Koronawirus a zbieranie danych osobowych

Koronawirus a zbieranie danych osobowych 

Krzysztof Grabowski, Inspektor Ochrony Danych Osobowych 
2020-04-21
Koronawirus a zbieranie danych osobowych
W dobie pandemii koronawirusa przepisy dotyczące ochrony danych osobowych dostarczają firmom narzędzi ułatwiających funkcjonowanie w tym wyjątkowo trudnym okresie. Jakie możliwości przetwarzania danych w wyjątkowych sytuacjach dopuszcza RODO?

Rozporządzenie o ochronie danych osobowych dopuszcza przetwarzanie szczególnych kategorii danych osobowych, np. danych o zdrowiu osoby fizycznej w sytuacjach, gdy jest to niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowa publicznego. W tej definicji zawiera się ochrona przed poważnymi zagrożeniami, takimi jak pandemia COVID-19, o czym mówi art. 9 ust. 2 lit. i RODO. W obecnej sytuacji można posłużyć się także art. 6 ust. 1 lit. d RODO, który umożliwia zbieranie i przetwarzanie danych do celów niezbędnych do ochrony żywotności interesów osób fizycznych. Dodatkową przesłanką do skorzystania z powyższych przepisów jest Motyw 46 RODO, który mówi o możliwości przetwarzania danych w sytuacji, gdy jest to niezbędne „do celów humanitarnych, w tym monitorowania epidemii i ich rozprzestrzeniania się”.

Dane na podstawie powyższych przepisów mogą gromadzić zarówno instytucje publiczne i organizacje, jak i firmy prywatne. Mogą być one zbierane od:

  • pracowników
  • osób odwiedzających firmę
  • osób wjeżdżających na teren firmy, np. z dostawami towarów

Należy również pamiętać, że wciąż można zbierać dane na podstawie zgody osób fizycznych (art. 6 ust. 1 lit. a RODO.), jeżeli nie mamy pewności co do użycia powyższych podstaw.

Przykład: Zbieranie prywatnych numerów telefonów od pracowników jest możliwe na podstawie zgody. Wymagane jest określenie konkretnego celu pozyskania takich danych, np. kontakt podczas pracy zdalnej. Drugą możliwością kontaktu z pracownikiem jest przekierowanie połączeń z numeru stacjonarnego na telefon prywatny, lecz ta forma również wymaga zgody pracownika.

Nawet w wyjątkowych sytuacjach, jak pandemia koronawirusa, należy pamiętać o zachowaniu podstawowych zasad przetwarzania danych osobowych:

  • Ilość danych osobowych powinna być adekwatna do zamierzonego celu
  • Dane powinny być przetwarzane w konkretnym i wyraźnym celu
  • Wobec osób fizycznych powinien zostać spełniony obowiązek informacyjny zawierający:
    • czasy retencji
    • cel przetwarzania
    • prawa osób fizycznych
    • kontakt do administratora lub IOD (jeśli jest wyznaczony).
  • Obowiązek informacyjny powinien być łatwo dostępny i napisany w sposób zrozumiały dla wszystkich
  • Zbiory danych osobowych powinny być zabezpieczone odpowiednimi środkami technicznymi i organizacyjnymi
  • Zgoda osoby fizycznej musi być dobrowolna

Rządy, organizacje publiczne i prywatne w całej Europie podejmują środki mające na celu ograniczenie i złagodzenie skutków pandemii COVID-19. Dlatego zarówno UODO (Urząd Ochrony Danych Osobowych jak i EDPB (European Data Protection Board) opublikowali oświadczenia w tej sprawie:

https://edpb.europa.eu/our-work-tools/our-documents/other/statement-processing-personal-data-context-covid-19-outbreak_en

https://uodo.gov.pl/pl/138/1456


COVID- 19

Pakiet wsparcia biznesu