Koronawirus a zbieranie danych osobowych 

Rozporządzenie o ochronie danych osobowych dopuszcza przetwarzanie szczególnych kategorii danych osobowych, np. danych o zdrowiu osoby fizycznej w sytuacjach, gdy jest to niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowa publicznego. W tej definicji zawiera się ochrona przed poważnymi zagrożeniami, takimi jak pandemia COVID-19, o czym mówi art. 9 ust. 2 lit. i RODO. W obecnej sytuacji można posłużyć się także art. 6 ust. 1 lit. d RODO, który umożliwia zbieranie i przetwarzanie danych do celów niezbędnych do ochrony żywotności interesów osób fizycznych. Dodatkową przesłanką do skorzystania z powyższych przepisów jest Motyw 46 RODO, który mówi o możliwości przetwarzania danych w sytuacji, gdy jest to niezbędne „do celów humanitarnych, w tym monitorowania epidemii i ich rozprzestrzeniania się”.

Dane na podstawie powyższych przepisów mogą gromadzić zarówno instytucje publiczne i organizacje, jak i firmy prywatne. Mogą być one zbierane od:

• pracowników
• osób odwiedzających firmę
• osób wjeżdżających na teren firmy, np. z dostawami towarów

Należy również pamiętać, że wciąż można zbierać dane na podstawie zgody osób fizycznych (art. 6 ust. 1 lit. a RODO.), jeżeli nie mamy pewności co do użycia powyższych podstaw.

Przykład: Zbieranie prywatnych numerów telefonów od pracowników jest możliwe na podstawie zgody. Wymagane jest określenie konkretnego celu pozyskania takich danych, np. kontakt podczas pracy zdalnej. Drugą możliwością kontaktu z pracownikiem jest przekierowanie połączeń z numeru stacjonarnego na telefon prywatny, lecz ta forma również wymaga zgody pracownika.

Nawet w wyjątkowych sytuacjach, jak pandemia koronawirusa, należy pamiętać o zachowaniu podstawowych zasad przetwarzania danych osobowych:

• Ilość danych osobowych powinna być adekwatna do zamierzonego celu
• Dane powinny być przetwarzane w konkretnym i wyraźnym celu
• Wobec osób fizycznych powinien zostać spełniony obowiązek informacyjny zawierający:
  • czasy retencji
  • cel przetwarzania
  • prawa osób fizycznych
  • kontakt do administratora lub IOD (jeśli jest wyznaczony).

• Obowiązek informacyjny powinien być łatwo dostępny i napisany w sposób zrozumiały dla wszystkich
• Zbiory danych osobowych powinny być zabezpieczone odpowiednimi środkami technicznymi i organizacyjnymi
• Zgoda osoby fizycznej musi być dobrowolna

Rządy, organizacje publiczne i prywatne w całej Europie podejmują środki mające na celu ograniczenie i złagodzenie skutków pandemii COVID-19. Dlatego zarówno UODO (Urząd Ochrony Danych Osobowych jak i EDPB (European Data Protection Board) opublikowali oświadczenia w tej sprawie:

https://edpb.europa.eu/our-work-tools/our-documents/other/statement-processing-personal-data-context-covid-19-outbreak_en

https://uodo.gov.pl/pl/138/1456