Uvođenjem programa cijepljenja protiv COVID-19 širom EU-a, poslodavci se suočavaju s pitanjima smiju li zakonski pitati zaposlenike o njihovom statusu cijepljenja i, ako mogu, kako se te informacije mogu koristiti?
Poslodavci se mogu poželjeti raspitati o statusu cijepljenja svojih zaposlenika kako bi se udovoljilo njihovoj općoj obvezi osiguranja sigurnog radnog mjesta i minimiziranja rizika od izloženosti COVID-19.
To postavlja pitanje privatnosti prema Općoj uredbi o zaštiti podataka („GDPR“), jer status cijepljenja zaposlenika spada u posebnu kategoriju osobnih podataka koja se tiče zdravlja pojedinaca (članak 9. stavak 1.). Ova je kategorija podložna strožim mjerama zaštite podataka zbog osjetljive i osobne prirode podataka, a može se obrađivati samo u vrlo ograničenim okolnostima (članak 9. stavak 2.).
Pristupi prikupljanju i obradi podataka o cijepljenju u cijeloj EU i Velikoj Britaniji su različiti. Nekoliko zemalja, uključujući Belgiju, Francusku, Njemačku, Italiju, Nizozemsku i Irsku izdale su smjernice u kojima se navodi da poslodavci ne smiju pitati zaposlenike o njihovom statusu cijepljenja jer za to ne postoji valjana pravna osnova.
Ovdje možete pronaći smjernice irskog nadzornog tijela:
https://www.dataprotection.ie/en/dpc-guidance/processing-covid-19-vaccination-data-context-employment
Različiti pogledi diljem Europe
U nekim zemljama, poput Nizozemske i Italije, ako zaposlenici liječnicima medicine rada otkriju podatke koji se odnose na njihov status cijepljenja, liječniku može biti dopušteno obrađivati njihove zdravstvene podatke u određenim okolnostima (npr. Nizozemska dopušta obradu takvih podataka u slučaju odsutnosti ili reintegracije zaposlenika), ali bit će vezani obvezama povjerljivosti i stoga te podatke ne mogu otkriti poslodavcu. Uz to, mogu se dopustiti upiti opće prirode (npr. talijanski propisi dozvoljavaju poslodavcu da pita liječnika medicine rada je li zaposlenik sposoban za rad).
Suprotno tome, druge zemlje poput Austrije, Finske, Španjolske i Ujedinjenog Kraljevstva dozvoljavaju poslodavcu da prikuplja zdravstvene podatke od zaposlenih u mjeri u kojoj su informacije potrebne da bi se osigurala sigurnost i zaštita javnog zdravlja na radnom mjestu (tj. da bi se spriječile infekcije ili širenje pandemije na radnom mjestu, ali i izvan). Ova obrada podataka temelji se na članku 9. stavku 2. točki (b) GDPR-a, koji dopušta obradu zdravstvenih podataka „u svrhu izvršavanja obveza i ostvarivanja određenih prava voditelja obrade ili isputanika na području rada“.
Nužnost i proporcionalnost
Sve mjere poduzete kako bi se osigurala sigurnost radnog mjesta moraju biti nužne i proporcionalne, što znači ne postoje manje nametljive alternativne mjere za postizanje istog rezultata. Ujedinjeno Kraljevstvo zahtijeva da poslodavci imaju “jasan i nužan” razlog za prikupljanje podataka o cijepljenju od zaposlenih i da te razloge procjenjuju provođenjem procjene legitimnog interesa i/ili procjene utjecaja na zaštitu podataka. Nadalje, s obzirom na upotrebu podataka o cijepljenju, španjolske smjernice ukazuju na to da se informacije mogu koristiti samo u skladu sa španjolskim zakonima o radu, koji zabranjuje poslodavcima upotrebu tih podataka radi diskriminacije zaposlenika koji odbiju cijepljenje. To je u skladu s obvezama koje su preuzele institucije EU u osiguranju nediskriminacije između cijepljenih i necijepljenih osoba.
Za obradu podataka o cijepljenju, potencijalne iznimke od zabrane obrade posebnih kategorija osobnih podataka prema članku 9. GDPR-a uključuju pristanak i potrebu za sigurnošću određenih profesija. Na primjer, iako nije službena izjava, glasnogovornik poljskog tijela za zaštitu podataka sugerirao je u nedavnom članku da poslodavci mogu pitati zaposlenike jesu li cijepljeni na temelju pristanka – napominjući da, s obzirom na neravnotežu koja postoji kod odnosa poslodavac – radnik, poslodavci moraju osigurati da se takav pristanak daje slobodno i valjanom dajući slobodu stvarnog izbora. Isto tako, neke zemlje – uključujući Njemačku i Irsku – smatraju da postoje određene profesije odnosno područja rada/zapošljavanja u kojima poslodavac može zakonito obrađivati podatke o cijepljenju na temelju njihove potrebe i nužnosti u odnosu na zdravstvene i druge mjere zaštite. Na primjer, cijepljenje se može smatrati nužnom sigurnosnom mjerom za zaposlenike koji rade u bolnicama, medicinskim ustanovama, hitnim službama ili bilo kojoj drugoj zdravstvenoj službi.
Ostala ključna razmatranja
U nedostatku jedinstvenog pristupa, poslodavci bi općenito trebali postupiti oprezno kada odlučuju hoće li prikupiti i obraditi podatke o cijepljenju svojih zaposlenika. Osjetljivi zdravstveni podaci ove vrste trebaju se prikupljati samo u posebne legitimne svrhe i samo u mjeri u kojoj je to potrebno i proporcionalno. Također, ako se prikupljaju podaci o cijepljenju, trebali bi se koristiti samo u zakonite i nediskriminirajuće svrhe, čuvati na sigurnom, čuvati samo tijekom minimalnog razdoblja potrebnog za ispunjenje njihove legitimne svrhe i na njih se trebaju odnositi postojeće dužnosti povjerljivosti koje se duguju zaposlenicima. Poslodavci trebaju putem obavijesti biti transparentni u pogledu svojih razloga za provjeru ili evidentiranje statusa cijepljenja zaposlenika i kako će se ti podaci koristiti.
Poslodavci bi trebali biti posebno oprezni ako bi prikupljanje podataka o cijepljenju moglo imati negativne posljedice za zaposlenike – npr. uskraćivanje mogućnosti zaposlenja. Takve mjere mogu rezultirati kršenjem zakona o zapošljavanju, uključujući zakone protiv diskriminacije, ovisno o okolnostima.
Što se tiče Agencije za zaštitu osobnih podataka, u medijima smo mogli pročitati njihov stav: „Podatak o cijepljenju je zdravstveni podatak i kao takav predstavlja posebnu kategoriju osobnih podataka u smislu odredbi Opće uredbe o zaštiti podataka. Obrada takvih podataka je načelno zabranjena, stoga je za njihovu obradu, uz pravni temelj, potrebno i postojanje jedne od iznimaka iz članka 9. stavka 2. Opće uredbe o zaštiti podataka. Cijepljenje protiv bolesti COVID-19 je dobrovoljno u Republici Hrvatskoj te obveza cijepljenja nije propisana posebnim propisima, stoga ni poslodavac nema pravni temelj na osnovu kojeg bi zahtijevao od radnika potvrdu o cijepljenju” – poručili su iz Agencije za zaštitu osobnih podataka.
Ono što svakako treba uzeti u obzir da bi korištenje privole u kontekstu ankete pod uvjetom ispunjenja svih zahtjeva GDPR-a vezano uz privolu, osobito ukoliko zaposleniku stvarno date izbor da se ne izjasni odnosno ne želi izjasniti o statusu cijepljenja moglo ispuniti sve o čemu su govorili službenici našeg nadzornog tijela.
Preostaje nam tek vidjeti kako će se razvijati situacija s prikupljanjem podataka o cijepljenju u Hrvatskoj, kao i diljem Europe i hoće li Europska Unija zauzeti jedinstveni stav po tom pitanju.
