Razkrivanje podatkov o zdravstvenem stanju

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljnjem besedilu IP) je prejel vaše zaprosilo za mnenje v zvezi z razkrivanjem podatkov o zdravstvenem stanju. Navedli ste, da so na zdravniškem pregledu ugotovili, da potrebujete omejitve pri delu, kakšne so te omejitve in kaj v zvezi s tem mora storiti delodajalec. Zanima vas, če sme delodajalec brez vaše vednosti in prisotnosti na sestanku o tem seznaniti vse vaše sodelavce.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Delodajalec je upravičen do obdelave tistih osebnih podatkov delavca, za katero ima izrecno zakonsko podlago ali za katero je pridobil osebno privolitev posameznega delavca.

IP v načelnem mnenju ne more odločati o tem, ali so v konkretnem primeru podani pogoji za razkritje osebnih podatkov. To lahko stori le v okviru inšpekcijskega postopka.

Glede obdelave osebnih podatkov o ugotovitvah pooblaščenega zdravnika v specialistični ambulanti medicine dela, prometa in športa ni dvoma, da tovrstni podatki sodijo med posebne vrste osebnih podatkov, za katere velja, da je njihova obdelava prepovedana, če ni podana katera od izjem člena 9(2) Splošne uredbe o varstvu podatkov. Tako npr. tovrstna obdelava ni prepovedana, če je potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava.

Tako je v delovnem razmerju obdelava osebnih podatkov dopustna tudi na podlagi področnih predpisov (Zakon o delovnih razmerjih (ZDR; 48. člen v povezavi z navodili delodajalca), Zakon o evidencah na področju dela in socialne varnosti (ZEPDSV)). Posebna privolitev posameznika zato v tovrstnih situacijah niti ni potrebna.

Glede na določbe omenjene zakonodaje ni sporno, da sme oz. celo mora omenjene podatke voditi in obdelovati delodajalec kot upravljavec osebnih podatkov. Pri določanju pravil o tem, kdo sme imeti dostop do katerih osebnih podatkov pri upravljavcu pa velja upoštevati načelo sorazmernosti in najmanjšega obsega podatkov (glej člen 5 Splošne uredbe o varstvu podatkov). Po načelu najmanjšega obsega podatkov morajo biti podatki, ki so obdelani (med obdelavo sodi tudi razkritje, objava, posredovanje drugim ipd.), ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

To pomeni, da mora delodajalec za posamezno vrsto osebnih podatkov pretehtati, ali je seznanitev drugih oseb s podatki sorazmerna glede na namene, zaradi katerih se obdelujejo. Dostop do osebnih podatkov v podjetju je praviloma v pristojnosti odločitve vodstva, ki mora ob določanju teh pravil upoštevati omenjena temeljna načela in dostope do posameznih vrst podatkov prilagoditi organizaciji dela ter uresničevanju pravic in obveznosti, ki izvirajo iz delovnega razmerja.

V katerih organizacijah je zaradi narave dela in nalog mogoče najti razloge, da morajo biti z osebnimi podatki posameznika seznanjeni tudi drugi delavci, IP ne more ugotavljati v načelnem mnenju. Če za seznanitev ni utemeljenih argumentov, potem bi morala biti seznanitev omejena na tiste osebe, ki se jih to tiče neposredno, da so lahko zdravniška navodila tudi izvedena (npr. vodstvo, vodje posameznih služb, kadrovska ipd.). Vodstvo podjetja mora tako opraviti presojo, kdo in do katerih osebnih podatkov utemeljeno potrebuje dostop in na podlagi te ocene ustrezno določiti dostopne pravice.

Več o varstvu osebnih podatkov v delovnih razmerjih si lahko preberete tudi v smernicah IP, ki so dostopne na povezavi https://www.ip-rs.si/publikacije/prirocniki-in-smernice/varstvo-osebnih-podatkov-v-delovnih-razmerjih/ .

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani https://www.ip-rs.si/vop/.

Prav tako so vsa ključna področja, ki jih ureja Splošna uredba o varstvu podatkov, predstavljena na https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/. Tu lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lep pozdrav,

                                                                                               Mojca Prelesnik,

                                                                                               informacijska pooblaščenka

Pripravila:

Karolina Kušević, univ. dipl. prav.,

svetovalka IP

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.