Czy firmy mogą zbierać informacje na temat szczepień przeciwko COVID-19.

Monika Niedźwiedzka: MN: Cóż, to jest dobre pytanie. Na pierwszą część pytania należałoby odpowiedzieć, że nie może nakłonić. Nie ma obecnie takiej podstawy prawnej. Nie ma przepisów, które by pracodawcy na to pozwalały w taki sposób, aby przeprowadzić to bez żadnego ryzyka, narażenia się na przykład na jakieś zarzuty dotyczące działań dyskryminacyjnych.
Szczepienia przeciwko COVID nie są też obowiązkowymi szczepieniami, także brak jest takich przepisów, które by pracodawcy pozwalały na nakazanie pracownikowi “pójdź się zaszczep, bo musisz”. Nawet jeśli chodzi o służby medyczne to również takiego obowiązku nie ma.

JK: Ale mogę sobie wyobrazić, że pracodawca przeprowadzi kampanię informacyjną i część pracowników przekona się, będzie chciała się zaszczepić właśnie korzystając z pomocy pracodawcy.

MN: Oczywiście! I to jest bardzo potrzebne, i to są fajne akcje, i pracodawcy przeprowadzają takie akcje informacyjne, zachęcające do tego, że dzięki temu że będziemy zaszczepieni, nasza praca będzie bezpieczniejsza. Też trzeba pamiętać, że pracodawca jest odpowiedzialny za to, żeby zapewnić pracę w bezpiecznych i higienicznych warunkach,
co teraz w sytuacji jaką mamy, czyli epidemii, choroby zakaźnej jest naprawdę bardzo trudne. I jak najbardziej takie akcje są potrzebne, i myślę że one działają, bo coraz więcej osób się szczepi, pomimo tego, że na początku ludzie byli nieprzekonani do tego, bo to było coś nowego, te szczepionki na Koronawirusa, jednak widzimy że jest tych pracowników zaszczepionych coraz więcej. 

JK: I tutaj wchodzimy troszeczkę na pole minowe. Bo żeby zgłosić się do szczepienia trzeba podać swoje dane. To nie jest tak, że JP Weber wysyła autobus swoich pracowników, i wszyscy anonimowo stają w punkcie szczepień, bo są od Webera.

MN: Nie będzie to w ten sposób przeprowadzone, ale jednak trzeba tu rozróżnić dwie sytuacje. Jedna, to zbieramy informacje przed szczepieniem, dotyczące deklaracji, chęci osób, ilości osób, ile chcemy zaszczepić. I tutaj w zasadzie te wytyczne rządowe mówią tylko o tym, że musimy podać ilość osób, minimalnie 300. Czyli w zasadzie moglibyśmy przeprowadzić anonimową ankietę wśród pracowników, co prawda trudne jest zachowanie pełnej anonimowości w zakładach pracy. I zapytać się ile osób chce się zaszczepić, i ilu członków rodziny deklaruje. Na tym etapie w zasadzie tych danych nie potrzebujemy, chociaż oczywiście moglibyśmy je zebrać, i to nie są też żadne straszne dane. To nie są dane dotyczące zdrowia. To nie są dane szczególnie wrażliwe, bo to że ktoś zgłasza chęć szczepienia, to nie jest dana mówiąca nam o jego stanie zdrowia. “Ja, Jan Kowalski chcę się zaszczepić” nic nam nie mówi o jego stanie zdrowia. Nie jest to żadna szczególnie chroniona dana. Dopiero dana o tym, że ktoś się zaszczepił na COVID, lub że zachorował na COVID, to już jak najbardziej może być daną na temat stanu zdrowia. Chociaż fakt zaszczepienia się, miałabym wątpliwości, czy to jest dana mówiąca nam o stanie zdrowia, ale należy tutaj być ostrożnym, bo w Polsce jest takie podejście dosyć konserwatywne do tego, i nawet dane czy ktoś jest trzeźwy, czy nietrzeźwy są uważane przez urząd danych osobowych za dane o stanie zdrowia, więc tym bardziej zdaje się, że dane o szczepieniach mogą być za takie dane uznane.

JK: Proszę wyjaśnić różnicę. To czy człowiek jest zaczepiony czy nie, nie jest informacją o stanie zdrowia, chociaż może mówić o tym, czy jest wrażliwy, podatny na choroby, czy nie. Natomiast informacja o tym, że jest zaszczepiony, a więc o tym że nie jest podatny na choroby, już jest lub może być informacją o stanie zdrowia. Na czym polega różnica?

MN: Zbieramy dane o tym, czy ktoś chce zostać zaszczepiony, więc to jest dana osobowa dotycząca jego chęci zaszczepienia, więc trudno tutaj mówić o stanie zdrowia. Natomiast kiedy on już się zaszczepił, to ja również osobiście mam wątpliwość, czy może ty być dana osobowa dotycząca stanu zdrowia. Też nie jestem lekarzem, i niestety do dziś brak jest komunikatu ze strony urzędu ochrony danych osobowych, na temat: jak te dane są traktowane. Czy są to dane o stanie zdrowia, czy nie są to dane o stanie zdrowia. Ale patrząc na poprzednie interpretacje i na podejście nasze, polskie do danych dotyczących stanu zdrowia, mam wrażenie, i należy się tego spodziewać, że ta kategoria danych zostanie do takich danych zaliczona. Ona już będzie stanowiła, że ktoś korzystał w jakiś sposób ze świadczeń opieki zdrowotnej, co na jego stan zdrowia w jakiś sposób wpływa.
To może być rozmowa o wyższej filozofii, czy to na pewno dotyczy stanu zdrowia, czy nie dotyczy stanu zdrowia. Musimy poczekać na interpretację UODO w tym zakresie.

JK: Jak wygląda procedura zbierania danych? W porządku, pracodawca uzyskał informacje o tym, że trzystu pracowników i członków ich rodzin chce się zaszczepić. Dalej musi zbierać dane, żeby zorganizować proces szczepienia. Jak to wygląda, czy pracownik przekazuje swoje dane osobowe, imię, nazwisko, pesel, adres, pewnie jeszcze jakieś dane na temat swojego stanu zdrowia, i stanu zdrowia swoich bliskich pracodawcy? 

MN: Tak. W praktyce wygląda to tak, że pracodawca podpisuje umowę z jakimś podmiotem leczniczym. Może to być prywatny podmiot leczniczy, zazwyczaj takie są. I ten podmiot leczniczy wymaga od pracodawcy, aby ten mu podał dane tych pacjentów. To są pacjenci danego podmiotu leczniczego. I nie ma potrzeby zbierania innych informacji niż imię, nazwisko i pesel osób, które chcą się zaszczepić. Tyle wystarczy. I następnie te dane są przekazywane temu podmiotowi leczniczemu. Tutaj w mojej ocenie podmiot leczniczy realizuje własne cele, zbiera on dane swoich pacjentów, za pośrednictwem tego pracodawcy. Na potrzeby samego szczepienia, pracodawca nie jest administratorem tych danych. I to nie on decyduje o sposobach i formach przetwarzania tych danych. To nie on podejmuje decyzje, a podmiot leczniczy. I to ten podmiot leczniczy tak jakby nakazuje i wydaje polecenia pracodawcy co do tych danych. Odrębną kwestią jest to, że pracodawca może realizować swoje własne cele, na przykład poprawić bezpieczeństwo pracy. Może uznać, że te dane dotyczące szczepień pomogą mu zorganizować przykładowo zmiany pracownicze, wyjść z pracy hybrydowej, albo powrócić z pracy zdalnej na pracę hybrydową. 

Ale to jest trochę balansowanie na linie nad przepaścią, ponieważ nie ma na ten moment konkretnych przepisów, które by pracodawcy na takie działanie wprost pozwalały. Są to przepisy ogólne, o dużym stopniu ogólności dotyczące tego, że na przykład pracodawca ma obowiązek zapewnienie bezpiecznych i higienicznych warunków pracy, i z tego dopiero interpretuje się te obowiązki w zakresie COVID, natomiast tak jak mówię, w mojej ocenie brakuje takich jasnych komunikatów, i jasnych wytycznych dla pracodawców, co mają po prostu robić. Tak po ludzku. Widzimy wśród klientów, że naprawdę są pogubieni, bo z jednej strony muszą chronić dane osobowe, chronić prywatność pracowników, nie ingerować w ich prywatność. Ale z drugiej strony chcą prowadzić działalność, chcą żeby firmy funkcjonowały i chcą zapewnić, muszą zapewnić te bezpieczne i higieniczne warunki pracy, więc jest tutaj taki problem interpretacyjny. Ale też należy pamiętać, że prawo do prywatności, i prawo do ochrony danych osobowych, ono nie jest ważniejsze niż inne prawa ludzkie czy pracownicze. Ono jest tak samo ważne, jak prawo do pracy w bezpiecznych warunkach, i wydaje mi się, że w momencie kiedy mamy stan epidemii należy jednak spojrzeć zdroworozsądkowo na to prawo do prywatności i gdzieś tam zbalansować te prawa. Jednak uznać, że szczepienia są pewnym środkiem ochronnym, i w takiej sytuacji szczególnej, epidemicznej pracodawca powinien mieć podstawę do przetwarzania takich danych.

JK: Czyli w praktyce, co Pani takiemu klientowi radzi, jeżeli on tylko przekazuje informacje do zakładu opieki zdrowotnej, sytuacja jest prosta.

MN: Tak! Sytuacja jest bardzo prosta. On działa jako podmiot przetwarzający w mojej ocenie, powinien zawrzeć umowę powierzenia, przetwarzania danych osobowych, przy czym samo zawarcie, inicjatywa zawarcia powinna wyjść od administratora, i wychodzi od administratora czyli podmiotu leczniczego.  No i wówczas po zakończeniu współpracy z tym podmiotem leczniczym te dane powinny zostać usunięte, pracodawca żadnego swojego celu nie realizuje. Inna sytuacja jest kiedy on te dane chce wykorzystać. Tutaj ta sytuacja pracodawcy się komplikuje. Niestety jest tak, że nie ma tych wytycznych, i kontaktowaliśmy się z inspekcją pracy, z UODO i z GISem, i urzędy niechętnie o tym mówią. Nie mają jednoznacznego stanowiska. Cóż, jeśli u źródła brak jest takiego jednoznacznego stwierdzenia, że możemy robić tak, tak, i tak, no to pytanie co mają zrobić przedsiębiorcy. 

JK: No właśnie. 

MN: No właśnie! Życie nie znosi próżni, więc oni jednak w jakiś sposób będą chcieli podejmować działania. Gdzie jest granica bezpieczeństwa w takim razie? Na pewno te działania nie powinny mieć charakteru dyskryminującego. Na pewno należy te dane chronić w szczególny sposób, po to, żeby nie narażać się niepotrzebnie na jakieś nieprzyjemności związane z wyciekami danych. W żadnym wypadku nie zalecałabym wysyłania pliku z listą osób zaszczepionych mailem, w pliku nie zaszyfrowanym,  nie zabezpieczonym. Bo tutaj często można popełnić taki ludzki błąd. Wysłać przez pomyłkę do złego adresata, bo w funkcji autouzupełniania w Outlooku, wrzuci nam się inna osoba niż byśmy chcieli. I z tego może być poważny problem. Także te dane należy chronić. Należy odpowiednio określić cel przetwarzania, czyli po co po prostu chcemy to zrobić. Zastanowić się czy one nam są do czegoś potrzebne. Warto skontaktować się ze swoją służbą BHP. Być może ekspert pomoże w ocenie ryzyka zawodowego, czy też w ogóle w ocenie ryzyka działalności w okresie epidemii i wskaże że, na przykład, dzięki temu że będą osoby zaszczepione, będziemy o tym wiedzieli, więcej osób może przebywać w stołówce, więcej osób może przebywać na raz w open-space’sie. Osoby które pracują na linii produkcyjnej mogą stać od siebie metr, a nie półtora metra. To już bardzo pomaga.  Należy określić te cele, i również należy wiedzieć, że te dane nie mogą być przetwarzane w nieskończoność, i nie mogą być wykorzystywane niezgodnie z tymi celami, więc wyobrażam sobię, że razem z końcem epidemii te dane powinny zostać usunięte.

JK: Użyła Pani bardzo ważnego sformułowania, iż pracodawca nie może dyskryminować nikogo. Co to znaczy unikanie dyskryminacji w sytuacji szczepienia, w sytuacji pandemii, w której część pracowników jest zaszczepiona. Nie istotne jest tutaj jaki procent, ale część jest zaszczepiona, więc ktoś tutaj zaszczepiony nie jest.  

MN: Wydaje się, że te działania, które pracodawca podejmuje powinny mieć taki charakter sprawiedliwy, nikt nie powinien poczuć się pokrzywdzony. Oczywiście to poczucie krzywdy
i poczucie dyskryminacji często jest subiektywne. Jeśli ktoś nie chce się zaszczepić, i mówi o tym głośno, pracodawca powinien przede wszystkim o tym, że wszelkie prawa i obowiązki związane z przepisami prawa pracy, dotyczące równego prawa w wynagrodzeniu, w dostępie do szkoleń, we wszelkich innych obszarach związanych ze funkcjonowaniem firmy i ze stosunkiem służbowym one w dalszym ciągu obowiązują, również w trakcie epidemii. Oznacza to, że oczywiście możemy zaplanować właśnie zmiany pracy właśnie w taki sposób, aby osoby zaszczepione były razem, i osoby niezaszczepione były razem, ale też wydaje się, że należy robić to w sposób taki delikatny. Te działania po prostu nie powinny być takie opresyjne. Ja mam szczerze mówiąc osobiście wątpliwości dotyczące tego, czy pracodawcy mogą na przykład premiować pracowników którzy się zaszczepili. Wydaje mi się, że może to mieć charakter dyskryminacyjny, i też pytanie w jaki sposób podejdą do tego sądy pracy oczywiście, bo jednak w Polsce duża część takich zwyczajów związanych z prawem pracy oparta jest na orzecznictwie, natomiast w mojej ocenie może to mieć charakter dyskryminujący. Natomiast samo udzielenie na przykład dnia wolnego na szczepienie zdaje się zasadne, w celu zapewnienia bezpiecznych, higienicznych warunków pracy. Po prostu chcę zapewnić bezpieczne warunki pracy, chcę żeby pracownicy się zaszczepili, więc umożliwiam im to w dniu wolnym, zwalniam ich z zaświadczenia pracy za wynagrodzeniem.

JK: Ale jako pracodawca nie mogę podzielić pracowników na tych, którzy się zaszczepili albo nie. Bo ja rozumiem, że chęć udziału w szczepieniach nie jest powszechnie znana. Fakt wzięcia udziału w szczepieniu jest moją sprawą. Informację ma pracodawca, ale nie koniecznie ma prawo informować innych. 

MN: Tak, i tu właśnie należy podchodzić do tego z dużą ostrożnością. Nie trzeba o tym informować wprost. Przykładowo mamy wielu klientów, którzy mają firmy produkcyjne.
Na hali produkcyjnej, osoby o których pracodawca wie że są zaszczepione, bez informowania ich, że wiadomo że są zaszczepieni, mogą stać bliżej siebie. A wy jesteście niezaszczepieni, więc musicie stać dalej. Żeby to nie miało takiego stygmatyzującego charakteru można po prostu zorganizować pracę w inny sposób, nie informując wszystkich wokół, że to jest właśnie w wyniku szczepień. 

JK: Czy można się spodziewać w pewnym momencie bardziej jasnych wytycznych? Jaka jest praktyka? Bo żyjemy w pandemii już ponad rok. Wytyczne, przepisy, regulacje zmieniały się, czasami w sposób niezwykle zaskakujący i gwałtowny, w szczególności dla pracodawców rozmaitych branż. I teraz pojawia się kolejne pytanie. Patrząc na te półtora roku, czy to są pytania na które spodziewa się Pani odpowiedzieć, czy to jest taka kolejna warstwa szarej strefy, z którą pracodawcy po prostu muszą się zmierzyć sami i z Państwa pomocą? 

MN: Póki co muszą się z tym mierzyć, i widzę, że naprawdę balansują pomiędzy tą ochroną danych, a przepisami BHP, natomiast ja się spodziewam jakichś wytycznych, kiedy już rozpoczną się te szczepienia w zakładach pracy taką pełną parą. Wydaje mi się, że GIS, albo Państwowa Inspekcja Pracy powinny wydać takie wytyczne, po przy kontaktach z UODO, UODO mówi, że spodziewa się tych wytycznych w zakresie bezpieczeństwa pracy od GISu, czy od Państwowej Inspekcji Pracy.  Więc ja żyję nadzieją, że kiedyś takie wytyczne ujrzymy. Czy tak się stanie? Trudno powiedzieć, pytanie czy dla niektórych pracodawców nie będzie za późno, bo oni już sobie coś tam po swojemu wdrożyli. Być może czasem nieprawidłowo, ale też trzeba wiedzieć, że sytuacja jest nadzwyczajna. Po prostu ludzie chcą uratować swoje firmy, uratować swoje biznesy, i wracać do pracy. Więc wydaje się też, że te szczepienia są jakąś taką deską ratunku i jakieś zbieranie zgód na przetwarzanie danych osobowych, czy jakieś takie rzeczy, nie powinny być przeszkodą.

JK: Czy są jeszcze jakieś dodatkowe obszary takiej szarej strefy RODO, które pojawiły się przy okazji początku pandemii, i które nadal są szare? Nie koniecznie związane z samymi szczepieniami, ale gdzie jeszcze są te miny zakopane? 

MN: Tutaj wydaje mi się, że już nie ma takich szarych stref, czy takich białych plam, w trakcie trwania tego stanu epidemii, GIS wydawał wytyczne co jakiś czas, dotyczące na przykład tego czy możemy pytać pracownika gdzie jedzie na urlop, czy gdzie był na urlopie, albo zabronić mu wyjazdu na urlop do kraju, gdzie jest jakieś szczególne zagrożenie COVIDem i tym podobne odpowiedzi na pytania. One się pojawiały. Co robić z tym mierzeniem temperatury? Więc to na stronach GISu, i nawet był jakiś komunikat UODO w tej sprawie, można znaleźć. Ale te szczepienia właśnie pozostały taką białą plamą na tej mapie COVID w zakładach pracy. Naprawdę szkoda, że nie ma takiego jasnego komunikatu, bo wydaje się, że przedsiębiorcom bardzo by to pomogło, po prostu wiedzieć czy mogą to robić, czy nie mogą tego robić.

JK: Czy jest jeszcze taki obszar, o którym bardzo chciałaby Pani powiedzieć?

MN: Jest taka problematyczna kwestia, bo na stronie rządowej wytycznych, jako obowiązek pracodawcy wymieniono zebranie zgód na przetwarzanie danych osobowych, oświadczeń o zgodzie, co jest nieprawidłowe. Zgoda nie jest odpowiednią podstawą do przetwarzania tych danych. Dlatego, że można sobię łatwo wyobrazić, że ktoś wyraził zgodę na przetwarzanie danych o tych szczepieniach, no i później ją wycofa, bo zgoda jest wycofywalna. Takie oświadczenie woli można w każdej chwili wycofać, i wtedy administrator traci podstawę do dalszego przetwarzania. Nie powinien już przetwarzać tych danych. I tutaj ktoś prawdopodobnie się rozpędził, i użył tej zgody, bo często kiedy mówimy o ochronie danych osobowych, myślimy “zgoda na przetwarzanie danych”. A zgoda to nie jest jedyna podstawa do przetwarzania danych. Nie jest nawet najlepszą podstawą. A już w stosunkach służbowych powinno się jej unikać jak ognia, z uwagi na to, że nie ma równowagi stron. Zgoda powinna być dobrowolna. I kiedy pracownik wyraża zgodę na przetwarzanie danych pracodawcy, to często musi ją wyrazić. Wówczas traci ona swoją cechę dobrowolności i jest po prostu nieważna. W związku z tym pracodawca musi mieć inną podstawę, i najsilniejszą podstawą byłoby wypełnienie obowiązków wynikających z przepisów prawa, to jest, zapewnienie bezpiecznych i higienicznych warunków pracy, jak to zostało nałożone przepisami kodeksu pracy na pracodawców, ale tak jak mówię, ten przepis jest dosyć ogólny niestety, i brak przepisów szczególnych w zakresie szczepień na COVID do dziś. Także tutaj kwestia interpretacji, jak to będzie interpretowane przez urzędy i sądy. Natomiast większość ekspertów z tego co widzę stoi również na stanowisku, że pracodawcy mogą jednak przetwarzać te dane dla celów BHP. 

JK: Czyli pracodawcy jednak starają się w jakiś sposób namówić swoich do tego żeby się szczepić, po to, żeby powrócić na tyle na ile się da do systemu pracy jak najefektywniejszego. Może nie koniecznie sprzed pandemii, ale jak najefektywniejszego.
Również zapewne wielu pracowników chętnie z tego skorzysta, żeby móc chociażby realizować swoje zadania tak jak my jesteśmy w tej chwili, czyli po prostu ze sobą rozmawiać w jednym pomieszczeniu, a nie koniecznie za pośrednictwem komunikatorów.
Bardzo Pani dziękuję.

MN: Dziękuję również.