Informacijski pooblaščenec Republika Slovenija
   
dekorativna slika

Poizvedovanje glede dopustovanja zaposlenih

+ -
Datum: 29.07.2020
Številka: 07121-1/2020/1180
Kategorije: Delovna razmerja, Pravne podlage, Zdravstveni osebni podatki

Informacijski pooblaščenec RS (v nadaljevanju IP) je prejel vaše vprašanje – ali sme delodajalec zaradi preprečevanja vnosa novega koronavirusa (SARS-CoV-2) v podjetje, po vračilu delavcev z dopustov v tujini:

  • napotiti zaposlenega na obvezno testiranje (stroške bi kril delodajalec)?
  • od zaposlenega zahtevati informacijo o tem v katero državo bo potoval na letni dopust?
  • Po opravljenem testiranju, od zaposlenega zahtevati rezultate testiranja (na podlagi 35., 36. in 37. čl. ZDR-1 v zvezi s točko d oz. f  6. člena (1) GDPR)?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

IP v okviru neobvezujočega mnenja ne more podajati navodil za skladno ravnanje zavezanca glede obdelave osebnih podatkov v konkretnem primeru. IP lahko v konkretnem primeru ugotavlja zakonitost le v okviru inšpekcijskega ali drugega ustreznega postopka, po preučitvi vseh okoliščin primera.

IP poudarja, da mora delodajalec za utemeljitev zakonite obdelave osebnih podatkov zaposlenih zaradi preprečevanja širjenja okužbe z novim koronavirusom, celostno pristopiti k določitvi ukrepov za zajezitev širjenja okužb – upoštevaje zlasti sistem preprečevanja širjenja okužb, kot ga narekujejo pristojne institucije (tako izhaja tudi mnenja IP: Obveznost obveščanja delodajalca o posameznih pojavih virusa, št. 07121-1/2020/387). Le na ta način je namreč mogoče utemeljiti tudi primernost, nujnost in sorazmernost morebitnih za to potrebnih konkretnih obdelav osebnih podatkov, na čemer mora temeljiti vsaka obdelava osebnih podatkov, da se poseg v človekovo pravico do varstva osebnih podatkov lahko šteje za dopustnega.

V ta namen mora delodajalec ugotoviti:

  • ali in v kakšni meri zadoščajo ukrepi, ki ne zahtevajo obdelav osebnih podatkov, ter
  • v katerih posamičnih primerih pa so glede na navodila zdravstvene stroke morda potrebne tudi določene obdelave osebnih podatkov.

Za te mora delodajalec zagotoviti ustrezno pravno podlago, potem ko najprej utemelji zlasti:

  • primernost obdelave (utemeljitev, da bi se z obdelavo sploh dosegel zasledovan cilj – preprečevanje širjenja okužb),
  • nujnost obdelave (utemeljitev, da istega cilja ni mogoče doseči z milejšimi sredstvi, ki bi v manjši meri posegal v zasebnost) in
  • sorazmernost obdelave (utemeljitev, da zbiranje konkretnih osebnih podatkov prekomerno ne poseže v upravičeno pričakovano zasebnost ali druge temeljne pravice in svoboščine zaposlenega).

Delodajalec je torej najprej dolžan v konkretnih okoliščinah oceniti tveganje in v okviru navodil pristojnih (NIJZ, pooblaščena oseba za medicino dela) celovito presoditi, kateri ukrepi so potrebni za zajezitev širjenja okužb.

Če delodajalec ugotovi, da je treba glede na navodila NIJZ in oceno zdravstvene stroke za namen preprečevanja širjenja okužbe z novim koronavirusom, zbirati v določenih primerih tudi osebne podatke, mora izkazati obstoj ustrezne pravne podlage. Pravne podlage, ki lahko pridejo v poštev za obdelavo 'običajnih' osebnih podatkov so na primer: 48. člen ZDR-1, drug zakon ali katera od točk člena 6(1) Splošne uredbe. Če gre za zbiranje posebnih vrst osebnih podatkov pa pridejo v poštev pravne podlage iz člena 9 Splošne uredbe v povezavi z nacionalnimi predpisi.

Vprašanje – ali in kdaj bi smel delodajalec obvezno napotiti delavca na zdravstveno testiranje – ne sodi v okvir pristojnosti Informacijskega pooblaščenca, saj gre za izvajanje pravic in obveznosti iz delovnega razmerja oz. predpisov v zvezi z ukrepi glede preprečevanja širjenja nalezljivih bolezni, kar nadzira Inšpektorat za delo (gp.irsd@gov.si) oz. inšpektorat za zdravje.

Za odgovor na vprašanje ali je delodajalec upravičen do rezultatov testiranja oz. do podatka o okužbi, je treba smiselno upoštevati zgoraj navedeno mnenje št. 07121-1/2020/387, ki v prvi vrsti napotuje na upoštevanje navodil pristojnih institucij, da delodajalec sprejme ustrezne ukrepe glede na oceno ogroženosti in tveganje za okužbo glede na naravo dela in druge konkretne okoliščine. Pri tem IP posebej opozarja na načelo najmanjšega obsega podatkov, ki so potrebni glede na namen zbiranja. Delodajalec namreč načeloma ni upravičen do zbiranja podatkov o diagnozah in konkretnem zdravstvenem stanju delavcev, razen tistih podatkov, ki so glede na veljavne predpise in zakonske obveznosti delodajalcev potrebni za varno izvajanje in organizacijo delovnega procesa. Torej delodajalec lahko zbira le tiste podatke, ki so glede na zgoraj navedeno potrebni, za to, da delodajalec izvaja predpisane ukrepe za preprečevanje širjenja okužbe. Če tovrstni razlogi niso podani, potem tudi ni dopustno zbiranje osebnih podatkov za tak namen. Če pa glede na konkretne okoliščine dela za namen preprečevanja širjenja okužb v posameznem primeru obstaja pravna podlaga za to (kar zlasti izhaja iz navodil pristojnih institucij) in je to primerno, nujno in sorazmerno, lahko eventualno delodajalec prejme podatek o okužbi posameznega delavca (in ne celotnih podatkov o diagnozi ter rezultatov testiranj).

Glede zbiranja podatkov o dopustovanju delavcev v tujini, je IP že izdal mnenje Spremljanje potovanj zaposlenih, št. 07121-1/2020/1142 in predlagamo, da se z njim seznanite. Stališče velja tako glede zbiranja podatkov o nameravanih krajih dopustovanja, kot tudi glede morebitnih formalnih poizvedovanjih delodajalca o tem, kje je delavec dopustoval; tudi ali je dopustoval v Sloveniji ali ne. Iz omenjenega mnenja izhaja načelno stališče, da potovanja zaposlenih, ki niso povezana z zaposlitvijo, spadajo na zasebno področje posameznikov in bi delodajalec z obdelavo teh podatkov prekomerno posegel v njihovo zasebnost. IP zato načeloma ne vidi zakonite pravne podlage za obdelavo teh podatkov v smislu uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, kot to določa 48. člen ZDR-1, razen, če za določene primere in za določene podatke v omejenem obsegu posamezen predpis določa drugače (npr. 5. odstavek 15. člena Zakona o interventnih ukrepih za pripravo na drugi val Covid-19). Ob odsotnosti konkretnih drugačnih predpisov pa bi bila tovrstna zbirka eventualno lahko dopustna le na podlagi veljavne privolitve (kot izhaja iz omenjenega mnenja št. 07121-1/2020/1142, bi bila privolitev po določbi 6(1)(a) Splošne uredbe lahko veljavna, pod pogojem, da ne bi bila prisiljena, npr. tako, da bi bila pospremljena z opozorilom, da ima posameznik pravico, da privolitve ne poda in sicer brez kakršnihkoli posledic za njegovo delovno razmerje oz. pravni položaj).

Lep pozdrav,

               

Pripravil:

Anže Novak, univ. dipl. prav

Svetovalec Pooblaščenca za preventivo

 

Mojca Prelesnik, univ. dipl. prav

informacijska pooblaščenka