Nasz Urząd Ochrony Danych Osobowych w stanowisku z 5 maja 2020 r. stwierdził, że pracodawca może mierzyć temperaturę zatrudnionych, jeżeli inspektor sanitarny wyda odpowiednią decyzję. Czy powszechne mierzenie temperatury w drzwiach szkół albo stosowanie w urzędach automatycznych bramek bez zgody sanepidu jest dopuszczalne? Urząd poszedł tak daleko w swojej opinii, że podał w wątpliwość nawet zgodę pracownika na pomiar temperatury, bo stosunek podległości pracodawca – pracownik wyklucza taką dobrowolność. Natomiast inspekcja sanitarna zastosowała unik w sprawie pomiaru i odsyła pracodawców do Państwowej Inspekcji Pracy.
W takim galimatiasie prawnym pracodawcy są mocno skonfundowani, a mają obowiązek chronić zdrowie i życie pracowników. Tymczasem grozi się im karami za brak odpowiednich procedur antywirusowych i staranności w ich przestrzeganiu. Poważne opinie prawne ekspertów straszą, że wójt czy dyrektor szkoły może odpowiadać administracyjnie (kary nakładane przez sanepid), cywilnie (odszkodowania), a nawet karnie (grzywna, odsiadka) za niezapewnienie, nieprzestrzeganie czy uchylanie się od zaleceń epidemiologiczno-sanitarnych.
Czy przy mierzeniu temperatury w walce z wirusem pierwszeństwo mają przepisy prawa pracy, dotyczące bhp czy regulujące ochronę danych osobowych?! To poważny dylemat, bo w jego rozstrzygnięcie zaangażował się nawet Europejski Inspektor Ochrony Danych (EIOD). Mamy więc wytyczne, jak ma wyglądać monitorowanie temperatury ciała w związku z koronawirusem, ale dotyczą wyłącznie pracowników instytucji UE. Można się spodziewać, że państwa członkowskie ochoczo z nich skorzystają, bo kłopot z pogodzeniem prawa pracy z ochroną prywatności i przepisami sanitarnymi mają wszyscy.
Gdyby nasi pracodawcy zechcieli wdrożyć u siebie reżimy obowiązujące w brukselskich gmachach, to najpierw powinni uwzględnić, że temperatura ciała pracownika czy ucznia jest „szczególną daną osobową”. Jako taka może być przetwarzana wyłącznie, jeśli ustawa na to pozwala. Może to być powołanie się na obowiązek pracodawcy dotyczący ochrony zdrowia i życia pracowników. Podstawą prawną w prawie europejskim jest art. 10 ust. 2 lit. b RODO, zaś w prawie polskim mogą być art. 207 i 211 kodeksu pracy. Swoje trzy grosze do mierzenia temperatury wtrąciła także Europejska Rada Ochrony Danych, a jej zdanie jest ważniejsze, bo wpływa m.in. poprzez wiążące decyzje na jednolite stosowanie RODO w krajach członkowskich. To gremium z kolei zgadza się, że w wojnie z pandemią możemy mierzyć temperaturę z powołaniem się na interes związany z ochroną zdrowia publicznego oraz przestrzeganiem zasad bhp (art. 9 ust. 2 lit. c oraz litera i RODO).
Jeśli zechcielibyśmy skorzystać z europejskich podpowiedzi co do mierzenia temperatury, to trzeba zwrócić uwagę na kilka istotnych kwestii. Gdy mierzymy temperaturę ręcznie w wejściu np. do urzędu czy szkoły i wyników nie zapisujemy, wówczas nie ma identyfikacji osoby, więc nie ma przetwarzania danych wrażliwych. Przetwarzanie nastąpi, jeżeli zastosujemy weryfikację tożsamości osób, rejestrowanie i dokumentowanie danych z pomiarów czy też jeśli pomiar jest wykonywany za pomocą kamer, skanerów, bramek czy innych urządzeń automatycznych.
Automatyczne bramki do mierzenia temperatury ułatwiają procedurę pomiaru, ale w prawie europejskim nie ma przepisu pozwalającego, aby odczyt z automatu zakazywał wejścia do budynku. Koniecznie musimy tu zapewnić „interwencję czynnika ludzkiego”. Petent nie wejdzie do ratusza po przejściu przez automatyczną kontrolę temperatury, ale taką decyzję musi ostatecznie podjąć i odpowiednio udokumentować człowiek, a nie automat.
Jeśli już zmierzyliśmy temperaturę to inspektor unijny zaleca, aby przy przetwarzaniu tej szczególnej kategorii danych stosować i regularnie testować technologie mierzenia i te zapewniające prywatność, stosować dodatkowe zabezpieczenia, izolować system służący pomiarowi temperatury od innych systemów IT. Co istotne, urządzenia do zautomatyzowanego pomiaru powinny być odpowiednio oznaczone, informacja o wyniku pomiaru możliwa do odczytania przez pracownika czy petenta, a on sam ma prawo do informacji w jakim celu mierzy się temperaturę, jak jego dane będą przetwarzane i przez jakiego administratora. Konieczna jest także odpowiednia procedura postępowania w przypadku stwierdzenia podwyższonej temperatury. Tu europejski inspektor zaleca, aby dokonywać trzykrotnego pomiaru. Drugi pomiar ma nam dać wiarygodną informację, że urządzenie pomiarowe jest sprawne, natomiast trzeci to już wyższa szkoła jazdy, bo musi być wykonany za pomocą innego urządzenia niż dotychczasowe oraz (sic!) przez pracownika służby zdrowia. Dopiero ten trzeci może być podstawą zakazu wejścia do budynku, a taka osoba powinna otrzymać informację, jak dalej postępować, np. gdzie udać się na badanie lekarskie. Na dodatek całe zdarzenie z zakazem wejścia – na życzenie pracownika – musi być zaprotokołowane z podaniem daty, godziny i miejsca pomiaru temperatury.
Zwykły zabieg mierzenia temperatury ma, jak widać, dość wysokie wymagania. Pracodawca powinien ustawić przy wejściu osobę kompetentną do mierzenia temperatury i podejmowania odpowiednich decyzji, napisać odpowiednie instrukcje i informacje dla pracowników i petentów, a do trzeciego pomiaru temperatury zatrudnić pracownika służby zdrowia. I jeszcze wszystko dokładnie rejestrować, separować sieci informatyczne, chronić prywatność, zainwestować w IT i inne urządzenia, a nawet zweryfikować, czy czasem do zebranych danych o ciepłocie ciała nie ma dostępu producent wykorzystywanych urządzeń.
Nie mam wątpliwości, że unijny budżet udźwignie nawet tak wymagający system mierzenia temperatury. Jednak nie każdego będzie nas stać na taki sposób weryfikacji – czy pracownik, petent, uczeń lub gość może wejść do budynku. Cóż, mierzenie temperatury po europejsku to kosztowne wyzwanie organizacyjne, kadrowe i finansowe, jednak raczej dla bogatych.
