Gyűjthet-e a munkáltató egészségügyi adatot? - Adatvédelmi szabályok a koronavírusra tekintettel
A világon és most már hazánkban is rendkívüli gyorsasággal terjedő koronavírus (COVID-19) miatt kialakult járványügyi válsághelyzet kapcsán számos kérdés merül fel a munkáltatók, a munkavállalók és az egyének részéről egyaránt, hogy milyen intézkedések hozhatók, illetve mely intézkedéseket kell tűrniük a helyzet kezelése és a vírus terjedésének csökkentése érdekében úgy, hogy közben a hatályos adatvédelmi szabályokat se sértsék meg, illetve személyes adataik védelméhez való joguk ne sérüljön. Az alábbiakban - a teljes körűség igénye nélkül – a CERHA HEMPEL – Dezső és Társai Ügyvédi Iroda segítségével összefoglaljuk az ezzel kapcsolatos legfontosabb tudnivalókat.
Adatgyűjtés jogszerűsége
A GDPR értelmében egészségügyi adat egy természetes személy (ember) testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról. Az egészségügyi adat a személyes adatok kategórián belül is egy magasabb védelmet élvező kategória, az adatvédelem nyelvén „a személyes adatok különleges kategóriájába” tartozik. Ez azt is jelenti, hogy főszabályként ezek kezelése tilos. Persze vannak konkrét (jogszabályi), valamint „elvi” kivételek is. (Az eddigi tapasztalatok szerint az egészségügyi adatok begyűjtése során egyes munkáltatók a munkavállalók munkaidőn kívüli, magánszférájukba tartozó utazásokra és eseményekre vonatkozó adatokat is kezelték, emiatt sok kérdés merült fel.)
Az ilyen típusú adatkezelés jogszerűségéért is az adatkezelő, azaz például az ellenőrzést elrendelő munkáltató felelős. Az adatok begyűjtése, továbbítása és felhasználása során természetesen továbbra is meg kell felelni az adatvédelmi alapelveknek, különösen az elszámoltathatóság elvének.
Az ilyen jellegű adatkezelés is csak annyiban lehet indokolt, amennyiben nincs más olyan megoldás, amely a személyes és/vagy egészségügyi adat kezelése (vagy egyáltalán adatkezelés) nélkül is képes a kívánt cél elérésére (szükségesség és arányosság elve). Ilyen megoldás lehet például a higiéniai, takarítási szabályok szigorítása, találkozók elhalasztása, ezek azonban a potenciális vírushordozó személyek kiszűrésére nem jelentenek megoldást.
A magyar adatvédelmi hatóság, a Nemzeti Adatvédelmi és Információszabadság Hatóság („NAIH”) is reagált a COVID-19-re. Előrebocsátjuk, hogy a NAIH a koronavírus járvánnyal kapcsolatos adatkezelésekről szóló tájékoztatója („Tájékoztató”) 2020. március 10-i keltezésű, és az események gyors és súlyosbodó előrehaladása magával hozhatja azt, hogy a Tájékoztató egyes megállapításait akár maga a NAIH felülírja.
A NAIH a Tájékoztatóban elfogadhatónak találja a munkáltató általi megfelelő tájékoztatáson alapuló olyan kérdőívek kitöltetését, amelyek az alábbi adatokra vonatkoznak:
• a munkavállaló személyazonosságának megállapításához szükséges adatai,
• annak ténye, hogy a munkavállaló utazásának helyszíne és időpontja egybeesik-e a munkáltató tájékoztatójában felsorolt területekkel és időpontokkal,
• a tájékoztatóban megjelölt területekről érkező személyekkel való érintkezés tényére vonatkozó adatok, valamint
• a munkáltató által megtett intézkedésekre vonatkozó adatok,
amennyiben előzetes kockázatelemzés alapján a munkáltató arra az eredményre jutott, hogy az intézkedés szükséges és arányos mértékben korlátozza a munkavállalók magánszférájához fűződő jogát.
A Tájékoztatóból kiderül az is, hogy az említett munkahelyi kérdőívek nem tartalmazhatnak az egészségügyi kórtörténetre vonatkozó adatokat, és a munkáltató egészségügyi dokumentáció becsatolását sem írhatja elő. Ezenfelül egyelőre a lázmérőt alkalmazó, mindenkire kiterjedő szűrővizsgálatok előírása sem minősül arányos intézkedésnek.
Munkavállaló tájékoztatási kötelezettsége
A munkáltatóra és a munkavégzésre irányuló jogviszonyban foglalkoztatott személyre vonatkozó általános magatartási követelményekből levezethetően a foglalkoztatottaknak általános esetben tájékoztatniuk kell a munkáltatót arról, ha bármilyen, a munkahelyet, a munkavállalókat vagy a munkavégzés során a velük kapcsolatba kerülő harmadik személyeket érintő egészségügyi kockázatról van tudomásuk, ideértve saját potenciális fertőzöttségüket. Lényeges, hogy ezt a kötelezettséget nem szabad kizárólag a munkaviszonyra érteni, hanem kiterjesztően, minden munkavégzésre irányuló jogviszonyra is érteni kell.
Harmadik személyekkel (pl. ügyfelek, látogatók) kapcsolatos adatkezelés
Az 1. pontban írtak – elvi szinten – a harmadik személyekkel kapcsolatos adatkezelés során is alkalmazandók. Nyilvánvalóan a munkavégzésre irányuló jogviszonyhoz képest lehetnek addicionális vagy eltérő elemek a harmadik félhez kapcsolódó jogviszonyban, de a személyes adatok védelme és az adatvédelmi alapelvek betartása, valamint a mindig hangsúlyozott szükségesség-arányosság nem hagyható figyelmen kívül.
Cikkünk több oldalas! Lapozzon!
1. oldal - Gyűjthet-e a munkáltató egészségügyi adatot? - Adatvédelmi szabályok a koronavírusra tekintettel
2. oldal - Más természetes személy létfontosságú érdekei, mint jogalap
A GDPR értelmében egészségügyi adat egy természetes személy (ember) testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról. Az egészségügyi adat a személyes adatok kategórián belül is egy magasabb védelmet élvező kategória, az adatvédelem nyelvén „a személyes adatok különleges kategóriájába” tartozik. Ez azt is jelenti, hogy főszabályként ezek kezelése tilos. Persze vannak konkrét (jogszabályi), valamint „elvi” kivételek is. (Az eddigi tapasztalatok szerint az egészségügyi adatok begyűjtése során egyes munkáltatók a munkavállalók munkaidőn kívüli, magánszférájukba tartozó utazásokra és eseményekre vonatkozó adatokat is kezelték, emiatt sok kérdés merült fel.)
Az ilyen típusú adatkezelés jogszerűségéért is az adatkezelő, azaz például az ellenőrzést elrendelő munkáltató felelős. Az adatok begyűjtése, továbbítása és felhasználása során természetesen továbbra is meg kell felelni az adatvédelmi alapelveknek, különösen az elszámoltathatóság elvének.
Az ilyen jellegű adatkezelés is csak annyiban lehet indokolt, amennyiben nincs más olyan megoldás, amely a személyes és/vagy egészségügyi adat kezelése (vagy egyáltalán adatkezelés) nélkül is képes a kívánt cél elérésére (szükségesség és arányosság elve). Ilyen megoldás lehet például a higiéniai, takarítási szabályok szigorítása, találkozók elhalasztása, ezek azonban a potenciális vírushordozó személyek kiszűrésére nem jelentenek megoldást.
A magyar adatvédelmi hatóság, a Nemzeti Adatvédelmi és Információszabadság Hatóság („NAIH”) is reagált a COVID-19-re. Előrebocsátjuk, hogy a NAIH a koronavírus járvánnyal kapcsolatos adatkezelésekről szóló tájékoztatója („Tájékoztató”) 2020. március 10-i keltezésű, és az események gyors és súlyosbodó előrehaladása magával hozhatja azt, hogy a Tájékoztató egyes megállapításait akár maga a NAIH felülírja.
A NAIH a Tájékoztatóban elfogadhatónak találja a munkáltató általi megfelelő tájékoztatáson alapuló olyan kérdőívek kitöltetését, amelyek az alábbi adatokra vonatkoznak:
• a munkavállaló személyazonosságának megállapításához szükséges adatai,
• annak ténye, hogy a munkavállaló utazásának helyszíne és időpontja egybeesik-e a munkáltató tájékoztatójában felsorolt területekkel és időpontokkal,
• a tájékoztatóban megjelölt területekről érkező személyekkel való érintkezés tényére vonatkozó adatok, valamint
• a munkáltató által megtett intézkedésekre vonatkozó adatok,
amennyiben előzetes kockázatelemzés alapján a munkáltató arra az eredményre jutott, hogy az intézkedés szükséges és arányos mértékben korlátozza a munkavállalók magánszférájához fűződő jogát.
A Tájékoztatóból kiderül az is, hogy az említett munkahelyi kérdőívek nem tartalmazhatnak az egészségügyi kórtörténetre vonatkozó adatokat, és a munkáltató egészségügyi dokumentáció becsatolását sem írhatja elő. Ezenfelül egyelőre a lázmérőt alkalmazó, mindenkire kiterjedő szűrővizsgálatok előírása sem minősül arányos intézkedésnek.
Munkavállaló tájékoztatási kötelezettsége
A munkáltatóra és a munkavégzésre irányuló jogviszonyban foglalkoztatott személyre vonatkozó általános magatartási követelményekből levezethetően a foglalkoztatottaknak általános esetben tájékoztatniuk kell a munkáltatót arról, ha bármilyen, a munkahelyet, a munkavállalókat vagy a munkavégzés során a velük kapcsolatba kerülő harmadik személyeket érintő egészségügyi kockázatról van tudomásuk, ideértve saját potenciális fertőzöttségüket. Lényeges, hogy ezt a kötelezettséget nem szabad kizárólag a munkaviszonyra érteni, hanem kiterjesztően, minden munkavégzésre irányuló jogviszonyra is érteni kell.
Harmadik személyekkel (pl. ügyfelek, látogatók) kapcsolatos adatkezelés
Az 1. pontban írtak – elvi szinten – a harmadik személyekkel kapcsolatos adatkezelés során is alkalmazandók. Nyilvánvalóan a munkavégzésre irányuló jogviszonyhoz képest lehetnek addicionális vagy eltérő elemek a harmadik félhez kapcsolódó jogviszonyban, de a személyes adatok védelme és az adatvédelmi alapelvek betartása, valamint a mindig hangsúlyozott szükségesség-arányosság nem hagyható figyelmen kívül.
Cikkünk több oldalas! Lapozzon!
1. oldal - Gyűjthet-e a munkáltató egészségügyi adatot? - Adatvédelmi szabályok a koronavírusra tekintettel
2. oldal - Más természetes személy létfontosságú érdekei, mint jogalap
Conflict Night: rémálom HR-helyzetek a színpadon