przepisy o ochronie danych osobowych nie mogą być stawiane jako przeszkoda w realizacji działań w związku z walką z koronawirusem” [1].
Podobne stanowisko zajęła Przewodnicząca Europejskiej Rady Ochrony Danych (EROD), która oświadczyła, że „zasady ochrony danych nie ograniczają środków podejmowanych w ramach walki z pandemią koronawirusa” [2].
Na jakiej podstawie pracodawca może przetwarzać informacje o szczepieniu COVID-19?
Na możliwość przetwarzania danych osobowych w postaci informacji o szczepieniu przeciw COVID-19 wskazuje się jedną z poniższych podstaw:
- wyraźną zgodę osoby badanej (art. 9 ust. 2 lit. a RODO), albo
- przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 1 lit. b RODO).
Art. 9 ust. 2 RODO
[Art. 9] ust. 1 [RODO] nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;
b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;
c) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody;
d) przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą;
e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
f) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy;
g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą;
h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3;
i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową;
j) przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.
Zgoda jako przesłanka legalizująca
Warto pamiętać, że „zgoda może być podstawą przetwarzania danych tylko wtedy, gdy nie występują inne przesłanki legalizujące. Gdy jednak zgoda ma zastosowanie, to musi spełniać określone warunki, by rzeczywiście była podstawą przetwarzania [3]”. Jedynie zgoda dobrowolna, konkretna, świadoma i jednoznaczna w formie oświadczenia lub wyraźnego działania potwierdzającego, legalizuje przetwarzanie danych osobowych, osoby, która jej udzieliła. Uzyskanie takiej zgody w warunkach zatrudnienia bywa jednak problematyczne, gdyż w stosunku pracy nie ma równowagi, a pracodawca ma pozycję dominującą. Tym samym, jest mało prawdopodobne (ale możliwe), aby pracownik wyraził zgodę w warunkach dobrowolności.
Jeżeli nie zgoda, to co?
Przewodnicząca Europejskiej Rady Ochrony Danych wskazała, że „ […] pracodawcy powinni mieć dostęp do danych dotyczących zdrowia i przetwarzać je tylko wtedy, gdy wymagają tego ich własne zobowiązania prawne” [2].
Podsumowując w tym zakresie należy wskazać, że przepisy RODO stwarzają podstawy do przetwarzania danych osobowych w postaci informacji o szczepieniu przeciw COVID-19.
„Pracodawcy mogą uzyskać dane osobowe w celu wypełnienia swoich obowiązków i zorganizowania pracy zgodnie z prawem krajowym”[2]. Jednak konkretnej podstawy prawnej należy szukać w przepisach prawa krajowego.
Obowiązki wynikające z prawa pracy jako przesłanka legalizująca
Udzielenie odpowiedzi na to pytanie czy pracodawcy będą mogli (lub już mogą) sprawdzać kto z pracowników jest zaszczepiony przeciw COVID – 19, a kto nie, sprowadza się zatem do udzielenia odpowiedzi na pytanie czy przepisach prawa polskiego znajdziemy podstawę prawną do żądania od pracownika udzielenia informacji o szczepieniu przeciw COVID-19. Pomimo tego, że od ponad roku cały świat mierzy się z pandemią COVID-19 w polskim porządku prawnym brak jest jednoznacznego, nie budzącego wątpliwości przepisu, które wprost umożliwiałoby pracodawcy weryfikację osób zaszczepionych przeciw COVID-19.
Przepisy prawa krajowego są zbyt ogólne i nie zawierają jednoznacznego wskazania czy pracodawca jest uprawniony do weryfikacji kto z pracowników jest zaszczepiony przeciw COVID – 19, a kto nie.
Czy zatem takie działanie jest pozbawione podstawy prawnej?
Jak wiadomo szczepienie przeciwko COVID -19 jest dobrowolne. Jednak nie możemy tracić z pola widzenia obowiązków nałożonych na pracodawców. Konieczność spełnienia obowiązków i wykonywania szczególnych praw przez administratora (pracodawcę) w dziedzinie prawa pracy i zabezpieczenia społecznego wynika z Kodeksu pracy. Musimy pamiętać, że każdy pracodawca ponosi odpowiedzialność za stan bezpieczeństwa i higieny pracy w zakładzie pracy i jest zobowiązany chronić zdrowie i życie pracowników przez zapewnienie bezpiecznych i higienicznych warunków pracy przy odpowiednim wykorzystaniu osiągnięć nauki i techniki.
W ramach swoich obowiązków pracodawca musi ocenić i dokumentować ryzyko zawodowe związane z wykonywaną pracą oraz stosować niezbędne środki profilaktyczne zmniejszające ryzyko. Jednocześnie jest zobowiązany do informowania pracowników o ryzyku zawodowym, które wiąże się z wykonywaną pracą, oraz o zasadach ochrony przed zagrożeniami. W razie zatrudniania pracownika w warunkach narażenia na działanie szkodliwych czynników biologicznych pracodawca ma obowiązek stosować wszelkie dostępne środki eliminujące narażenie, a jeżeli jest to niemożliwe – ograniczające stopień tego narażenia, przy odpowiednim wykorzystaniu osiągnięć nauki i techniki. Pracodawca ma również obowiązek prowadzić rejestr prac narażających pracowników na działanie szkodliwych czynników biologicznych do grupy 3 lub 4 zagrożenia oraz rejestr pracowników zatrudnionych przy takich pracach. Od 13 grudnia 2020 r. zaliczono koronawirusa zespołu ostrej niewydolności oddechowej 2 (SARS-CoV-2).
Art. 207 § 1 – 2 Kodeks pracy
1. Pracodawca ponosi odpowiedzialność za stan bezpieczeństwa i higieny pracy w zakładzie pracy. Na zakres odpowiedzialności pracodawcy nie wpływają obowiązki pracowników w dziedzinie bezpieczeństwa i higieny pracy oraz powierzenie wykonywania zadań służby bezpieczeństwa i higieny pracy specjalistom spoza zakładu pracy, o których mowa w art. 23711 § 2.
2. Pracodawca jest obowiązany chronić zdrowie i życie pracowników przez zapewnienie bezpiecznych i higienicznych warunków pracy przy odpowiednim wykorzystaniu osiągnięć nauki i techniki. W szczególności pracodawca jest obowiązany:
1) organizować pracę w sposób zapewniający bezpieczne i higieniczne warunki pracy;
2) zapewniać przestrzeganie w zakładzie pracy przepisów oraz zasad bezpieczeństwa i higieny pracy, wydawać polecenia usunięcia uchybień w tym zakresie oraz kontrolować wykonanie tych poleceń;
3) reagować na potrzeby w zakresie zapewnienia bezpieczeństwa i higieny pracy oraz dostosowywać środki podejmowane w celu doskonalenia istniejącego poziomu ochrony zdrowia i życia pracowników, biorąc pod uwagę zmieniające się warunki wykonywania pracy;
4) zapewnić rozwój spójnej polityki zapobiegającej wypadkom przy pracy i chorobom zawodowym uwzględniającej zagadnienia techniczne, organizację pracy, warunki pracy, stosunki społeczne oraz wpływ czynników środowiska pracy;
5) uwzględniać ochronę zdrowia młodocianych, pracownic w ciąży lub karmiących dziecko piersią oraz pracowników niepełnosprawnych w ramach podejmowanych działań profilaktycznych;
6) zapewniać wykonanie nakazów, wystąpień, decyzji i zarządzeń wydawanych przez organy nadzoru nad warunkami pracy;
7) zapewniać wykonanie zaleceń społecznego inspektora pracy.
Art. 226. Kodeks pracy
Pracodawca:
1) ocenia i dokumentuje ryzyko zawodowe związane z wykonywaną pracą oraz stosuje niezbędne środki profilaktyczne zmniejszające ryzyko;
2) informuje pracowników o ryzyku zawodowym, które wiąże się z wykonywaną pracą, oraz o zasadach ochrony przed zagrożeniami.
Art. 2221 Kodeks pracy
1. W razie zatrudniania pracownika w warunkach narażenia na działanie szkodliwych czynników biologicznych pracodawca stosuje wszelkie dostępne środki eliminujące narażenie, a jeżeli jest to niemożliwe – ograniczające stopień tego narażenia, przy odpowiednim wykorzystaniu osiągnięć nauki i techniki.
2.Pracodawca prowadzi rejestr prac narażających pracowników na działanie szkodliwych czynników biologicznych oraz rejestr pracowników zatrudnionych przy takich pracach.
Podobne stanowisko przedstawia Państwowa Inspekcja Pracy, wskazując, że „pracodawca jest zobowiązany do stosowania wszelkich dostępnych środków, które eliminują lub ograniczają zagrożenie życia lub zdrowia w zakładzie pracy, a dostępne szczepienia w sposób bezpośredni i znaczący zmniejszają ryzyko rozprzestrzeniania się koronawirusa” [4].
Projektowane zamiany przepisów
Według informacji podanych przez Business Insider [5] powstaje poselski projekt przepisów, które mają umożliwić pracodawcom weryfikację pracowników pod kątem szczepienia przeciw COVID-19. Informacja ma być dostępna dla pracodawcy w systemie informatycznym [5]. Jeżeli tak się stanie, to najprawdopodobniej w końcu pojawi się jasna i nie budząca wątpliwości podstawa do przetwarzania informacji na temat szczepienia przeciwko COVID-19 przez pracodawcę.
Obecnie na stronie sejmu znajduje się również poselski projekt ustawy (nr druku 1198), którego celem jest dodanie w ustawie z dnia z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi nowy art. (art. 21g) zgodnie z którym pracownikowi oraz osobie pozostającej w stosunku zlecenia będzie przysługiwać dzień wolny od pracy w dniu wykonania szczepienia ochronnego przeciwko COVID-19 na podstawie skierowania, jeżeli przedstawi pracodawcy skierowanie najpóźniej w dniu poprzedzającym dzień wykonania szczepienia ochronnego przeciwko COVID-19.
Jeżeli ustawa wejdzie w życie, pracodawca w oparciu również o tę podstawę prawną uzyska informacje na temat dobrowolnego szczepienia COVID-19. Oczywiście nie będzie to dotyczyć wszystkich pracowników, ale tych, którzy będą chcieli skorzystać z przywileju uzyskania dnia wolnego od pracy w dniu wykonania szczepienia ochronnego przeciwko COVID-19 na podstawie skierowania. Należy jednak pamiętać, że będzie pracodawca będzie mógł przetwarzać te dane osobowe wyłącznie w tym celu wskazanym przez przepisy prawa krajowego.
Podsumowanie:
Z uwagi na zbyt niejasne przepisy prawa cały czas prawnicy mają rozbieżne stanowiska czy i na podstawie jakich przepisów pracodawca jest uprawniony do przetwarzania informacji na temat szczepienia przeciwko COVID-19. Obecnie pracodawca każdorazowo podejmując decyzje bierze na siebie ryzyko uznania, że brak było podstawy prawnej w przepisie krajowym to takiego działania. Pomimo istniejącego standu pandemii Covid-19, od kwietnia 2020 r., czyli ponad roku polski ustawodawca nie pochylił się nad wprowadzeniem przepisów krajowych, które wprost pozwalałby na przetwarzanie danych osobowych o stanie zdrowia na potrzeby przeciwdziałania zagrożeniom epidemicznym przez pracodawców. Według zapowiedzi ten stan ma się jednak zmienić stwarzając polskim pracodawcom jednoznaczną podstawę przetwarzania informacji na temat szczepienia przeciwko COVID-19.
Należy podzielić pogląd dr hab. M. Gładoch, prof. UKSW, że „idea wspólnoty zakładu pracy, która wydawała się założeniem teoretycznym, z którego wynika pierwszeństwo dobra wspólnego nad dobrem indywidualnym pracownika sprawdziła się w pandemii COVID-19. […] Już dziś w wydawanych wyrokach sędziowie stają po stronie bezpieczeństwa, czyli bhp, a nie prawa do prywatności” [6].
Źródła:
- Poselski projekt ustawy o zmianie ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, druk nr 1198, https://www.sejm.gov.pl/Sejm9.nsf/druk.xsp?nr=1198 (online), dostęp: 18.08.2021 r.
- Ustawa z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi (Dz.U. 2008 r., Nr 234, poz. 1570), https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20082341570.
- Rozporządzenie Ministra Zdrowia z dnia 22 kwietnia 2005 r. w sprawie szkodliwych czynników biologicznych dla zdrowia w środowisku pracy oraz ochrony zdrowia pracowników zawodowo narażonych na te czynniki (Dz. U. z 2005 r. Nr 81 poz. 716)
- Rozporządzenie Ministra Zdrowia z dnia 11 grudnia 2020 r. zmieniające rozporządzenie w sprawie szkodliwych czynników biologicznych dla zdrowia w środowisku pracy oraz ochrony zdrowia pracowników zawodowo narażonych na te czynniki (Dz. U. 2020 r. poz. 2234)
- Grupa Robocza Art. 29 w Wytycznych WP259 rev. 01 (online:) https://uodo.gov.pl/pl/file/1207, dostęp: 20.08.2021 r.
- Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (tekst jedn. Dz. U. z 2020 r. poz. 1320 ze zm.)
[1] Oświadczenie Prezesa UODO w sprawie koronawirusa z dnia 12.03.2020 r., (online) https://uodo.gov.pl/pl/138/1456, dostęp: 18.08.2021 r.
[2] Oświadczenie Przewodniczącej EROD ws. przetwarzania danych podczas pandemii COVID-19 przyjęte 19.03.2020 w odniesieniu do samodzielnego badania temperatury ciała przez pracodawcę, (online) https://uodo.gov.pl/pl/138/1463, dostęp: 18.08.2021 r.
[3] PUODO, Zgoda nie zawsze jest podstawą przetwarzania danych, stanowisko z dnia 21.08.2020 r. (online:) https://uodo.gov.pl/pl/138/1638, dostęp: 20.08.2021 r.
[4] Stanowisko Państwowej Inspekcji Pracy na temat szczepień przeciwko COVID-19 z dnia 27.07.2021 r., (online:) https://www.pip.gov.pl/pl/wiadomosci/126965,stanowisko-na-temat-szczepien-przeciwko-covid-19.html, dostęp: 18.08.2021 r.
[5] Business Insider, Pracodawca będzie mógł sprawdzić, czy pracownik się zaszczepił. Przygotowywany jest projekt poselski, oprac. Marta Bellon (online): https://businessinsider.com.pl/wiadomosci/pracodawca-bedzie-mogl-sprawdzic-czy-pracownik-sie-zaszczepil-bedzie-projekt-poselski/efvkfht, dostęp: 18.08.2021 r.
[6] G. J. Leśniak, MZ ma projekt ustawy umożliwiający pracodawcom dostęp do informacji o szczepieniu (online:) https://www.prawo.pl/kadry/pracodawca-bedzie-wiedzial-ktory-pracownik-sie-zaszczepil,510030.html, dostęp: 18.08.2021 r.