W sytuacji, gdy dokonywany jest pomiar temperatury ciała danej osoby, czy też gromadzone są dane dotyczące jej stanu zdrowia, a następnie informacje te są utrwalane, przekazywane i gromadzone, ma miejsce przetwarzanie szczególnej kategorii danych osobowych.
Ogólne rozporządzenie o ochronie danych, inaczej rozporządzenie o ochronie danych osobowych („RODO”) w art. 9 ust. 2 lit. i) wskazuje, że szczególne kategorie danych, a takimi sa m.in. dotyczące zdrowia, można przetwarzać, gdy jest to niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi, jeżeli wynika to z przepisów prawa. Przepis ten koresponduje z polską regulacją z dziedziny walki z pandemią COVID-19 tj. ustawą z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych tzw. Specustawą.
Art. 17 tzw. Specustawy przyznaje Głównemu Inspektorowi Sanitarnemu („GIS”) uprawnienia, aby oddziaływać na inne podmioty oraz na zmiany w obowiązujących przepisach, a także wskazywać na przyjmowanie właściwych rozwiązań, np. poprzez wydawanie określonych decyzji administracyjnych lub wytycznych.
GIS przygotował ogólne wytyczne dla przedsiębiorców, jednakże nie ma wśród nich uprawnienia do prowadzenia badania temperatury ciała, bądź pozyskiwania informacji, czy ktoś był w kraju podwyższonego ryzyka COVID-19 lub czy widział się z kimś, kto ma zdiagnozowanego koronawirusa. GIS wydaje tego typu wytyczne tylko dla poszczególnych sektorów, zamieszczane na stronach poszczególnych ministerstw.
GIS aktualnie planuje rozszerzenie wytycznych dla wszystkich przedsiębiorców o zalecenie dokonywania pomiaru i rejestrowania temperatury ciała pracowników za pomocą termometru bezdotykowego przed rozpoczęciem pracy, za zgodą pracowników. Planowane jest również, wprowadzenie za zgodą pracowników, codziennych procedur przeprowadzania i dokumentowania wywiadu, w szczególności o braku występowania objawów chorobowych u pracownika/osoby świadczącej usługi oraz o braku kontaktu z osobą, która miała widoczne objawy chorobowe lub była narażona na kontakt z osobą zakażoną.
Należy jednak pamiętać, iż każde gromadzenie danych osobowych wiąże się z obowiązkiem informacyjnym. Podmiot gromadzący dane osobowe ma obowiązek w klauzuli informacyjnej przekazać osobom, których dane osobowe przetwarza, wszelkie niezbędne informacje w zakresie wskazanym w art. 13 RODO (w szczególności powiadomić podmiot danych o tożsamości administratora danych oraz podać do niego dane kontaktowe, o danych kontaktowych inspektora ochrony danych (jeżeli został powołany), podać cele przetwarzania danych, podstawy prawne przetwarzania, ewentualnych odbiorców itd.).
Obowiązek informacyjny powinien zostać spełniony przez administratora w chwili zbierania danych, w taki sposób, aby osoba, której dane dotyczą, mogła się zapoznać bezpośrednio ze wszystkimi informacjami. Klauzula może być zawarta np. w formularzu, jak również może być dostępna w zakładzie pracy, czy w urzędzie, np. w recepcji, na tablicy ogłoszeń lub na stronie internetowej. Osoba, której dane dotyczą, powinna zostać poinformowana o podstawowych kwestiach związanych z przetwarzaniem jej danych osobowych najpóźniej w momencie zbierania danych, a następnie ewentualnie odesłana do pełnej treści klauzuli, która znajduje się w ww. miejscach.
Małgorzata Głuszek-Stopczyk (Warszawa)