Od pondelka 29.11.2021 sú zamestnávatelia povinní v súvislosti s novými COVID opatreniami dodržiavať OTP režim na pracovisku. Uvedené znamená, že zamestnávateľ dohliada, či zamestnanec spĺňa požadované podmienky vstupu na pracovisko, teda či je zamestnanec kompletne očkovaný, negatívne testovaný resp. po prekonaní ochorenia COVID-19.

V kontexte uvedeného vyvstáva otázka, či je takáto kontrola zdravotných údajov zamestnancov v súlade s GDPR príp. inými právnymi predpismi, ako aj to, či je potrebné dokumentáciu GDPR aktualizovať v duchu nových opatrení.

Na úvod je dôležité uviesť niekoľko podstatných skutočností:

1. Problematiku ochrany osobných údajov upravuje predovšetkým Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len ako ,,GDPR“).
2. V zmysle GDPR, sú osobnými údajmi všetky údaje či informácie, na základe ktorých je možné identifikovať konkrétnu fyzickú osobu. Okrem bežných osobných údajov, ktorými sú napríklad meno, priezvisko, telefónne číslo a pod., pozná GDPR aj osobitnú – citlivú kategóriu osobných údajov. Citlivé osobné údaje sa odlišujú tým, že si vyžadujú vyššiu mieru ochrany a k ich spracúvaniu môže dochádzať len za výnimočných okolností. Radíme medzi ne napríklad údaje o sexuálnej orientácii, údaje o rasovom či etnickom pôvode osoby, zdravotný stav fyzickej osoby a množstvo ďalších údajov, ktorých únik by mohol negatívne ovplyvniť osobný, spoločenský, prípadne kariérny život daného človeka. Nakoľko informácie o očkovaní, výsledky testov, ako aj informácie o prekonaní ochorenie COVID-19, určitým spôsobom odkazujú na zdravotný stav fyzickej osoby a sú spôsobilé privodiť tejto osobe určitú diskrimináciu v spoločnosti, možno ich jednoznačne zaradiť medzi tzv. citlivé osobné údaje.
3. Zo znenia GDPR ďalej vyplýva, že za spracúvanie osobných údajov treba považovať akúkoľvek operáciu s týmito údajmi (napríklad získavanie, zhromažďovanie, zaznamenávanie, usporadúvanie, uchovávanie, likvidáciu …)
4. K spracúvaniu osobných údajov môže dochádzať len vtedy, pokiaľ sa takéto spracúvanie vykonáva za vopred vymedzeným účelom a pokiaľ na spracúvanie existuje jeden zo šiestich, taxatívne vymedzených právnych základov. Týmito právnymi základmi sú:

• súhlas dotknutej osoby,
• plnenie zmluvy s dotknutou osobou,
• splnenie zákonnej povinnosti,
• životne dôležitý záujem,
• verejný záujem
• oprávnený záujem (pozri Čl. 6 ods. 1 GDPR)

Ako sme uviedli vyššie, v prípade citlivých osobných údajov sa možnosť ich spracúvania obmedzuje len na výnimočné situácie, menovite uvedené v  článku 9 GDPR. Okolnosťou umožňujúcou spracúvanie citlivých osobných údajov môže byť napríklad aktívne daný súhlas fyzickej osoby. Za ďalšie relevantné dôvody spracúvania citlivých osobných údajov možno označiť situácie, kedy sa spracúvanie vykonáva na účely:

• plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva a práva sociálneho zabezpečenia a sociálnej ochrany,
• zabezpečenia verejného záujmu v oblasti verejného zdravia
• zabezpečenia verejného záujmu na základe zákona, osobitného predpisu alebo medzinárodnej zmluvy

Zjednodušene povedané, pokiaľ existuje relevantný právny dôvod na spracúvanie citlivých osobných údajov (zdravotných údajov zamestnanca), nepôjde o spracúvanie nelegálne, pokiaľ prevádzkovateľ (zamestnávateľ) dodržiava všetky bezpečnostné a iné povinnosti vyplývajúce mu z GDPR a ostatných právnych predpisov.

5. COVID PASS nie je verejnou dokumentáciou. Fyzické osoby, teda aj zamestnanci, preukazujú splnenie podmienok vstupu na pracovisko predovšetkým prostredníctvom COVID PASSU, prípadne aj inými listinnými či digitálnymi potvrdeniami. Obsahom COVID PASSU sú nasledovné údaje o jeho držiteľovi:

• meno, priezvisko,
• dátum narodenia,
• dátum vydania,
• informácia o očkovaní /vykonaní testu/ prekonaní ochorenia a
• jedinečný identifikátor.

Hoci sme uviedli, že informáciu o očkovaní /vykonaní testu/ prekonaní ochorenia zaraďujeme medzi citlivé osobné údaje, COVID PASS ani iný dokument, ktorým sa fyzická osoba preukazuje, nie je verejnou dokumentáciou. Je tomu tak z dôvodu, že zamestnávateľ spracúvanie týchto údajov zamestnanca nevykonáva na účely kontroly ich zdravotného stavu alebo na účely vedenia zdravotných záznamov, ale spracúva ich iba za účelom zistenia, či zamestnanec, tj. držiteľ COVID PASSU, spĺňa vyhláškami a zákonmi stanovené podmienky vstupu na pracovisko. Zamestnávateľ tak nemá žiadne právo údaje obsiahnuté v COVID PASSE uchovávať alebo iným spôsobom spracúvať. Jeho jediným právom je do COVID PASSU nahliadnuť a skontrolovať, či jeho zamestnanec spĺňa OTP režim a či mu tak umožní vstup na pracovisko.

Súčasná legislatíva pracovno-právnych vzťahov  v súvislosti s režimom OTP

Základným vnútroštátnym právnym predpisom upravujúcim pracovno-právne vzťahy, je zákon č. 311/2001 Z. z. – Zákonník práce (ďalej len ako ,,ZP“). Už v úvodnom článku 1 ZP, je zakotvená základná zásada rovnakého zaobchádzania pre oblasť pracovnoprávnych vzťahov. Osobitným právnym predpisom upravujúcim zákaz diskriminácie je zákon č. 365/2004 Z. z. o rovnakom zaobchádzaní v niektorých oblastiach a o ochrane pred diskrimináciou a o zmene a doplnení niektorých zákonov (ďalej len ako ,,antidiskriminačný zákon“). V zmysle uvedených právnych predpisov nemôže byť žiadny zamestnanec diskriminovaný z dôvodu svojho pohlavia, manželského stavu a rodinného stavu, sexuálnej orientácie, rasy, farby pleti, jazyka, veku, nepriaznivého zdravotného stavu alebo zdravotného postihnutia, genetických vlastností, viery, náboženstva a pod. Inak povedané, žiadny zamestnanec nemôže byť znevýhodňovaný z dôvodu svôjho odlišného postavenia, ktorým môže byť v súčasnosti aj skutočnosť, že je zamestnanec zaočkovaný, testovaný, resp. ochorenie COVID-19 už prekonal. Napriek uvedenému, od pondelka 29.11.2021 musí zamestnávateľ odoprieť vstup na pracovisko zamestnancovi, ktorý nespĺňa požadované podmienky režimu OTP.  V prípade pracovno-právnych vzťahov je právnym základom spracúvania osobných údajov zamestnanca predovšetkým plnenie zákonnej povinnosti vyplývajúcej z viacerých právnych predpisov, prípadne plnenie zmluvnej povinnosti.

Aké zmeny nastali v Zákonníku práce?

Málokto zachytil, že v súčasnosti platný a účinný Zákonník práce, priniesol z dôvodu pretrvávajúcej pandemickej situácie mnohé legislatívne zmeny a stal sa tak primárnym právnym základom spracúvania citlivých (zdravotných) osobných údajov zamestnanca. Je dôležité neopomenúť však ani to, že okrem Zákonníka práce prinášajú určité konkrétne doplnenia spracúvania zdravotných údajov zamestnanca aj vyhlášky ÚVZ, najmä v súčasnosti platná Vyhláška ÚVZ č. 264/2021 V. v. SR.

Najvýznamnejšia zmena nastala v ustanovení § 250b ods. 6 Zákonníka práce, v ktorom je uvedené nasledovné:

,,Ak počas účinnosti opatrenia na predchádzanie vzniku a šíreniu prenosných ochorení alebo opatrenia pri ohrození verejného zdravia nariadených príslušným orgánom verejného zdravotníctva vydaných na základe osobitného predpisu, ktorým sa pre zamestnávateľa upravuje dočasné podmieňovanie vstupu na pracovisko príslušným dokladom, zamestnanec nepredložil zamestnávateľovi príslušný doklad preukazujúci skutočnosti podľa osobitného predpisu alebo zamestnanec, ktorý nepredložil tento doklad, odmietol možnosť bezplatného otestovania ponúknutú zamestnávateľom a zamestnávateľ mu z tohto dôvodu neumožnil vstup na pracovisko a výkon práce, ide o prekážku v práci na strane zamestnanca bez náhrady mzdy, ak sa zamestnávateľ nedohodne so zamestnancom inak.“

Uvedené znamená, že pokiaľ príslušný orgán verejného zdravotníctva (ktorým je aj ÚVZ), vydá opatrenie – vyhlášku, upravujúcu vstup zamestnanca na pracovisko, zamestnávateľ je povinný obsah tejto vyhlášky dodržiavať a zabezpečiť jej dodržiavanie. A nakoľko v súčasnosti platí už vyššie spomínaná  Vyhláška ÚVZ č. 264/2021 V. v. SR, zamestnávateľ je povinný riadiť sa jej ustanoveniami a v jej znení dodržiavať režim OTP. Vyhláška konkrétne uvádza, že zamestnávateľ smie umožniť vstup na pracovisko len takému zamestnancovi, ktorý spĺňa niektorú z týchto troch podmienok:

• buď je kompletne očkovaný alebo
• ochorenie COVID-19 prekonal v období pred nie viac ako 180 dňami alebo
• je schopný preukázať sa negatívnym výsledkom testu na ochorenie COVID-19 (napríklad RT-PCR test, LAMP test, antigénový test, nazálny test) nie starším ako 7 dní od odberu.

Zamestnanec má vyššie uvedené skutočnosti pred vstupom na pracovisko preukazovať platným COVID PASSOM či iným obdobným potvrdením. Zamestnávateľ je zároveň povinný uvedené skutočnosti kontrolovať a zabezpečiť, aby sa na pracovisku nenachádzal žiadny zamestnanec, ktorý nespĺňa podmienky režimu OTP. Pokiaľ by zamestnávateľ nezabezpečil dostatočnú kontrolu a umožnil by stup na pracovisko zamestnancovi, ktorý nespĺňa OTP režim, išlo by o porušenie jeho povinností vyplývajúcich mu zo všeobecne záväzných právnych predpisov, ktorými sú aj vyhlášky ÚVZ. Výnimku z týchto zamestnávateľových kontrolných povinností tvoria len prípady, kedy zamestnanec neprichádza na pracovisku do kontaktu so žiadnou inou osobou (tj. nie len s ďalším zamestnancom, ale ani so žiadnou inou fyzickou osobou).

Pokiaľ by zamestnanec nespĺňal požadovaný OTP režim alebo by jeho splnenie odmietol svojmu zamestnávateľovi preukázať nahliadnutím do príslušného dokladu a zároveň by sa odmietol podrobiť testovaniu na prítomnosť ochorenia COVID-19, zamestnávateľ by bol v takomto prípade povinný  odoprieť vstup tomuto zamestnancovi na pracovisko. Takýto počin zamestnanca sa bude zároveň  klasifikovať ako prekážka v práci na strane zamestnanca, čo  znamená, že mu za takúto prekážku v práci nepatrí náhrada mzdy, ibaže by sa so zamestnávateľom individuálne dohodol inak.

Napokon je dôležité upozorniť aj na zmenu v ustanovení § 250b ods. 7 Zákonníka práce, ktorý predvída a upravuje aj situácie, kedy by žiaden príslušný orgán verejného zdravotníctva, platné a účinné opatrenia nevydal. V zmysle tohto ustanovenia ,,ak nebol vydaný osobitný predpis podľa odseku 6, zamestnávateľ môže postupovať podľa odseku 6, ak je to nevyhnutné na účely zabezpečenia ochrany zdravia pri práci podľa osobitných predpisov vrátane takého spôsobu organizácie práce, ktorý vylúči alebo zníži nebezpečenstvo šírenia prenosného ochorenia; v tomto prípade nejde o prekážku v práci na strane zamestnanca“. Zjednodušene povedané, aj v prípade, pokiaľ by neexistovala platná a účinná vyhláška ÚVZ alebo iného orgánu verejného zdravotníctva, zamestnávateľ je oprávnený i tak kontrolovať podmienky vstupu zamestnanca na pracovisko s odkazom na účely zabezpečenia ochrany zdravia na pracovisku.

Aktualizácia dokumentácie GDPR

Každému prevádzkovateľovi, teda aj zamestnávateľovi, ktorý spracúva osobné údaje dotknutej osoby (zamestnanca), vyplývajú v zmysle GDPR viaceré povinnosti. Predovšetkým ide o informačnú povinnosť zamestnávateľa, na základe ktorej uvedie konkrétny rozsah, účel a právny základ spracúvania osobných údajov zamestnanca. Zamestnávateľ povinne vedie záznamy o spracovateľských činnostiach pre jednotlivé informačné systémy a je povinný zdokumentovať súlad spracúvania osobných údajov s GDPR.

Nakoľko Zákonník práce, vyhlášky ÚVZ a opatrenia iných orgánov verejného zdravotníctva priniesli zmeny v možnostiach a rozsahu spracúvania osobných údajov zamestnancov, zamestnávateľ by mal zabezpečiť aktualizáciu svojej GDPR dokumentácie, splniť si svoju informačnú povinnosť a preukázať orgánom ochrany osobných údajov súlad spracúvania s GDPR.