Védettségi igazolvány kontra GDPR: Mit ismerhet meg a munkáltató? (II. rész)
A koronavírus védettségi igazolványával kapcsolatos adatvédelmi kérdéseket körüljáró két cikkünk első részében bemutattuk, milyen problémákat vet fel ez a munkáltatóknál; hogy mit szól mindehhez az adatvédelmi hatóság – benne egy kiszabott tízmilliós bírsággal –; illetve gyakorlati kérdéseket jártunk körbe. A témakört folytatva újabb példákat vonultatunk föl és bepillantunk pár EU-s ország gyakorlatába is.
Sokakban felvetődhet a védettségi igazolvánnyal összefüggő munkáltatói adatkezeléssel kapcsolatban, hogy annak rossz gyakorlatai tulajdonképpen az európai adatvédelmi rendelet nyilvánvaló arculcsapásai – így nem is tanácsos a munkavállalók egészségügyi adatainak kezelése. Ez bizonyos szempontból helytállónak látszik, ám a munkavállalók védettségére vonatkozó adatok előbb-utóbb szembe fognak jönni velünk, és nem kerülhetjük el azok megfelelő kezelését. Ezt erősíti , hogy 2021. május 10-étől a közigazgatásban elrendelt otthoni munkavégzés és a gazdaság szereplőinek felkérése, hogy lehetőleg erre törekedjenek, megszűnt.
Az adatkezelés előtt szükséges meghatározni annak jogalapját, célját, az előző cikkünkben leírtak szerint kockázatelemzést végezni, és az az érintetteket teljes körűen tájékoztatni.
Minden esetben kötelező az adatkezelési tájékoztató elkészítése és megismertetése a munkavállalóval, illetve adott esetben érdekmérlegelési teszt elvégzése is szükséges lehet.
Gyakori hibák
Gyakori hiba, hogy a munkavállalókat nem tájékoztatják megfelelően az adatkezelésről: előfordult olyan eset, hogy egy központi e-mail címre kellett megküldeni a védettséggel kapcsolatos adatokat, amelyeket ugyan megfelelő módon azonnal töröltek a rögzítést követően, ám a munkavállalókat nem tájékoztatták az adatkezelési célokról, csupán szankciót helyeztek kilátásba meg nem küldésük esetére.
Láttunk olyan megoldást is, hogy a munkavállalók akár indokolás nélkül, akár indokolással kérelmezhetik a távmunkában történő munkavégzés folytatását, amíg nem elérhető számukra a megfelelő oltás – ami akár jó gyakorlat lehet. Ilyen megoldás esetén is figyelni kell azonban arra, hogy a munkavállalói kérelemben csak a feltétlenül szükséges adatokat kérjük be és körültekintően tároljuk azokat. Ahogyan korábban is kiemeltük, fontos továbbá, hogy megfelelő tájékoztatást nyújtsunk a munkavállalónak, illetve a kérelmek tárolási ideje is korlátozott, szabályozott legyen. Mindezek betartásával és megfelelő előkészítésével tehát kialakítható a jó gyakorlat.
Az adatkezelést mindig követnie kell intézkedési tervnek és tényleges munkáltatói tevékenységnek (például távmunka elrendelése, munkaállomások elkülönítése). Be kell igazolódnia tehát, hogy a védettségi adatokra alapított következtetés és munkáltatói tevékenység csökkentheti a fertőzés kockázatát. Mindaddig, amíg nem követi intézkedés az adatkezelést, az „készletező adatkezelés” marad, amit pedig a GDPR tilalmaz.
Érdekes helyzet alakulhat ki addigra, amikorra a fertőzések, betegségek száma olyan szinten lecsökken majd, hogy a fertőzés kockázata a napi munkavégzés során elhanyagolhatóvá válik (néhány egészségügyi munkakör kivételével). Hogyan felelhet meg egy ilyen helyzetben a munkaadó adatkezelése? Elfogadhatjuk a közegészségügyi érdekre hivatkozást? Aki saját maga védelme érdekében a védőoltást fontos eszköznek tartja, beoltathatta magát. A más munkavállalók és ügyfelek védelme érdekében a munkát végző munkavállaló védettségi igazolásának megkövetelése egyes nézőpontok szerint aránytalan intézkedés lehet.
Egészségügyi jogi szempontból maga a védettség fogalma is problémás lehet a védettségi igazolás tekintetében: létezik egy időbeli különbségtétel; így a védettségi kártyát, függetlenül attól, hogy pontos ismeretünk lenne a vakcinák hatásosságának időtartamáról, a beoltottaknak határozatlan időre adják ki, míg a betegségen átesettek számára fél évre.
Mi a helyzet más EU-s országokban?
Egy kis EU-s kitekintés gyanánt nézzük meg például elsőként a spanyol adatvédelmi hatóság (AEPD) honlapját: tavaly márciusában tettek közzé egy jelentést, amelyben mondhatni érintőlegesen foglalkoztak a személyes adatok koronavírussal összefüggő kezeléséről, továbbá jelen információink alapján Spanyolországban nincs tervben saját védettségi igazolvány kiállítása, az ottani kormány a EU-s vakcinaútlevélre vár. A francia hatóság (CNIL) oldalán jóval több publikációval találkozhatunk, amelyek közül érdemes kiemelni, hogy ők kifejezetten egészségügyi szakemberek, foglalkozás-egészségügyi szolgáltatók kezébe adják a munkavállalók fertőzöttségével, betegségével kapcsolatos adatok kezelését. A munkáltató ezekre a munkaegészségügyi szolgálatokra támaszkodhat, a COVID-19 vírussal kapcsolatos egészségügyi adatokat csak ezek a szolgálatok gyűjthetnek, amelyek alapján a munkáltató ki tudja dolgozni a szükséges üzletmenet-folytonossági tervet.
A cikkeinkben olvasottak alapján láthatjuk, hogy nagyon sok feladat vár még a védettségi igazolványok munkáltatói adatkezelése terén mind a jogalkotókra, adatvédelmi és egészségügyi szakemberekre, mind a munkáltatókra, foglalkoztatókra. Mi sem bizonyítja ezt jobban a témával kapcsolatos általános bizonytalanságok mellett, mint hogy cikkeink írása idején az Alapvető Jogok Biztosának Hivatalához néhány nap alatt több, mint 800 panasz érkezett a védettségi igazolványokkal kapcsolatban. Letölthetővé vált továbbá a védőoltást igazoló mobilalkalmazás, ami további adatvédelmi kérdéseket vethet fel.
A kérdések útvesztőjében nem könnyű jelenleg eligazodni, minden eset és helyzet más és más, ezért érdemes lehet a folyamatok kialakításában és a helyzet szakszerű kezelésébe szakértő támogatást bevonni – amiben a Crosssec Solutions felkészült szakemberei készséggel állnak az érdeklődők rendelkezésre.
