Ez a cikk több mint egy éve került publikálásra. A cikkben szereplő információk a megjelenéskor pontosak voltak, de mára elavultak lehetnek.
Az oktatási intézményekben október 1-jével elkezdődött a kötelező testhőmérséklet-mérés, amely minden diákot és tanárt érint. Ugyanakkor a lázmérés bármely más szervezet, így például egy munkáltató esetében is felmerülhet, hiszen alkalmas eszköz lehet a koronavírus egyik tünetének egyszerű és hatékony megállapítására.
A Hatóság tavaszi álláspontja
A Nemzeti Adatvédelmi és Információszabadság Hatóság (Hatóság) a járvány „első hullámában” kiadott márciusi és áprilisi állásfoglalásában úgy fogalmazott, hogy „(…) a jelenlegi magyarországi járványügyi helyzetre tekintettel [a Hatóság] nem tartja arányosnak a munkáltatói intézkedéssel elrendelt, minden munkavállalóra általánosan kiterjedő, bármilyen diagnosztikai eszközt (így különösen, de nem kizárólagosan lázmérőt) alkalmazó szűrővizsgálatok előírását.”
A Hatóság álláspontjának középpontjában az áll, hogy a Hatóság a „jelenlegi”, vagyis a tavaszi magyarországi járványügyi helyzetre tekintettel nem tartotta arányos intézkedésnek, ha a munkáltató általános lázmérést vezet be a munkahelyen. Szeptemberben ugyanakkor nagyságrendekkel magasabbak a megerősített koronavírus-fertőzések számai. Amíg március vége – április vége között a hétnapos mozgóátlag 30-90 fő közé esett, ugyanez az átlag szeptember közepétől már a 740-860 közötti tartományban mozog.
Néhány nappal ezelőtt az Index az egyik cikkében szólalt meg a Hatóság elnöke, Dr. Péterfalvi Attila, akinek a szavai alapján úgy tűnik megváltozhat a Hatóság álláspontja. Az Indexen megjelent írásban a Hatóság elnöke akként fogalmazott: „a mindenkire kiterjedő lázmérést akkor ugyan valóban indoktalannak tartották, ezt azonban a mai járványhelyzetben már nem lehet elmondani, a vírus terjedése most indokolttá teszi.” Habár a Hatóság jelen írás időpontjáig nem adott ki újabb állásfoglalást a munkahelyi testhőmérséklet-mérés kérdéskörében, ugyanakkor a Hatóság elnökének szavai arra engednek következtetni, hogy a Hatóság vélhetően már nem tartja fenn korábbi gyakorlatát.
Adatkezelés-e az adatrögzítés nélküli lázmérés?
Emellett a Hatóság elnökének a cikkben szerepelt egy másik kijelentése is, amely szerint „a testhőmérséklet mérése során keletkezett adatok rögzítésére ugyanakkor nincs se szükség, se lehetőség.” Továbbgondolva elnök úr szavait, joggal merülhet fel a kérdés, hogy ha nem kerül sor a mérés eredményének rögzítésére, ily módon semmilyen személyes adat nem keletkezik a mérést követően, akkor rögzítés hiányában beszélhetünk-e egyáltalán adatkezelésről?
Ezen kérdéssel kapcsolatban érdekes fejlemény, hogy az Európai Adatvédelmi Biztos* szeptember elején kiadott tájékoztatójában lényegét tekintve arra a következtetésre jutott, hogy a manuális testhőmérséklet-mérésre nem vonatkoznak az uniós adatvédelmi jogszabály követelményei.
| Az európai uniós intézményeknek és szerveknek adatkezeléseire, adatkezelői kötelezettségeire külön uniós jogszabály, az (EU) 2018/1725 európai parlamenti és tanácsi rendelet vonatkozik. Az Európai Adatvédelmi Biztos feladata és hatásköre az uniós intézményeknek és szerveknek adatkezeléseinek ellenőrzésére, illetve a 2018/1725 rendelet alkalmazásának elősegítésére terjed ki. A 2018/1725 rendelet és a GDPR között természetesen van átfedés (nem is lenne szerencsés, ha más lenne a követelményrendszer az uniós szervek esetében, mint a tagállami jog alapján működő közfeladatot ellátó vagy közhatalmi szervek esetében), így például a két uniós rendelet tárgyi hatálya, alapelvei, illetve a mindkét jogszabályban megtalálható fogalmai teljesen megegyeznek egymással. Az Európai Adatvédelmi Biztos természetesen nem jogosult értelmezni a GDPR-t, arra kizárólag az Európai Adatvédelmi Testületnek van joga. Ugyanakkor mivel a két uniós jogszabály az alapvető adatvédelmi követelményekben megegyezik egymással, ezért az Európai Adatvédelmi Biztos egyes dokumentumai mégiscsak szerepet játszhatnak a GDPR szerinti adatvédelmi követelmények meghatározásában. |
Az Európai Adatvédelmi Biztos véleménye szerint az, hogy egy analóg vagy digitális lámérőt használó biztonsági őr leolvassa annak eredményét, nem tekinthető „a személyes adatok részben vagy egészben automatizált módon” történő kezelésének. Emellett pedig ha nem készül feljegyzés a testhőmérséklet-mérés eredményéről, akkor azokat nem is lehet visszakeresni, így tehát ez az eredmény nem képezi valamely nyilvántartó rendszer részét, illetve az adatkezelő nem is szándékozik egy nyilvántartó rendszer részévé tenni. Ezért a „manuális lázmérés” nem tartozik 2018/1725 rendelet tárgyi hatálya alá. Ezzel kapcsolatban fontos megjegyezni, hogy a 2018/1725 rendelet tárgyi hatálya és a GDPR tárgyi hatálya szó szerint megegyezik egymással.
Az Európai Adatvédelmi Biztos ugyanakkor azt is hangsúlyozta tájékoztatójában, hogy a „manuális lázmérés” esetében is fontos az átláthatóság, tehát a lázmérés releváns körülményeiről megfelelő tájékoztatást kell nyújtani az érintettek számára. Emellett eljárásrendet kell kialakítani arra az esetre is, hogyha a mérés eredménye „pozitív” lesz: milyen lehetőségei vannak az érintettnek ebben az esetben (második és harmadik mérés lehetősége). Ezen túlmenően az Euróapai Adatvédelmi Biztos álláspontja szerint a testhőmérséklet meghatározására szolgáló automatizált, digitális eszközök (hőkamera, szkenner) már az említett rendelet hatálya alá tartoznak, így azokkal összefüggésben teljesíteni kell az adatvédelmi követelményeket.
Az Európai Adatvédelmi Biztos tájékoztatója és a Hatóság elnökének a cikkben megjelent véleménye alapján jól lehet érvelni azon álláspont mellett, hogy a rögzítés nélküli „manuális lázmérés” nem tartozik a GDPR hatálya alá. Ugyanakkor ez nem jelenti azt, hogy ne vonatkozzanak rá bizonyos követelmények, amelyekre a munkáltatóknak is figyelmet kell fordítaniuk, így például azokra, amelyeket a tájékoztatóban az Európai Adatvédelmi Biztos is kiemelt.
És ha mégis adatkezelés a „manuális lázmérés”?
Ahogy a keretes írásban is utaltunk rá, önmagában az Európai Adatvédelmi Biztos tájékoztatója nem tekinthető döntő jelentőségű álláspontnak abban a kérdésben, hogy a „manuális lázmérés” a GDPR hatálya alá tartozik-e vagy sem. Az Európai Adatvédelmi Testület vagy a Hatóság egyértelmű állásfoglalása nélkül azon munkáltatók számára, akik a legbiztosabb megoldást keresik, akkor járnak el a legfelelősségteljesebben, ha adatkezelésként tekintenek a testhőmérsékelt-mérésre. Etekintetben a Hatóság korábban idézett két állásfoglalásának több megállapítására is lehet támaszkodni.
A Hatóság a márciusi állásfoglalásában elismerte, hogy a munkáltatónak is lehetősége van bizonyos adatkörre vonatkozó adatgyűjtésre a munkavállalóktól. Ezzel kapcsolatban a Hatóság kiemeli, hogy az adatkezelés jogalapját a GDPR 6. cikk (1) bekezdés f) pontja jelenti és a munkáltatónak érdekmérlegelési tesztet kell elkészítenie. Ha pedig egészségügyi adatokra is kiterjed az adatgyűjtés, akkor a GDPR 9. cikk (2) bekezdés b) pont szerinti esetkör alá tartozik azok kezelése, minthogy a munkáltatóknak „a munkajogi előírásokból fakadó kötelezettsége a munkavállalói számára az egészséges és biztonságos munkavégzési körülmények” biztosítása.
Véleményünk szerint ezen gondolatmenet alkalmazható a lázméréssel összefüggő adatkezelésre is. A testhőmérséklet-mérés bevezetés azt a jogos érdeket szolgálja, hogy a munkáltató a jelenlegi magyarországi járványügyi helyzetre figyelemmel a tőle telhető legmagasabb szinten biztosítsa az egészséget nem veszélyeztető és biztonságos munkavégzés követelményét. Ez ráadásul egy jogszabályból, a munkavédelemről szóló 1993. évi XCIII. törvényből egyértelműen és közvetlenül levezethető jogos érdek. Emellett az intézkedés harmadik személyek jogos érdekét, így tehát a munkahelyen dolgozó más munkavállalók védelmét is szolgálja, hiszen ők is fertőzésveszélynek lennének kitéve, ha a munkatársuk lázasan megy be dolgozni. Mivel az adatkezelés az egészségügyi adatok megismerésével jár együtt (annak rögzítésével nem), ezért erre vonatkozóan a Hatóság által is említett GDPR 9. cikk (2) bekezdés b) pontja szerinti esetkör megfelelő alapot jelenthet a különleges adat kezelésére.
Másrészt az adatkezelőnek az érdekmérlegelési tesztben igazolnia kell az adatkezelés szükségességét és arányosságát. A szükségesség esetében egyfelől annak bemutatása indokolt, hogy milyen gazdasági hátránnyal járna az, ha olyan munkatárs is dolgozna, akiről később kiderülne, hogy elkapta a koronavírus-fertőzést (amely negatív következményt meg lehetett volna előzni azzal, ha munkáltató lázmérést alkalmaz). Ilyen hátrány lehet például egy szervezeti egység vagy gyáregység időszakos leállása. Másfelől a szükségesség körében figyelemmel kell lenni arra is, hogy van-e reális, életszerű alternatívája a testhőmérséklet-mérésnek. Ebben a körben érdemes tekintettel lenni arra, hogy néhány hete a www.koronavirus.gov.hu honlapon a Nemzeti Népegészségügyi Központ „magatartási szabályokat” tett közzé, amelyben többek között a munkáltatók figyelmét is felhívják arra, hogy milyen intézkedésekkel lehet védekezni a fertőzés ellen. A munkáltatóknak át kell tekinteniük ezeket az intézkedéseket és meg kell vizsgálniuk, hogy azok milyen hatékonyságúak lehetnek a munkáltató esetében, megalapozottan kiválthatják-e a lázmérést.
Az arányosság körében számos körülményre ki lehet térni, ezek közül csak néhányat tekintünk át. Mindenekelőtt az egyik legfontosabb körülmény, hogy a mérés eredménye nem kerül rögzítésre. Ezen túlmenően a lázmérés a munkavállalóknak nem okoz különösebb kellemetlenséget, hiszen a mérés egy öt-tíz másodperces folyamat. Emellett azt is be lehet mutatni, hogy más megelőző intézkedésekkel (például egy vírusfertőzés kimutatására szolgáló gyorsteszttel) összevetve a lázmérés tekinthető a magánszférát legkevésbé korlátozó megoldásnak és egyáltalán nem megterhelő a munkavállaló számára (hiszen nem vesznek tőle mintát). Továbbá a munkáltatónak mindenképp szükséges biztosítania azt, hogy „pozitív” mérés esetén a munkavállaló valamilyen módon tudjon „második mérést” kérni. Ennek célja alapvetően a digitális hőmérő hibás működéséből vagy nem megfelelő kalibrálásából adódó téves mérési eredmények kiszűrése. Az Európai Adatvédelmi Biztos korábban említett tájékoztatójára figyelemmel ilyen eljárás lehet az, hogy például egy hasonló működésű elvű másik készülékkel testhőmérséklet-mérés vagy akár más módszerrel működő lázmérőt is lehet alkalmazni (például higanymentes, hagyományos lázmérő, fülhőmérő, stb.).
