Ogłoszona przez Światową Organizację Zdrowia (WHO) pandemia koronawirusa w dalszym ciągu paraliżuje większość aspektów życia społecznego, co nie pozostaje obojętne również dla problematyki związanej z ochroną danych osobowych oraz szeroko pojętej prywatności. Intensyfikacja wdrażanych rozwiązań proceduralnych, w drodze aktów prawa powszechnie obowiązującego, nie zawsze jednak nadąża za rzeczywistością, powodując nierzadko chaos legislacyjny oraz destabilizację porządku prawnego. Przyjęte przez polskiego ustawodawcę dotychczasowe rozwiązania bardzo często nie tylko nie rozwiewają wątpliwości związanych z prawidłowością procesu przetwarzania danych osobowych i ochroną prywatności osób fizycznych w okresie pandemii koronawirusa, ale niekiedy jeszcze bardziej je pogłębiają.

Przykładem, o którym mowa powyżej, może być zdecydowanie prawna ocena zasadności przetwarzania danych osobowych uznanych za dane szczególnej kategorii („wrażliwych”), takich jak dane dotyczące stanu zdrowia w postaci wyniku pomiary temperatury ciała (Auraco pisało o tym w marcu bieżącego roku). Wskutek podejmowanych przez Rząd działań zmierzających do stopniowego odmrażania gospodarki, za pomocą wprowadzania kolejnych tarcz antykryzysowych, powszechna praktyka związana z mierzeniem temperatury człowieka rozciąga się już nie tylko na zakłady pracy, ale również na budynki użyteczności publicznej, uczęszczane przez szersze grono obywateli. Pozostaje zatem odpowiedzieć na pytanie jakie są podstawy prawne do stosowania takiego rozwiązania w praktyce. Poglądy części prawników zajmujących się szeroko pojętą problematyką ochrony danych osobowych stały na stanowisku, że zasadniczo ochrona zdrowia i życia ludzkiego jest dobrem nadrzędnym w stosunku do prawa do prywatności i pomimo wątpliwych, niedookreślonych przepisami przesłanek do zalegalizowania tego procesu, należałoby zastosować rozszerzającą wykładnię prawa, która dopuszczałaby możliwość badania temperatury ciała pracownika przy wejściu przez niego do zakładu pracy.

Tymczasem podtrzymywane i niezmienne dotychczas zdanie prawników Auraco kategorycznie odrzucało taką możliwość wobec faktu, że brak jest podstaw do stwierdzenia, iż obecnie ukształtowane ustawodawstwo daje jakiekolwiek podstawy prawne do zalegalizowania procesu badania temperatury ciała. W ocenie Auraco próżno jest bowiem szukać odpowiednio zmaterializowanych w tym zakresie przepisów prawa. Brak jest zasadniczo podstaw prawnych nie tylko w RODO, czy Kodeksie pracy lub ustawach okołokodeksowych, ale przede wszystkim ustawodawca nie rozstrzygnął tych kwestii wprowadzając w życie poszczególne tarcze antykryzysowe, których celem w istocie jest uregulowanie wszelkich aspektów życia społecznego w okresie funkcjonującej pandemii. Kluczowym jest również zauważyć, że do projektu ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych naniesione zostały senackie poprawki, które dopuszczały możliwość gromadzenia przez pracodawców danych w zakresie wysokości temperatury ciała oraz informacji o pobycie pracownika na terytorium państwa trzeciego o wysokiej zachorowalności na COVID-19. Ostatecznie jednak Sejm RP odrzucił te poprawki i ustawa uchwalona została z ich pominięciem. Próżno jest szukać racjonalnego uzasadnienia dla takiego działania zważywszy, że problem gromadzenia danych w postaci pomiaru temperatury ciała jest problemem powszechnym, a prawo stanowi się dla przypadków, które nie zdarzają się tylko raz. Instrumentalne i powierzchowne traktowanie prawa prowadzi do chaosu społecznego i na pewno nie pogłębia zaufania obywatela do Państwa, a wręcz przeciwnie. Taki zabieg legislacyjny dowodzi temu, że polski ustawodawca najpierw zaobserwował potrzebę kompleksowego uregulowania tej kwestii, dostrzegając, że gromadzenie danych dotyczących temperatury ciała nie ma oparcia w aktualnie obowiązujących przepisach prawa, a następnie z wiadomych sobie tylko powodów odrzucił tak kluczowe rozwiązania prawne, które przecież powinny zostać uregulowane na poziomie ustawowym. Część przedstawicieli doktryny upatruje zatem jako wyłączną podstawę legalizującą ten proces zgodę (art. 9 ust. 2 lit. a) RODO). Jednak sam fakt pobierania zgód na przetwarzanie tych danych osobowych, chociażby w stosunku pomiędzy pracodawcą, a pracownikiem, daje jedynie iluzoryczne poczucie legalności tego procesu, gdyż po pierwsze, zgoda jako oświadczenie woli powinna być wyrażona w sposób nieskrępowany i w tej samej formie może być odwołana. Po drugie, zasadniczo wątpliwe jest, czy taka zgoda może być uznana za zgodę ważną w świetle przepisów RODO. Nie ulega wszelkim wątpliwościom, że w stosunku pomiędzy pracownikiem, a pracodawcą trudno jest upatrywać równowagi sił, dlatego przyjmuje się, że w obawie przed konsekwencjami, zgoda na przetwarzanie danych osobowych zostanie wyrażona przez pracownika pod przymusem, co z kolei pozbawi ją przymiotu dobrowolności.

Dokonanie samego pomiaru i wykrycie podwyższonej, odbiegającej od standardów temperatury, nie przesądza ostatecznie o fakcie zachorowania na COVID-19, ponieważ po pierwsze: podwyższona temperatura nie jest wyłącznym objawem tylko tej choroby, a po wtóre: okres wylęgania wirusa wynosi od czterech do pięciu dni, zatem przez kilka dni od dnia zarażenia nosiciel może nieświadomie zarażać inne osoby, nie wykazując przy tym żadnych objawów chorobotwórczych. Co więcej, osoba zarażona wirusem SARS-COV-2 może równie dobrze przechodzić proces chorobowy w całości bezobjawowo. Zatem rzeczywistość i zasadność celu, związanego z masowym (często automatycznym) przetwarzaniem danych osobowych tej kategorii, jest w istocie wysoce wątpliwa, bowiem fakt gromadzenia tych danych nie pozwala na osiągnięcie celu, na jaki dane zostały zebrane (art. 5 ust. 1 lit. b) i c) RODO).

Stanowisko zbieżne z literą prawa, przy którym stało na straży Auraco, oraz wszelkie dotychczasowe i pozostające na aktualności nasze zapatrywania w tej kwestii potwierdził ostatecznie komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 5 maja 2020 r., w którym PUODO odniósł się do licznych zapytań prawnych kierowanych do organu nadzorczego w tym przedmiocie. Organ ten wskazał, że pracodawca nie może nakazać pracownikom i tzw. gościom wchodzącym na teren zakładu pracy dokonywania pomiaru temperatury. W każdym przypadku musi wykazać podstawę prawną, która dawałaby takie uprawnienie. Podkreślenia wymaga, że przepisy prawa nie regulują, jaka wysokość temperatury daje podstawę do stwierdzenia, że pracownik jest chory bądź zarażony wirusem COVID-19. Dlatego też to służby sanitarne, a nie pracodawca, podejmując określone działania wskazują w konkretnych przypadkach na przyjmowanie właściwych rozwiązań. Organ nadzorczy zwrócił także uwagę na fakt, że zasadniczo przepisy o ochronie danych osobowych nie przeciwstawiają się podejmowanym działaniom związanym z przeciwdziałaniem COVID-19. Podkreśla natomiast, że podejmowane rozwiązania przez przedsiębiorców, pracodawców i inne podmioty będą legalne, jedynie w sytuacji, jeżeli administrator będzie realizował je na podstawie przepisów prawa – zgodnie z zasadą legalności określoną w art. 5 ust. 1 RODO. W przedmiotowej sprawie podstaw prawnych należy niewątpliwie doszukiwać się w rozwiązaniach wyznaczanych przez Głównego Inspektora Sanitarnego.

Niezależnie od oceny, czy uprawnienie Głównego Inspektora Sanitarnego, wynikające z art. 17 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz.U. z 2020 r. poz. 374) – tzw. specustawy, w zakresie o jakich mowa jest o tym, że Główny Inspektor Sanitarny posiada uprawnienia, aby oddziaływać na inne podmioty oraz na zmiany w obowiązujących przepisach, a także wskazywać na przyjmowanie właściwych rozwiązań, jest zgodne z Konstytucją RP, gdyż decyzje organu administracji publicznej nie są źródłem prawa w rozumieniu art. 87 Konstytucji RP, na chwilę obecną nie spotyka się sytuacji, aby adresatami przedmiotowych decyzji administracyjnych były wszystkie, funkcjonujące w obrocie prawnych podmioty gospodarcze. Problem ten powoduje, że w istocie część podmiotów gromadząc dane bez wskazanej decyzji GIS, postępuje w sposób sprzeczny z porządkiem prawnym. Samo jednak wydanie decyzji mogłoby zostać uznane za jedyną podstawę legalizującą ten proces, a jeżeli nie, to przynajmniej za działanie zbieżne z zapatrywaniami na tę kwestię Prezesa UODO.

Mając na względzie poczynione rozważania słuszne wydają się dotychczasowe zapatrywania Auraco na kwestie związane ze sprawdzaniem temperatury ciała, w celu zapobiegania rozprzestrzenianiu się COVID-19. Ostatecznie poglądy te potwierdzone zostały odpowiednim komunikatem Prezesa UODO, którego komunikaty stanowią swojego rodzaju wykładnię w zakresie prawidłowego rozumienia i odpowiedniego stosowania przepisów z zakresu ochrony danych osobowych w praktyce.