Pomiar temperatury u Klientów i Pracowników firmy, a ochrona danych osobowych

Wobec kolejnego etapu odmrażania gospodarki oraz umożliwienia korzystania z różnego rodzaju dużych obiektów handlowych, w celu zwiększenia bezpieczeństwa, dla zarządców galerii pojawiły się wytyczne w zakresie stosowania kamer termowizyjnych. Tego rodzaju sprzęt ma pozwolić przede wszystkim na szybkie ujawnienie klientów z podwyższoną temperaturą, a tym samym ograniczyć w danej placówce liczbę osób mających objawy choroby.
Jakkolwiek cel powyższego zalecenia zasługuje na aprobatę, to jednak z punktu widzenia gromadzenia i ochrony danych osobowych pojawiło się sporo uzasadnionych pytań i wątpliwości.
Dane pochodzące z kamery termowizyjnej mogą przecież zostać uznane za dane osobowe szczególnej kategorii w rozumieniu RODO, a tym samym zasady ich pozyskiwania i ich przetwarzania nie powinny odbywać się w sposób dowolny.
W pierwszej kolejności istotnym aspektem, który należy poddać analizie, jest kwestia możliwego zestawiania informacji o wysokości temperatury danego klienta z innymi danymi, które jego dotyczą. Innym słowy czy kamera umożliwia identyfikowanie klienta na podstawie np. jego danych biometrycznych i czy w łatwy sposób można dokonać zapisania i wygenerowania zgromadzonych w ten sposób danych.
Jeżeli tak się dzieje tzn. informacja o wysokości temperatury osoby jest zestawiana z innymi danymi osobowymi, wówczas mamy klasyczny przykład pozyskiwania i gromadzenia danych osobowych. W tej sytuacji, obowiązkiem administratora będzie odpowiednie poinformowanie klienta, którego dane są rejestrowane, o samym fakcie dokonywania zapisu i rodzaju wykorzystywanej technologii, a przede wszystkim wskazania prawidłowej podstawy dla takiego przetwarzania.
Można przyjąć, iż w powyższej sytuacji, podstawą do przetwarzania danych jest art. 9 ust. 1 lit i) RODO, który stanowi, że przetwarzanie danych dotyczących zdrowia jest dozwolone, gdy jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi.
Jeżeli już wiemy, jaki jest cel i podstawa przetwarzania, należy jeszcze pamiętać o obowiązkach związanych z samym przetwarzaniem tego rodzaju wrażliwych danych osobowych.
Zgodnie z art. 35 ust. 1 RODO, jeżeli dany rodzaj przetwarzania, w szczególności z użyciem nowych technologii, ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych.
Wobec powyższego, administrator ma obowiązek ustalić i wdrożyć szczegółowe i odpowiednie procedury wskazujące cel oraz czas przetwarzania danych lub ewentualne zrezygnować w zupełności z utrwalania zapisów z kamery termowizyjnej.

Nie należy bowiem zapominać, iż celem używania kamer do zapobiegania rozprzestrzeniania się wirusa i walki z SARS-CoV-2 nie jest przecież wykrywanie tożsamości określonych klientów.
Wobec tego, za każdym razem zarządca obiektu handlowego powinien wdrożyć takie metody i uruchomić korzystanie z takiego sprzętu, który technicznie nie będzie pozwalał na identyfikację konkretnych klientów, w szczególności jego obowiązkiem jest zapewnienie, aby dane nie były łączone z innymi informacjami klienta.
Temperatura ciała bez zestawienia jej z pozostałymi danymi o konkretnej osobie fizycznej nie stanowi bowiem danych osobowych. Jak już zostało wspomniane powyżej, dopiero w wyniku zestawienia takiej informacji z innymi danymi będzie prowadziło do zidentyfikowania konkretnej osoby fizycznej zgodnie z art. 4 pkt 1) RODO, który wprowadza definicję danych osobowych.
Niezależnie od powyższego, tj. jakie procedury zostały wdrożone u danego podmiotu tj., czy pozyskiwanie danych o temperaturze ciała klienta łączy się jeszcze z pozyskiwaniem innych danych na jego temat czy nie do obsługi takich urządzeń i przetwarzania informacji, zawsze powinny być dopuszczone wyłącznie osoby mające odpowiednią wiedzę o tym jak postępować z danymi oraz posiadające odpowiednie upoważnienia i uprawnienia.

POMIAR TEMPERATURY U PRACOWNIKÓW
Powyżej opisane reguły i zasady nie będą miały jednak zastosowania w przypadku weryfikowania temperatury ciała u pracowników.
Po pierwsze, zwłaszcza w mniejszych zakładach pracy, dane dotyczące temperatury ciała pracownika nie da się pozyskiwać bez przypisania ich do konkretnej osoby.
Tymczasem, informacja o temperaturze ciała pracownika stanowi danę szczególnej kategorii i nie można jej co do zasady przetwarzać bez odpowiedniej podstawy prawnej.
Tymczasem, w polskich przepisach ustawodawca, wprost określił, kiedy pracodawca może przeprowadzić badania pracowników. Pracownicy są obowiązani w szczególności do poddawania się wstępnym, okresowym i kontrolnym oraz innym zaleconym badaniom lekarskim.
Zauważyć należy, iż przepisy w tym zakresie nie przewidują dokonywania pomiarów temperatury ciała pracowników przez pracodawcę każdorazowo przed dopuszczeniem pracownika do pracy.
Co więcej również w artykule 22(1) kodeksu pracy, mamy zamknięty katalog danych osobowych, które ma obowiązek ujawnić pracownik na żądanie pracodawcy. Ewentualnie inne dane osobowe mogą zostać przetwarzane za zgodą pracownika. Zgodnie bowiem z art. 22(1)b kodeku pracy zgoda pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych wyłącznie w przypadku, gdy przekazanie tych danych następuje z inicjatywy pracownika. Zgoda musi mieć bowiem charakter dobrowolny, a co istotne przekazanie tych danych powinno nastąpić z inicjatywy samego pracownika.
W tym miejscu należy, wskazać, iż według stanowiska Prezesa UODO, w przypadku chęci wprowadzenia przez pracodawcę z dokonywania pomiaru temperatury ciała pracowników przy użyciu kamer termowizyjnych, powinien on zwrócić się do Głównego Inspektora Sanitarnego lub działającego z jego upoważnienia Państwowego Wojewódzkiego Inspektora Sanitarnego o wydanie decyzji nakładającej obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych względem pracowników.
Należy zauważyć, iż bezpodstawne prowadzenie badań temperatury ciała może bowiem zostać uznane za naruszające dobra osobiste pracownika. Aby nie narażać się na tego typu odpowiedzialność, pracodawca
powinien określić nie tylko podstawę prawną przetwarzania danych osobowych uzyskanych w wyniku dokonania pomiaru temperatury ciała pracowników przy użyciu kamer termowizyjnych, ale także określić warunki przeprowadzania tych badań.
Obowiązkiem Pracodawcy będzie wobec tego wdrożenie odpowiednich procedur, w którym ustalone zostanie miejsce umieszczenia kamer termowizyjnych, częstotliwość dokonywać pomiaru oraz krąg osób mających dostęp do rejestrowanych danych.
Pracodawca ma również obowiązek informacyjny wobec pracownika o celu, sposobie i podstawie prawnej przetwarzania danych pracowników. Prezes Urzędu Ochrony Danych Osobowych w stanowisku z dnia 5 maja
2020 roku, zaznaczył, iż każdy administrator (tutaj pracodawca) ma obowiązek w klauzuli informacyjnej przekazać osobom, których dane osobowe przetwarza, wszelkie niezbędne informacje w tym zakresie. Klauzula może być zawarta np. w kwestionariuszu, jak również może być dostępna w zakładzie pracy czy w urzędzie, np. w recepcji, na tablicy ogłoszeń lub na stronie internetowej. Niemniej jednak osoba, której dane dotyczą, powinna zostać poinformowana o podstawowych kwestiach związanych z przetwarzaniem jej danych osobowych najpóźniej w momencie zbierania danych, a następnie ewentualnie odesłana do pełnej treści klauzuli, która znajduje się w w/w miejscach.
Zatem pracodawca bez wątpienia powinien poinformować pracowników o zakresie, sposobie, celu oraz zasadach funkcjonowania w zakładzie pracy tego typu monitoringu pomiaru temperatury. Pracownicy powinni
wiedzieć, w jaki sposób odbywa się dokonywanie pomiaru temperatury ciała przy pomocy kamer termowizyjnych oraz że ma to służyć do oceny stanu ich zdrowia i że jest to informacja szczególnej kategorii.
Na koniec, należy nadmienić, iż w przypadku korzystania przez pracodawcę z usług firmy zewnętrznej obsługującej kamery, dochodzi do powierzenia przetwarzania danych osobowych, wobec czego konieczne jest
zawarcie tzw. umowy powierzenia przetwarzania danych.