Защита личных данных в чрезвычайной ситуации: коронавирус не дает права работодателю грубо лезть в личную жизнь работника

Даже в нынешней кризисной ситуации работодатель должен учитывать, что информация о здоровье или поездке работника в отпуск – это его личные данные, при запросе и сборе которых работодатель обязан соблюдать правила, следующие из регламента по защите личных данных (GDPR).

Адвокат Кристель Таэль-Саме из адвокатского бюро Hedman Partners подчеркнула, что, даже несмотря объявленное в Эстонии чрезвычайное положение, работодатели обязаны обеспечить обоснованность и необходимость сбора личных данных. ”Также нельзя забывать, что работодатель должен разъяснить работникам, для чего собираются данные и как долго собранные личные данные работника будут храниться”, — пояснила Таэль-Саме.

”Согласно законодательству, работодатель обязан обеспечить здоровую и безопасную трудовую среду. Поэтому вопросы о состоянии здоровья работника оправданы, если есть повод полагать, что трудовая среда может быть в опасности”, — привела пример адвокат из Hedman Partners.

Однако, при обработке личных данных работника работодатели должны понимать, с какой целью у работников спрашивают информацию. Работодателю разрешено спрашивать работника о состоянии его здоровья с целью обеспечения безопасной трудовой среды, и в этом случае юридическим основанием для обработки личных данных является следующее из закона обязательство.

Работодатель также должен определить, можно ли достичь той же цели путем обработки меньшего количества личных данных. ”Работодатель должен помнить, что нельзя задавать вопросы, которые не являются крайне необходимыми для того, чтобы обеспечить безопасную трудовую среду, например, спрашивать работника о его общем здоровье, о здоровье членов его семьи, хронических заболеваниях и так далее”, — добавила Кристель Таэль-Саме.

Работодатель также обязан гарантировать, что данные не попадут в руки третьих лиц, а обработка данных не нарушит право работника на частную жизнь. Например, нельзя раскрывать данные о здоровье работника другим сотрудникам или третьим лицам. Следует позаботиться и о том, чтобы у других работников не было доступа к данным о здоровье. ”Если работник сам раскрывает свои данные, например, сообщив электронным письмом коллегам, что он заболел или получил положительный ответ на тест COVID-19, то работодатель не является обработчиком данных и не обязан соблюдать правила их обработки”, — уточнила Таэль-Саме.

При обработке личных данных, например, раздаче анкет или расспросах о здоровье, работодателю следует максимально ясно сообщить работникам, для чего собираются данные и как долго они будут храниться. Учитывая сегодняшнюю ситуацию, было бы разумно хранить данные до окончания чрезвычайного положения или до извещения Департамента здоровья, согласно которому больше не требуется следить за распространением инфекции.

”Учитывая, что сбор данных о здоровье разрешен только в течение ограниченного времени, мы советуем собирать данные в устной форме, в этом случае позже не придется заниматься удалением данных о здоровье, например электронных писем с ответами работников. Если устный сбор данных невозможен, советуем зашифровать полученные ответы работников с помощью ID-карты так, чтобы доступ к данным был только у тех работников, которые занимаются обеспечением трудовой безопасности”, — рекомендовала адвокат Hedman Partners.

Исходя из нынешней ситуации, работодатель вправе, а порой и обязан установить, каково состояние здоровья работников в связи с распространением COVID-19, но и при этом следует отметить, каким образом собирается, хранится и используется эта информация.

Адвокатское бюро Hedman Partners предоставляет консультационные услуги по корпоративному и коммерческому праву предприятиям, их учредителям и инвесторам на всех этапах жизненного цикла компании.