Posredovanje podatka zaposlenim o odrejeni karanteni v kolektivu

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem sprašujete, ali imajo zaposleni pravico izvedeti, komu od sodelavcev v vrtcu je bila odrejena karantena. Opisujete denimo situacijo, ko je bila sodelavki, s katero ste bili v stiku, odrejena karantena in če bi bili o tem obveščeni, bi bili bolj previdni v svojem zasebnem življenju, na primer pri obiskovanju bolnih staršev. Zanima vas, ali lahko vodstvo skriva takšno informacijo ali vam jo mora posredovati.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

V primeru, ki ga opisujete, ločimo dve situaciji: 1. obveščanje zaposlenih o odrejeni karanteni / pojavu okužbe na način, da posameznik ni določljiv; 2. obveščanje zaposlenih o tem, da je bila konkretnemu - določljivemu zaposlenemu odrejena karantena oziroma je obolel za virusom covid-19.

V prvi situaciji, ko se zaposlene obvesti o tem, da je bilo nekomu v kolektivu odrejena karantena ali da je nekdo obolel za virusom, vendar ta posameznik na noben način ni določljiv, načeloma ne govorimo o obdelavi osebnih podatkov. Kot je IP že poudaril v sporočilu za javnost z dne 17. 3. 2020 (dosegljivo tukaj) splošno obveščanje vseh vzgojiteljev, učiteljev o dejstvu obstoja okužbe na šoli (ali odrejeni karanteni) brez dodatnih podatkov (npr. imena, spola, delovnega mesta, drugih informacij, ki delajo posameznika določljivega) torej ni sporno. Če gre za posredovanje statističnih podatkov (npr. širša lokacija, šola, vrtec, organizacija), na podlagi katerih posameznika ni mogoče enoznačno določiti, torej brez razkrivanja drugih podatkov o obolelem (npr. spol, starost, naslov, ulica, delovno mesto ipd.), potem sploh ne gre za obdelavo osebnih podatkov in je posredovanje dopustno.

Pri drugi situaciji, ko gre za obveščanje o odrejeni karanteni / obolelosti konkretnega zaposlenega, mora za tako obdelavo obstajati ustrezna pravna podlaga. Lahko bi šlo za podatke v zvezi z zdravjem, za katere Splošna uredba uvaja celo strožji režim za obdelavo osebnih podatkov.

Splošna uredba za posebne vrste osebnih podatkov, med katere sodijo tudi podatki v zvezi z zdravjem, v prvem odstavku člena 9 kot splošno pravilo določa prepoved obdelave takšnih osebnih podatkov. Izjema od splošne prepovedi je določena v drugem odstavku omenjenega člena, in sicer se lahko posebne vrste osebnih podatkov obdeluje (torej tudi sporoča drugim zaposlenim) le v primeru, če obstaja ena izmed vnaprej določenih pravnih podlag.

Zakon ne določa izrecno, kdaj konkretno in od koga posameznik lahko ali bi moral pridobiti osebne podatke o določljivih posameznikih npr. o tem, kdo so okuženi posamezniki ali komu je bila odrejena karantena, saj so primeri in okoliščine lahko izredno raznolike in v zakonu vseh enoznačno niti ne bi bilo mogoče zajeti. V posameznih primerih se obdelava podatkov, katerih obdelava je potrebna za zaščito življenjskih interesov posameznika, izvaja neposredno na podlagi točke (d) prvega odstavka 6. člena Splošne uredbe, če gre za posebne vrste osebnih podatkov, pa na podlagi točke (c) drugega odstavka člena 9. Druga možnost je v posameznih primerih npr., ko gre za delovno razmerje obdelava na podlagi področnih predpisov, če je to v posameznem primeru potrebno (npr. ZDR-1 v povezavi z navodili delodajalca). Posebna privolitev posameznika zato v tovrstnih situacijah ni potrebna. To pomeni, da morajo pristojni v sodelovanju z zdravstveno stroko (NIJZ) presojati od primera do primera in ugotavljati, kateri podatki so potrebni za zaščito življenjskih interesov ljudi ali v zvezi z zagotavljanjem zdravja in varstva pri delu ali na drugih pravnih podlagah.

Za konkretne napotke glede tega, kako ukrepati v primeru pojava primera okužbe med osebami (zaposlenimi, učenci oz. dijaki, strankami) v določeni inštituciji predlagamo, da se posamezne institucije obrnejo na NIJZ, ki lahko poda natančna in jasna navodila glede nadaljnjih postopkov in predvidenih ukrepov.

IP izven inšpekcijskega postopka in vnaprej ne sme in ne more presojati, katere konkretne podatke se sme, lahko ali celo mora obdelovati v zvezi s trenutno situacijo, pač pa le pristojne institucije. Ustreznosti posameznih ukrepov z drugih vidikov IP ne sme komentirati, saj ne odloča o zdravstvenih ukrepih.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                               informacijska pooblaščenka

Pripravila:                                                                                                                              

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov