A NAIH frissen közzétett tájékoztatója egy széles kör számára fontos kérdéssel foglalkozik: megismerheti-e a munkáltató a munkavállalói vonatkozásában azt az információt, hogy a munkavállaló védettnek tekinthető-e a koronavírussal szemben (azaz felépült a betegségből vagy megkapta az oltást).
A tájékoztató az alábbi főbb megállapításokat tartalmazza:
- fontos kiindulópont, hogy mind a betegségből történő felgyógyulás, mind pedig az oltottság ténye egészségügyi adatnak minősül, tehát tehát jogalap tekintetében biztosítani kell egyrészt a GDPR 6. cikk (1) bekezdésében található jogalapok valamelyikének történő megfelelést, valamint a GDPR 9. cikk (2) bekezdésében foglalt további feltételek (jelen esetben a (2) bek. b), h), vagy i) pontok közül valamelyik jöhet szóba) érvényesülését,
- a munkáltatónak kockázatelemzést kell végeznie, amely alapján egyes munkakörökben vagy foglalkoztatotti személyi kör esetében szükséges és arányos intézkedésnek minősülhet a munkavállaló koronavírus elleni védettsége tényének munkáltató általi megismerése,
- a kockázatelemzés jogszabályi előírásoknak való megfelelése, illetve a munkáltató saját felelősségére lefolytatott mérlegelés eredménye elsősorban nem adatvédelmi kérdés, így annak eredményét a Hatóság kizárólag a GDPR 5. cikk szerinti alapelveknek történő megfelelés mértékéig vizsgálhatja, így különösen az adatkezelés szükségességének, arányosságának és alkalmasságának szempontjából,
- az adatkezelés célja kizárólag az lehet, hogy a munkáltató megtehesse és meg is tegye a szükséges intézkedéseket,
- a munkáltató ezen adatkezelése kapcsán biztosítani kell az elszámoltathatóság elvének az érvényesülését,
- az adattakarékosság elvének kiemelt szerepe van az adatkezelés kapcsán, így a munkáltató – hatályos jogszabályi keretek között – kizárólag az applikáció, valamint a védettségi igazolvány mint közokirat Korm. rendeletben meghatározott adatait kezelheti, a koronavírus elleni védettség igazolásának céljára semmilyen egyéb adatot nem gyűjthet és kezelhet jogszerűen,
- a szükségesség kapcsán lényeges szempont, hogy a munkáltatónak a felmérést munkakörönként vagy foglalkoztatotti személyi körönként kell elvégeznie (lásd a kockázatelemzés kapcsán), így például bizonyos alacsony kockázatú munkakörök esetén (például állandó jellegű távmunkavégzés) a szükségesség értelemszerűen nem állapítható meg,
- munkáltató kizárólag az applikáció megjelenítését, illetve a védettségi igazolvány bemutatását kérheti, azokról másolatot nem készíthet, azokat semmilyen formában és módon nem tárolhatja, és nem is jogosult azokat harmadik személy részére továbbítani, kizárólag azt jogosult rögzíteni, hogy az érintett munkavállaló igazolta a koronavírus elleni védettségének a tényét, valamint – ha az az igazolás bemutatása során megállapítható – azt, hogy ezen védettség időtartama mely időpontig áll fenn,
- az adatkezelőknek a fentieken túlmenően rendelkezniük kell továbbá az adatkezelés átláthatóságáról, az adatok pontosságáról és biztonságáról,
- adatkezelési tájékoztatót is kell készítenie a munkáltatónak az általános szabályok szerint (GDPR 13. cikk).
A tájékoztató kizárólag az Mt. hatálya alá tartozó jogviszonyokra vonatkozik, az egyéb, Ptk. szerinti jogviszonyokra (megbízás, vállalkozás) nem. A Hatóság egyúttal a jogalkotó részéről is szükségesnek látja, hogy megfelelő szabályok megalkotásával biztosítsa az egységes jogalkalmazást a munkavégzésre irányuló jogviszonyok tekintetében (azaz az Mt-n kívüli jogviszonyokra is kiterjedően).
