A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) április elsején kiadott egy általános iránymutatást – elsősorban a Munka Törvénykönyve alá tartozó jogviszonyokra – a jelenlegi járványhelyzetre arról, hogy a munkáltatók milyen feltételek mellett ismerhetik meg, hogy dolgozóik védettséget szereztek-e a koronavírussal szemben. Ennek lényegét foglaltuk össze.
A kiindulás, hogy a hatályos adatvédelmi szabályok alapján az adatkezelő – így a védettség tényét megismerni kívánó munkáltató – felelős az adatkezelés jogszerűségéért.
Néhány sarokpont a munkáltatók számára:
- A munkáltatónak mint adatkezelőnek elsőként a személyes adatok kezelésének (így a munkavállaló koronavírus elleni védettsége tényére vonatkozó adatok kezelésének) pontos célját és az adatkezelés jogszerűségét alátámasztó jogalapot kell meghatároznia. A védettség ténye – akár a felgyógyulás COVID-19 betegségből, akár az oltottság – a GDPR alapján különleges személyes egészségügyi adat.
- A NAIH álláspontja szerint a vonatkozó uniós és magyar jogszabályok alapján munkajogi, munkavédelmi, foglalkozás-egészségügyi, valamint munkaszervezési céllal, kockázatelemzés alapján az egyes munkakörökben vagy foglalkoztatotti személyi körnél szükséges és arányos intézkedésnek minősülhet, ha a munkáltató megtudja, hogy a munkavállaló védett-e a koronavírus ellen.
- Az adatkezelés célja kizárólag az lehet, hogy a munkáltató megtehesse és meg is tegye a szükséges intézkedéseket azért, hogy a munkajogi, munkavédelmi, foglalkozásegészségügyi, valamint munkaszervezési szabályoknak megfeleljen. Csak emiatt lehet jogosult megismerni a munkavállalók koronavírus elleni védettségének tényét.
- Ennek a célnak valósnak, tehát a munkáltató által alátámaszthatóan ténylegesnek kell lennie (tehát ha úgy dönt, hogy bekéri ezen adatokat, akkor azok birtokában és azok alapján köteles is intézkedéseket tenni és azokat dokumentálni), illetve fontos elvárás, hogy csak olyan adatokat kezeljen, amelyek e cél elérésére alkalmasak.
- Az adatkezelést a fentiek figyelembevételével, az adatvédelmi alapelveknek – kiemelten az elszámoltathatóság elvének – megfelelve kell kialakítani.
- Nem szabad figyelmen kívül hagyni az adattakarékosság elvét sem, amely előírja, hogy csak olyan adatot lehet kezelni, amely a cél megvalósításához elengedhetetlenül szükséges és azzal arányos. Kormányrendelet rögzíti, hogy a koronavírus elleni védettség igazolására vagy az Elektronikus Egészségügyi Szolgáltatási Tér működtetője által biztosított applikáció szolgálhat, vagy a hatósági igazolvány (ún. védettségi igazolvány). A munkáltató ezért – a hatályos jogszabályi keretek között – kizárólag az applikáció, valamint a védettségi igazolvány rendeletben meghatározott adatait kezelheti. Semmilyen egyéb adatot nem gyűjthet és kezelhet jogszerűen tehát a koronavírus elleni védettség igazolásának céljára.
- Hogy szükséges-e az adatkezelés, azzal kapcsolatban a munkáltatónak felmérést kell végeznie, munkakörönként vagy foglalkoztatotti személyi körönként. Így például bizonyos alacsony kockázatú munkakörökben (például állandó jellegű távmunkavégzés) a szükségesség értelemszerűen nem állapítható meg. Ugyanakkor az adatkezelés szükséges lehet például akkor, ha a munkáltató tevékenységi köre a kórházak COVID-19 osztályain elhelyezett orvostechnikai és egyéb eszközök javítását, karbantartását foglalja magában, és a munkavállalók védelme érdekében kéri be a védettség tényének igazolását azért, hogy kizárólag védett munkavállalót tudjon a munkavégzés helyszínére kiküldeni, hogy elkerülhetővé váljon a megfertőződés. A szükségesség fennállhat például abban az esetben is, ha a munkáltató szociális intézmény és bentlakói védelme érdekében szükséges ismernie, hogy az intézményben munkát végző munkavállalók védettek-e, és ezen adatokat kezelnie kell.
- Az arányosság jegyében a munkáltató kizárólag az applikáció megjelenítését, illetve a védettségi igazolvány bemutatását kérheti a munkavállalóktól, azokról másolatot nem készíthet, azokat semmilyen formában és módon nem tárolhatja, és nem is jogosult azokat harmadik személy részére továbbítani, kizárólag azt jogosult rögzíteni, hogy az érintett munkavállaló igazolta a koronavírus elleni védettségének a tényét, valamint – ha az az igazolás bemutatása során megállapítható – azt, hogy ezen védettség időtartama mely időpontig áll fenn.
- Az elvégzett felmérés alapján elrendelt adatkezelés eredményének a birtokában a munkáltató képes lesz megtenni a szükséges szervezési intézkedéseket a munkaszervezeten belül, például a még nem védettek számára távmunkavégzést rendelhet el, vagy védettséggel nem rendelkező munkavállaló munkaállomását védett munkatárs munkaállomása mellé helyezheti.
- Az adatkezelőknek rendelkezniük kell az adatkezelés átláthatóságáról, az adatok pontosságáról és biztonságáról is. Az adatkezelési tájékoztató elkészítése valamennyi adatkezelés vonatkozásában kötelező előírás. Abban szükséges az érintettek számára közérthetően és kellően részletesen meghatározni többek között az őket érintő adatkezelés célját, jogalapját, meg kell határozni továbbá az adatok megőrzésének időtartamát, az adatokhoz hozzáférésre jogosultak körét, valamint az érintetteket tájékoztatni kell az őket a GDPR alapján megillető jogok gyakorlásának a lehetőségéről, illetve a jogorvoslati módokról.
A teljes tájékoztató ezen a linken érhető el.
Nyitókép: Mat Napo / Unsplash
