Prelucrări suplimentare de date personale ale angajaților în contextul COVID -19 – date privind starea de sănătate (I)
Decretarea stării de urgența la 16 martie 2020, a determinat schimbări majore privind modalitatea de desfăsurare a activităților în cadrul companiilor, indiferent de mărimea acestora, înreg mediul de afaceri fiind obligat să gasească soluții noi și să se adapteze noilor măsuri impuse de autorități. Departementele de HR au fost nevoite să implementeze noi măsuri privind asigurarea sănătații și securitații în muncă pentru angajați sau pentru alte categorii, precum parteneri sau colaboratori, măsuri care nu de puține ori presupun și prelucrarea unor date cu caracter personal.
Deși starea de urgența presupune clar o situație excepționala, angajatorii trebuie să respecte, în continuare, principiile de prelucrare a datelor cu caracter personal atunci când prelucrează date personale ale angajaților și nu numai, aplicarea Regulamentului General privind Protecția Datelor cu Caracter Personal (Regulament) nefiind suspendată pe perioada stării de urgență.
În principal, pentru implementarea masurilor de distanțiere sociala și de prevenire a raspândirii coronavirusului, contextul actual ar putea presupune prelucrarea unor date personale suplimentare, inclusiv date privind sănătatea (cum ar fi temperatura, eventuale călătorii în zone roșii, contact cu anumite persoane, etc.), date care din punct de vedere GDPR pot fi considerate date cu caracter special.
Cum putem prelucra date cu privire la sănătatea angajaților?
Prelucrarea datelor privind sănătatea angajaților trebuie efectuată cu respectarea a doua articole din Regulament: art. 6 care reglementează principiului legalității și art. 9 care reglementează temeiurile în baza cărora pot fi prelucrate datele cu caracter special.
Trebuie subliniat faptul că, deși există obligația angajatorului de a asigura sănătatea și securitatea în muncă, considerăm că ar fi exagerat ca prelucrarea datelor privind sănătatea angajaților, în acest context, să se facă în conformitate cu art. 6 alin. (1) lit. c) din GDPR, și anume îndeplinirea unei obligații legale.
Astfel, în funcție de specificul activității și procedurile interne deja aplicabile la nivel de societate, consideram că una dintre modalitățile oportune de prelucrare a datelor privind sănătatea salariaților ar putea fi lit. f) art. 6 din GDPR, interesul legitim al operatorului, caz in care este obligatoriu a se face un test de proporționalitate între interesul urmărit de angajator și drepturile și libertățile fundamentale ale persoanei vizate. În ceea ce privește prelucrarea în conformitate cu art. 9 putem aveam în vedere lit. g) care prevedere că prelucrarea se poate face dacă există un „interes public major, în baza dreptului Uniunii sau a dreptului intern, care este proporțional cu obiectivul urmărit, respectă esența dreptului la protecția datelor și prevede măsuri corespunzătoare și specifice pentru protejarea drepturilor fundamentale și a intereselor persoanei vizate”.
! Bine de știut
Nu vă bazați pe consimțământul angajaților atunci când vreți să prelucrați date suplimentare despre aceștia, vă amintim că în relația angajat – angajator nu se consideră valid consimțământul dat de angajat, deoarece acesta nu poate fi exprimat în mod liber, avand in vedere relația de subordonare.
Mai este necesară informarea angajaților in contextul prelucrării?
În cazul în care considerați că este necesar să prelucrați date suplimentare ale angajaților dvs. va trebui să respectați obligațiile prevăzute la art. art. 13 și art. 14 privind informarea persoanei vizate.
! Informarea ar trebui să:
fie clară și înțeleasă de persoana căreia îi este adresată, limbajul fiind unul accesibil,
cuprindă perioada pentru care urmează să stocați datele,
cuprindă scopurile pentru care stocați datele,
cuprindă drepturile pe care persoana vizată le are și modalitatea în care le poate exercita.
! Asigurați-vă că:
scopurile pentru care prelucrați datele sunt determinate, explicite și legitime,
datele prelucrate sunt adecvate, relevante și limitate. Nu prelucrați mai multe date decât sunt necesare. De exemplu în cazul în care ați implementat procesul de a lua temperatura angajațilior, vedeți dacă este necesară stocarea acestor date, nu este oportun să prelucrați niște date pe principiul lasă că poate îmi trebuie,
perioada de stocare nu este excesivă, în cazul în care nu puteți stabili încă o perioadă puteți pune una varialibă de ex.: datele vor fi șterse în termen de 3 luni de la data încetării stării de urgență,
ați luat măsuri adecvate de securitate,
accesul la date este restricționat exclusiv la persoanele autorizate în acest sens.
!Bine de știut
Datele suplimentare colectate despre angajați în acesată perioadă nu trebuie stocate în dosarul de personal al angajaților dvs., acest lucru putând fi considerat a fi excesiv.
articol realizat prin susținerea
scris de Florina Stancu
Partener @Brexton
împreună cu
Mihaela Volintirescu
Senior Legal Adviser @Brexton
Aveti intrebări?
Brexton vă stă la dispoziție!
Ne puteți contacta la: florina.stancu@brexton.ro, sau la telefon 0726 301 972
mihaela.volintirescu@brexton.ro sau la telefon 0737 800 276.
Dacă dorești să rămâi la curent cu noutățile din comunitate și să îți fie trimise în fiecare lună aceste informații, te invităm să te abonezi la newsletterul lunar.