Spremljanje zdravstvenega stanja zaposlenih

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje glede vprašanja seznanitve z zdravstvenimi podatki s strani delodajalca in videonadzora.

Navajate, da namerava delodajalec za vse osebe, ki se nahajajo v karanteni, dnevno pridobivati podatke o zdravstvenem stanju (temperatura, podatki o kašlju, vpliv na poslabšanje voha, podatke o motnjah prebavnega trakta, ...). Nadalje želi za prepoznavo oseb zbirati podatke o imenu, priimku, spolu in starosti. Dodatno namerava zbirati še podatke o tem, ali je oseba že bila v karanteni. Z navedenimi podatki bi se seznanil oz. jih uporabljal management družbe, podatki bi se izvažali tudi v ne EU države. Prosite za mnenje o zakonitosti zbiranja takšnih podatkov - zaposleni za takšno zbiranje ne bi podali soglasja.

Sprašujete tudi o zakonitosti videonadzornega sistema z namenom spremljanja uporabe zaščitnih sredstev na delovnih mestih (uporaba mask in razdalje med zaposlenimi). Delodajalec želi  vzpostaviti nadzor nad delovnimi mesti, skupnimi prostori, ki so namenjeni kajenju in menzo. Zanima vas, ali je možno zavrniti izvedbo videonadzora, saj bi na uporabo zaščitnih sredstev lahko opozarjali vodje proizvodnih linij. 

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

1) Pridobivanje podatkov o zdravstvenem stanju

Podatki v zvezi z zdravjem posameznika štejejo skladno s Splošno uredbo za t.i. posebne vrste osebnih podatkov (po ZVOP-1 so to »občutljivi osebni podatki«). V zvezi z obdelavo osebnih podatkov zaradi COVID-19 je IP v preteklosti že izdal nekatera mnenja, ki so dosegljiva na https://www.ip-rs.si/index.php?id=897, npr.: mnenje št. 07121-1/2020/449 z dne 30. 3. 2020 (Razkritje podatkov o obolelem zaposlenem) in mnenje št. 07121-1/2020/387 z dne 20. 3. 2020 (Obveznost obveščanja delodajalca o posameznih pojavih virusa COVID-19). 

Načeloma je obdelava posebnih vrst osebnih podatkov prepovedana, razen v primerih, ki jih določa drugi odstavek 9. člena Splošne uredbe. IP poudarja, da mora delodajalec za utemeljitev zakonite obdelave osebnih podatkov zaposlenih zaradi preprečevanja širjenja okužbe z novim koronavirusom, celostno pristopiti k določitvi ukrepov za zajezitev širjenja okužb – upoštevaje zlasti sistem preprečevanja širjenja okužb, kot ga narekujejo pristojne institucije (tako izhaja tudi iz zgoraj omenjenega mnenja IP: Obveznost obveščanja delodajalca o posameznih pojavih virusa, št. 07121-1/2020/387). Le na ta način je namreč mogoče utemeljiti tudi primernost, nujnost in sorazmernost morebitnih za to potrebnih konkretnih obdelav osebnih podatkov, na čemer mora temeljiti vsaka obdelava osebnih podatkov, da se poseg v človekovo pravico do varstva osebnih podatkov lahko šteje za dopustnega. Delodajalec tako načeloma ni upravičen do zbiranja podatkov o diagnozah in konkretnem zdravstvenem stanju delavcev, razen tistih podatkov, ki so glede na veljavne predpise in zakonske obveznosti delodajalcev potrebni za varno izvajanje in organizacijo delovnega procesa. To pa vsekakor niso avtomatično in sistematično vsi podatki o počutju, temperaturi ipd. vseh oseb, ki jim je odrejena karantena. Prav tako ni razvidno, zakaj bi delodajalec potreboval podatke o preteklih karantenah.

Delodajalec mora pri snovanju ukrepov najprej ugotoviti:

• ali in v kakšni meri zadoščajo ukrepi, ki ne zahtevajo obdelav osebnih podatkov, ter
• v katerih posamičnih primerih pa so glede na navodila zdravstvene stroke morda potrebne tudi določene obdelave osebnih podatkov.

Za te mora delodajalec zagotoviti ustrezno pravno podlago, potem ko najprej utemelji zlasti:

• primernost obdelave (utemeljitev, da bi se z obdelavo sploh dosegel zasledovan cilj – preprečevanje širjenja okužb),
• nujnost obdelave (utemeljitev, da istega cilja ni mogoče doseči z milejšimi sredstvi, ki bi v manjši meri posegal v zasebnost) in
• sorazmernost obdelave (utemeljitev, da zbiranje konkretnih osebnih podatkov prekomerno ne poseže v upravičeno pričakovano zasebnost ali druge temeljne pravice in svoboščine zaposlenega).

Delodajalec je torej najprej dolžan v konkretnih okoliščinah oceniti tveganje in v okviru navodil pristojnih (NIJZ, pooblaščena oseba za medicino dela) celovito presoditi, kateri ukrepi so potrebni za zajezitev širjenja okužb.

Če delodajalec ugotovi, da je treba glede na navodila NIJZ in oceno zdravstvene stroke za namen preprečevanja širjenja okužbe z novim koronavirusom, zbirati v določenih primerih tudi osebne podatke, mora izkazati obstoj ustrezne pravne podlage. Pravne podlage, ki lahko pridejo v poštev za obdelavo 'običajnih' osebnih podatkov so na primer: 48. člen ZDR-1, drug zakon ali katera od točk iz prvega odstavka 6. člena Splošne uredbe. Če gre za zbiranje posebnih vrst osebnih podatkov pa pridejo v poštev pravne podlage iz 9. člena Splošne uredbe v povezavi z nacionalnimi predpisi.

IP torej poudarja, da brez primerne in utemeljene pravne podlage delodajalec ne more spremljati zdravstvenega stanja zaposlenega - pridobi lahko zgolj podatke, ki so povezane z odreditvijo karantene, kot to določa zakonodaja (npr. zaradi obračuna nadomestila plač delavcem zaradi odrejene karantene, glej npr. 13. – 19. člen Zakona o interventnih ukrepih za pripravo na drugi val COVID-19 (Uradni list RS, št. 98/20)).

IP izven inšpekcijskega postopka in vnaprej ne sme in ne more presojati, katere konkretne podatke se sme, lahko ali celo mora obdelovati v zvezi s trenutno situacijo, pač pa le pristojne institucije. Ustreznosti posameznih ukrepov z drugih vidikov IP ne sme komentirati, saj ne odloča o zdravstvenih ukrepih. IP predlaga, da se delodajalec glede potrebe oz. utemeljenosti izvajanja posebnih ukrepov zaradi zaščite življenjskih interesov posameznika obrne na NIJZ, ki lahko poda natančna in jasna navodila glede nadaljnjih postopkov in predvidenih ukrepov. 

Več informacij glede nadzora delodajalca nad odrejeno karanteno pa najdete tudi v že izdanem mnenju IP št. 07121-1/2020/1159 z dne 24. 7. 2020.

Tudi če bi pravna podlaga obstajala, bi delodajalec moral izpolniti obveznosti po Splošni uredbi, npr. sprejeti zaščitne ukrepe za zavarovanje osebnih podatkov in kot sprašujete, tudi glede prenosa v tretje države.

V kolikor bi delodajalec osebne podatke prenašal organizacijam izven Evropskega gospodarskega prostora bi moral poskrbeti tudi za ustrezno pravno podlago za tak prenos podatkov in za ukrepe,s katerimi se zagotovi, da bodo podatki tudi po prenosu deležni ustrezne ravni varstva, kot je zagotovljena v EU. Več o tem si lahko preberete na naši spletni strani (https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/prenos-osebnih-podatkov-v-tretje-drzave-in-mednarodne-organizacije/).

Prav tako mora delodajalec zaposlene vnaprej seznaniti z obdelavo, kot zahteva 13. člen Splošne uredbe.

2. Prepoznava oseb

IP uvodoma ugotavlja, da na podlagi prejetih informacij ni mogoče presoditi, ali gre v vašem primeru za t.i. inteligentno videoanalitiko, biometrijo ali morebiti videonadzor. Zato vam na tem mestu podajamo napotila na mnenja oz. gradiva IP, ki so vam lahko v pomoč (glede videonadzora v točki 3 tega mnenja).

a) inteligentna videoanalitika

Inteligentna video analitika temelji na algoritmih, ki omogočajo prepoznavo vzorcev na video posnetkih v resničnem času. Programska oprema »preiskuje« živo sliko in poskuša iz nje izluščiti določene vzorce, ki naj bi ustrezali ljudem, obrazom ali drugim objektom. Inteligentna videoanalitika pa ne omogoča same identifikacije oseb in v ZVOP-1 ni posebej urejena, kot je npr. videonadzor. Kljub temu mora upravljavec zagotoviti, da obstaja za obdelavo osebnih podatkov ena od pravnih podlag, ki so določene v 6. členu Splošne uredbe (za zasebni sektor):

- privolitev (točka (a)),

- sklenitev ali izvajanje pogodbe (točka (b)),

- zakon (točka (c)),

- zaščita življenjskih interesov posameznika (točka (d)) ali

- zakoniti interesi, za katere si prizadeva upravljavec (točka (f)).

Več o inteligentni videoanalitiki je dostopnih v Smernicah IP, ki so dosegljive na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_inteligentna_video_analitika.pdf. Na to temo pa si lahko preberete tudi mnenja IP, dosegljiva na www.ip-rs.si/vop, npr. mnenje št. 0712-1/2019/2655 z dne 20.11.2019.

b) biometrija

Upoštevajoč dejstvo, da novi ZVOP-2 še ni bil sprejet, je treba ravnati skladno z določili ZVOP-1. Biometrijski ukrepi v zasebnem sektorju so določeni v 80. členu. Prvi odstavek tako določa, da lahko zasebni sektor izvaja biometrijske ukrepe le, če so nujno potrebni za opravljanje dejavnosti, za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ali poslovne skrivnosti. Biometrijske ukrepe lahko izvaja le nad svojimi zaposlenimi, če so bili predhodno o tem pisno obveščeni. Nadalje drugi odstavek določa, da kadar izvajanje določenih biometrijskih ukrepov v zasebnem sektorju ni urejeno z zakonom, je upravljavec osebnih podatkov, ki namerava izvajati biometrijske ukrepe, dolžan pred uvedbo ukrepov posredovati državnemu nadzornemu organu opis nameravanih ukrepov in razloge za njihovo uvedbo.

Če to področje za vašega delodajalca ni urejeno v zakonu, bi moral skladno z navedeno določbo pridobiti odločbo IP ter eventualno izvajati ukrep šele po tem, ko mu je bilo izvajanje le-tega dovoljeno.

Več o biometriji je na voljo v Smernicah IP glede uvedbe biometrijskih ukrepov, ki so dostopne na:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Biometrija_-_smernice.pdf.

3. Uvedba videonadzornega sistema z namenom spremljanja uporabe zaščitnih sredstev na delovnih mestih

Videonadzor na delovnem mestu ureja, kot ste navedli tudi sami, 77. člen ZVOP-1. Prvi odstavek določa, da se lahko le izjemoma izvaja videonadzor znotraj delovnih prostorov, kadar je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi.

Poudarjamo, da je videonadzor znotraj delovnih prostorov dopusten zgolj izjemoma, v točno določene namene (varnost ljudi ali premoženja, varovanje tajnih podatkov ter poslovne skrivnosti) ter skladno z načelom sorazmernosti le tedaj, če ne obstajajo milejša sredstva za dosego zasledovanega cilja. O upravičenosti videonadzora mora presoditi upravljavec sam. IP na splošno na podlagi vašega opisa ocenjuje, da izvajanje videonadzora v preventivne zdravstvene namene, ki ga je mogoče doseči tudi z drugimi, milejšimi ukrepi (npr. nadzorom nadrejenega), načeloma ni v skladu z ZVOP-1.

O podobnih vprašanjih je IP že odgovarjal v svojih nezavezujočih mnenjih, npr. v mnenju št. 07121-1/2020/1070 z dne 26.6.2020. 

Več o obdelavi osebnih podatkov v delovnih razmerjih in videonadzoru pa si lahko preberete v:

- Smernicah IP glede varstva osebnih podatkov v delovnih razmerjih, ki so dostopne na:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf in v 

- Smernicah IP o izvajanju videonadzora, ki so dostopne na:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_videonadzoru_web.pdf (za vaše vprašanje predvsem str. 13 in 14).

V kolikor na podlagi napisanega menite, da je vaš delodajalec sprejel nezakonite ukrepe z vidika varstva osebnih podatkov, lahko podate prijavo na IP (lahko tudi anonimno). Pomagate si lahko z obrazcem »Prijava kršitve varstva osebnih podatkov«, ki je objavljen na spletni strani IP, na https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

V upanju, da so vam bila naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                              

Barbara Pirš, univ.dipl.prav.,

Svetovalka Pooblaščenca za preventivo