Sporo osób powtarza ostatnio, że nie szkoda róż gdy płonie las. Mi szkoda. I lasu i róż. Stąd kilka zdań, z przymrużeniem oka, o ostatnim stanowisku PUODO.
5 maja, czyli 52 dni po wprowadzeniu w Polsce stanu zagrożenia epidemicznego, Prezes Urzędu Ochrony Danych Osobowych opublikował stanowisko w sprawie Sprawdzania temperatury w celu zapobiegania rozprzestrzeniania się COVID-19. Na falę krytyki nie musiał jednak czekać półtora miesiąca. Czy słusznie?
W skrócie, w swoim stanowisku PUODO wskazuje, że pomiar temperatury w zakładzie pracy będzie zgodny z przepisami o ochronie danych osobowych, jeżeli będzie wykonywany na podstawie decyzji, wytycznych lub zaleceń Głównego Inspektora Sanitarnego (art. 9 ust. 2 lit. i w związku z art. 17 ustawy covidowej z 2 marca br.). Innych podstaw nie podaje, natomiast podkreśla, że zgoda pracownika będzie niewłaściwą przesłanką z uwagi na brak jej dobrowolności. Tyle.
GIS generalnych wytycznych w tym zakresie nie wydał. Nie dziwne, bo temperatura ciała wcale nie musi być dobrą i skuteczną metodą wykrywania osób zakażonych (okres wylęgania choroby, przebieg bezobjawowy, podwyższona temperatura z innych powodów), ale to temat dla epidemiologów. Ponadto praktyka pokazuje, że nie GIS jest skory do wydawania takich decyzji w indywidualnych przypadkach zakładów pracy. Nawet jeśli by się ktoś uparcie dopraszał, to wpada w machinę administracyjną. Przypominam, że końca dobiega drugi miesiąc z epidemią. W związku z powyższym wydaje się, że stanowisko PUODO wskazuje – jako jedyną możliwą – mało praktyczną ścieżkę postępowania. W mojej ocenie, nie jest to jednak największy problem…
W stanowisku zabrakło jakiejkolwiek wzmianki o ocenie skutków przetwarzania (art. 35 RODO) lub przynajmniej analizie ryzyka naruszenia praw i wolności osób fizycznych (art. 24 RODO). Szkoda, bo to bardzo ważny obszar! Wyobraźmy sobie taką scenę:
Przy wejściu do pracy siedzi ochroniarz z termometrem. Osoby z temperaturą ciała do 37*C wchodzą, reszta jest odnotowywana w rejestrze i może wracać do domu. Do tego jest ankieta dot. objawów – na jej podstawie osoby są kierowane na szybkie testy kupione przez pracodawcę.
Pierwsza jest Pani Anna, której bardzo zależy aby być tego dnia w pracy na ważnym spotkaniu. Niestety ma 37,3*C. Na szczęście zna ochroniarza, tłumaczy mu, że podwyższona temperatura, to drugi etap objawów kiły i jest w trakcie leczenia. Wchodzi.
Drugi jest Pan Andrzej. Co prawda ma 36,6*C, jednak wchodząc zakasłał, bo jest palaczem. Ochroniarz nie lubi palaczy, więc kieruje Pana Andrzeja na przesiewowe badanie na covid – ma przecież wszystkie syndromy bezobjawowego covid-19 plus kaszel.
Tak to niestety może wyglądać. Może to być realizowane na podstawie decyzji GIS, może być z wykorzystaniem kamer termowizyjnych, może być w słusznej sprawie. Ale może też wkraczać w naszą prywatność z butami. Niestety model rekomendowany przez PUODO (bo stanowiska tego organu nie są wiążące) pozbawia nas jakichkolwiek gwarancji ochrony prywatności. Wszystko zależy od GIS i tego, czy w swoich decyzjach, wytycznych lub zaleceniach uwzględni ochronę prywatności.
A nie musi tak być. Jest jeszcze opcja alternatywna. Zgodnie z art. 9 ust. 2 lit. h RODO przetwarzanie danych wrażliwych jest dopuszczalne, jeżeli „jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3”, czyli „są przetwarzane przez – lub na odpowiedzialność – pracownika podlegającego obowiązkowi zachowania tajemnicy zawodowej”. Taki pracownik zobowiązany do zachowania tajemnicy zawodowej (np. pielęgniarka) stanowiłby bufor pomiędzy osobą fizyczną, a przedsiębiorcą (pracodawcą). Gwarantowałby profesjonalizm działań i zapewniał poszanowanie prywatności. Co ciekawe, w niektórych zakładach pracy są zatrudnione takie osoby.
Niestety zalecenie zatrudniania pracowników służby zdrowia w firmach, w okresie epidemii działa na niekorzyść służby zdrowia, która boryka się z problemami kadrowymi i mogłoby być źle widziane przez przedsiębiorców w kryzysie ekonomicznym. Dlatego tego modelu nie zobaczymy w stanowisku PUODO. Szkoda, bo choć wcale nie jest prosty, to w mojej ocenie jest najwłaściwszy i daje największe gwarancje ochrony danych osobowych. A przecież wygoda lub koszty nie powinny być argumentem za pozbawianiem nas prawa do prywatności.
Podsumowując, przez lata patrzyliśmy na Chiny z przerażeniem, kiedy w przestrzenia publicznej montowano monitoring rozpoznający twarze, obywatelom przyznawano punkty, a prywatność była ostatnim elementem branym pod uwagę. Teraz Chiny patrzą na nas z zaciekawieniem, jak dalece skręcimy w ich kierunku? Jak pisał Nietzsche, kiedy spoglądasz w otchłań ona również patrzy na ciebie 😉