21 lutego 2023 r. weszła w życie nowelizacja kodeksu pracy w zakresie kontroli trzeźwości pracowników (oraz badania na obecność środków działających podobnie do alkoholu). To niemała rewolucja, bowiem dotychczas pracodawcy nie mieli podstawy prawnej do przeprowadzenia samodzielnej kontroli trzeźwości pracowników, a w każdym jednostkowym przypadku konieczne było wezwanie odpowiednich służb celem wykonania badania  (choć pracodawcy często decydowali się na samodzielne wykonanie pomiaru na podstawie zgody pracownika). W związku z nowymi przepisami, pracodawcy mogą dokonywać samodzielnego badania trzeźwości osób zatrudnionych, ale wymaga to odpowiedniego uregulowania w aktach wewnątrzzakładowych – najczęściej w regulaminach pracy. Nie jest to jednakże jedyny obowiązek pracodawców planujących wprowadzenie kontroli trzeźwości w zakładzie pracy. Należy bowiem pamiętać, że możliwość takiej kontroli wiąże się także z koniecznością zmian w dokumentacji dotyczącej ochrony danych osobowych. O czym należy zatem pamiętać w zakresie ochrony danych osobowych w związku z kontrolą trzeźwości pracowników?

Badasz trzeźwość – przetwarzasz dane wrażliwe

Na samym wstępie należy pochylić się nad kwestią, czy dane dotyczące trzeźwości stanowią dane szczególnej kategorii (tzw. dane wrażliwe)? W naszej ocenie są to dane mieszące się w kategorii danych wrażliwych. Informacje o obecności w organizmie alkoholu lub środka działającego podobnie do alkoholu, zgodnie ze stanowiskiem organu nadzorczego, stanowią dane dotyczące zdrowia, które zawarte są w katalogu danych wrażliwych w rozumieniu RODO. Kluczowy dla takiego wniosku jest motyw  35 RODO, wskazujący, że do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia. Motyw ten doprecyzowuje, iż do danych takich należą  m.in. informacje o stanie fizjologicznym. Tym samym możemy uznać,  że informacja o zawartości w organizmie alkoholu lub innego środka działającego podobnie do alkoholu, stanowi informację o stanie fizjologicznym w jakim badana osoba się znajduje – a więc jest daną szczególnej kategorii. Takie podejście uzasadnione jest także samym „wydźwiękiem” tej informacji. Ponadto w konsekwencji badania trzeźwości może dojść  do przetwarzania także innych danych wrażliwych- dotyczących choroby pracownika lub o przyjmowanych lekach, które to pracownik ujawnia w kontrze do wyniku kontroli.

Podstawa prawna przetwarzania

Co do zasady, przetwarzanie danych wrażliwych jest zabronione. Zgodnie z art. 9 ust. 1 RODO zabrania się przetwarzania m.in. danych dotyczących zdrowia. Jak jednakże określono w motywie 52 RODO „należy również zezwolić na wyjątki od zakazu przetwarzania szczególnych kategorii danych osobowych – o ile przewiduje to prawo Unii lub prawo państwa członkowskiego i podlega to odpowiednim zabezpieczeniom chroniącym dane osobowe i inne prawa podstawowe – jeżeli uzasadnia to interes publiczny, w szczególności polegający na przetwarzaniu danych osobowych w dziedzinie prawa pracy(…).”. Odzwierciedleniem ww. motywu jest art. 9 ust. 2 RODO, który wprowadza wyjątki od zakazu przetwarzania danych szczególnej kategorii.

Krąg osób fizycznych objętych kontrolą trzeźwości

W niniejszym artykule posługujemy się głównie pojęciem „kontrola trzeźwości pracowników”. Jest to jednak uproszczenie. Warto bowiem podkreślić, że nowelizacja kodeksu pracy daje podstawę prawną do skontrolowania stanu trzeźwości lub zbadania obecności środka działającego podobnie do alkoholu także u osób zatrudnionych na innej podstawie niż stosunek pracy (np. umowy zlecenia, umowy o dzieło) oraz osób fizycznych prowadzących na własny rachunek działalność gospodarczą (art. 22^1h k.p.).

O czym w związku z RODO należy pamiętać, wprowadzając kontrolę trzeźwości w zakładzie pracy?

Wprowadzenie kontroli trzeźwości w zakładzie pracy nie oznacza (jak się z pozoru wydaje) jedynie zmian w regulaminie pracy. Umożliwienie procesu przetwarzania danych w związku z badaniem alkomatem (lub narkotestem) oznacza także obowiązek dostosowania dokumentacji związanej z przetwarzaniem danych osobowych. W szczególności, pracodawca jako administrator danych musi pamiętać o:

• wyznaczeniu pracowników uprawnionych w organizacji do przeprowadzenia kontroli trzeźwości i udzieleniu im stosownych upoważnień (lub o zaktualizowaniu obecnych). Ponadto, rekomendowane jest odebranie oświadczeń o zachowaniu poufności od osób przeprowadzających ww. kontrole;
• aktualizacji rejestru czynności przetwarzania. Badanie trzeźwości (lub badanie na obecność środków działających podobnie do alkoholu) to odrębna operacja na danych osobowych, która musi znaleźć swoje „miejsce” w rejestrze czynności przetwarzania;
• przygotowaniu i zawarciu umowy powierzenia – jeżeli badanie trzeźwości będzie wykonywał podmiot trzeci w stosunku do pracodawcy – np. pracownicy zewnętrznej ochrony;
• określeniu retencji danych zawartych w protokołach z badań trzeźwości (co opiszemy szczegółowo poniżej);
• (w razie potrzeby) zaktualizowaniu obowiązku informacyjnego przekazywanego pracownikom, w którym zostanie uwzględniona kwestia przetwarzania danych osobowych w związku z kontrolą trzeźwości;
• opracowaniu protokołów z kontroli w myśl zasady minimalizacji danych.

Konieczność oceny skutków dla ochrony danych?

Zgodnie z motywem 91 RODO: „oceny skutków dla ochrony danych należy także dokonywać w przypadkach, w których dane osobowe przetwarza się w celu podjęcia decyzji wobec konkretnej osoby fizycznej po dokonaniu systematycznej, kompleksowej oceny czynników osobowych osób fizycznych na podstawie profilowania tych danych lub po przetworzeniu szczególnych kategorii danych osobowych, danych biometrycznych lub danych osobowych dotyczących wyroków skazujących, czynów zabronionych lub odnośnych środków bezpieczeństwa”. Tym samym pracodawca wprowadzając kontrolę trzeźwości jako administrator danych musi  mieć na uwadze konieczność przeprowadzenia w swojej organizacji oceny skutków dla ochrony danych w związku.

Jakie dane i jak długo można przetwarzać w związku z kontrolą trzeźwości ?

Pracodawca, jako administrator danych przetwarzanych w związku z kontrolą trzeźwości zobowiązany jest do  ich odpowiedniej retencji, czyli do ustalenia jakie dane i przez jaki okres mogą być przechowywane w związku z przeprowadzonym badaniem. Kodeks pracy wprost określa zakres oraz okres, przez jaki dane związane z badaniem trzeźwości pracodawca może przetwarzać:

• Pracodawca przetwarza informacje o dacie, godzinie i minucie badania, oraz jego wyniku wskazującym na stan po użyciu alkoholu albo stan nietrzeźwości wyłącznie w przypadku, gdy jest to niezbędne do zapewnienia ochrony dóbr, i przechowuje te informacje w aktach osobowych pracownika przez okres nieprzekraczający roku od dnia ich zebrania.
• W przypadku zastosowania kary upomnienia, kary nagany lub kary pieniężnej pracodawca przechowuje informacje, o których mowa powyżej w aktach osobowych pracownika do czasu uznania kary za niebyłą zgodnie z art. 113 K.p.
• W przypadku, w którym informacje, o których mowa powyżej, mogą stanowić lub stanowią dowód w postępowaniu prowadzonym na podstawie prawa, a pracodawca jest stroną tego postępowania lub powziął wiadomość o wytoczeniu powództwa lub wszczęciu postępowania, okres przechowywania ulega przedłużeniu do czasu prawomocnego zakończenia postępowania.