A NAIH weboldalán elérhető a koronavírus helyzet kezelésével összefüggő személyes adatkezelések kapcsán kibocsátott tájékoztató (https://naih.hu/files/NAIH_2020_2586.pdf ), amelynek lényege az alábbiakban foglalható össze.
A tájékoztató 2. pontja foglalkozik a munkáltató által történő adatbekérések, előírt tájékoztatási, adatszolgáltatási kérdések eseteivel. A NAIH elősorban a GDPR 6. cikk (1) f) pontja alapján – jogos érdek érvényesítése – lát lehetőséget a “normál” személyes adatok (pl. utazási előzmények, külföldi rokon látogatása) kezelésére, és így ezek bejelentésének előírására. Mindezek mellett megítélésem szerint adott esetben felmerülhet a GDPR 6. cikk. (1) bek. d) pont (létfontosságú érdek védelme). Ez utóbbi jogalap alkalmazhatóságának természetesen előfeltétele, hogy az adatkezelés hiányában ténylegesen és közvetlenül számolni kelljen az adott létfontosságú érdek (pl. élet, egészség, vagy akár a munkáltató működésének ellehetetlenülése) sérelmével, ennek hiányában ugyanis a szükségesség arányosság tesztjét nem fogja teljesíteni az adat kezelés.
Az egészségügyi adatok esetén a NAIH a GDPR 9. cikk. (2) bek. b) pontja alapján látja jogszerűnek az ilyen un. különleges adatok kezelését, tekintettel arra, hogy a munkáltatónak jogszabályban előírt kötelessége (pl. a munkavédelemről szóló 1993. évi XCIII. törvény 54.-63. §§), hogy megfelelő, egészséges munkakörnyezetet biztosítson. Ugyanakkor ezen adatok esetében a GDPR 9. cikk (2) bek. i) pontja is felmerülhet adatkezelési jogalapként – határokon át terjedő súlyos egészségügyi veszélyekkel szembeni védelem-, bár kétségtelen, hogy egy „hétköznapi” munkáltató-munkavállaló viszonylatban a GDPR 9. cikk (2) bek. b) pontja az adekvát jogalap, az utóbb megjelölt jogalap inkább az állami/hatósági szint adatkezelésének lehet megfelelő jogalapja.
Rögzíti továbbá a hatóság, hogy ha bizonyos munkakörök esetében a fokozott kitettség miatt a munkáltató szükségesnek tartja a külön eü. szűrés alkalmazását úgy az ezzel összefüggő adatkezelés a GDPR 9. cikk (2) bek. h) pontja alapján eü. szakember – pl. üzemorvos bevonásával – jogszerű. Mindez azt jelenti, hogy ha pl. olyan munkakörök esetén, ahol a közvetlen ügyfél kapcsolat mellőzhetetlensége miatt (ilyen lehet akár egy szociális, egészségügyi munkakör, vagy rendészeti feladat) a fokozott kockázat megalapozza, akkor akár a célzott szűrést is elrendelheti a munkáltató, és az ezzel kapcsolatos adatkezelést folytathatja. Ez utóbbi kapcsán azonban a szükséges és minimális adat kezelésére kell szorítkozni (adatminimum elve). Tehát egészségügyi szakember közreműködésével, és legfeljebb az adatkezelési cél érdekében feltétlenül szükséges adat kezelhető (pl. a szűrésen részt vett és az eredmény negatív).
Fontos felhívni rá a figyelmet, hogy a NAIH irányadó gyakorlata szerint az eü. adatok, mint különleges kezelést igénylő személyes adatok esetén az adatkezelés a GDPR 6. cikk (1) bekezdésének valamely pontja alapján ÉS a GDPR 9. cikk (2) bekezdésében megjelölt valamely kiegészítő előírás fennállása mellett lehet jogszerű. A gyakorlatban mindez azt jelenti, hogy egy munkáltató akkor jár el jogszerűen, ha pl. egy munkavállaló egészségügyi adatának kezelése esetén (maradva a fenti példánál) az adatkezelését egyfelől a GDPR 6. cikk (1) bek b) pontjára (az érintettel kötött szerződés teljesítése), ÉS a GDPR 9. cikk (2) bek. b) pontjára alapozza (a Munka törvénykönyvéről szóló 2012. évi I. tv., valamint a munkavédelemről szóló 1993. évi XCIII. tv. fent hivatkozott előírásai teremtik meg a normatív hátteret).