Zaměstnavatelé se při plnění státem nařízeného testování zaměstnanců stávají správci speciálních intimních dat lidí. Při zjišťování, zda je zaměstnanec nakažený Covidem -19 zpracovávají zvláštní kategorii osobních údajů o zdravotním stavu. Doba uchování těchto dat nebyla vládním opatřením stanovena, upozornil Úřad pro ochranu osobních údajů. Firmy jsou povinny data chránit před neoprávněným přístupem a nesmí je použít k jinému účelu.
Úřad pro ochranu osobních údajů poskytl k aktuální povinnosti testovat zaměstnance na přítomnost nákazy COVID-19 první, rámcové stanovisko. Toto stanovisko bude dále upřesňovat
Povinnost testovat zaměstnance na přítomnost koronaviru je zaměstnavatelům nařízena mimořádným opatřením Ministerstva zdravotnictví (MZDR 47828/2020-16/MIN/KAN).
Proti ztrátě, úniku šíření
„Zaměstnavatelé při plnění uložené povinnosti zajišťovat testování zaměstnanců na přítomnost nákazy COVID-19 zpracovávají osobní údaje ke splnění právní povinnosti, která se na ně vztahuje dle obecného nařízení. Pokud dochází ke shromažďování osobních údajů přímo ze strany zaměstnavatele, dostává se ve smyslu obecného nařízení do role správce osobních údajů,“ uvádí k tomu Úřad pro ochranu osobních údajů.
Proto se na sběr těchto informací o zaměstnancích vztahuje povinnost přísné ochrany proti úniku a šíření. „Zaměstnavatelé musejí zároveň zajistit, aby osobní údaje byly zpracovávány s co nejvyšší ochranou soukromí, tedy aby standardně nebyly zpřístupněny neomezenému počtu osob. Samotná evidence provedených testů zaměstnanců musí být náležitě zabezpečena a přístup k ní by měly mít pouze osoby pověřené plněním úkolů k dodržování mimořádného opatření,“ upozorňuje ÚOOÚ.
Data je nutno ochránit před ztrátou nebo šířením znepřístupněním prostor, kde jsou sbírána a zabezpečením dat.
Je to zvláštní kategorie dat o zdraví lidí
Podle Úřadu nesmí být získané informace o zaměstnancích použiti jinak: „Z důvodu veřejného zájmu v oblasti veřejného zdraví dle obecného nařízení je při testování zaměstnanců zpracovávána také zvláštní kategorie osobních údajů vypovídajících o zdravotním stavu. Samotné záznamy o provedení testů u jednotlivých zaměstnanců je možno využívat pouze v přímé souvislosti s plněním povinností uložených mimořádným opatřením.“
Jak dále uvádí Úřad, vlastní záznamy o provedení testů u zaměstnanců mohou obsahovat pouze základní identifikační údaje zaměstnance (jméno, příjmení, číslo pojištěnce), údaje o zdravotní pojišťovně zaměstnance, údaje o přesném čase provedení testu a výsledek testu na nákazu COVID-19. Totéž se týká i těch, kteří prokáží výjimku z testování.
Zaměstnanec má právo vědět, co s jeho daty bude
„Doba uchování evidence provedených testů zaměstnanců nebyla v tomto opatření stanovena. Lze dovodit, že zaměstnavatelé mají povinnost vést evidenci provedených testů zaměstnanců nejméně do zrušení mimořádného opatření k provádění povinného testování zaměstnanců a k nezbytné kontrole zpracování plateb a nároků, které mohou v důsledku testování vzniknout,“ uvádí k tomu Úřad.
Navíc má zaměstnavatel povinnost informovat zaměstnance, jak s jeho daty bude dále nakládat: „Upozornit je třeba i na povinnost poskytnout zaměstnancům, v rámci informace o druhu a povaze testů a o zvoleném způsobu testování, také konkrétní informace o zpracování osobních údajů za účelem testování, mimo jiné o právním základu tohoto zpracování, případném předání údajů orgánům ochrany veřejného zdraví jako příjemcům a době uložení údajů. Záznamy o zpracování osobních údajů zaměstnanců za účelem testování jsou vedeny jako součásti záznamů o činnostech zpracování podle článku 30 obecného nařízení,“ stojí v prvním stanovisku ÚOOÚ k povinnému testování.
Firmy mají povinnost udržet pracoviště bez Covid-19
Povinnost udržovat pracoviště bezpečné a zdraví neohrožující má každý zaměstnavatel podle zákoníku práce, upozornil už dříve Úřad. „Zákoník práce obecně ukládá zaměstnavateli povinnost vytvářet bezpečné a zdraví neohrožující pracovní prostředí a pracovní podmínky vhodnou organizací bezpečnosti a ochrany zdraví při práci a přijímáním opatření k předcházení rizikům.“
„V konkrétních situacích je zaměstnavatel povinen postupovat tak, aby předcházel rizikům, odstraňoval je nebo minimalizoval, mluví se o tzv. prevenční povinnosti. Zaměstnavatel je tedy v situaci ohrožení povinen přijmout potřebná ochranná opatření odpovídající daným okolnostem. Je přirozeně vhodné postupovat v součinnosti s orgány ochrany veřejného zdraví, kterým je také zaměstnavatel v některých situacích povinen ohlásit skutečnosti stanovené právní úpravou,“ vysvětlil Úřad pro ochranu osobních údajů už dříve v souvislosti s COVID-19.
Irena Válová
