Zile libere pentru vaccinare: Ce

date personale trebuie să prelucreze

angajatorii și pentru cât timp
, 27 August 2021
Timp de citire: 5 min.

În contextul noii legi care prevede posibilitatea ca persoanele care se

vaccinează să beneficieze de o zi liberă plătită pentru fiecare doză de
vaccin efectuată, au apărut anumite întrebări cu privire la modul în
care angajatorii gestionează acest aspect din perspectiva prelucrării
datelor personale. Detaliem în acest material implicațiile și provocările
aferente prelucrării de date personale în legătură cu aceste activități.

Articol scris de Dana Ududec și Roxana Guiman, avocați

specializați în domeniul protecției datelor, parteneri
PrivacyON

Ce date ajung să prelucreze angajatorii? 

Legea 221/2021 prevede că dreptul la o zi liberă plătită se acordă „pe

baza adeverinței de vaccinare eliberate potrivit legii”. De asemenea,
legea mai prevede că „[î]n situația în care ziua liberă coincide cu ziua
vaccinării, persoanele prevăzute la alin. (1) (angajații, n.red.) au
obligația depunerii adeverinței de vaccinare în prima zi lucrătoare
de la vaccinare”. Prin urmare, dreptul la o zi liberă pentru vaccinare
se poate exercita prin depunerea, la angajator, a adeverinței de
vaccinare.

Din punct de vedere al temeiului pentru prelucrarea datelor de

sănătate (care reprezintă date din categorii speciale), apreciem că
angajatorii se pot baza pe art. 9(2)(b) – îndeplinirea obligațiilor și
exercitarea unor drepturi specifice ale operatorului sau ale
persoanei vizate în domeniul ocupării forței de muncă și al
securității sociale și protecției sociale. Legea 221/2021 se referă,
în mod expres, la depunerea adeverinței de vaccinare, prin urmare, nu
există dubii cu privire la categoriile de date personale care ar trebui să
fie prelucrate pentru a respecta dreptul angajaților la o zi liberă. Mai
mult, având în vedere că legea acordă dreptul la o zi liberă „pentru
fiecare doză de vaccinare efectuată”, rezultă că angajatorul trebuie să
știe și câte doze de vaccin sunt necesare/au fost făcute, informație care
depinde și de tipul de vaccin.

De asemenea, dacă se solicită o zi liberă pentru vaccinarea copiilor sub

18 ani sau a persoanelor cu dizabilități sub 26 de ani, pentru părinte /
reprezentant legal sunt necesare mai multe documente. Astfel, pe
lângă adeverința de vaccinare, la angajator se va depune și o declarație
a celuilalt părinte / reprezentant legal, potrivit căreia acesta din urmă
nu va solicita angajatorului său ziua liberă. Prin urmare, în contextul
aplicării prevederilor legale din Legea 221/2021, organizațiile pot
ajunge să prelucreze nu doar datele propriilor angajați, ci și
pe cele ale unor terți (copii, persoane cu dizabilități, al doilea
părinte / reprezentant legal).

Pot angajatorii să păstreze o copie a adeverinței de

vaccinare? Cât timp ar trebui păstrate documentele care
dovedesc vaccinarea?

Dacă legea indică, în mod expres, depunerea adeverinței de vaccinare,

în schimb, avem mai puțină claritate cu privire la termenul adecvat
pentru păstrarea documentelor și informațiilor aferente. Unul dintre
principiile fundamentale din GDPR este „limitarea legată de stocare”,
ceea ce înseamnă că angajatorii trebuie să păstreze datele
personale doar atât timp cât acestea sunt necesare pentru
atingerea scopurilor stabilite.
Este evident că primul scop, anume justificarea cererii de exercitare a
dreptului la zilele libere, este îndeplinit prin depunerea adeverinței de
vaccinare (împreună cu declarația celuilalt părinte/reprezentant legal,
dacă este cazul). Însă ce vor face în continuare angajatorii cu toate
aceste documente? Cât timp este rezonabil să le păstreze în evidențele
lor interne (în format fizic sau electronic)?

Aici intervine evaluarea pe care trebuie să o facă fiecare organizație cu

privire la utilitatea acestor documente și informații. Angajatorii ar
putea avea multiple motive pentru a le păstra chiar și după acordarea
zilei libere, cum ar fi:

 dovedirea îndeplinirii obligațiilor în cazul unui control sau în

cazul unei plângeri;
 justificarea internă a numărului de zile libere, în special în cazul
reportării în anul următor - având în vedere că, așa cum prevede
Legea 221/2021, zilele libere pentru vaccinare nu se includ în
durata concediului de odihnă, este important ca acestea să nu fie
luate în calcul atunci când se stabilesc zilele de concediu rămase
la final de an;
 justificarea eventualelor diferențe între angajați cu privire la
zilele libere acordate.

De asemenea, pentru a respecta un alt principiu fundamental din

GDPR – cel al minimizării datelor personale - angajatorii trebuie
să stabilească pentru ce scopuri este necesară păstrarea
copiei de pe adeverință și în ce cazuri este suficientă o
simplă mențiune în evidențele administrative interne
privind motivul zilelor libere. Spre exemplu, în cazul evidențelor
privind zilele libere reportate sau al diferenței între zilele libere
acordate acelorași categorii de angajați, considerăm că se poate opta
pentru o variantă care să nu includă păstrarea copiei de pe adeverință,
ci în care să se menționeze în rapoartele / baza de date internă doar
faptul că ziua liberă a fost acordată pentru vaccinare (doza I sau II sau
doza unică). O variantă mai minimală ar fi cea în care doar se
menționează că ziua liberă a fost acordată în baza Legii 221/2021.
Din păcate, nu există recomandări oficiale sau prevederi legale mai
specifice pentru păstrarea datelor și documentelor-suport în acest caz.
Însă, având în vedere că este vorba de date privind starea de sănătate,
apreciem că angajatorii ar trebui să se orienteze către o durată de
păstrare cât mai mică a adeverințelor, care să le permită strict
dovedirea îndeplinirii obligațiilor legale în cazul unui control/unei
situații litigioase. În ce privește alte mențiuni în evidențele interne cu
privire la justificarea acordării zilelor libere, considerăm că, în măsură
în care acestea fac referire expresă la vaccinare, ar trebui să fie șterse
după ce se stabilește că nu mai sunt utile pentru calcule.

Amintim și opinia Autorității de supraveghere a prelucrării datelor

(ANSPDCP), care reiterează faptul că datele personale care nu sunt
incluse într-un sistem de evidență nu intră sub incidența GDPR.
Astfel, unii angajatori ar putea opta doar pentru vizualizarea
adeverințelor de vaccinare, fără reținerea unei copii. Însă considerăm
că, în această perioadă marcată de multiple modificări legislative și
(încă) multă neclaritate cu privire la aplicarea normelor legale,
angajatorii nu pot rămâne complet descoperiți prin lipsa
documentelor care justifică respectarea drepturilor prevăzute în Legea
221/2021 (mai ales în condițiile în care legea vorbește
despre „depunerea” adeverinței).

Alte obligații ale angajatorilor privind protecția datelor

personale

Angajatorii nu trebuie să uite de alte cerințe importante ale legislației

privind protecția datelor aplicabile în acest caz. Ne referim aici, în
primul rând, la transparență, adică informarea angajaților despre
modul în care le sunt prelucrate datele personale în contextul acordării
zilelor libere. Considerăm că, având în vedere că este vorba de o
prelucrare punctuală, este potrivită transmiterea unui mesaj e-mail /
postarea pe intranet (sau alte mijloace prin care se comunică de obicei
cu angajații) a unei scurte informări privind prelucrarea de date
aferentă acestei activități. Spre exemplu, această informare poate avea
loc concomitent cu anunțarea facilităților oferite de Legea 221/2021.

O dată primite documentele justificative și alte informații relevante,

acestea trebuie să fie păstrate în medii sigure, să fie accesibile doar
persoanelor care au nevoie să le cunoască și să fie protejate prin
măsuri de securitate la nivelul adecvat stabilit de organizație. Nu în
ultimul rând, angajații trebuie să știe cui și cum se pot adresa pentru
a-și exercita drepturile prevăzute în legislația privind protecția datelor
personale.