Testování na covid a GDPR. Jak na to?

Není testování jako testování. Momentálně budeme mluvit o testování na koronavirus. To je povinné i pro firmy, které mají nad 10 zaměstnanců. Jak ale výsledky testů uchovat tak, aby nedošlo k porušení GDPR? 

Článek vyšel v březnu roku 2021. 

Zaměstnavatelé mohou v souvislosti s testováním zaměstnanců podle mimořádného opatření Ministerstva zdravotnictví, zpracovávat pouze údaje nezbytné pro dosažení účelu zpracování. Tedy pro účely testování a rozhodnutí, zda a které zaměstnance lze vpustit na pracoviště.

Které informace je potřeba uchovat? 

Konkrétně se jedná o následující údaje:

• osobní číslo zaměstnance (pokud nebylo přiděleno, pak jméno a příjmení);
• údaj o přesném času provedení testu;
• výsledek testu na přítomnost viru;
• pokud bude zaměstnavatel požadovat úhradu testu od zdravotní pojišťovny, pak také číslo pojištěnce a údaje o zdravotní pojišťovně;
• pokud jde o zaměstnance, na které se vztahuje výjimka z povinnosti podstoupit test, pak také údaj o prodělání nemoci COVID-19 a údaj o uplynutí nařízené izolace, případně časový údaj o provedeném očkování a údaj o nepřítomnosti příznaků nemoci.

Použití údajů je omezeno pouze na plnění povinností uložených zaměstnavatelům a zaměstnancům v opatření.

O čem musím zaměstnance informovat?

Zaměstnance je nutné informovat o:

• zvoleném způsobu testování, druhu a povaze testů;
• totožnosti a kontaktních údajích zaměstnavatele a jeho případného zástupce;
• účelech zpracování údajů;
• případném předání údajů orgánům ochrany veřejného zdraví či jiným příjemcům, je-li připuštěno;
• případném úmyslu předat údaje do třetí země a souvisejících informacích;
• době uložení údajů (je nutné vymezit alespoň kritéria pro stanovení doby uložení);
• existenci práva požadovat přístup k údajům, opravu, výmaz či omezení zpracování údajů,
• skutečnosti, že zpracování údajů je zákonný požadavek, zaměstnanec má povinnost údaje poskytnout a jaké jsou důsledky neposkytnutí údajů;
• pokud testování provádí poskytovatel zdravotních služeb, pak i o kategorii údajů a zdroj, ze kterého údaje pochází.

Jak údaje zabezpečit?

Zaměstnavatelé musí:

• zabezpečit údaje vhodnými opatřeními, např. šifrovat soubory s údaji, zpřístupnit je pouze přes chráněné VPN, neukládat je na volně přístupném místě v počítači (plocha či disk C:/) ani volně přístupných nezaheslovaných USB discích, nenechávat vytištěné dokumenty s Údaji volně přístupné bez dozoru, ale uschovat je v zamčeném prostoru pro uchování citlivé personální agendy v místnosti, která se zamyká;
• umožnit přístup k Údajům pouze osobám pověřeným plněním úkolů vyplývajících z opatření.

Tento článek vznikl za spolupráce s advokátní společností TaylorWessing. Celé znění tohoto článku najdete zde.

Zdroj fotografií: freepik.com