Czy członkowie powołanego przez pracodawcę z zespołu powypadkowego powinni mieć upoważnienie do przetwarzania danych osobowych w związku z wypadkiem przy pracy? Czy takie upoważnienie powinno dotyczyć danych zarówno poszkodowanego, jak i świadków wypadku?
Obowiązkiem pracodawcy, niezależnie od liczby zatrudnionych pracowników oraz formy prowadzonej działalności, jest zapewnienie bezpiecznych warunków pracy wszystkim pracobiorcom. Jednak nawet wtedy, gdy pracodawca wywiązuje się ze wszystkich obowiązków z zakresu technicznego bezpieczeństwa pracy, nie można wykluczyć możliwości wystąpienia zdarzenia, jakim jest wypadek przy pracy. Definicja takiego wypadku, zawarta w art. 3 ust. 1 ustawy o ubezpieczeniu społecznym z tytułu wypadków przy pracy, wskazuje na kilka elementów, które muszą wystąpić łącznie, aby dane zdarzenie mogło być zakwalifikowane jako wypadek przy pracy. Musi to być zdarzenie: nagłe, wywołane przyczyną zewnętrzną, powodujące uraz lub śmierć, co nastąpiło podczas lub w związku z pracą lub w związku z wykonywaniem przez pracownika zwykłych czynności lub poleceń przełożonych. Brak choćby jednej z tych czterech przesłanek spowoduje, że dane zdarzenie za taki wypadek nie będzie uznane – choćby nawet pozostałe trzy wymogi nie budziły wątpliwości.
W razie wystąpienia wypadku poszkodowany ma obowiązek poinformować o tym przełożonego – zakładając oczywiście, że jego stan na to pozwala. Informacja taka zobowiązuje zaś pracodawcę do podjęcia niezwłocznych działań, w pierwszej kolejności udzielenia pomocy poszkodowanemu, a następnie zabezpieczenia miejsca zdarzenia. Następnie należy powołać zespół powypadkowy w składzie wynikającym z rozporządzenia w sprawie ustalania okoliczności i przyczyn wypadków przy pracy. [ramka]
Skład zespołu
Zasadą jest, że w skład zespołu powypadkowego wchodzi pracownik służby bhp oraz społeczny inspektor pracy. Nie w każdym jednak przypadku pracodawca ma obowiązek tworzenia służby bhp, a wówczas w razie jej braku w skład zespołu powypadkowego zamiast pracownika tej służby wchodzi pracodawca albo pracownik zatrudniony przy innej pracy, któremu powierzono wykonywanie zadań ww. służby, albo też specjalista spoza zakładu pracy. Natomiast jeśli u pracodawcy nie działa społeczna inspekcja pracy, to w skład zespołu powypadkowego zamiast społecznego inspektora pracy wchodzi przedstawiciel pracowników mający aktualne zaświadczenie o ukończeniu szkolenia w zakresie bhp. ©℗

Zadania i konieczność

Niezwłocznie po otrzymaniu wiadomości o wypadku zespół powypadkowy powinien przystąpić do ustalenia okoliczności i przyczyn zdarzenia. W szczególności powinien wysłuchać wyjaśnień poszkodowanego, jeżeli jego stan zdrowia na to pozwala, zebrać informacje dotyczące wypadku od świadków zdarzenia, zasięgnąć opinii lekarza, a w razie potrzeby opinii innych specjalistów w zakresie niezbędnym do oceny rodzaju i skutków wypadku.

Wątpliwości a RODO

W ramach prowadzonego postępowania powypadkowego zespół będzie przetwarzał dane osobowe zarówno poszkodowanego i świadków wypadku – a więc osób zatrudnionych przez pracodawcę, jak i osób z zewnątrz, które były świadkami zdarzenia. Dodatkowo, uwzględniając zakres zadań zespołu powypadkowego, w tym konieczność uzyskania opinii lekarza, a w razie potrzeby opinii także innych specjalistów, nieodzowne będzie przetwarzanie danych osobowych wyżej wskazanych osób. Ponadto należy zwrócić uwagę, że w ramach prowadzonego postępowania będą przetwarzane także dane o stanie zdrowia poszkodowanego – a to już są informacje podlegające szczególnej ochronie. Uwzględniając powyższe, pracodawca, powołując zespół powypadkowy, może nabrać wątpliwości, czy niezbędne jest uprzednie upoważnienie członków zespołu powypadkowego do przetwarzania danych osobowych na potrzeby prowadzenia tego postępowania.
Zaznaczenia wymaga też, że co do zasady przetwarzanie danych osobowych dotyczących zdrowia jest zabronione. Jednak zakaz taki nie ma zastosowania w szczególności wtedy, gdy przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora (w omawianym przypadku – pracodawcę) lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej – o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego. Uwzględniając powyższe, poszkodowany pracownik nie może nie wyrazić zgody lub zabronić osobom wchodzącym w skład zespołu powypadkowego na przetwarzanie danych dotyczących jego stanu zdrowia – oczywiście w niezbędnym zakresie na potrzeby realizacji obowiązków powypadkowych związanych z ustaleniem okoliczności i przyczyn zdarzenia oraz sporządzeniem niezbędnej dokumentacji.
Należy tu zauważyć, że RODO nie wskazuje w sposób bezpośredni na obowiązek upoważnienia do przetwarzania danych osobowych (tak jak miało to miejsce w poprzednio obowiązującej w Polsce ustawie o ochronie danych osobowych). Należy jednak zauważyć, że zgodnie z art. 29 RODO każda osoba działająca z „upoważnienia” administratora i mająca dostęp do danych osobowych przetwarza je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub państwa członkowskiego. Warto dodatkowo wspomnieć o regulacji zawartej w art. 32 ust. 4 unijnego rozporządzenia, zgodnie z którą administrator oraz podmiot przetwarzający podejmują działania w celu zapewnienia, by każda osoba fizyczna działająca z „upoważnienia” administratora lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, co do zasady przetwarzała je wyłącznie na polecenie administratora.
Uwzględniając powyższe, oraz to, że w ramach postępowania będą przetwarzane informacje dotyczące stanu zdrowia pracownika, które podlegają szczególnej ochronie, należy uznać, iż obowiązkiem pracodawcy jako administratora jest upoważnienie członków zespołu powypadkowego do przetwarzania danych na potrzeby przyszłego postępowania powypadkowego oraz opracowania niezbędnej dokumentacji. Wprawdzie obowiązki powypadkowe (w szczególności dotyczące przeprowadzenia postępowania wyjaśniającego czy sporządzenia protokołu powypadkowego) wynikają z przepisów prawa, co siłą rzeczy wiąże się z koniecznością przetwarzania danych osobowych przy ich realizacji, to jednak optymalnym rozwiązaniem (i najbezpieczniejszym zarazem) jest przyjęcie, iż rolą pracodawcy jest formalne, pisemne upoważnienie członków zespołu do przetwarzania tych danych. ©℗
Podstawa prawna
•art. 3 ust. 1 ustawy z 30 października 2002 r. o ubezpieczeniu społecznym z tytułu wypadków przy pracy (t.j. Dz.U. z 2019 r. poz. 1205)
•art. 29, art. 32 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; Dz.Urz.UE L z 2016 r. nr 119, s. 1)
•rozporządzenie Rady Ministrów z 1 lipca 2009 r. w sprawie ustalania okoliczności i przyczyn wypadków przy pracy (Dz.U. nr 105, poz. 870)