Processing employees’ personal data during the Covid-19 pandemic

Abstract

While needing to ensure the health and safety of their employees during the Covid-19 pandemic, employers face many burning data protection questions, including under what conditions they can process employees’ personal data (in particular health data) and whether gathering personal data concerning employees’ medical history, trips and contacts with infected persons, is allowed. This article focuses on issues that are problematic, based on the analysis of guidance issued by the European Data Protection Board, as well as national data protection authorities and practitioners from 20 countries in response to these concerns. The first section of the article analyses concepts of personal data and health data in the context of Covid-19. Then the article proceeds with exploring what possible legal bases employers can use to process employees’ personal data in general, and health data in particular, under the General Data Protection Regulation when applying different measures to combat Covid-19. In the latter part of the article two practical questions raised by employers – concerning the checking of employees’ body temperatures and informing them of possible infection – are discussed. The analysis indicates that national data protection authorities seem to look for a reasonable and pragmatic approach regarding compliance with the GDPR in light of the Covid-19 emergency. However, their guidance differs in several areas and the views in between nation states are not always aligned. A more specific, clear and uniform pan-European vision concerning the processing of employees’ data in times of emergency is needed to better protect employees and limit the spread of the virus.

Activités essentielles, télétravail et surveillance numérique: l'effet panoptique de la pandémie

“…En outre, le RGPD doit être lu en conjonction avec les lignes directrices adoptées par le Comité européen de la protection des données (EDPB) 10 , qui a une approche intéressante, puisqu'il prône un renforcement des exigences relatives au consentement lorsqu'il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement. À cet égard, les autorités responsables de la protection des données sur le plan national se sont aussi montrées vigilantes et proactives (Suder, 2021).…”

Une mesure proportionnée face à la menace du COVID‐19? Le recours aux applications et autres outils de surveillance des salariés au regard des règles relatives à la protection des données de l'Union européenne

“…La plupart des organes responsables de la protection des données dans les États membres de l'UE estiment que, en vertu du droit du travail, les salariés ont l'obligation d'annoncer à leur employeur qu'ils ont été exposés au virus ou ont été testés positif et pourraient contaminer leurs collègues (Suder, 2021). Ces organismes ont parfois même recommandé aux employeurs de fournir des informations dans ce sens et d'inviter leur personnel à agir de la sorte (ibid.).…”

“…Autrement, il est illicite. L'EDPB, les organismes chargés de la protection des données à l'échelon national et les chercheurs ont fourni des orientations sur les motifs pouvant être invoqués par les employeurs pour justifier ce traitement dans le contexte de la pandémie (Suder, 2021;DSK, 2020;Nemzeti Adatvédelmi és Információszabadság Hatóság, 2020).…”

“…Toutefois, dans ce cas, les organisations doivent vérifier si les intérêts qu'il s'agit de protéger doivent prévaloir sur les droits, libertés ou intérêts raisonnables du salarié. D'après certaines études, il est permis de penser que la collecte de données sur les salariés pendant la pandémie répond aussi à l'intérêt personnel des personnes concernées sur le plan du bien-être et que, dans ces conditions, il est peu probable qu'un droit individuel impérieux puisse prévaloir et conduire à la conclusion que le traitement des données est illégitime (Suder, 2021).…”

Actividades esenciales, trabajo a distancia y vigilancia digital. Estrategias para hacer frente al panóptico de la pandemia de COVID‐19

“…El RGPD debe leerse junto con las Directrices adoptadas por el Comité Europeo de Protección de Datos (CEPD), 10 cuyo enfoque es encomiable porque aboga por establecer niveles reforzados de consentimiento en situaciones de desequilibrio. En este caso, las autoridades nacionales de protección de datos también han demostrado una actitud atenta y proactiva (Suder 2021).…”