Od 21 lutego 2023 r. pracodawcy mogą samodzielnie przeprowadzać kontrolę trzeźwości pracowników i osób fizycznych wykonujących pracę na innej podstawie niż stosunek pracy oraz osób samozatrudnionych, których praca jest organizowana przez tych pracodawców a także przeprowadzać badania na obecność w organizmach w/w osób środków działających podobnie do alkoholu. Tym samym, stworzona została podstawa prawna do przetwarzania przez pracodawców informacji dotyczących zdrowia osób poddawanych badaniom (tj. danych osobowych szczególnej kategorii, o których mowa w art. 9 RODO).

Nowy art. 22^1c kodeksu pracy (dalej: k.p.) określa jaki rodzaj danych pracodawcy mają prawo przetwarzać. Są to: informacje o dacie, godzinie i minucie badania oraz o jego wyniku wskazującym na stan po użyciu alkoholu albo stan nietrzeźwości / obecności w organizmie środków działających podobnie do alkoholu. Prawo to przysługuje wyłącznie w przypadku, gdy jest to niezbędne do zapewnienia ochrony życia i zdrowia pracowników lub innych osób lub ochrony mienia.

Z powyższego jednoznacznie wynika, iż pracodawcy pozbawieni są prawa przetwarzania, w tym przechowywania w dowolnej formie, informacji o negatywnym wyniku badania (tj. trzeźwości lub braku obecności w organizmie środków działających podobnie do alkoholu). Samo przeprowadzenie badania zdaje się nie być uznawane – w świetle przywołanych przepisów – za przetwarzanie danych osobowych.

Jeżeli badanie przeprowadza organ powołany do ochrony porządku publicznego, przekazuje on pracodawcy i pracownikowi odsuniętemu od pracy informację obejmującą imię i nazwisko osoby badanej oraz jej numer PESEL, a w przypadku jego braku – serię i numer dokumentu potwierdzającego tożsamość, datę, godzinę oraz minutę przeprowadzonego badania, a także jego wynik. W przypadku przeprowadzenia kilku pomiarów organ przeprowadzający badanie przekazuje informację o czasie przeprowadzenia pomiarów i wyniku każdego z nich. Zatem, także te informacje pracodawca ma prawo przetwarzać zgodnie z prawem.

W myśl nowych przepisów, w razie pozytywnego wyniku badania, pracodawca przechowuje informacje o dacie, godzinie i minucie badania oraz jego pozytywnym wyniku, a także ew. informację przekazaną przez organ powołany do ochrony porządku publicznego, w aktach osobowych pracownika. Pracodawca może przechowywać te informacje przez okres nieprzekraczający 1 roku od dnia ich zebrania a przypadku zastosowania kary porządkowej, do czasu uznania kary za niebyłą zgodnie z art. 113 k.p. Okres ten może ulec przedłużeniu, jeżeli informacje te mogą stanowić lub stanowią dowód w postępowaniu prowadzonym na podstawie prawa, a pracodawca jest stroną tego postępowania lub powziął wiadomość o wytoczeniu powództwa lub wszczęciu postępowania – wówczas pracodawca może przechowywać w/w dane osobowe do czasu prawomocnego zakończenia postępowania. Po upływie w/w okresów informacje te podlegają usunięciu.

Jakie obowiązki z punktu widzenia ochrony danych osobowych spoczywają na pracodawcach wprowadzających w swoich regulacjach wewnętrznych możliwość kontroli trzeźwości / obecności substancji działających podobnie do alkoholu?

• Z pewnością należy pamiętać, że samo badanie musi odbywać się z poszanowaniem intymności i godności pracownika, a także z zachowaniem poufności przetwarzanych danych osobowych,
• Jako nowy proces przetwarzania, kontrola trzeźwości / obecności w organizmie środków działających podobnie do alkoholu winna zostać ujęta w rejestrach czynności przetwarzania,
• Osoby przeprowadzające badanie i mające wgląd w wynik badania winny zostać zobowiązane do zachowania w poufności danych osobowych – zmiany może wymagać nadane im upoważnienie do przetwarzania danych osobowych,
• Pracownicy i inne osoby, które będą poddawane badaniu przez pracodawcę winny zostać poinformowane o przetwarzaniu ich danych osobowych w nowy sposób,
• Ryzyka związane z przeprowadzaniem badania winny zostać uwzględnione w ocenie ryzyka naruszenia praw lub wolności osób fizycznych, rozważenia wymaga przeprowadzenie oceny skutków dla ochrony danych (tzw. DPIA),
• Jeżeli badanie ma przeprowadzać osoba nie będąca pracownikiem pracodawcy np. pracownika ochrony, konieczne jest zaktualizowanie umowy powierzenia przetwarzania danych osobowych z firmą go zatrudniającą,
• Można rozważyć przeszkolenie/poinstruowanie osób mających przeprowadzać badania i mających mieć wgląd w ich wyniki o ich obowiązkach w zakresie ochrony danych osobowych.