Du har informeret din arbejdsgiver om, at du er smittet med COVID-19. Må arbejdsgiveren så informere dine kollegaer om, at du er smittet med COVID-19? Spørgsmålet er endnu uafklaret i retspraksis, men hensynet til at opspore, minimere og stoppe smitten samt sikre en sikker arbejdsplads vil dog formentlig betyde, at det er lovligt, at din arbejdsgiver informerer dine kollegaer om, at du er smittet med COVID-19.
Husk GDPR!
Databeskyttelsesloven og GDPR betyder dog, at arbejdsgiveren skal træde yderst varsomt og overveje, om det overhovedet er nødvendigt at nævne navnet på den medarbejder, som er smittet? Vil formålet kunne opnås ved blot at informere om, at der er en smittet person? Dette er GDPR-reguleringens krav om, at databehandlingen skal være lovlig, gennemsigtig, og ikke gå videre, end hvad der er nødvendigt, da hensynet til den smittedes privatliv vejer meget tungt.
Arbejdsgiveren skal således tage stilling i hver enkelt situation for hver enkelt smittede person og foretage en konkret vurdering: Hvis den smittede medarbejder kun har været i kontakt med meget få kollegaer i kort tid ad gangen, kan det betyde, at arbejdsgiveren slet ikke må melde navnet ud – det er ikke proportionalt. Og hvis den smittede slet ikke har været på arbejde, men har arbejdet hjemmefra, må navnet ganske enkelt ikke meldes ud.
Overordnet betyder det altså, at informationen om den smittede medarbejder skal kommunikeres til så få dele af virksomheden som muligt. Kun de medarbejdere i de afdelinger, som oplysningen er relevant for, skal informeres. Såfremt der er medarbejdere på virksomhedens øvrige lokationer, som har brug for at blive oplyst, må der generelt kun informeres om, at der har været en unavngiven smittet person.
Samtlige kollegaer skal i øvrigt instrueres om, at informationen om den smittede kollega er fortrolig og ikke må deles med nogen.
Indhent samtykke
Arbejdsgiveren skal så vidt muligt søge at indhente den smittede medarbejders informerede og frivillige samtykke, hvis man vil melde ud på arbejdspladsen, at en medarbejder med navns nævnelse er smittet med COVID-19.
Hvis medarbejderen ikke ønsker at give samtykke, er det formentlig kun i helt særlige situationer, hvor der er konkret fare for kollegaers og kunders mv. sundhed og liv, herunder at formålet med at stoppe smitten ikke kan opnås uden at nævne navnet på den smittede, at arbejdsgiveren kan vælge alligevel at informere om en navngiven medarbejders smitte uden at indhente samtykke.
Risiko for massiv bøde
Informerer arbejdsgiveren de øvrige medarbejdere om en navngiven kollegas smitte med COVID-19 uden at sikre sig, at de databeskyttelsesretlige regler er opfyldt, vil der være tale om en overtrædelse af GDPR-reglerne, som efter Databeskyttelsesloven vil kunne resultere i en massiv bøde til arbejdsgiveren.
Husk information og sletning
Endelig er det afgørende, at arbejdsgiverne sikrer dokumentation for, at GDPR-reglernes krav om information og sletning efterleves ved behandling af COVID-19-oplysninger.
Medarbejderne skal forinden oplyses om, at COVID-19-data er følsomme personoplysninger, som arbejdsgiveren behandler med det formål at stoppe smittespredningen, herunder at opspore smitten. Arbejdsgiverne skal i den forbindelse bl.a. oplyse medarbejderne om, hvor længe oplysningerne opbevares og herefter slettes.
Det er således arbejdsgiverens ansvar som dataansvarlig at sikre, at perioden for opbevaring af personoplysningerne ikke er længere end strengt nødvendigt. Arbejdsgiveren skal derfor fastsætte slettefrister for behandling af COVID-19 oplysningerne.
Datatilsynet har ikke taget stilling til en konkret fastsat periode. Det er den enkelte arbejdsgiver, som konkret må vurdere længden af opbevaringsperioden henset til nødvendigheden af at have testresultaterne som led i smitteopsporingsarbejdet. Arbejdsgiveren skal således have mulighed for at afdække, hvilke personer den smittede har været i kontakt med samt kontakte disse hurtigst muligt. Herefter er formålet opfyldt, og oplysningerne skal slettes umiddelbart herefter.
