GDPR og COVID-19

Det danske perspektiv

Spørgsmålet om, hvad arbejdsgiveren har ret til at forlange oplyst og arbejdstagerens oplysningspligt i øvrigt, er reguleret af ansættelses- og offentligretlige regler. Hvis ovennævnte regler er iagttaget, er det muligt for arbejdsgivere, inden for rammerne af databeskyttelsesreglerne i databeskyttelsesforordningen (GDPR), at gøre tiltag for at begrænse smittefaren i virksomheden.

Arbejdsgiveren har som udgangspunkt kun ret til at registrere og videregive oplysninger, så længe oplysningerne ikke er for specifikke og således ikke har karakter af helbredsoplysninger som defineret i GDPR artikel 9. Et konkret eksempel på lovlige behandlinger af oplysninger kan f.eks. være at meddele, at en medarbejder er syg eller i hjemmekarantæne uden dog at angive årsagen hertil.

Datatilsynet har d. 5. marts 2020 som følge af virusudbruddet udtalt, at det efter omstændighederne kan være berettiget for arbejdsgiveren at registrere og videregive helbredsoplysninger, hvis formålet er sagligt og oplysningerne i øvrigt begrænses til det nødvendige. Tillige skal de grundlæggende principper i GDPRs artikel 5 (de almindelige behandlingsprincipper) til enhver tid overholdes.

En sådan berettiget behandling af helbredsoplysninger kan navnlig være relevant i øjeblikket, hvor virussmitten spreder sig ukontrolleret. En medarbejder har pligt til at oplyse, og virksomheden har krav på at få oplyst, om en medarbejder er syg af eller er under mistanke for coronavirus. Det vil også være berettiget at orientere virksomhedens øvrige ansatte om et smittetilfælde i virksomheden. Hensynet bag er, at de øvrige ansatte kan træffe nødvendige forholdsregler med henblik på at undgå at blive smittet.

Frankrig og Italien

Virusudbruddet er på nuværende tidspunkt et globalt problem, hvilket også har fået datamyndighederne i henholdsvis Frankrig og Italien til at kommentere på registrering og videregivelse af helbredsoplysninger. I både Frankrig og Italien har myndighederne meddelt, at arbejdsgivere ikke aktivt må indsamle helbredsoplysninger på deres medarbejdere, selvom situationen i øjeblikket er ekstraordinær.

I Frankrig har myndighederne specifikt forbudt arbejdsgivere at indsamle information om ansatte og andre besøgendes kropstemperatur. Dog må virksomheden gerne registrere og videregive oplysninger til relevante sundhedsmyndigheder om virussmitte, hvis de bliver orienteret herom.

I Italien har myndighederne ligeledes forbudt arbejdsgivere at indsamle sundhedsoplysninger og oplysninger om rejseaktiviteter i fritiden. I Italien findes dog en undtagelse, hvor arbejdsgiveren kan anmode internt sundhedspersonale om at udføre sundhedskontrol af en medarbejder, hvis medarbejderen arbejder i et arbejdsmiljø med høj smittefare.

I både Frankrig og Italien er medarbejderne dog forpligtet til at give arbejdsgiveren meddelelse, hvis de er virussmittet, hvorefter registrering og videregivelse af sundhedsoplysningerne kan ske lovligt.

GDPR skal fortsat overholdes

Både i Danmark, Frankrig og Italien har databeskyttelsesmyndighederne altså været ude og kommentere og specificere reglerne for registrering og videregivelse i GDPR. Selvom vi globalt befinder os i en ekstraordinær situation med det nuværende virusudbrud, er det fortsat væsentligt at overholde databeskyttelsesreglerne i GDPR, idet reglerne ikke hindrer hverken rettidig omhu eller iagttagelse af nødvendige forholdsregler for at undgå at blive virussmittet. Med andre ord spænder reglerne i GDPR ikke ben for vores ønske om at kontrollere virusudbruddet.

Datatilsynet anbefaler

Datatilsynet udtalte d. 5. marts 2020, at det er vigtigt at holde sig for øje, at registrering eller videregivelse altid skal være saglig, ligesom oplysningerne skal begrænses til det absolut nødvendige. Derfor bør arbejdsgivere til enhver tid overveje følgende:

• Om der er en god grund til at registrere eller videregive de pågældende oplysninger
• Om det er nødvendigt at specificere oplysningerne, herunder om formålet kan opnås ved at ”fortælle mindre”
• Om det er nødvendigt at nævne navne, f.eks. navnet på den person, der er smittet og/eller i hjemmekarantæne

Er I i tvivl om, hvordan I skal forholde jer i forhold til persondata og det florerende virusudbrud i jeres virksomhed, så tøv ikke med at kontakte vores persondatateam, der er klar til yde rådgivning, så I kan overholde GDPR samtidig med, at I begrænser virussmitten.