Maßnahmen zur Unterbindung der Übertragung und zur Verringerung der Auswirkungen von COVID-19 werden sowohl von Staaten als auch von öffentlichen und privaten Organisationen und NROs ergriffen. Jeder dieser Schritte erfordert die Erhebung personenbezogener Daten (wie Name, Adresse, Arbeitsort, Reisedaten) von Einzelpersonen, darunter in vielen Fällen auch „sensible personenbezogene Daten“ (wie Gesundheitsdaten).

Es gibt jedoch wesentliche Faktoren, die bei der Verarbeitung personenbezogener Daten in diesen Fällen berücksichtigt werden sollten, insbesondere Gesundheitsdaten, die von der Datenschutz-Grundverordnung (DSGVO) besonders berücksichtigt werden und die nur unter einer ziemlich strengen Regelung verarbeitet werden können. Die Datenschutz-Grundverordnung steht den Maßnahmen, die zur Verhinderung der Ausbreitung des Virus und der Gesundheitsversorgung erforderlich sind, nicht im Wege.

Die Maßnahmen zur Bekämpfung des Coronavirus, einschließlich der Verwendung personenbezogener Daten, einschließlich Gesundheitsdaten, sollten angemessen und verhältnismäßig sein.

Die folgenden Verpflichtungen sollten von den Organisationen ebenfalls eingehalten werden:

Rechtmäßigkeit der Verarbeitung

Für die korrekte Verarbeitung personenbezogener Daten, einschließlich Gesundheitsdaten, gibt es zahlreiche Rechtsgrundlagen, die in der DSGVO genannt werden und auf die zurückgegriffen werden kann. Art. 9 der DSGVO für die Kategorie der medizinischen Daten.

In diesem Zusammenhang wird gemäß Art. 9 Abs. 2 erhellt. B der DSGVO, dass „die Verarbeitung zur Erfüllung der Aufgaben und zur Ausübung der besonderen Rechte des Betreibers oder der betroffenen Person im Bereich der Beschäftigung, der sozialen Sicherheit und des sozialen Schutzes erforderlich ist, soweit dies nach dem Unionsrecht, dem nationalen Recht oder einem aufgrund des nationalen Rechts geschlossenen Tarifvertrag, der angemessene Garantien für die Verarbeitung von Daten im Bereich der Beschäftigung und der sozialen Sicherheit und des sozialen Schutzes vorsieht, zulässig ist.

Dieser Artikel, der sich an das Gesetz über Sicherheit und Gesundheitsschutz am Arbeitsplatz anschließt, bietet dem Arbeitgeber einen rechtlichen Rahmen für die Erhebung personenbezogener Daten, einschließlich, sofern dies als notwendig und angemessen erachtet wird, von Gesundheitsdaten.

Alle Informationen, die verarbeitet werden, müssen vertraulich behandelt werden, d. h. alle Schreiben an die Arbeitnehmer über das mögliche Vorhandensein des Coronavirus am Arbeitsplatz enthalten keine Angaben über den betroffenen Arbeitnehmer.

Die Verarbeitung personenbezogener Daten ist auch zulässig, wenn sie zum Schutz lebenswichtiger Interessen einer Einrichtung oder anderer Personen erforderlich ist. Aus diesem Grund können die Gesundheitsdaten einer Person verarbeitet werden, wenn diese geistig oder rechtlich nicht in der Lage ist, ihre Zustimmung zu geben. Dieser Grund gilt im Allgemeinen nur für Notfälle, für die kein anderer Rechtsrahmen entwickelt werden kann.

Transparenz

Unternehmen, die personenbezogene Daten sammeln, müssen sich über die Schritte, die sie in diesem Zusammenhang unternehmen, im Klaren sein, einschließlich der Absicht, personenbezogene Daten zu sammeln, und der Dauer ihrer Speicherung. Sie müssen den Menschen in knapper, leicht zugänglicher, übersichtlicher Form und in einfacher Sprache Informationen über die Verarbeitung ihrer Daten geben.

Vertraulichkeit

Um die Verbreitung von COVID-19 zu verhindern, muss jede Verarbeitung von Daten so erfolgen, dass der Datenschutz und die Vertraulichkeit gewährleistet sind, insbesondere bei Gesundheitsdaten. Die Identität der betroffenen Personen darf nicht ohne ausdrücklichen Grund an Dritte oder ihre Kollegen weitergegeben werden.

Daten minimieren

Wie bei jeder Datenerhebung ist es wichtig, nur die Informationen zu sammeln, die notwendig sind, um die Verbreitung von COVID-19 zu verhindern. Arbeitgebern ist es zum Beispiel nicht möglich, Informationen über die Reisen von Familienangehörigen von Arbeitnehmern ins Ausland zu erhalten.

Verantwortung

Die Organisationen müssen auch gewährleisten, dass jeder Entscheidungsprozess in Bezug auf die Schritte, die zur Bewältigung der Situation von COVID-19, die die Verarbeitung personenbezogener Daten beinhaltet, getroffen wurden, aufgezeichnet wird. In das Register der Verarbeitungen sollten die erhaltenen Informationen aufgenommen werden.