Egy korábbi cikkünkben megvizsgáltuk a koronavírussal kapcsolatos munkajogi vonatkozásokat; a jelen cikkben pedig ismertetjük a Nemzeti Adatvédelmi és Információszabadság Hatóság 2020. március 10. napján kiadott, a koronavírussal kapcsolatos munkáltatói adatkezelésről szóló tájékoztatójának részleteit.

A Hatóság (a továbbiakban: NAIH) elsődlegesen megállapítja, hogy a munkáltató – mint adatkezelő – elsődlegesen felelős az adatkezelés jogszerűségéért, azaz be kell tartania az általános adatvédelmi rendelet (GDPR) szabályait. A személyes és részben különleges (egészségügyi) személyes adatok gyűjtését, továbbítását, felhasználását is megvalósító adatkezelésnél is meg kell felelni az adatvédelmi alapelveknek — kiemelten az elszámoltathatóság elvének.

A NAIH rámutat arra, hogy a személyes adatok kezelése csak akkor és annyiban lehet indokolt, amennyiben az adatkezelés célját nem lehetséges adatkezelést nem igénylő eszközökkel elérni, és minden esetben vizsgálni kell, hogy létezik-e hatékony, de az érintettek magánszférájára kevésbé kockázatos megoldás: így például az alapvető higiéniai intézkedések rögzítése, a munkaeszközök, irodák alaposabb takarítása, fertőtlenítő szerek biztosítása és fokozott használatuk megkövetelése, vagy akár az ügyfélfogadás rendjének szabályozása, üvegfal alkalmazása az ügyfélszolgálaton egyes esetekben hatékony, ugyanakkor személyes adatok kezelését nem igénylő megoldást jelenthetnek.

A NAIH kifejti, hogy ha ezen eszközök elégtelennek bizonyulnak és személyes adatok kezelése feltétlenül szükségesnek tűnik, akkor ehhez az adatok kezelésének pontos célját és az adatkezelés jogszerűséget alátámasztó jogalapot kell elsőként az adatkezelőnek meghatároznia. Nem szabad figyelmen kívül hagyni az adattakarékosság elvét sem, amely előírja, hogy csak olyan adatot lehet kezelni (gyűjteni és tárolni), amely a cél megvalósításához elengedhetetlenül szükséges és azzal arányos. Az adatkezelőknek rendelkezniük kell továbbá az adatkezelés átláthatóságáról, az adatok pontosságáról és biztonságáról is.

A tájékoztatóban szükséges az érintettek számára közérthetően és kellően részletesen meghatározni az őket érintő adatkezelés célját, jogalapját, meg kell határozni továbbá az adatok megőrzésének időtartamát, valamint az adatokhoz hozzáférésre jogosultak körét; jogos érdekre alapozott adatkezelés esetén pedig szükséges az érdekmérlegelési teszt elvégzése annak igazolására, hogy az adatkezeléssel elérni kívánt célhoz fűződő érdek jelentősebb, mint az érintett magánszemélyek jogai, szabadságai vagy jogos érdekei.

A NAIH a munkáltatók számára az alábbi, „elvárható” intézkedéseket ajánlja:

• üzletmenet-folytonossági cselekvési terv kidolgozása (ebben javasolt kitérni a veszélyeztetettség csökkentése érdekében teendő megelőző lépésekre; az esetleges fertőzés megjelenésekor alkalmazandó intézkedésekre; az alkalmazott intézkedések adatvédelmi kockázatainak előzetes mérlegelésére, a szervezen belüli felelősségi kérdésekre, valamint az érintettek tájékoztatását elősegítő hatékony és megfelelő kommunikációs csatornák kiépítésére);
• a cselekvési terv részeként a veszélyeztetettséget csökkentő előzetes intézkedések keretében részletes tájékoztató kidolgozása és a munkavállalók rendelkezésére bocsátása a koronavírussal kapcsolatos legfontosabb tudnivalókról (fertőzés forrása, terjedés módja, lappangási idő, tünetek, megelőzés), valamint arról, hogy a koronavírussal való feltételezett érintkezésük esetén, valamint a tájékoztatóban meghatározott egyéb feltételek bekövetkezésekor kihez fordulhatnak;
• szükség esetén az üzletmenet, valamint az üzleti szolgálati utak és események esetleges átszervezése, az esetleges munkahelyen kívüli munkavégzés lehetőségének a biztosítása;
• nyomatékos figyelemfelhívás arra, hogy a koronavírussal való feltételezett érintkezésük esetén, valamint a tájékoztatóban meghatározott egyéb feltételek bekövetkezésekor ezt a tényt saját maguk és munkatársaik egészségének védelme érdekében haladéktalanul jelentsék az arra kijelölt személy részére, valamint haladéktalanul forduljanak vagy üzemorvoshoz, vagy más kezelőorvoshoz.

A NAIH arra is felhívja a figyelmet, hogy amennyiben a munkavállaló az esetleges kitettsége vonatkozásában bejelentést tesz a munkáltató felé, vagy a munkáltató a kitettség gyanúját a munkavállaló által megadott adatokból megállapíthatónak véli, úgy a munkáltató rögzítheti a bejelentés időpontját és az érintett munkavállaló személyazonosságának a megállapításához szükséges személyes adatait; annak tényét, hogy a külföldi — adott esetben magáncélú is — utazásának helyszíne és időpontja egybeesik-e a munkáltató tájékoztatójában felsorolt területekkel (országokkal) és megjelölt időpontokkal; a munkáltató tájékoztatójában megjelölt területekről érkező személlyel történő érintkezésének tényére vonatkozó adatokat; valamint a munkáltató rendelkezésére bocsátott információk alapján a munkáltató által megtett intézkedéseket (pl. az üzemorvoshoz fordulás lehetőségének a biztosítása, önkéntes otthoni karantén engedélyezése).

A NAIH ezen adatkörre kiterjedően elfogadhatónak tartja akár kérdőívek kitöltetését is a munkavállalókkal, amennyiben a munkáltató által előzetesen elvégzett kockázatértékelés alapján arra a megállapításra jut, hogy e módszer alkalmazása szükséges és arányos mértékben korlátozza a munkavállalók magánszférájához fűződő jogát, azonban a kérdőívek nem tartalmazhatnak az érintett egészségügyi kórtörténetére vonatkozó adatokat.

Az adatkezelés jogalapja a fentiek vonatkozásában a NAIH álláspontja szerint a munkáltató jogos érdeke. A Hatóság kifejezetten felhívja a munkáltatók figyelmét arra, hogy nem tartja arányosnak a munkáltatói intézkedéssel elrendelt, minden munkavállalóra általánosan kiterjedő, bármilyen diagnosztikai eszközt (így különösen, de nem kizárólagosan lázmérőt) alkalmazó szűrővizsgálatok előírását, testhőmérsékletére kötelezően kiterjedő vizsgálat bevezetését, tekintettel arra, hogy a koronavírus tüneteivel kapcsolatos információk összegyűjtése, értékelése, valamint azokból következmények levonása az egészségügyi szakemberek, illetve hatóságok feladata.