Po potvrdení ochorenia COVID-19 aj na území Slovenskej republiky bolo prijatých množstvo opatrení, ktoré zasahujú nielen do pracovnoprávnych vzťahov. Jedným z týchto opatrení je aj ochrana zamestnancov pred šírením nákazy na pracovisku a s tým spojená ochrana verejného zdravia.
- Vzor
Účinnú ochranu pred šírením nákazy na pracovisku nemožno zabezpečiť bez opatrení, ktoré zasahujú do sféry osobných údajov zamestnancov či ich súkromia. Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „nariadenie GDPR“), je základným právnym predpisom, ktorý upravuje podmienky spracúvania osobných údajov a ktoré je pre zamestnávateľov záväzné.
Údaje o tom, či má zamestnanec ochorenie COVID-19 alebo jeho príznaky (v čase, keď ešte nebolo u neho ochorenie preukázané), alebo údaje o jeho teplote a pod., sa týkajú zdravia zamestnanca a sú súčasťou osobitnej kategórie osobných údajov. Spracúvanie osobitnej kategórie osobných údajov pritom podlieha zvýšenej miere právnej ochrany.
Spracúvanie tzv. citlivých osobných údajov podľa nariadenia GDPR
Pri monitorovaní teploty zamestnancov dochádza k spracúvaniu ich osobných údajov. Podľa čl. 4 ods. 1 nariadenia GDPR sa osobnými údajmi rozumejú „akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len „dotknutá osoba“); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby“.
Osobným údajom je teda informácia, ktorá sa týka fyzickej osoby, ktorá je určená alebo určiteľná, t. j. ktorá je na základe určitého súboru rôznych údajov konkrétne identifikovateľná a nezameniteľná s inou osobou.
Za „citlivé“ osobné údaje sa považujú osobné údaje:
- ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie,
- členstvo v odborových zväzoch,
- genetické údaje, biometrické údaje spracúvané len na účely identifikácie ľudskej bytosti,
- zdravotné údaje,
- údaje týkajúce sa sexuálneho života alebo sexuálnej orientácie danej osoby.
Spracúvanie tejto kategórie osobných údajov nie je nariadením GDPR zakázané, avšak vzhľadom na závažnosť rizika pri ich spracúvaní, tejto kategórii osobných údajov legislatíva priznáva vyššiu právnu ochranu, ktorá sa prejavuje v prísnejšom režime ich spracúvania. Pre zákonné spracúvanie tzv. citlivých osobných údajov svojich zamestnancov okrem bežného právneho základu v čl. 6 nariadenia GDPR, teda musí prevádzkovateľ preukázať, že existuje aj výnimka podľa čl. 9 ods. 2 nariadenia GDPR. V tomto prípade sa aplikuje čl. 9 ods. 2 písm. i) nariadenia GDPR „... spracúvanie je nevyhnutné z dôvodov verejného záujmu v oblasti verejného zdravia, ako je ochrana proti závažným cezhraničným ohrozeniam zdravia alebo zabezpečenie vysokej úrovne kvality a bezpečnosti zdravotnej starostlivosti a liekov alebo zdravotníckych pomôcok, na základe práva Únie alebo práva členského štátu, ktorým sa ustanovujú vhodné a konkrétne opatrenia na ochranu práv a slobôd dotknutej osoby, najmä profesijné tajomstvo“.
Podľa čl. 13 nariadenia GDPR je zamestnávateľ povinný poskytnúť zamestnancom, ktorých osobné údaje spracúva, všetky informácie o spracúvaných údajoch vrátane podmienok ich spracúvania, t. j. aj informácie o spracúvaní údajov o telesnej teplote zamestnancov na pracovisku.
Zákonnosť merania telesnej teploty zamestnancov na pracovisku
Otázkou merania teploty zamestnancov na pracovisku sa zaoberal aj Európsky výbor pre ochranu údajov, ktorý konštatoval, že nariadenie GDPR obsahuje inštitúty a ustanovenia, prostredníctvom ktorých možno spracúvať osobné údaje aj v čase pandémie a ktoré zohľadňuje rôzne možnosti spracúvania osobných údajov v takýchto mimoriadnych situáciách. Na otázku, či môže zamestnávateľ vykonávať lekárske prehliadky na zamestnancoch v súvislosti s pandémiou COVID-19, odpovedal výbor takto: „Odpoveď závisí od vnútroštátnej právnej úpravy týkajúcej sa zamestnávania a bezpečnosti a ochrany zdravia pri práci. Zamestnávatelia by mali získavať a spracúvať osobné údaje zamestnancov len v prípadoch, ak to vyplýva z ich vlastných zákonných povinností.”
K tejto problematike podala stanovisko aj predsedníčka Výboru k Dohovoru 108 Rady Európy a Komisár pre ochranu osobných údajov Rady Európy k osobným údajom: „Za daných okolností zamestnávatelia budú možno musieť spracúvať osobné alebo citlivé údaje, ktoré zvyčajne nespracúvajú (napríklad údaje týkajúce sa zdravia); preto by sa malo pripomenúť, že by pri tom mali rešpektovať zásady nevyhnutnosti, proporcionality a zodpovednosti, a mali by sa tiež riadiť zásadami tak, aby minimalizovali akékoľvek riziká, ktoré by takéto spracúvanie mohlo predstavovať pre práva zamestnancov a základné slobody, najmä ich práva súkromia, ako je rozpracované v odporúčaní CM/ Rec (2015) 5 o spracúvaní osobných údajov v kontexte zamestnania. Zamestnávatelia by predovšetkým nemali spracúvať osobné údaje nad rámec toho, čo je potrebné na identifikáciu potenciálne exponovaných zamestnancov.“
Pri nedodržaní ustanovení nariadenia GDPR v súvislosti s meraním teploty zamestnancov, sa zamestnávatelia môžu dopúšťať nezákonného spracúvania osobných údajov. Je potrebné, aby zamestnávateľ splnil podmienky ustanovené pre spracúvanie citlivých osobných údajov podľa čl. 6, 9, 13 nariadenia GDPR.
Podľa Úradu na ochranu osobných údajov SR je potrebné, aby podmienky spracúvania takýchto údajov boli ustanovené vo všeobecne záväznom právnom predpise, ktorým sa ustanovujú vhodné a konkrétne opatrenia na ochranu práv a slobôd dotknutej osoby (napr. v uznesení vlády). V nadväznosti na vyhlásenú mimoriadnu situáciu by takýmto všeobecne záväzným právnym predpisom podľa Úradu na ochranu osobných údajov mohol byť zákon č. 42/1994 Z. z. o civilnej ochrane obyvateľstva v znení neskorších predpisov, na základe ktorého musí byť vydané konkrétne opatrenie.
Na určitých miestach vláda SR zaviedla povinné meranie telesnej teploty pred vstupom do vybraných priestorov (napr. v priestoroch nemocníc a priemyselných podnikov).
Ak zamestnávateľ mieni spracúvať osobné údaje o telesnej teplote zamestnancov, mal by zvážiť, či spadá do kategórie priemyselných podnikov, resp. nemocníc. Ak zamestnávateľ nespadá do kategórie, na ktorú sa vzťahuje opatrenie vlády, mal by pred takýmto spracúvaním citlivých osobných údajov zvážiť, či je naplnená výnimka nevyhnutnosti podľa čl. 9 ods. 2 písm. i) nariadenia GDPR, teda či pri nevykonávaní merania teploty naozaj dochádza k ohrozeniu verejného zdravia (napr. vzhľadom na počet zamestnancov, vzhľadom na nutnosť mať stránkové/úradné hodiny a pod.). Zároveň je nevyhnutné riadiť sa zásadami proporcionality a zodpovednosti, a to takým spôsobom, aby zamestnávateľ minimalizoval akékoľvek riziká, ktoré by takéto spracúvanie mohlo predstavovať pre práva zamestnancov a ich základné slobody, najmä ich práva súkromia.
Zamestnávatelia, ktorí nespadajú do kategórie nemocníc a priemyselných podnikov, môžu argumentovať všeobecným právnym predpisom – zákonom č. 124/2006 Z. z. o bezpečnosti a ochrane zdravia pri práci a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon č. 124/2006 Z. z.“), ktorý upravuje všeobecné zásady prevencie a ukladá zamestnávateľovi povinnosti ohľadom ochrany života a zdravia zamestnancov.
Podľa § 6 ods. 1 písm. a) zákona č. 124/2006 Z. z.: „Zamestnávateľ v záujme zaistenia bezpečnosti a ochrany zdravia pri práci je povinný
a) vykonávať opatrenia so zreteľom na všetky okolnosti týkajúce sa práce a v súlade s právnymi predpismi a ostatnými predpismi na zaistenie bezpečnosti a ochrany zdravia pri práci“.
A podľa § 6 ods. 1 písm. f) zákona č. 124/2006 Z. z.: „Zamestnávateľ v záujme zaistenia bezpečnosti a ochrany zdravia pri práci je povinný
f) odstraňovať nebezpečenstvo a ohrozenie, a ak to podľa dosiahnutých vedeckých a technických poznatkov nie je možné, vykonať opatrenia na ich obmedzenie a pripravovať opatrenia na ich odstránenie“.
Vzhľadom na uvedené máme za to, že meranie teploty zamestnancov na pracovisku je obhájiteľné napr. aj v prostredí mestských úradov, daňových úradov či iných orgánov štátnej a verejnej správy.
Prevádzkovateľ je povinný informovať dotknuté osoby (zamestnancov) o spracúvaní ich osobných údajov – a to aj o meraní ich teploty. K splneniu informačnej povinnosti musí dôjsť najneskôr v okamihu získania osobných údajov. Prevádzkovateľ je povinný informačnú povinnosť plniť iniciatívne, nie až na žiadosť dotknutej osoby, pričom dotknutej osobe poskytuje informácie ustanovené v čl. 13 ods. 1 až 3 nariadenia GDPR.
Zoznam informácií, ktoré sa majú poskytnúť zamestnancovi (čl. 13 nariadenia GDPR):
|
Informácie podľa čl. 13 nariadenia GDPR: |
|---|
|
|
|
|
|
|
|
|
|
ďalšie doplňujúce informácie: |
|
|
|
|
|
|
|
|
|
|
Informácie musia byť poskytnuté v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, musia byť formulované jasne a jednoducho. Informovať možno rôznymi spôsobmi (nie je vylúčená kombinácia viacerých možností) – napr. na webovom sídle, zaslaním informácií do e-mailu, na nástenke prístupnej zamestnancom, na intranete.
Prevádzkovateľ informuje dotknuté osoby o ich právach podľa čl. 15 až čl. 22 nariadenia GDPR.
Meranie telesnej teploty zamestnancov na pracovisku – odporúčaný postup
Dňa 2. apríla 2020 vydal Úrad verejného zdravotníctva SR usmernenie, ako postupovať pri meraní telesnej teploty pri vstupe do nemocníc a priemyselných podnikov. V usmernení sa uvádza nasledujúce:
- Meranie telesnej teploty vykonávať certifikovaným bezkontaktným lekárskym teplomerom pred vstupom do zariadenia vo vyčlenenom priestore s vhodnými mikroklimatickými podmienkami.
- Osoba, ktorá vykonáva meranie telesnej teploty, je povinná mať jednorazové rukavice a na prekrytie horných dýchacích ciest respirátor, resp. tvárové rúško, štít.
- Odstup medzi dvoma osobami, ktoré čakajú na meranie teploty, musí byť najmenej 2 metre, osoby musia mať prekryté horné dýchacie cesty tvárovým rúškom.
- Teplomer treba nasmerovať na stred čela, odporúča sa vzdialenosť 1-3 cm od pokožky čela. Samotné meranie telesnej teploty treba vykonať podľa pokynov výrobcu uvedených v návode na použitie daného teplomera.
- Zabezpečiť pravidelnú dekontamináciu teplomera podľa odporúčania výrobcu.
Usmernenie obsahuje aj postup v prípade, že sa u osoby pri vstupe na pracovisko zistí:
- Zvýšená telesná teplota (do 38 °C), osoba sa odošle do domácej izolácie s odporúčaním, aby si sledovala svoj zdravotný stav. V prípade náhleho zhoršenia zdravotného stavu osoba telefonicky kontaktuje svojho ošetrujúceho lekára alebo linku 112.
- Telesná teplota 38 °C a viac, v závislosti od závažnosti klinických príznakov, sa osoba odošle buď do domácej izolácie s odporúčaním, aby si sledovala svoj zdravotný stav a telefonicky kontaktovala svojho všeobecného lekára, alebo v prípade náhleho zhoršenia alebo život ohrozujúceho stavu (napr. ťažkosti pri dýchaní, poruchy vedomia, rýchly tep) zamestnávateľ bez odkladu kontaktuje linku 112.
O zamestnancoch, u ktorých bola zistená zvýšená teplota, sa vedie evidencia a zároveň sa táto skutočnosť hlási vedeniu pracoviska.
Bezpečnosť spracúvania osobných údajov
Z nariadenia GDPR vyplýva prevádzkovateľom povinnosť prijať primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti spracúvania osobných údajov primeranú riziku tohto spracúvania. Prevádzkovateľ je zodpovedný za bezpečnosť a ochranu osobných údajov po celý čas ich spracúvania.
Evidenciu o zamestnancoch, u ktorých bola nameraná zvýšená teplota, je potrebné aj určitú dobu uchovávať. Táto doba uchovávania však nie je bližšie vymedzená. V súlade so zásadou minimalizácie uchovávania podľa nariadenia GDPR sa osobné údaje uchovávajú najneskôr dovtedy, kým je to potrebné na účel, na ktorý sa tieto osobné údaje spracúvajú.
Prevádzkovateľ je podľa čl. 25 nariadenia GDPR povinný zabezpečiť ochranu osobných údajov, pričom zohľadní najnovšie poznatky a náklady na vykonanie opatrení, ako aj povahu, rozsah, kontext a účely spracúvania. Opatrenia nastaví podľa potrieb vzhľadom na vlastné prostredie a zohľadní bezpečnostné štandardy, ktoré sú bežné pre danú spracovateľskú činnosť. V neposlednom rade zohľadní aj citlivosť osobných údajov.
Jednými z najštandardnejších opatrení, ktoré sa v praxi prijímajú, sú najmä (nielen):
- technické opatrenia: zabezpečenie evidencie o nameranej teplote pomocou mechanických zábranných prostriedkov (uzamykateľná kovová skriňa), zabezpečenie objektu pomocou technických zábranných prostriedkov (alarm, kamery),
- organizačné opatrenia: poučenie oprávnených osôb (zamestnancov, ktorí budú meranie teploty vykonávať, zaznamenávať a hlásiť štatutárnemu zástupcovi) o spracúvaní osobných údajov, poučenie o povinnosti zachovávať mlčanlivosť, vzdelávanie oprávnených osôb a pod.
V prípade porušenia ochrany osobných údajov, ktoré povedie k riziku pre práva a slobody fyzických osôb (napr. neoprávnený prístup k osobným údajom v evidencii o meraní teploty a pod.) je prevádzkovateľ povinný takéto porušenie oznámiť úradu, a to do 72 hodín po tom, ako sa o tejto skutočnosti dozvedel, v niektorých prípadoch aj dotknutej osobe, a to bez zbytočného odkladu. Jedným z opatrení, ktoré by mal prevádzkovateľ prijať, je postup (interný predpis) pri oznamovaní porušenia ochrany osobných údajov úradu a dotknutej osobe.
Záver
Zamestnávatelia by mali zvážiť, či v ich prevádzke dochádza k ohrozeniu verejného zdravia pri nevykonávaní merania teploty. Obce/mestá musia zabezpečiť ochranu verejného zdravia aj svojich obyvateľov, čo znamená, že nie všetci zamestnanci môžu pracovať formou home office, niektorí zamestnanci dokonca pracujú v teréne, kde je riziko nákazy vyššie.
Avšak pri samotnom výkone merania teploty odporúčame použiť čo najmenej invazívnych prostriedkov podľa zásady proporcionality s dôrazom na ochranu osobných údajov dotknutých osôb.