Europejska Rada Ochrony Danych Osobowych wydała 17 marca 2020 r. stanowisko, w którym wskazała, że „pracodawcy powinni informować pracowników o przypadkach COVID-19 i podejmować środki ochronne, ale nie powinni przekazywać więcej informacji niż jest to konieczne. W przypadkach, w których konieczne jest ujawnienie nazwiska pracownika, który zarażony jest wirusem (np. w kontekście profilaktyki), a prawo krajowe na to zezwala, pracownicy, których sprawa dotyczy, powinni zostać poinformowani z wyprzedzeniem, a ich godność i uczciwość powinny być chronione”. Oznacza to, że w praktyce wskazanie konkretnej osoby zakażonej COVID-19 musi mieć oparcie w przepisach krajowych.
UODO w swoim stanowisku z dnia 13 listopada 2020 r. wskazuje, że przekazywanie informacji o zakażeniu wirusem jest związane z przetwarzaniem danych o zdrowiu, które należą do szczególnej kategorii danych (art. 9 ust. 1 RODO) i powinny zostać objęte szczególną ochroną. Pracodawca, chcąc przekazywać informacje o stanie zdrowia pracowników dalej powinien wykazać się jedną z przesłanek określonych w art. 9 ust. 2 RODO dopuszczających przetwarzanie tej kategorii danych. Wydaje się, że UODO nie uznaje za wystarczającą podstawę przepisów kodeksu pracy wprowadzających ogólny obowiązek zapewnienia bezpiecznych i higienicznych warunków pracy, czy też informowania o zagrożeniach.
Innego zdanie ma w tej kwestii rzecznik praw obywatelskich, który w stanowisku z 9 listopada 2020 r. podkreślił, że obowiązek pracodawcy do informowania o przypadkach zachorowania na COVID można wyłonić bezpośrednio z przepisów kodeksu pracy (art. 207 par. 2 k.p., w zw. z art. 304 k.p. w zw. z art. 226 pkt 1).
W większości Państw UE stanowiska są zbieżne z opinią ERODO. Po pierwsze podstawy do ujawnienia wynikają z przepisów krajowych, a po drugie ujawnienie ma być wyjątkiem, a nie regułą. I tak np. na Łotwie inspektorat ustalił, że pracodawca może poinformować innych pracowników o przypadku zarażenia, ale nie wolno mu ujawnić nazwiska ani innych informacji pozwalających zidentyfikować osobę. Inspektor w Rumunii podkreślił potrzebę oparcia przetwarzania takich danych w ramach przesłanek wymienionych w RODO, podkreślając, że przetwarzanie tych danych może odbywać się za zgodą osoby, której one dotyczą. Islandia opracowała specjalne wytyczne i wzór komunikatu, na wypadek przekazania informacji o nieobecności pracownika objętego kwarantanną. Podkreślono, że należy unikać informacji o nazwisku pracownika, chyba że jest to niezbędne – a więc rozwiązanie takie nie zostało wykluczone. Norwegia dopuszcza poinformowanie innych pracowników o tym, iż jeden z nich został zakażony, jednak zależy to od konkretnej oceny każdego przypadku i może przekazywane jedynie pozostałym pracownikom, a nie osobom trzecim.
Większość organów państwowych jest zgodna w kwestii ujawniania danych osób zarażonych koronawirusem. Tylko organ berliński, czeski, norweski oraz po części hiszpański zdają się dopuszczać ujawnienie tożsamości zakażonego innym pracownikom.
Na tym tle stanowisko UODO jest dość sztywne, podczas gdy interpretacja RPO lepiej wpisuje się w realne potrzeby rynku i pracodawców. Punkt widzenia RPO, który dostrzega wagę zobowiązań wynikających z kodeksu pracy, znajduje oparcie także w stanowiskach niektórych organów z innych państw Unii.
