Pod koniec 2017 roku do mediów trafiła informacja, według której pracownicy niektórych sklepów sieci Biedronka na jeden dzień zostali wyposażeni w urządzenia służące pomiarom pracy serca. Czujniki zostały założone zarówno kasjerom, jak i kierownikom sklepów. Działanie to wzbudziło duże wątpliwości. Pojawiło się pytanie, czy istniała jakakolwiek przesłanka przetwarzania tego rodzaju danych i czy administrator danych działał prawidłowo.
RODO czyli rozporządzenie ogólne o ochronie danych osobowych – dowiedz się więcej!
Ocena wysiłku fizycznego pracowników Biedronki
Pracownicy 20 sklepów sieci Biedronka zostali poddani badaniu kosztów energetycznych podczas wykonywania pracy na poszczególnych stanowiskach. Jak twierdzi personel, badanie zostało przeprowadzane bez uprzedzenia i bez ujawnienia celu . Od pracowników nie zostały odebrane zgody na podłączenie urządzeń oraz gromadzenie za ich pomocą danych o ich stanie zdrowia.
Przedstawiciele sieci sklepów potwierdzili, iż tego rodzaju badanie miało miejsce, a dodatkowo wyjaśnili, że służyło ono wprowadzeniu ewentualnych zmian na stanowiskach wymagających nadmiernego wysiłku fizycznego .
Zasadniczym problemem nie jest jednak przeprowadzenie badania, nawet tak inwazyjnego jak holter, lecz fakt, że pracodawca zebrał szczegółową informację o stanie zdrowia poszczególnych pracowników, a są to dane wrażliwe podlegające szczególnej ochronie prawnej.
Dane wrażliwe, czyli jakie?
Ustawa o ochronie danych osobowych. definiuje dane osobowe jako wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Ustawa wyróżnia także dane szczególnie chronione, zwane częściej danymi wrażliwymi lub sensytywnymi. Dane wrażliwe to te, które dotyczą strefy intymnej lub ściśle prywatnej danej osoby.. Polski ustawodawca zawarł w art. 27 u.o.d.o. zamknięty katalog danych wrażliwych. Należą do nich dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne albo światopoglądowe oraz przynależność wyznaniową, partyjną czy związkową. W tej kategorii mieszczą się także informacje o stanie zdrowia, kodzie genetycznym, nałogach i życiu seksualnym oraz te, dotyczące orzeczeń wydawanych w postępowaniach sądowych i administracyjnych, w tym o przyznanych mandatach.
Szczególna ochrona danych wrażliwych polega co do zasady na zakazie ich przetwarzania, chyba że przepisy ustawy dopuszczają ich przetwarzanie w szczególnych przypadkach. Oznacza to, że ich wykorzystywanie uzależnione jest od spełnienia jednej z przesłanek przetwarzania(o przesłankach legalizujących pisaliśmy: tutaj i TU). Szczególnym wymogiem dotyczącym danych wrażliwych jest zapewnienie środków bezpieczeństwa przetwarzania tych danych na poziomie podwyższonym lub wysokim.
RODO a dane wrażliwe
Od 25 maja 2018 r., czyli daty rozpoczęcia stosowania przepisów o rozporządzenia ogólnego o ochronie danych dane wrażliwe także korzystały będą ze dodatkowej ochrony. r RODO posługuje się pojęciem danych szczególnej kategorii i poszerza zakres danych wrażliwych o dane genetyczne i biometryczne, czyli takie, które dotyczą cech fizycznych, fizjologicznych i behawioralnych osoby fizycznej. Ponadto, RODO wprowadza definicję danych dotyczących stanu zdrowia. Według tego aktu dane dotyczące stanu zdrowia to wszelkie informacje o zdrowiu fizycznym, psychicznym osoby fizycznej, jak i informacje o korzystaniu przez osobę z usług opieki zdrowotnej.
Dane o stanie zdrowia pracownika
Dane o stanie zdrowia pracowników to dane wrażliwe, jednak pracodawca w pewnych przypadkach może je przetwarzać, a nawet jest zobowiązany do ich przetwarzania, aby móc realizować nałożone na niego obowiązki względem pracowników. Upoważnienie pracodawcy do przetwarzania takich danych wynika wprost z ustawy m.in. w sytuacji, gdy pracodawca sporządza protokół wypadku przy pracy pracownika lub otrzymuje zwolnienie lekarskie zawierające informację o przyczynie nieobecności pracownika w pracy.
Przepisy prawa pracy ograniczają jednakże uprawnienia pracodawcy do kierowania i zapewniania pracownikom wyraźnie określonych rodzajów badań lekarskich – i tak, aby pracodawca ustalił zdolność pracownika do wykonywania powierzonych mu obowiązków, pracownik może zostać poddany badaniom: wstępnym, okresowym i kontrolnym. Co istotne – rola pracodawcy w takich badaniach ogranicza się jedynie do zapewnienia takich badań pracownikowi i zwolnienia od pracy na ich czas.
W zależności od rodzaju pracy to lekarz specjalista sprawdza i orzeka o zdolności pracownika do pracy. Pracodawca zapoznaje się jedynie z orzeczeniem lekarza i nie ma możliwości zdobycia wiedzy na temat wyników z poszczególnych badań pracownika. Pracodawca może oferować pracownikom dodatkowe badania lekarskie, czy świadczenia medyczne, ale należy pamiętać, że skorzystanie z tej możliwości jest indywidualną decyzją pracownika i nie stanowi podstawy wyciągnięcia wobec niego negatywnych konsekwencji. Pracownik w umowie o pracę zobowiązuje się bowiem do wykonywania poleceń przełożonych związanych wyłącznie z wykonywaną pracą.
Badań, o których mowa, nie sposób zakwalifikować jako okresowych badań wymaganych przez prawo pracy. Ich przeprowadzenie budzi wątpliwości nie tylko pod kątem oceny etycznej, ale przede wszystkim prawnej. W głównej mierze należy zwrócić uwagę na brak spełnienia przez administratora danych obowiązku informacyjnego wobec pracowników oraz brak spełnienia przesłanek legalizujących przetwarzanie wrażliwych danych pracowników Biedronki. Jako przesłankę usprawiedliwiającą przetwarzanie danych o stanie zdrowia pracowników w tym przypadku można by było rozważyć zgodę pracownika na przetwarzanie jego danych osobowych. Jednakże zważywszy na zależność wynikającą ze stosunku pracodawca-pracownik wątpliwym jest, by pracownik dobrowolnie wyraził taką zgodę, bez obaw przed wyciągnięciem w stosunku do niego negatywnych konsekwencji, a jak wiadomo dobrowolność wyrażenia zgody jest warunkiem jej skuteczności. Przyjmuje się, że dla większości operacji przetwarzania danych w pracy zgoda pracowników nie może i nie powinna być legalną podstawą ze względu na charakter relacji między pracodawcą a pracownikiem i wynikającego z niej braku równowagi sił. Nie można także mówić o realizacji przez pracodawcę prawnie usprawiedliwionego celu – ten w odniesieniu do danych wrażliwych nie występuje. Przetwarzanie danych o stanie zdrowia pracowników nie było także niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy itp. – dane dotyczące stanu zdrowia, z uwagi na względy interesu publicznego, nie powinny być przekazywane bezpośrednio do pracodawcy. Jak wskazano powyżej, pracodawca powinien zapoznawać się jedynie z końcowymi wnioskami lekarza o zdolności pracownika do pracy, nie z pełną informacją o jego stanie zdrowia, w tym z jego wynikami badań. Powyższe rozważania skłaniają do wniosku, iż pracodawca nie działał w sposób usprawiedliwiony prawem.
RODO czyli rozporządzenie ogólne o ochronie danych osobowych – dowiedz się więcej!
