Indrė Tamošiūnaitė. Kaip nepažeisti darbuotojų asmens duomenų tvarkymo koronaviruso protrūkio metu

Toks darbuotojų stebėjimas neišvengiamai susijęs su jų asmens duomenų tvarkymu, todėl nieko nuostabaus, jog vis daugiau Europos duomenų apsaugos priežiūros institucijų skelbia gaires dėl asmens sveikatos duomenų rinkimo, dalijimosi ir naudojimo ribų tokiomis išskirtinėmis aplinkybėmis. Ypatingas dėmesys teikiamas priemonių, kurių darbdaviai gali teisėtai, t. y. nepažeidžiant duomenų apsaugą reglamentuojančių teisės aktų, imtis, siekdami stebėti, suprasti ir užkirsti kelią viruso plitimui darbo aplinkoje.

Ar su COVID-19 susijęs darbuotojų asmens duomenų tvarkymas yra suderinamas su Bendruoju duomenų apsaugos reglamentu (BDAR)?

BDAR preambulės 46 punktas numato, jog asmens duomenų tvarkymas turėtų būti laikomas teisėtu, kai jis būtinas norint apsaugoti gyvybinį duomenų subjekto ar kito fizinio asmens interesą. Kai kurių rūšių duomenų tvarkymas gali būti reikalingas tiek dėl svarbių viešojo intereso priežasčių, tiek dėl duomenų subjekto gyvybinių interesų, pavyzdžiui, kai duomenis būtina tvarkyti humanitariniais tikslais, be kita ko, siekiant stebėti epidemiją ir jos paplitimą arba susidarius ekstremaliajai humanitarinei situacijai.

Nukrypti nuo draudimo tvarkyti neskelbtinų kategorijų asmens duomenis turėtų būti leidžiama ir tais atvejais, kai tai numatoma Sąjungos ar valstybėje narėje teisėje ir laikantis tinkamų apsaugos priemonių, kad būtų apsaugoti asmens duomenys ir kitos pagrindinės teisės, kai tai pateisinama viešuoju interesu, visų pirma tvarkant asmens duomenis sveikatos saugumo, stebėsenos ir įspėjimo tikslais, užtikrinant užkrečiamųjų ligų ir kitų rimtų grėsmių sveikatai prevenciją ar kontrolę (BDAR 52 punktas).

Panašias nuostatas įtvirtina ir BDAR 6 (bendrieji asmens duomenų tvarkymo teisėtumo reikalavimai) bei 9 (specialiųjų kategorijų asmens duomenų tvarkymo reikalavimai) straipsniai, leidžiantys preziumuoti, jog tvarkyti duomenis pandemijos metu yra teisėta, jei siekiama apsaugoti gyvybinius duomenų subjekto ar kito fizinio asmens interesus. Taigi, tam tikrų asmens duomenų tvarkymas, susijęs su esama padėtimi dėl koronaviruso, yra suderinamas su BDAR.

Tokios pozicijos laikosi ir Valstybinė duomenų apsaugos inspekcija pranešusi, jog darbdavys turi teisę teirautis savo darbuotojų ar lankytojų apie tai, ar jiems yra pasireiškę COVID-19 simptomai, ar yra nustatyta COVID-19 diagnozė. Tokia informacija yra svarbi darbdaviui vertinant, ar reikalinga imtis papildomų apsaugos priemonių – įpareigoti kartu dirbusius ar su sergančiu (turinčiu simptomus) asmeniu kontaktavusius darbuotojus laikytis karantino, sudaryti sąlygas nuotoliniam darbui ar sveikatos tikrinimui ir pan.
Kam galima atskleisti darbuotojų asmens duomenis, susijusius su COVID-19?

BDAR nedaro jokių išimčių asmens duomenų tvarkymui esant epidemijai ar pandeminei situacijai. Taigi, bet koks asmens duomenų tvarkymas net ir tokių išimtinių situacijų metu privalo atitikti BDAR nuostatas, t. y. darbdavių tvarkomi duomenys gali būti teikiami tretiesiems asmenims tik laikantis BDAR reikalavimų.

Visų pirma, kyla klausimas, ar darbdaviai gali perduoti kitiems darbuotojams informaciją apie konkretų COVID-19 simptomus ar diagnozę turintį kolegą. Kaip minėta, BDAR leidžia tvarkyti asmens duomenis, siekiant apsaugoti gyvybinius duomenų subjektų interesus. Dar daugiau, darbdavys privalo užtikrinti savo darbuotojų sveikatą ir saugą, taigi turi teisę nuolat informuoti personalą apie COVID-19 atvejus organizacijoje. Vis dėlto, tai nereiškia, jog visais atvejais įmonės turi teisę informaciją skleisti nevaržomai, t. y. pateikiant daugiau informacijos, nei būtina (pavyzdžiui, ne visada gali būti reikalinga konkrečiai įvardinti darbuotoją, taip pat neturi būti platinama informacija apie darbuotojo artimuosius ar draugus, galėjusius taip pat užsikrėsti virusu).

Panašios taisyklės galioja ir duomenų perdavimui valstybės ir (ar) savivaldybių institucijoms. Tokie prašymai pateikti darbuotojų asmens duomenis turi būti vertinami kiekvienu konkrečiu atveju atskirai, pavyzdžiui, tais atvejais, kai prašoma pateikti statistiką, darbdavys neturėtų teikti konkretų duomenų subjektą identifikuojančių duomenų.

Informacijos tvarkymo ribojimas arba kaip neužsitraukti baudos

Kaip minėta, teisė rinkti darbuotojų informaciją, susijusią su COVID-19, nereiškia, kad darbdaviai gali gautą informaciją tvarkyti neapibrėžta apimtimi, aiškiai nenustatytais tikslais, dokumentuoti ar sudaryti atitinkamas duomenų rinkmenas neturint tam pagrindo.

Įvairios ES duomenų apsaugos priežiūros institucijos pabrėžia, kad duomenų apsaugos įstatymai jokiu būdu nėra kliūtis visuomenės sveikatai užtikrinti, tačiau darbdaviai visais atvejais turi užtikrinti, kad būtų laikomasi bendrųjų duomenų apsaugos principų. Duomenų minimizavimas ir tikslo ribojimo principas yra ypač svarbūs šiame kontekste. Taigi, organizacijos turėtų vengti „sistemingo ir bendro pobūdžio“ stebėjimo ir duomenų, susijusių su darbuotojų sveikata, rinkimo ne pagal oficialias visuomenės sveikatos institucijų rekomendacijas ir (ar) nurodymus. Pavyzdžiui, reikėtų susilaikyti nuo darbuotojų temperatūros rodmenų, medicininių pažymų, darbuotojo ligos istorijos ar kitokių medicininių dokumentų rinkimo.

Valstybinės duomenų apsaugos inspekcijos nuomone, siekiant užtikrinti, kad asmens duomenų tvarkymas nepažeistų BDAR įtvirtinto duomenų kiekio mažinimo principo, būtų galima tvarkyti vidinius asmens duomenų rinkinius apie darbuotojus, įtraukiant tokią informaciją:

1) Ar asmuo buvo išvykęs į „rizikos valstybę“;

2) Ar asmuo kontaktavo su asmeniu, išvykusiu į „rizikos valstybę“, ar sergančiu COVID-19;

3) Ar asmuo yra namuose dėl karantino (nenurodant priežasties) ir karantino laikotarpis;

4) Ar asmuo serga (nenurodant konkrečios ligos ar kitokios priežasties).

Galiausiai, atkreiptinas dėmesys ir į tai, jog darbdaviams, tvarkantiems su koronavirusu susijusius asmens duomenis visais atvejais reikia vengti darbuotojų sutikimų dėl tokio asmens duomenų tvarkymo rinkimo. Darbo santykių kontekste sutikimas dažnai laikomas negaliojančiu dėl valdžios pusiausvyros pasiskirstymo (darbuotojas gali jaustis priverstas pateikti informaciją). Be to, sutikimas pagal BDAR bet kuriuo metu gali būti atšaukiamas, o tai gali pakenkti COVID-19 stebėsenos organizacijoje procesui.