Erre kevés cég gondol újranyitáskor: pedig a tét a dolgozók biztonsága is

A tervezéshez szükség van a megfelelő információkra. Ilyenek lehetnek az irányadó jogszabályok, a hatóságok iránymutatásai, az egyes szektorok üzleti jellemzői, a földrajzi elhelyezkedésből adódó specialitások, az egység méretével összefüggő jellemzők, de a munkavállalók egészségi állapotára vonatkozó információk, és akár a dolgozók munkahajlandósága is.

Mindezen információk személyes adatokat is tartalmazhatnak, sőt akár a személyes adatok különleges kategóriáit is, például egészségügyi adatot.

- mondta dr. Vári Csaba, a Baker & McKenzie adatvédelmi csoportjának vezetője. Az általános munkajogi szabályok érvényesítése és az egyenlő bánásmód biztosítása mellett alapvető a munkavállalók egészségének védelme, a biztonságos munkafeltételek biztosítása, a munkavédelmi szabályoknak való megfelelés.

Mindehhez szükséges a megváltozott munkavégzési körülményekkel járó kockázatok újraértékelése, a folyamatok átgondolása. Az ehhez szükséges eszközök megválasztása során is gondoskodni kell az adatvédelmi szabályok érvényesítéséről. A jelenleg hatályos jogszabályok szerint a veszélyhelyzet megszűnését követő harminc napig a munkáltató a munkavállaló egészségi állapotának ellenőrzése érdekében megteheti a szükséges és indokolt intézkedéseket.

A jogszabályok ugyanakkor nem írják elő, hogy mely intézkedéseket lehet szükségesnek és indokoltnak tekinteni. Ezt mindenképpen a munkáltatónak kell eldöntenie, és döntését - az elszámoltathatóság alapelvét is szem előtt tartva - kellő mértékben alátámasztania.

Célszerű olyan eszközt választani, amely személyes adatok kezelésével nem jár, ilyenek az anonim információkon alapuló megoldások. Ha a cél személyes adatok kezelése nélkül nem érhető el, akkor a munkáltatónak a munkavállalók és látogatók magánszférájára nézve kevésbé kockázatos megoldást kell választaniuk. Az adatkezelés jogszerűsége érdekében kötelező megfelelő jogalapról gondoskodni.

Az adatvédelmi hatóság elvárja, hogy a vállalat a járvány alatti adatkezelés alapvető szabályait pandémiás cselekvési tervben rögzítse. A terv tartalmazhat szabályokat az egységek újranyitására vonatkozóan is, és összhangban kell lennie a munkáltató egyéb belső szabályozóival, ideértve az információbiztonságra vonatkozó szabályozókat is.

A megfelelő tervezést követően a munkáltónak végre is kell hajtania a tervet, illetve gondoskodnia kell a benne foglaltak betartatásáról.

- tette hozzá dr. Kádár Ágnes, a Baker & McKenzie adatvédelmi csoportjának ügyvédjelöltje. Indokoltak lehetnek a személyes adatok kezelésével járó megoldások is, például a munkavállalók egészségi állapotának kérdőíves mérései, lázmérés, COVID-19 tesztek végzése vagy mobil applikációs figyelmeztetési mechanizmusok.

Az egészségi állapotra vonatkozó szűrővizsgálatokat a munkáltató maga nem jogosult elvégezni, azokat kizárólag egészségügyi szakember vagy annak szakmai felelősségvállalása mellett más személy - például nővér, humánszolgálat külön titoktartási kötelezettséget vállaló kijelölt munkatársa - végezheti. A munkáltató csak a vizsgálatok eredményét ismerheti meg.

Egyes megoldások a munkavállalók és látogatók magánszférájára nézve nagyobb kockázatot jelentenek - ilyen például az applikáció, amely rögzíti az érintkezéseket és figyelmeztető jelzést küld, ha a felhasználó fertőzött személyekkel került kapcsolatba. Ilyenkor a munkáltató köteles lehet adatvédelmi hatásvizsgálatot végezni, vagy ha a kockázatok ezt indokolják, akkor az adatvédelmi hatósággal előzetesen konzultálni.

Ha az adatkezelés jogalapja a munkáltató vagy harmadik fél jogos érdeke - például kérdőívek kitöltetése esetén -, a munkáltatónak úgynevezett érdekmérlegelési tesztet kell készítenie, amely igazolja, hogy ezek az érdekek elsőbbséget élveznek az érintett érdekeivel, alapvető jogaival és szabadságaival szemben.

Ha a cégnél működik üzemi tanács, és a tervezett adatkezelés a munkavállalók nagyobb csoportját érinti, a döntés előtt legalább tizenöt nappal kötelező az üzemi tanács véleményét kikérni az intézkedés tervezetéről. Ezen kívül a cég a személyes adatok kezelésének szabályairól köteles a munkavállalókat és a látogatókat előzetesen, igazolhatóan tájékoztatni. Ha a munkáltató különleges személyes adatokat - például egészségügyi adatokat - is kezel, azok biztonságos őrzéséről különös körültekintéssel köteles gondoskodni.

Az értékelés keretében azt kell megvizsgálniuk, hogy fennállnak-e még az adatkezelést indokolttá tévő körülmények, illetve nem merültek-e fel az érintettek magánszférájára nézve kevésbé kockázatos megoldások. Ha pedig a cél megvalósult, és a munkáltatónak már nincs szüksége a személyes adatokra (és jogszabály sem írja elő azok kötelező megőrzését), a személyes adatokat törölni vagy anonimizálni kell.