СТАНОВИЩЕ
НА
КОМИСИЯ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № ПНМД-17-114/2020 г.
гр. София, 26.05.2020 г.
ОТНОСНО: Обработване на лични данни относно здравето и степен на информиране на служителите в случай на наличие на инфектиран с COVID-19 служител
Комисията за защита на личните данни (КЗЛД) в състав – председател: Венцислав Караджов и членове: Цанко Цолов, Мария Матева и Веселин Целков, на заседание, проведено на 19.05.2020 г., разгледа преписка с вх. № ПНМД-17-114/17.03.2020 г., с която управителят на Е. ЕООД се обръща към Комисията с искане за изразяване на становище във връзка с обработване на данни за здравето на служителите в контекста на пандемията от COVID-19. Във връзка с това към Комисията се отправят следните въпроси:
1. Има ли право работодателят да изисква от служителите си (които работят от домовете си) информация за това дали са заразени с COVID-19, те или членовете на техните домакинства, а също и дали се намират в карантина поради съмнения за заболяване, при положение, че до петък 13 март са били на работните си места и предприятието е функционирало в нормален порядък и всеки служител е бил контактен със своите колеги (уточнява се, че броят на служителите е над 100)?
2. В случай, че се установи по категоричен начин заразен с COVID-19 служител на дружеството или член на неговото домакинство, имаме ли право да уведомим останалите служители за този факт, както и по какъв начин трябва да се осъществи това обработване на данни (споделяне на информация относно здравословното състояние с останалите служители) така, че да не се нарушават разпоредбите на Регламент (ЕС) 2016/679 и Закона за защита на личните данни (ЗЗЛД)?
Правен анализ:
Съгласно чл. 275, ал. 1 от Кодекса на труда (КТ) работодателят е длъжен да осигури здравословни и безопасни условия на труд, така че опасностите за живота и здравето на работника или служителя да бъдат отстранени, ограничени или намалени. С разпоредбата на чл. 282 от КТ се въвежда задължението работодателят да осигурява условия за санитарно-битово и медицинско обслужване на работниците и служителите съобразно санитарните норми и изисквания.
Законът за здравословни и безопасни условия на труд (ЗЗБУТ) регламентира правата и задълженията на работодателите и работещите за осигуряване на здравословни и безопасни условия на труд. Мерките, които може да прилага работодателят в съответствие с чл. 4, ал. 1 от ЗЗБУТ са изчерпателно изредени:
1. превенция на професионалните рискове;
2. предоставяне на информация и обучение;
3. осигуряване на необходимата организация и средства.
В условията на извънредно положение, Министърът на труда и социалната политика издаде Заповед № РД01-219 от 02.04. 2020 год. (На основание чл. 276, ал. 1 от Кодекса на труда, във връзка с чл. 36, т. 2 от Закона за здравословните и безопасни условия на труд и обявеното извънредно положение с решение на Народното събрание от 13 март 2020 г.), с която определя мерките за превенция на риска от разпространяване на COVID-19 и включва инструкции за осигуряване на подходящи условия на труд. Въпросната заповед има действие на работното място в помещенията на работодателя. Доколкото въпросът се отнася до информация за здравословното състояние на служителите, които работят от вкъщи, не е подходящо заложените мерки да са задължително приложими в домашни условия, с оглед на това, че контролът на работодателя не може да се разпростре и върху дома и семейството на неговите служители. В този смисъл липсва правно основание работодателят да изисква предоставянето на такава информация от страна на служителите, тъй като те към този момент, намирайки се в социална изолация, не застрашават здравето на колектива. Това зависи от режима на работа и от срещите между служителите. Възможно е поради особеностите на заболяването, самият служител да не знае, че е заразен и поради това евентуално предоставена от него информация да не отговаря на истината.
На работодателите се дава възможност да проверяват температурата на служителите, които посещават работното си място и при наличието на симптоми да отстранят евентуално заразения служител. Работодателят е длъжен да въведе пропускателен режим, който да гарантира контрол и недопускане на територията на предприятието на работници и служители, както и на външни лица, с прояви на остри заразни заболявания. В случай, че се установи заразен служител на територията на предприятието, работодателят може да уведоми здравните власти, които в рамките на своята компетентност да предприемат определени действия. Законосъобразното обработване на лични данни се извършва единствено при наличие на поне едно от основанията, посочени в чл. 6, пар. 1 или чл. 9, пар. 2, когато става въпрос за специални категории данни, както и при задължителното спазване на принципите за обработване, посочени в чл. 5 от Регламент (ЕС) 2016/679. В конкретния случай здравните власти могат да извършват своята дейност на основание чл. 9, пар. 2, буква и) от Регламент (ЕС) 2016/679 – обработването е необходимо от съображения от обществен интерес в областта на общественото здраве, като защитата срещу сериозни трансгранични заплахи за здравето …, въз основа на правото на Съюза или правото на държава членка, в което са предвидени подходящи и конкретни мерки за гарантиране на правата и свободите на субекта на данните, по-специално опазването на професионална тайна.
Работодателят може да предостави информация на колектива за наличието на заразен служител, без да предоставя данни за неговото идентифициране, когато такъв е установен по безспорен начин на основание чл. 4, ал. 1 от ЗЗБУТ. Здравните власти следва да извършат действията по откриването на контактните лица и съответното им изследване.
По отношение на лицата, които работят от вкъщи, тъй като няма правно основание да се изисква информация за здравословното състояние, такава информация може да се обработва единствено в хипотезата на чл. 9, пар. 2, буква д) от Регламент (ЕС) 2016/679, когато обработването е свързано с лични данни, които явно са направени обществено достояние от субекта на данните, т.е. когато самото лице е споделило за наличието на заразата. Друга хипотеза е когато работодателят обработва данни за здравето, когато негов служител представи болничен лист, за да удостовери, че се е лекувал от COVID-19. До работодателя може да достигне информация за заболяването на член на домакинството на служителя, в случай че болничният лист е издаден във връзка с грижата за него. Такова обработване на данни за здравето се основава на разпоредбата на чл. 9, пар. 2, буква б) от Регламент (ЕС) 2016/679 – обработването е необходимо за целите на изпълнението на задълженията и упражняването на специалните права на администратора или на субекта на данните по силата на трудовото право и правото в областта на социалната сигурност и социалната закрила, дотолкова, доколкото това е разрешено от правото на Съюза или правото на държава членка, или съгласно колективна договореност в съответствие с правото на държава членка, в което се предвиждат подходящи гаранции за основните права и интересите на субекта на данните. До представянето на болничния лист, за работодателя не възниква необходимост за обработване на данни за здравето на лицето, което работи от вкъщи.
Обработването на данни за здравето (дали едно лице е заразено или не, изследване на генетичния материал, съдържащ се във взетите проби и т.н.) се извършва от лицензирани лаборатории, които при наличие на положителна проба, макар и при групово изследване, имат протоколи за откриване на заразеното лице и уведомяване на властите за последващи мерки. В този смисъл не може да се разчита на съгласието за последващо изследване, поради високия риск от разпространението на болестта. За съответните лаборатории, както и за здравните власти, като администратори на лични данни, се прилагат подходящите основанията на чл. 9, пар. 2 от Регламент (ЕС) 2016/679, включително обществения интерес, който е присъщ обикновено на публичните органи.
Настоящият анализ е базиран изцяло на трайната практика на КЗЛД, свързана с обработването на лични данни на субекти на данни за здравни цели, както и на съдебната практика по жалби с такъв предмет и на указанията на Европейския комитет по защита на данни в тази насока. Становището на КЗЛД има консултативен характер за администратора на лични данни при прилагане на относимите правни норми. Това становище има единствено разяснителен характер по приложението на коментираните в него норми, без да поражда права и/или задължения за заинтересованите страни. Съгласно Регламент (ЕС) 2016/679 – Общ регламент относно защитата на данните, администраторът на лични данни сам или съвместно с друг администратор определя правилата и процедурите за обработване на данни, които трябва да са съответстват на закона и регламента. За предприетите от администратора или съвместните администратори действия по обработване на данните се прилагат както правилата на отчетност, прозрачност, добросъвестност, така и нормите отнасящи се до носене на административнонаказателна отговорност по отношение на законосъобразността на осъществяваните от него/тях обработвания.
Във връзка с горепосоченото и на основание чл. 58, § 3, б. „б“ от Регламент (ЕС) 2016/679, Комисията за защита на личните данни изразява следното
СТАНОВИЩЕ:
1. Няма правно основание за изискването на информация от служителите, които работят от вкъщи, относно тяхното здравословно състояние и това на членовете на семейството им. Работодателят може да въведе пропускателен режим на територията на предприятието, само когато конкретната трудова дейност налага това. Всички останали мерки свързани с издирването на контактните лица на заразения са в правомощията на здравните власти.
2. Работодателят може да предостави информация на колектива за наличието на заразен служител, без да предоставя данни за неговото идентифициране, и когато такъв е установен по безспорен начин на основание чл. 4, ал. 1 от ЗЗБУТ. Здравните власти следва да извършат действията по откриването на контактните лица и съответното им изследване.
| ПРЕДСЕДАТЕЛ: | ЧЛЕНОВЕ: | |
| Венцислав Караджов /п/ |
Цанко Цолов /п/ | |
| Мария Матева /п/ | ||
| Веселин Целков /п/ |
