Covid-19パンデミックと個人データの保護

トルコにおける商業企業および個人に対するコロナウイルス（COVID-19）の悪影響を排除するため、個人データ、特に健康データの処理および保護に関する制度について、一定の法的措置を講じる必要がありました。この文脈で、個人データ保護当局は2020年3月27日、「個人データ保護法の範囲内におけるCovid-19対策に必要な情報」というタイトルで公告を行いました。

本記事は、個人データ保護法に従ったデータ処理活動の実施およびコロナウイルス（Covid-19）パンデミックを理由に個人データ保護当局が発行した公告に関連するよくある質問について情報を提供することを目的としています。

1）COVID-19に関する特別措置の文脈で、雇用主に特定の開示義務はありますか？

個人データ保護法第6698号（「KVKK」）第10条に従い、各データ管理者は個人データを取得する際にデータ処理活動について情報を提供する責任を負います。この開示義務の範囲は当該条項の規定により決定され、コロナウイルス（COVID-19）パンデミックの拡散防止のために雇用主が講じた追加措置の実施が個人データの処理（過去の旅行の詳細またはCOVID-19検査結果を含む）を要する場合、個人データ保護法に基づく雇用主の従業員への説明責任は継続します。

2）雇用主は従業員の健康データ（発熱および一般的な健康診断の詳細を含む）を処理することができますか？

健康データを雇用主が処理する場合、KVKK第6条に従い健康データは特殊な個人データと定義されるため、データ管理者の開示義務に加え、従業員の明示的同意を取得しなければなりません。そのため、雇用主は従業員に属するCOVID-19関連データを処理する際、従業員の明示的同意を取得する必要があります。

3）職場医による健康データの処理は、明示的同意の点で差異を生じますか？

雇用主による健康データの処理には明示的同意が必要ですが、公衆衛生の保護、予防医学、医学的診断、治療および医療ケアなどのサービスの実施を含む関連立法で指定された目的に従い、守秘義務を負う者は健康データ所有者の明示的同意を得ずに健康データを処理することもできます。雇用主が職場医を通じて当該方向の健康データ処理を要する慣行を実施する場合、雇用主は 関連する 開示問題のみを考慮すれば足ります。この文脈で、従業員の明示的同意は不要です。

4）COVID-19症状のある従業員は、職場医にこの状況を報告する必要がありますか？

労働安全衛生法第19/1条に従い、従業員は自身の行為および業務遂行により影響を受ける他の従業員および自身の健康と安全を危険にさらしてはなりません。この場合、雇用主は、COVID-19の症状のいずれかを示すと判断された場合、直ちに職場医に申し出る必要がある旨、従業員に必要な情報および警告を提供しなければなりません。

5）雇用主は、関係者から過去の旅行に関するデータを求めることができますか？

最近の旅行に関する情報は、個人データ保護法第6698号に従い個人データの範囲に含まれます。通常、個人データの処理には所有者の明示的同意が必要ですが、個人データ保護当局の公告は、当該情報が個人データ保護法第5条の対象であり、最近旅行した国に関する情報は特殊な個人データとはみなされない場合があると明確にしました。結論として、雇用主が開示義務を履行したと確信できる限り、関係者に最近の旅行について質問することができます。

6）職場でCOVID-19事案が発生した場合、他の従業員にどのように通知できますか？

個人データ保護当局の公告では、そのような事案について他の従業員に通知する必要がある場合の例として以下が示されています：

「……本部ビル5階で勤務する同僚のCOVID-19検査が陽性であったことを、他の従業員に通知したいと考えました。接触があった者は、当該者が本部ビルにいた 関連する 日付に基づき特定され、この状況について通知されます。」上述の記述を考慮すると、従業員の一人がCovid-19陽性と判明した場合、雇用主は他の従業員に警告し、その身元を秘匿し、必要な措置を取るよう促し、身元特定に用い得る詳細を共有してはならないと述べなければなりません。保護措置を取るためにウイルスに感染した従業員の身元を開示する必要がある場合、開示義務を負うデータ管理者としての雇用主は、COVID-19陽性と診断された従業員に事前に情報を提供しなければなりません。

7）従業員の健康データを公共機関と共有することは許されますか？

雇用主は、KVKK第8条の規定および伝染病に関するその他関連法の規定に従い、届出義務のある伝染病にかかった従業員の個人データを関連当局と共有できます。

8）在宅勤務の過程で講じるべき安全措置は何ですか？

業務継続を確保するため、機関および組織はテレワークに基づき業務を行うことができます。個人データ保護当局の公告により、この過程においてもKVKK遵守のための行政的および技術的措置を維持しなければならないことが明確にされました。この文脈で、当局はデータ管理者が個人データの安全確保に関する義務から解放されていないことを提醒しました。

結果として、COVID-19パンデミックとの闘いの過程で、個人データの安全確保のためにあらゆる技術的および行政的措置を講じなければなりません。さらに、特殊な個人データのカテゴリーである健康データの安全確保のために追加措置を講じる必要があります。これらの措置を講じる際、開示義務の範囲で個人に提供する情報は簡潔で、アクセスしやすく、理解しやすくなければなりません。この目的のために明確で平易な言語を使用しなければなりません。一方、保健省および権限を有する公共機関・組織による個人データ処理活動が、第28条に定める国防、国家安全保障、公共安全または経済安全保障確保のために法的に権限を有する機関・組織が行う予防、保護および情報活動の範囲に含まれるとみなされる場合、本法の規定は適用されません。

詳細情報およびお問い合わせは以下まで：

Ebru ACAR 弁護士 – ebruozduran@hansu.av.tr

ja.hansu.av.tr | +90 216 464 12 12

© Hansu Attorney Partnership

Hansu Attorney Partnership は、不動産、会社、税務、エネルギーおよび知的財産法を中心に、国内外のクライアントに法律サービスを提供しています。本記事はトルコにおける最近の動向を紹介するものであり、法的または専門的助言を構成するものではありません。特定の法律問題については弁護士にご相談ください。