Комисията актуализира и указанията си кога администратори на данни могат да изискват сертификати
В сайта си ирландската Комисия за защита на данните (DPC) публикува актуализации на указанията си за обработка на Данни за ваксинация срещу COVID-19 в контекста на трудовите отношения и условията за проверка на сертификати.
Във версията на указанията от ноември 2021 г. DPC отговаря на въпроса дали работодателите могат законно да събират и обработват информация за ваксинационния статус срещу COVID-19 на техните служители.
Според съществуващия протокол работодателите трябва да водят дневник на контактите, за да улеснят проследяването на контакти. Служителите също трябва да попълнят формуляр преди връщане на работа, който съдържа техните лични данни. Понастоящем Протоколът не изисква от работодателите събиране на всякаква информация относно статуса на ваксинация и това не се изисква за формуляри преди връщане в офиса, пише в документа.
Работодателите трябва да обработват данни за ваксинация срещу COVID-19 само когато е необходимо, за да постигнат специфична, законна цел в съответствие с общите и специфични за сектора съвети за обществено здраве.
Работодателите трябва да обмислят дали могат да използват за поддържане на безопасността на работното място информацията за ваксинационния статус. В съответствие с принципа за минимизиране на данните, работодателите следва да прилагат мерки, които избягват обработката на личните данни на служителите.
Информацията за ваксинационния статус на дадено лице е специална категория лични данни за целите на GDPR. Представлява част от личното им здравно досие и изисква допълнителна защита съгласно Закона за защита на данните.
Протоколът гласи, че решението за ваксиниране е доброволно и хората ще вземат свои собствени решения в това отношение.
Това предполага, че ваксинацията срещу COVID-19 по принцип не трябва да се счита за необходима мярка за безопасност на работното място и следователно обработката на данните за ваксините е малко вероятно да е необходима или пропорционална при повечето случаи на заетост.
Има някои специфични трудови контексти, в които се обработват данни за ваксинационен статус след оценка на риска и във връзка със специфични за сектора насоки за обществено здраве.
Това е възможно например при предоставянето на здравни услуги, когато ваксинацията може да се счита за необходима мярка за безопасност въз основа на специфично ръководство за съответния сектор – за лекари пише, че практикуващите „трябва да бъдат ваксиниран срещу често срещани заразни болести“. В тези различни ситуации е възможно работодателят да може да идентифицира законна причина да знае дали неговите служители са били ваксинирани или не, за целите на управление на здравето и безопасността на работниците и посетителите.
Работодателите следва да извършат оценка на риска по отношение на всеки специфичен сектор за общественото здраве, за да определят дали мерките, които считат за необходими, изискват познаване на ваксинационния статус на служителите.
Обработката на лични данни в контекста на заетостта се извършва в ситуация когато има дисбаланс между субекта на данните (служител) и администратора на данни (работодател). Следователно от служителите не трябва да се иска съгласие за обработката на данни за ваксините, тъй като е малко вероятно това съгласие да бъде дадено свободно. Следователно обработката на данните за ваксините ще изискват специфичен набор от обстоятелства, подкрепени от легитимни причина, различна от съгласието.
Оторизирани здравни служители при изпълнение на обществено-здравните си задължения по инфекциозните болести могат да изискват достъп до ваксинационен статус на служителите. Този ограничен тип обработка може да възникне при огнището на COVID-19 на работното място и е изрично допустимо съгласно Закона за защита на данните, когато се извършва за всеки отделен случай, при необходимост и по искане на медицинския служител.
DPC актуализира и указанията си към администраторите на лични данни кога могат да проверяват сертификатите за COVID на клиенти или посетители на техни помещения.
В документа пише, че е тяхна отговорност като собственици или наематели на помещение да установят дали имат определено правно основание, за да поискат и проверят статуса на ваксинация на присъстващите. Това се определя според актуалните заповеди на властите и личните данни трябва да бъдат обработвани само при необходимост, за да се изпълнят изискванията на съответните органи, пише в указанията.
Издадени са правителствени съвети за обществено здравеопазване, които определят условията, при които достъп до различни дейности, събития и масови събирания може да бъде осигурен въз основа на намален капацитет и/или ваксинация срещу COVID-19 или имунитет.
Изпълнението на някои от тези мерки ще изисква проверка на сертификат…. Трябва често да се проверява условията за конкретния тип бизнес или събитие.
Личните данни, обработвани в този контекст, са предмет на всички изисквания на GDPR. Някои примери за помещения, за които в момента се изисква проверка на статуса на ваксинация в съответствие с правителствените насоки, са кина, музеи, места за забавления, зали за боулинг, зали за снукър, центрове за дейности. Обработката на лични данни в този контекст трябва да бъде ограничена до проверка на статус на ваксинация и няма изискване за по-нататъшна обработка на информацията за целите на общественото здраве.
Когато статусът на ваксинация се проверява чрез сканиране на сертификат с официално приложение, лични данни няма да бъдат запазени от собственик или наемател на помещението и никакви лични данни няма да бъдат споделяни с трети страни. Не е вярно, че здравните данни, като статус на ваксинация, могат да се обработват само от медицински специалист.
Има правно основание при проверката на закрити помещения като пъбове, ресторанти, кафенета и т.н…. и тя част от задължителния режим, при който собствениците на съответните помещения подлежат на проверка и могат да бъдат глобени при неизпълнение.