Czy pracodawca może żądać informacji o szczepieniu?

Informacja o szczepieniu jest informacją o stanie zdrowia, a więc są to dane należące do szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO. Informacje o stanie zdrowia są bowiem na gruncie RODO traktowane szeroko – zgodnie z definicją przewidzianą w art. 4 pkt 15 RODO "dane dotyczące zdrowia" oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej - w tym o korzystaniu z usług opieki zdrowotnej - ujawniające informacje o stanie jej zdrowia .

Odnośnie do tego, czy i na jakiej podstawie pracodawca może domagać się podania takich danych od pracowników istnieją rozbieżne interpretacje. W dalszym ciągu nie ma też w tym zakresie interpretacji organów.

Co do zasady zgodnie z ustawą o prawach pacjenta, ustawą o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi oraz z RODO wszelkie dane o zdrowiu pracownika, poza badaniami okresowymi i wstępnymi, są objęte tajemnicą lekarską. Wszelkie zaświadczenia o szczepieniu także podlegają tej ochronie, a przepisy Kodeksu Pracy wyłączają informacje o szczepieniach z zakresu badań lekarskich pracowników. Pracodawca nie ma prawa pozyskiwać danych o zaszczepieniu się pracownika przeciw COVID-19, a pracownik nie jest obowiązany udzielać pracodawcy takich informacji.

Zaznaczyć należy, że odmowa przekazania takich informacji pracodawcy nie może też stanowić dla pracownika negatywnych skutków.

Przepisy Kodeksu Pracy w dość specyficzny sposób wymieniają dane osobowe, jakich od pracownika wymagać może pracodawca, a co za tym idzie, których nie podanie może wiązać się z określonymi skutkami prawnymi. Poza podstawowymi danymi niezbędnymi dla zawarcia umowy o pracę oraz jej rozliczenia, wskazuje się na:

• dane osobowe pracownika, których podanie jest konieczne ze względu na korzystanie przez niego ze szczególnych uprawnień przewidzianych w prawie pracy;
• inne dane, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

Należy zaznaczyć, że dane dotyczące zaszczepienia przeciwko Covid-19 (nie dotyczy to więc innych przewidzianych w odrębnych przepisach szczepień obowiązkowych dla możliwości świadczenia pracy na określonym stanowisku) nie mieszczą się w żadnym z powyższych katalogów. Co więcej, aktualnie brak jakiegokolwiek przepisu upoważniającego żądanie od osoby zaszczepionej podania informacji o tym fakcie, w szczególności zaś przedstawienia certyfikatu zaszczepienia .

Zgodnie z art. 22[1b] kodeksu pracy zgoda pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 RODO (m.in. danych dotyczących zdrowia). Może to jednak nastąpić wyłącznie w przypadku, gdy przekazanie tych danych osobowych odbędzie się z inicjatywy samego pracownika. Co więcej, odmowa udzielenia takiej zgody lub jej wycofanie nie może rodzić żadnych negatywnych skutków dla pracownika. W szczególności nie może powodować jego niekorzystnego traktowania ani tym bardziej doprowadzić do rozwiązania z nim umowy o pracę.

Zgodnie ze stanowiskiem Prezesa Urzędu Ochrony Danych Osobowych, zgoda pracownika na przekazanie informacji na temat jego zdrowia w warunkach, w jakich zabiega o nie pracodawca, nie ma charakteru udostępnienia informacji na temat zdrowia z inicjatywy tego pracownika. Kluczowe jest tu bowiem, która ze stron stosunku pracy pierwsza zainicjuje uzyskanie przez pracodawcę informacji nt. zaszczepienia – czy będzie to pracodawca proponujący udzielenie w jakiejkolwiek formie takiej informacji, czy też pracownik, który z samodzielnie bez jakiejkolwiek inicjatywy pracodawcy przekaże mu wiadomość w tym zakresie.

Jakkolwiek stanowisko UODO dotyczyło dobrowolnych testów na obecność wirusa Sars_Cov_2 wśród pracowników, jednak sytuacja dotycząca przetwarzania danych szczególnych kategorii osób zatrudnionych jest tu analogiczna.

W ocenie inspektorów Urzędu Ochrony Danych Osobowych w warunkach organizacji testów w zakładzie pracy odbywałoby się to z inicjatywy pracodawcy, co wyłącza możliwość zastosowania art. 22[1b] k.p. jako podstawy prawnej przetwarzania tego typu danych pracowników. Jednocześnie zgoda pracownika, jako jedyna przesłanka legalizująca posiadanie przez pracodawcę danych o jego zdrowiu, zdaniem prezesa UODO rodzi wątpliwości zarówno na gruncie RODO, jak i prawa pracy.

Trudno jednocześnie poszukiwać innej podstawy prawnej przetwarzania danych dotyczących zaszczepienia. Wszystkie one znajdują się w art. 9 ust. 2 RODO . Jest to w szczególności przypadek, gdy:

• przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. b) RODO).

Wielu specjalistów w zakresie ochrony danych osobowych powołuje się w tym miejscu na przepis art. 15 k.p. oraz art. 94 pkt. 4 k.p., które nakładają na pracodawcę obowiązek zapewnienia pracownikom bezpiecznych i higienicznych warunków pracy.

W tym miejscu warto przywołać stanowisko P. Fajgielskiego , który rozróżnia dwie sytuacje:

1) dozwolone przepisami jest przetwarzanie konkretnych danych

2) dozwolone przepisami jest wypełnianie obowiązków i wykonywanie uprawnień, do realizacji których niezbędne jest przetwarzanie danych (przykładem jest właśnie art. 94 pkt. 4 k.p.).

Komentator staje na stanowisku, że jedynie w piewszym przypadku możemy powołać się na art. 9 ust. 2 RODO . ( P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz , Warszawa 2018, art. 9.). Zdaniem komentatora ten sam wymóg istnienia konkretnego przepisu, który dopuszczałby przetwarzanie wskaznych w nim danych, dotyczy kolejnej przesłanki, gdy:

• przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń (art. 9 ust. 2 lit. h) RODO).

Zdaniem P. Fajgielskiego nie wystarczy wykazanie realizacji jednego z wymienionych w tym przepisie celów.

Stanowisko UODO w tym temacie jest enigmatyczne.

Zdrowy rozsądek podpowiada, że ochrona zdrowia jest ważniejsza niż ochrona danych osobowych, ale wydaje się, że przy restrykcyjnym podejściu prezentowanym przez UODO, pracodawca działający w interesie ochrony zdrowia pracowników może narazić się na kary z tytułu naruszenia RODO.