Ve Slovenské republice vstoupilo dne 24. října 2020 v platnost usnesení vlády SR č. 678 ze dne 22. října 2020, jímž byl zaveden zákaz vycházení platný do 1. listopadu 2020. Omezení pohybu se novým usnesením vlády SR č. 693 ze dne 28. října 2020 prodlužuje až do 8. listopadu 2020. Zákaz vycházení se však nevztahuje na určité výjimky. Mezi tyto výjimky do 1. listopadu patří také cesta do a z zaměstnání a cesta za účelem výkonu podnikatelské činnosti nebo jiné podobné činnosti. Od 2. listopadu 2020 tato výjimka neplatí, přičemž pro účely výkonu pracovní nebo podnikatelské činnosti se zavádí výjimka pro osobu, která se prokáže potvrzením o negativním výsledku RT-PCR testu provedeného v období od 29. října 2020 do 1. listopadu 2020, nebo certifikátem vydaným Ministerstvem zdravotnictví SR s negativním výsledkem antigenního testu certifikovaného na území Evropské unie na onemocnění COVID-19, provedeného v období od 29. října 2020 do 1. listopadu 2020 subjektem podílejícím se na plošném testování „Společná odpovědnost“.
To znamená, že od 2. listopadu 2020 budou moci opustit svůj domov pouze osoby s negativním výsledkem testu na onemocnění COVID-19. To platí i pro nástup do práce, která se vykonává mimo domácnost pracující osoby.
Na základě toho se zaměstnavatelé (správci osobních údajů) rozhodli, že při vstupu osob do areálu pracoviště budou od pondělí 2. 11. 2020 budou od zaměstnanců a dalších osob vstupujících do jejich prostor vyžadovat, aby se tyto osoby prokázaly potvrzením o negativním výsledku testu na onemocnění COVID-19.
Je takové prokázání přiměřené z hlediska ochrany osobních údajů?
Rozsah osobních údajů, které osoby při vstupu do objektu poskytují formou předložení příslušného dokladu určené osobě, zahrnuje jméno, příjmení, datum narození (osobní údaje) a výsledek testu (zvláštní kategorie osobních údajů). Z hlediska nařízení GDPR a zákona č. 18/2018 Z. z. o ochraně osobních údajů se tedy jedná o zpracování těchto osobních údajů. Ze strany zaměstnavatelů by však nemělo docházet k žádným dalším operacím s těmito osobními údaji, tj. k žádnému evidování, poskytování třetím osobám apod. Definování právního základu pro provádění takovýchto operací zpracování by mohlo být v současné době sporné vzhledem k odlišným názorům státních institucí, a to i s ohledem na situaci, kdy Úřad veřejného zdravotnictví SR dne 30. 9. 2020 vydal vyhlášku, kterou se nařizují opatření v případě ohrožení veřejného zdraví týkající se režimu vstupu osob do prostor provozoven a prostor zaměstnavatele, dostupnou zde: https://www.uvzsr.sk/docs/info/ut/vestnik_ciastka_12_2020.pdf (dále jen „vyhláška“).
Vyhláška vydaná podle § 59b zákona č. 355/2007 Z. z. o ochraně, podpoře a rozvoji veřejného zdraví a o změně a doplnění některých zákonů (dále jen „zákon č. 355/2007 Z. z.“) nařizuje opatření v případě ohrožení veřejného zdraví podle § 48 odst. 4 písm. e), s), x) a z) zákona č. 355/2007 Z. z. Významným opatřením je nařízení zákazu vstupu osob do venkovních a vnitřních prostor zařízení provozovateli zařízení. Podobně je povinnost zakázat vstup do prostor uložena i zaměstnavatelům vůči jejich zaměstnancům. Tento zákaz vstupu se nevztahuje na výslovně uvedené výjimky, které by osoby měly provozovateli/zaměstnavateli prokázat příslušným dokladem, do kterého je provozovatel/zaměstnavatel oprávněn pouze nahlédnout. To znamená, že provozovatel/zaměstnavatel bude postupovat legitimním způsobem, pokud pouze nahlédne do potvrzení o výsledku testu a na základě toho zaměstnanci nebo jiné osobě vstup do svého objektu umožní, resp. neumožní.
Podle názoru autorů tohoto článku však může být s ohledem na znění a formulace použité ve vyhlášce sporné, zda je tato vyhláška způsobilá být relevantním právním základem pro zpracování osobních údajů dotčených osob podle čl. 6 odst. 1 písm. c) nařízení GDPR (tj. plnění zákonné povinnosti správce). Vyhláška totiž výslovně neukládá správcům/zaměstnavatelům povinnost vyžadovat příslušný doklad, ale upravuje pouze oprávnění správců/zaměstnavatelů. To však nemá vliv na samotnou legitimitu oprávnění správců a zaměstnavatelů požadovat předložení dokladu. Může to však mít vliv na určení právního základu pro zpracování těchto osobních údajů.
Autoři článku zastávají názor, že provozovatelé/zaměstnavatelé mohou pro zpracování těchto osobních údajů využít jiný právní základ.
Po plošném testování se každá fyzická osoba s pozitivním výsledkem testu nebo osoba, která testování odmítla, musí podrobit povinné karanténě a vztahuje se na ni zákaz vycházení (s výjimkou dalších výjimek).
Na základě znění vyhlášky lze vyvodit závěr, že pokud zaměstnanec nepředloží doklad prokazující výjimku ze zákazu vstupu do prostor, má se za to, že tato osoba nesplňuje požadavky bezpečnosti a ochrany zdraví při práci podle § 5 zákona č. 124/2006 Z. z. o bezpečnosti a ochraně zdraví při práci a o změně a doplnění některých zákonů ve znění pozdějších předpisů.
Jaký právní základ pro zpracování osobních údajů se v takovém případě použije?
Správci by se tak mohli opřít o právní základ ve smyslu čl. 6 odst. 1 písm. d) nařízení GDPR, podle něhož je zpracování nezbytné k ochraně životně důležitých zájmů dotčené osoby nebo jiné fyzické osoby. Vzhledem k tomu, že podle bodu 46 odůvodnění nařízení GDPR by mělo být zpracování osobních údajů rovněž považováno za oprávněné, je-li nezbytné k ochraně zájmu, který je životně důležitý pro dotčenou osobu nebo jinou fyzickou osobu. Zpracování osobních údajů na základě životně důležitých zájmů jiné fyzické osoby by mělo být v zásadě prováděno pouze tehdy, pokud se takové zpracování zjevně nemůže opírat o jiný právní základ. Některé druhy zpracování mohou sloužit jak k důležitým účelům veřejného zájmu, tak k životně důležitým zájmům dotčené osoby, například pokud je zpracování nezbytné pro humanitární účely, včetně sledování epidemií a jejich šíření, nebo v humanitárních nouzových situacích, zejména v případě přírodních katastrof a katastrof způsobených lidskou činností.
Jelikož výsledek testu spolu s identifikačními údaji osoby, jako jsou jméno, příjmení a datum narození, představuje zvláštní kategorii osobních údajů, je nutné uplatnit výjimku ze zákazu zpracování, přičemž v tomto případě je odůvodněná výjimka ve smyslu čl. 9 písm. i) nařízení GDPR , kdy je zpracování nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před závažnými přeshraničními zdravotními hrozbami nebo zajištění vysoké úrovně kvality a bezpečnosti zdravotní péče a léčivých přípravků či zdravotnických prostředků, na základě práva Unie nebo práva členského státu, které stanoví vhodná a konkrétní opatření na ochranu práv a svobod dotčené osoby, zejména profesní tajemství. Uplatnění příslušné výjimky je odůvodněno také s odkazem na body 52 až 54 preambule nařízení GDPR.
Aby mohla být uvedená výjimka uplatněna, je nutné splnit podmínku nezbytnosti z důvodů ochrany veřejného zdraví, včetně ochrany před závažnými přeshraničními zdravotními hrozbami, kterou lze odvodit např. ze sedmé části zákona č. 355/2007 Z. z. V daném případě je splněna i podmínka přeshraničního charakteru ohrožení zdraví, které lze chápat jako ohrožení globálního charakteru, kdy je v důsledku jednoho vlivu ohroženo zdraví lidí minimálně ve dvou členských státech.
Vycházíme přitom také z prohlášení Světové zdravotnické organizace (WHO) ze dne 11. března 2020, v němž bylo šíření onemocnění COVID-19 prohlášeno za celosvětovou pandemii. Z těchto závěrů následně vycházejí i evropské orgány a instituce, které usilují o to, aby členské státy postupovaly koordinovaně.
Zároveň se vyžaduje, aby v právu Unie nebo v právu Slovenské republiky byla stanovena vhodná a konkrétní opatření na ochranu práv a svobod dotčené osoby, za což lze považovat i právní úpravu v oblasti ochrany osobních údajů podle nařízení GDPR a zákona č. 18/2018 Z.z. o ochraně osobních údajů, konkrétně poukazujeme na ustanovení § 79 tohoto zákona, které upravuje povinnost mlčenlivosti o osobních údajích (pozn.: dané ustanovení zákona se na tyto vztahy vztahuje v souladu s ustanovením § 3 zákona č. 18/2018 Z.z.). Upozorňujeme, že se může jednat i o jiné zvláštní právní předpisy, které pro daný případ stanoví povinnost mlčenlivosti o získaných osobních údajích a podobně.
Pro úplnost, pokud jde o podmínku nezbytnosti tohoto zpracování, poukazujeme na povinnost fyzických osob-podnikatelů a právnických osob podle § 52 odst. 1 písm. a) zákona č. 355/2007 Z. z. o ochraně, podpoře a rozvoji veřejného zdraví a o změně a doplnění některých zákonů, dodržovat opatření k prevenci nemocí podle § 12 odst. 2 písm. a) až c), e) a g) až n) tohoto zákona, přičemž podle § 12 odst. 2 písm. h) je jedním z těchto opatření také zákaz nebo omezení výkonu povolání u osob trpících přenosnou nemocí nebo u osob podezřelých z takové nemoci.
Na podporu výše uvedeného názoru si dovolujeme poukázat také na Prohlášení Evropského výboru pro ochranu údajů (EDPB) o zpracování osobních údajů v souvislosti s šířením onemocnění COVID-19, přijaté dne 19. března 2020, které je v anglickém jazyce k dispozici zde: https://edpb.europa.eu/news/news/2020/statement-processing-personal-data-context-covid-19-outbreak_sk.
EDPB vyjádřil základní myšlenku, že pravidla ochrany osobních údajů (například nařízení GDPR) nebrání opatřením přijatým v boji proti pandemii koronaviru a že nouzová situace je zákonnou podmínkou, která může ospravedlnit omezení svobod za předpokladu, že tato omezení jsou přiměřená a omezena na mimořádné období. EDPB samozřejmě klade důraz na zajištění zákonnosti zpracování osobních údajů a na zajištění jejich ochrany.
EDPB se výslovně vyjadřuje ke zpracování osobních údajů souvisejícímu s pandemií COVID-19 v kontextu zaměstnavatelů, přičemž vyjádřil názor, že v kontextu zaměstnání může být zpracování osobních údajů nezbytné k tomu, aby zaměstnavatelé plnili své zákonné povinnosti při zajišťování bezpečnosti a ochrany zdraví na pracovišti nebo ve veřejném zájmu, například při kontrole nemocí a jiných zdravotních rizik. EDPB uvádí, že nařízení GDPR předpokládá výjimky ze zákazu zpracování zvláštních kategorií osobních údajů, jako jsou například údaje o zdravotním stavu, jsou-li nezbytné z důvodu závažného veřejného zájmu v oblasti veřejného zdraví (odkazuje přitom na čl. 9 odst. 2 písm. i) nařízení GDPR), neboť bod 46 odůvodnění nařízení GDPR výslovně odkazuje na potlačení epidemie.
Na základě výše uvedeného lze dojít k závěru, že požadavek zaměstnavatele, aby zaměstnanec předložil negativní výsledek testu, je pouze prostředkem k plnění jeho zákonné povinnosti, která mu vyplývá ze zákona č. 355/2007 Z. z., přičemž osobní údaje, které tímto způsobem získá, musí použít výlučně k naplnění tohoto účelu. Po splnění tohoto účelu nesmí osobní údaje dále zpracovávat.
Zároveň je však velmi důležité, aby zaměstnavatel přijal všechna nezbytná technická a organizační opatření k zajištění ochrany takto získaných osobních údajů a při jejich zpracování postupoval v souladu s nařízením GDPR a zákonem č. 18/2018 Z. z. v případech, kdy se tento zákon uplatňuje.
I EDPB ve svém prohlášení klade důraz na několik základních zásad, které je třeba zohlednit v souvislosti s vypuknutím pandemie COVID-19 a zpracováním osobních údajů za účelem zabránění jejímu šíření. Osobní údaje nezbytné k dosažení těchto cílů by měly být zpracovávány pouze pro konkrétní a výslovně stanovené účely a dotčená osoba musí obdržet transparentní informace o činnostech zpracování a jejich hlavních charakteristikách. Zvláště důležité je také uplatnění zásady proporcionality a minimalizace údajů, v souladu s níž by zaměstnavatelé měli vyžadovat zdravotní informace pouze v rozsahu, v jakém to umožňují vnitrostátní právní předpisy (pozn. autora: zde je možné uplatnit výše uvedené zákony a vyhlášku).
Na základě prohlášení EDPB vydaly příslušné orgány několika členských států vlastní prohlášení, zohledňující jejich vnitrostátní předpisy. Zajímavý je například postup irské Komise pro ochranu údajů, která na jedné straně zdůraznila povinnosti zaměstnavatelů chránit své zaměstnance a jejich soukromí, avšak poznamenává, že právě čl. 9 odst. 2 písm. i) nařízení GDPR umožňuje zaměstnavatelům zpracovávat osobní údaje zaměstnanců o jejich zdravotním stavu související s onemocněním COVID-19, a to ve spojení s povinnostmi zaměstnavatelů stanovenými vnitrostátním právem zajistit ochranu a bezpečnost zdraví a dobré životní podmínky na pracovišti. Podobný přístup uplatňují i další členské státy, a proto považujeme za opodstatněné, aby tyto právní základy a výjimky vyplývající z nařízení GDPR ve spojení s vnitrostátními právními normami Slovenské republiky byly obdobně uplatňovány i na Slovensku.
Je nutné, aby osoba, která se prokazuje, udělila souhlas s prokázáním?
Jelikož právním základem takového úkonu – prokázání se negativním výsledkem testu na COVID-19 – je ochrana života a zdraví podle čl. 6 odst. 1 písm. d) nařízení GDPR a ne souhlas se zpracováním osobních údajů podle čl. 6 odst. 1 písm. a) nařízení GDPR, není nutné takový souhlas od dotčených osob získávat.
Jaká by měla být technická a organizační opatření na ochranu osobních údajů?
1. Měla by být zajištěna transparentnost prostřednictvím informační povinnosti, v rámci které budete dotčené osoby podrobně informovat ve smyslu čl. 13 nařízení GDPR o způsobu, jakým nakládáte s osobními údaji.
2. Po ověření potvrzení o neinfekčnosti oprávněnou osobou nesmí docházet k dalšímu zpracování osobních údajů, a to ani automatizovaným, ani neautomatizovaným způsobem.
3. Osobní údaje získané tímto způsobem nesmějí být žádným způsobem uchovávány ani zaznamenávány.
4. V rámci systému řízení ochrany osobních údajů musí mít správce vypracován podrobný postup pro takovéto zpracování osobních údajů.
5. Osoby, které jménem správce provádějí konkrétní úkony při ověřování potvrzení o negativních výsledcích testu dotčené osoby, tj. oprávněné osoby, musí být v rámci systému řízení ochrany osobních údajů řádně poučeny a toto poučení by mělo být zdokumentováno.
6. Oprávněná osoba musí být vázána povinností mlčenlivosti ohledně získaných osobních údajů.
7. Musí být dodržena zásada minimalizace, a to nejen v rozsahu zpracování, ale i v počtu oprávněných osob, což znamená, že takové získávání a ověřování údajů se má provádět pouze u osob, jejichž vstup do objektu zaměstnavatele je nezbytný.
Na závěr upozorňujeme na vydané předběžné stanovisko Úřadu pro ochranu osobních údajů SR k prokazování negativního výsledku testu/osvědčení z plošného testování, dostupné zde: https://dataprotection.gov.sk/uoou/sk/content/predbezne-stanovisko-uradu-k-preukazovaniu-sa-negativnym-vysledkom-testu-certifikatom-z. S uvedeným stanoviskem Úřadu se zcela neztotožňujeme a zastáváme názor prezentovaný výše. Názory Úřadu průběžně sledujeme a konzultujeme.
Na základě uvedených skutečností jsou partnerské poradenské společnosti Top privacy s.r.o. a advokátní kancelář Hronček & Partners, s. r. o. připraveny poskytnout Vám podrobnější poradenství a vypracovat potřebné dokumenty, které jsou podle příslušných právních předpisů nezbytné.
V případě jakýchkoli dotazů k této problematice se na nás neváhejte obrátit na kontaktní e-mail: info@topprivacy.sk/info@legalfirm.sk nebo nás kontaktujte telefonicky na číslech +421 908 230 438/ +421 908 602 103.
Poznámka: Článek odráží názor autora. Tento názor se může změnit a není závazný. Při přípravě článku autor vycházel z informací, které považoval za důvěryhodné.*
*Článek má informativní charakter a ani autor, ani společnost, která článek zveřejňuje, neodpovídají za správnost, úplnost a aktuálnost názorů vyjádřených v článku. Autor i společnost, která článek zveřejňuje, vylučují svou odpovědnost za jakoukoli újmu nebo škodu vzniklou jakékoli osobě v důsledku spoléhání se na informace uvedené v článku a postupu v souladu s tímto článkem. Upozorňujeme, že státní orgány a soudy, které jsou oprávněny uplatňovat právní normy, mohou v dané věci zaujmout odlišný postoj. Informace v článku rovněž neodrážejí situaci žádné konkrétní osoby.
