A koronavírus-járvány adatkezelési szempontból

Megosztás Tetszik

Hónapokkal korábban már jelentkezett elsősorban nemzetközi hátterű munkáltatóknál az az igény, hogy a munkavállalókat, látogatókat, beszállítókat, ügyfeleket kérdőívekkel keresték meg, melyben arról érdeklődne az adott vállalkozás, hogy az érintett potenciális veszélyforrásnak tekinthető-e. A kérdések arra irányulnak, hogy az érintett személy járt-e, illetve jár-e fertőzéssel érintett területen, illetve érintkezett-e ilyen személlyel. Tekintettel ennek adatvédelmi szempontjaira, a kérdésben a tagállami adatvédelmi hatóságok és a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) is állást foglaltak.

Az Európai Unió tagállamaiban jellemzően tilos a kérdőívezés

A francia adatvédelmi hatóságot követően egyre több hatóság ad ki állásfoglalást a kérdőíves felmérés megengedhetőségéről. A hatóságok jellemzően arra hivatkoznak, hogy a kérdőíves felmérés nem alkalmas a kitűzött cél elérésére. Egyrészt a munkavállaló, illetve más személyek (beszállítók, ügyfelek) egészségi állapottának vizsgálatára a vállalkozásoknak nincsen kompetenciája, mivel az orvosszakmai kérdés. Másrészt arra is utalnak, hogy az állítások nem is ellenőrizhetőek. Sok esetben ugyanis az érintetteknek nem áll érdekében a valósághű adatok közlése vagy a betegségről az érintett nem is rendelkezik információval. A betegség, melyet közvetett módon is meg lehet kapni, ráadásul 14 napig lappanghat. Az is aggályos, hogy a vállalkozások rendelkeznek-e megfelelő jogalappal az egészségügyi adatok kezelésére. Tekintettel pedig arra, hogy személyes adat csak abban az esetben kezelhető, amennyiben annak a GDPR 6. cikkében nevesített jogalapja van, illetve, amennyiben az 5. cikkben nevesített adatkezelési elvek érvényesülnek (lásd például célhoz kötött, arányos adatkezelés), így a vállalkozás nem jogosult ezen eszközhöz nyúlni.

A NAIH rugalmasabb: ezt kell tenniük a vállalkozásoknak munkavállalók esetében

A NAIH 2020. március 10. napján állásfoglalást adott ki a járvánnyal összefüggő adatkezelések vonatkozásában. Az állásfoglalás nem zárja ki az adatkezelés lehetőségét, amennyiben az célhoz kötött, és megfelel az arányosság követelményének is. Első lépésben úgynevezett pandémiás cselekvési terv elkészítése elvárt. Ez a cselekvési terv a járvány esetén foganatosítandó intézkedéseket tartalmazza. Az üzletmenet-folytonosság szabályozásán keresztül pedig a vállalkozásoknak meg kell vizsgálniuk a megváltozott működési módok lehetőségét is. Ezek meglétéről, illetve az eljárásrendről és magáról a járványról pedig a munkavállalókat tájékoztatni kell.

Ezen felül azonban nem kizárt kérdőíves felmérés azt illetően, hogy a munkavállalók közül kik jártak fertőzéssel összefüggő területen, vagy érintkeztek fertőzött személyekkel. Erre azonban csak meghatározott munkavállalói csoportok vonatkozásában, azaz nem általánosan kerülhet sor, és meg kell tudni indokolni. Ezen felül a munkáltató a bejelentés időpontját, a bejelentő személyazonosságát, illetve a veszélyeztetés okát kezelheti csupán, nem kezelhet egyéb különleges, így egészségügyi adatot. Ez azt is jelenti, hogy a munkavállalótól nem kérhető semmiféle egészségügyi dokumentáció. Az adatkezelés GDPR 6. cikk szerinti jogalapja a munkáltató jogos érdeke. Ezen túlmenően a munkavédelmi törvény alapján nem kizárt jogi kötelezettség teljesítése sem (a munkavállalók, munkavégzés hatókörében tartózkodók védelme), bár erre a hatósági iránymutatás nem hivatkozik. Meg kell jelölni továbbá a GDPR 9. cikkében nevesített mentesítő körülményt is, hiszen a potenciális fertőző állapot ténye is különleges adatnak minősülhet. E tekintetben a jogi kötelezettség teljesítését a hatóság elfogadhatónak tartja.

Ügyfelek, látogatók vizsgálata sem kizárt korlátozott körben

Nem csupán a munkavállalók, hanem a látogatók, ügyfelek, beszállítók vonatkozásában is felmerül a munkáltató vizsgálati lehetősége. A hazai hatóság e tekintetben is rugalmasabb, mint a tagállami társhatóságok. Az iránymutatás kiemeli, hogy cselekvési tervnek kell ezen érintetti csoport vonatkozásában is rendelkezésre állni. A veszélyeztetettség csökkentését szolgáló intézkedésekről, illetve azok adatvédelmi kihatásáról (adatkezelési tájékoztató!) pedig az érintetteket előzetesen kell tájékoztatni. Ennek keretében az sem kizárt, hogy a vállalkozás területére belépő személyeket nyilatkozattételre felhívják, vizsgálat végzésére (például hőkamera) azonban a vállalkozásnak nincsen módja.

Akár ügyfelek, akár munkavállalók vagy más személyek vonatkozásában történik az adatkezelés, a vállalkozásnak a lépések alapjául szolgáló szempontrendszert alá kell tudnia támasztani.

További részletek ITT olvashatóak.

A járványügyi helyzettel összefüggő cikkeinket ITT olvashatja el.