Uvođenjem programa cijepljenja protiv COVID-19 širom EU poslodavci se suočavaju s pitanjima smiju li zakonski pitati zaposlenike o njihovom statusu cijepljenja ili preboljenju COVID-19 i, ako mogu, kako se te informacije mogu koristiti?
Ovdje je potrebno razlikovati 2 različite situacije:
a) prikupljanje i obrada podataka zbog osiguranja sigurnog radnog mjesta i zbog organizacije rada (privatan sektor)
b) prikupljanje podataka o cijepljenju ili preboljenju zbog odluka o uvođenju posebne sigurnosne mjere obveznog testiranja
A) OSIGURANJE SIGURNOG RADNOG MJESTA I ORGANIZACIJA RADA
Poslodavci se mogu poželjeti raspitati o statusu cijepljenja svojih zaposlenika kako bi se udovoljilo njihovoj općoj obvezi osiguranja sigurnog radnog mjesta i minimiziranja rizika od izloženosti COVID-19.
To postavlja pitanje privatnosti prema Općoj uredbi o zaštiti podataka („GDPR“), jer status cijepljenja zaposlenika spada u posebnu kategoriju osobnih podataka koja se tiče zdravlja pojedinaca (članak 9. stavak 1.). Ova je kategorija podložna strožim mjerama zaštite podataka zbog osjetljive i osobne prirode podataka, a može se obrađivati samo u vrlo ograničenim okolnostima (članak 9. stavak 2.).
Pristupi prikupljanju i obradi podataka o cijepljenju u cijeloj EU i Velikoj Britaniji su različiti. Nekoliko zemalja, uključujući Belgiju, Francusku, Njemačku, Italiju, Nizozemsku i Irsku izdale su smjernice u kojima se navodi da poslodavci ne smiju pitati zaposlenike o njihovom statusu cijepljenja jer za to ne postoji valjana pravna osnova.
Ovdje možete pronaći smjernice irskog nadzornog tijela:
https://www.dataprotection.ie/en/dpc-guidance/processing-covid-19-vaccination-data-context-employment
Različiti pogledi diljem Europe
U nekim zemljama, poput Nizozemske i Italije, ako zaposlenici liječnicima medicine rada otkriju podatke koji se odnose na njihov status cijepljenja, liječniku može biti dopušteno obrađivati njihove zdravstvene podatke u određenim okolnostima (npr. Nizozemska dopušta obradu takvih podataka u slučaju odsutnosti ili reintegracije zaposlenika), ali bit će vezani obvezama povjerljivosti i stoga te podatke ne mogu otkriti poslodavcu. Uz to, mogu se dopustiti upiti opće prirode (npr. talijanski propisi dozvoljavaju poslodavcu da pita liječnika medicine rada je li zaposlenik sposoban za rad).
Suprotno tome, druge zemlje poput Austrije, Finske, Španjolske i Ujedinjenog Kraljevstva dozvoljavaju poslodavcu da prikuplja zdravstvene podatke od zaposlenih u mjeri u kojoj su informacije potrebne da bi se osigurala sigurnost i zaštita javnog zdravlja na radnom mjestu (tj. da bi se spriječile infekcije ili širenje pandemije na radnom mjestu, ali i izvan). Ova obrada podataka temelji se na članku 9. stavku 2. točki (b) GDPR-a, koji dopušta obradu zdravstvenih podataka „u svrhu izvršavanja obveza i ostvarivanja određenih prava voditelja obrade ili ispitanika na području rada“.
Nužnost i proporcionalnost
Sve mjere poduzete kako bi se osigurala sigurnost radnog mjesta moraju biti nužne i proporcionalne, što znači ne postoje manje nametljive alternativne mjere za postizanje istog rezultata. Ujedinjeno Kraljevstvo zahtijeva da poslodavci imaju “jasan i nužan” razlog za prikupljanje podataka o cijepljenju od zaposlenih i da te razloge procjenjuju provođenjem procjene legitimnog interesa i/ili procjene utjecaja na zaštitu podataka. Nadalje, s obzirom na upotrebu podataka o cijepljenju, španjolske smjernice ukazuju na to da se informacije mogu koristiti samo u skladu sa španjolskim zakonima o radu, koji zabranjuje poslodavcima upotrebu tih podataka radi diskriminacije zaposlenika koji odbiju cijepljenje. To je u skladu s obvezama koje su preuzele institucije EU u osiguranju nediskriminacije između cijepljenih i necijepljenih osoba.
Za obradu podataka o cijepljenju, potencijalne iznimke od zabrane obrade posebnih kategorija osobnih podataka prema članku 9. GDPR-a uključuju pristanak i potrebu za sigurnošću određenih profesija. Na primjer, iako nije službena izjava, glasnogovornik poljskog tijela za zaštitu podataka sugerirao je u nedavnom članku da poslodavci mogu pitati zaposlenike jesu li cijepljeni na temelju pristanka – napominjući da, s obzirom na neravnotežu koja postoji kod odnosa poslodavac – radnik, poslodavci moraju osigurati da se takav pristanak daje slobodno i valjanom dajući slobodu stvarnog izbora. Isto tako, neke zemlje – uključujući Njemačku i Irsku – smatraju da postoje određene profesije odnosno područja rada/zapošljavanja u kojima poslodavac može zakonito obrađivati podatke o cijepljenju na temelju njihove potrebe i nužnosti u odnosu na zdravstvene i druge mjere zaštite. Na primjer, cijepljenje se može smatrati nužnom sigurnosnom mjerom za zaposlenike koji rade u bolnicama, medicinskim ustanovama, hitnim službama ili bilo kojoj drugoj zdravstvenoj službi.
U nedostatku jedinstvenog pristupa, poslodavci bi općenito trebali postupiti oprezno kada odlučuju hoće li prikupiti i obraditi podatke o cijepljenju svojih zaposlenika. Osjetljivi zdravstveni podaci ove vrste trebaju se prikupljati samo u posebne legitimne svrhe i samo u mjeri u kojoj je to potrebno i proporcionalno. Također, ako se prikupljaju podaci o cijepljenju, trebali bi se koristiti samo u zakonite i nediskriminirajuće svrhe, čuvati na sigurnom, čuvati samo tijekom minimalnog razdoblja potrebnog za ispunjenje njihove legitimne svrhe i na njih se trebaju odnositi postojeće dužnosti povjerljivosti koje se duguju zaposlenicima. Poslodavci trebaju putem obavijesti biti transparentni u pogledu svojih razloga za provjeru ili evidentiranje statusa cijepljenja zaposlenika i kako će se ti podaci koristiti.
Poslodavci bi trebali biti posebno oprezni ako bi prikupljanje podataka o cijepljenju moglo imati negativne posljedice za zaposlenike – npr. uskraćivanje mogućnosti zaposlenja. Takve mjere mogu rezultirati kršenjem zakona o zapošljavanju, uključujući zakone protiv diskriminacije, ovisno o okolnostima.
Što se tiče Agencije za zaštitu osobnih podataka, u medijima smo mogli pročitati njihov stav: „Podatak o cijepljenju je zdravstveni podatak i kao takav predstavlja posebnu kategoriju osobnih podataka u smislu odredbi Opće uredbe o zaštiti podataka. Obrada takvih podataka je načelno zabranjena, stoga je za njihovu obradu, uz pravni temelj, potrebno i postojanje jedne od iznimaka iz članka 9. stavka 2. Opće uredbe o zaštiti podataka. Cijepljenje protiv bolesti COVID-19 je dobrovoljno u Republici Hrvatskoj te obveza cijepljenja nije propisana posebnim propisima, stoga ni poslodavac nema pravni temelj na osnovu kojeg bi zahtijevao od radnika potvrdu o cijepljenju” – poručili su iz Agencije za zaštitu osobnih podataka.
Agencija za zaštitu osobnih podataka izdala je mišljenje prema kojem navodi da u odnosu između poslodavca i zaposlenika u načelu postoji jasna neravnoteža te da se u većini slučajeva ne može uzeti da je privola zaposlenika dobrovoljna odnosno da je ista primjenjiva kao pravna osnova za zakonitu obradu osobnih podataka te da poslodavci ne mogu zahtijevati od svojih zaposlenika podatke o tome da li su cijepljeni protiv bolesti uzrokovane virusom COVID-19. No, to je u načelu, i u većini slučajevima, dakle sve ovisi o konkretnim okolnostima te načinu kako provesti anketu da bude stvarno dobrovoljna.
Dakle, zabrana obrade vrijedi za većinu slučajeva gdje se privola ne smatra dovoljna da bi mogli tražiti radnike podatke o cijepljenju. Ukoliko ipak želite i smatrate da je to za vaše poslovanje potrebno i nužno s obzirom na način, organizaciju i specifičnost poslovanja, uz opreznu formulaciju teksta privole koju daju zaposlenici, možete obrađivati podatke o cijepljenju te nećete imati bojazni da ste prekoračili svoja ovlaštenja kao voditelj obrade podataka!
Vrlo je bitno da provedete Procjenu učinka na zaštitu osobnih podataka (DPIA) i to odmah, prije nego se ankete bude provodila (kolokvijalno možemo reći ˝čim vam padne na pamet ta ideja˝). U Procjeni dajete sustavan opis predviđenih postupaka obrade i svrhu obrade, radite procjenu nužnosti i proporcionalnosti postupaka obrade te procjenu rizika za prava i slobode ispitanika. Također, kako bi DPIA bila potpuna morate imati mjere predviđene za rješavanje problema mogućih rizika kao i organizacijske i tehničke mjere zaštite osobnih podataka koje ćete obrađivati. DPIA-om dokazujete da su poduzete sve potrebne mjere za osiguravanje usklađenosti s Uredbom te možete nastaviti sa izradom upitnika (ankete) kojim ćete zaposlenicima dati mogućnost da se izjasne o svom statusu cijepljenja ili da odbiju otkriti svoj status.
Kada zaposlenik daje privolu, ona mora biti dobrovoljno, posebno, informirano i nedvosmisleno izražavanje njegovih želja. On svojom izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose (članak 4. stavak 1. točka 11. Opće uredbe o zaštiti podataka). Sukladno članku 7., poslodavac mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka, a zaposlenik ima pravo u svakom trenutku povući svoju privolu.
Nadalje, uvažavajući načela poštene i transparentne obrade, ističemo kako je dužnost voditelja obrade da ispitanicima pruži sve informacije o obradi njihovih osobnih podataka (primjerice: o svom identitetu, o službeniku za zaštitu podataka, upoznati ih sa svrhom i pravnom osnovom za obradu osobnih podataka, o primateljima ili kategorijama primatelja osobnih podataka) u sažetom, razumljivom i lako dostupnom obliku te ih upoznati sa njihovim pravima koja im pripadaju sukladno Općoj uredbi o zaštiti podataka.
Ono što svakako treba uzeti u obzir da bi korištenje privole u kontekstu ankete pod uvjetom ispunjenja svih zahtjeva GDPR-a vezano uz privolu, osobito ukoliko zaposleniku stvarno date izbor da se ne izjasni odnosno ne želi izjasniti o statusu cijepljenja moglo ispuniti sve o čemu su govorili službenici našeg nadzornog tijela.
Interesira vas kako u praksi provesti anketu procijepljenosti, a da bude u skladu sa GDPR-om?
Pripremili smo primjer takvog upitnika koji sadrži i potrebnu obavijest o prikupljanju podataka!
https://drive.google.com/drive/u/0/folders/1I0AhC15U1H3460RrBcpFSj1n2qdBlFFZ
B) UVOĐENJE POSEBNE SIGURNOSNE MJERE OBVEZNOG TESTIRANJA
Na temelju Zakona o zaštiti pučanstva od zaraznih bolesti i Zakona o sustavu civilne zaštite, Stožer civilne zaštite Republike Hrvatske 12. studenoga 2021. g donio je odluku o uvođenju posebne sigurnosne mjere obveznog testiranja dužnosnika, državnih službenika i namještenika, službenika i namještenika u javnim službama, službenika i namještenika u lokalnoj i područnoj (regionalnoj) samoupravi te zaposlenika trgovačkih društava i ustanova. Odluka stupa na snagu 16. studenog 2021.g.
Tom odlukom se, radi zaštite pučanstva od zaraze i prijenosa te suzbijanja bolesti COVID-19, za vrijeme trajanja proglašene epidemije bolesti COVID-19, uvodi posebna sigurnosna mjera obveznog testiranja na virus SARS-CoV-2.
Iznimno, testiranje nije obvezno za osobe koje ispunjavaju uvjet cijepljenja ili preboljenja bolesti COVID-19, osim ako imaju znakove respiratorne infekcije, druge simptome ili znakove zarazne bolesti COVID-19.
Osobe dokazuju da su testirane na virus SARS-CoV-2, odnosno da su cijepljene ili preboljele bolest COVID-19, predočenjem EU digitalne COVID potvrde ili predočenjem drugog odgovarajućeg dokaza o cijepljenju, preboljenju odnosno testiranju.
Osobe su obvezne EU digitalnu COVID potvrdu ili drugi odgovarajući dokaz o cijepljenju, preboljenju odnosno testiranju predočiti prilikom ulaska u službene prostorije na uvid osobi koju čelnik tijela, odnosno poslodavac za to ovlasti.
Obveza predočavanja EU digitalne COVID potvrde ili drugog odgovarajućeg dokaza o cijepljenju, preboljenju odnosno testiranju odnosi se i na sve stranke koje dolaze u službene prostorije u kojima rade osobe iz ove Odluke, sve pružatelje usluga koji pružaju različite usluge u tim prostorima ili su angažirani za određene poslove u njihovim prostorima ili druge osobe koje dolaze u njihove prostore po bilo kojoj osnovi.
https://narodne-novine.nn.hr/clanci/sluzbeni/2021_11_121_2087.html
Odluke koje su već donesene su:
- Odluka o uvođenju posebne sigurnosne mjere obveznog testiranja svih zaposlenika zdravstvenih ustanova, trgovačkih društava koje obavljaju zdravstvenu djelatnost te privatnih zdravstvenih radnika na virus SARS-CoV-2
- Odluka o uvođenju posebne sigurnosne mjere obveznog testiranja svih zaposlenika u djelatnosti socijalne skrbi na virus SARS-CoV-2
- Odluka o uvođenju posebne sigurnosne mjere koju su zdravstvene ustanove, trgovačka društva koja obavljaju zdravstvenu djelatnost i privatni zdravstveni djelatnici obvezni provoditi prilikom prijema pacijenata
Navedene odluke možete pronaći na sljedećim linkovima:
https://narodne-novine.nn.hr/clanci/sluzbeni/2021_09_105_1855.html
https://narodne-novine.nn.hr/clanci/sluzbeni/2021_10_108_1896.html
https://narodne-novine.nn.hr/clanci/sluzbeni/2021_09_105_1857.html
https://narodne-novine.nn.hr/clanci/sluzbeni/2021_10_108_1898.html
https://narodne-novine.nn.hr/clanci/sluzbeni/2021_09_105_1856.html
https://narodne-novine.nn.hr/clanci/sluzbeni/2021_10_108_1897.html
Podatak o cijepljenju je zdravstveni podatak i kao takav predstavlja posebnu kategoriju osobnih podataka u smislu odredbi Opće uredbe o zaštiti podataka. Obrada takvih podataka je načelno zabranjena, stoga je za njihovu obradu, uz pravni temelj, potrebno i postojanje jedne od iznimaka iz članka 9. stavka 2. Opće uredbe o zaštiti podataka.
Ključne iznimke iz članka 9. stavka 2. su sljedeće:
b) obrada je nužna za potrebe izvršavanja obveza i ostvarivanja posebnih prava voditelja obrade ili ispitanika u području radnog prava i prava o socijalnoj sigurnosti te socijalnoj zaštiti u mjeri u kojoj je to odobreno u okviru prava Unije ili prava države članice ili kolektivnog ugovora u skladu s pravom države članice koje propisuje odgovarajuće zaštitne mjere za temeljna prava i interese ispitanika;
(g) obrada je nužna za potrebe značajnog javnog interesa na temelju prava Unije ili prava države članice koje je razmjerno željenom cilju te kojim se poštuje bit prava na zaštitu podataka i osiguravaju prikladne i posebne mjere za zaštitu temeljnih prava i interesa ispitanika;
i) obrada je nužna u svrhu javnog interesa u području javnog zdravlja kao što je zaštita od ozbiljnih prekograničnih prijetnji zdravlju ili osiguravanje visokih standarda kvalitete i sigurnosti zdravstvene skrbi te lijekova i medicinskih proizvoda, na temelju prava Unije ili prava države članice kojim se propisuju odgovarajuće i posebne mjere za zaštitu prava i sloboda ispitanika, posebno čuvanje profesionalne tajne.
Kao što je vidljivo iz svega navedenog, morat ćete ovlaštenim osobama predočiti dokumentaciju koja je navedena kao obvezna.
Ovdje privola nije valjani pravni temelj za uvid u EU digitalne COVID potvrde ili druge odgovarajuće dokaze o cijepljenju/preboljenju.
Drugačija procedura vrijedi za privatan sektor, kao što smo već naveli.
Ovdje možete pronaći AZOP-ov članak o demokraciji, ljudskim pravima i zaštiti osobnih podataka u vrijeme COVID-19 pandemije.
