Beleženje zdravstvenega stanja zaposlenih in družinskih članov

Informacijski pooblaščenec (v nadaljnjem besedilu IP) je prejel vaše zaprosilo za mnenje glede zbiranja podatkov o zdravstvenem stanju zaposlenih in njihovih družinskih članov. Zanima vas ali lahko npr. ob odprtju bolniške sprašuje: ali si se šel testirat za covid; kdaj si naročen na test; imaš povišano vročino; je še kdo v družini bolan?…

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov in so za javni sektor, kamor sodijo tudi šole kot javni zavodi, naslednje:

• privolitev, kadar ne gre za izvajanje javnih nalog (točka (a)),
• sklenitev ali izvajanje pogodbe (točka (b)),
• zakon (točka (c)),
• zaščita življenjskih interesov (točka (d)),
• izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1).

Podatki v zvezi z zdravjem in zdravstvenim stanjem posameznika (npr. podatek o morebitni okužbi) štejejo za t.i. posebne vrste osebnih podatkov. Njihova obdelava, kamor sodi tudi razkrivanje drugim, je načeloma prepovedana, razen v točno določenih primerih, ki jih določa člen 9(2) Splošne uredbe o varstvu podatkov. Tako npr. tovrstna obdelava ni prepovedana, če je posameznik, na katerega se nanašajo osebni podatki, za obdelavo dal izrecno privolitev ali če je ob upoštevanju nacionalne zakonodaje potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava.

Glede obdelave osebnih podatkov o ugotovitvah pooblaščenega zdravnika v specialistični ambulanti medicine dela, prometa in športa ni dvoma, da tovrstni podatki sodijo med posebne vrste osebnih podatkov, za katere velja, da je njihova obdelava prepovedana, če ni podana katera od izjem člena 9(2) Splošne uredbe o varstvu podatkov. Tako npr. tovrstna obdelava ni prepovedana, če je potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava, pri čemer načeloma delodajalec ni upravičen do seznanitve z diagnozo, ampak z morebitnimi omejitvami, ki so povezane z opravljanjem dela.

Tako je v delovnem razmerju obdelava osebnih podatkov dopustna tudi na podlagi področnih predpisov (Zakon o delovnih razmerjih (ZDR; 48. člen v povezavi z navodili delodajalca), Zakon o evidencah na področju dela in socialne varnosti (ZEPDSV)). Posebna privolitev posameznika zato v tovrstnih situacijah niti ni potrebna.

Glede na navedeno je odgovor na vaše vprašanje, ali delodajalec lahko zahteva od delavca informacijo o tem, ali  je šel na testiranje za covid, praviloma ne. Delavci niso dolžni avtomatično in v vsakem primeru delodajalca obvestiti o okužbi. Lahko pa takšno obveznost zaposlenega posamezno podjetje ali organizacija izjemoma odredi po presoji pristojnih institucij (zlasti epidemiologa) in pooblaščene osebe za medicino dela (glede na posebno naravo in organizacijo dela). Če je treba, glede na oceno pooblaščene osebe za medicino dela ali po navodilu pristojnih oblasti (npr. epidemiologa z NIJZ), lahko delodajalec zahteva od zaposlenih tudi obveščanje o okužbi.

Če takšna obveznost obstaja, delavcem ni treba podati privolitve, saj pravna podlaga za obdelavo izhaja iz delovnopravne zakonodaje. Kljub temu je treba upoštevati načelo najmanjšega obsega podatkov in obdelovati zgolj tiste podatke, ki so nujni za dosego namena. Ta podatek pa mora delodajalec ustrezno varovati in ga brez ustrezne pravne podlage ni upravičen posredovati naprej.

Glede obdelave osebnih podatkov v zvezi z zdravstvenim stanjem družinskih članov zaposlenega, pa IP pojasnjuje, da delodajalec ni upravičen zbirati oziroma od delavca zahtevati predložitev zdravstvenih osebnih podatkov, ki se nanašajo na tretje osebe. Prav tako delavec nima pravne podlage, da predloži take podatke delodajalcu. Teoretično bi, kot pravna podlaga, sicer lahko prišla v poštev privolitev tretje osebe, vendar opozarjamo, da je možno, da ta v konkretnem primeru ne bi bila veljavna. Poleg tega delodajalec ne more naložiti delavcu oziroma ga zavezati, da pridobi podatke oziroma dokumente od tretje osebe, ter da delavec od te osebe pridobi še privolitev za nadaljnje posredovanje podatkov delodajalcu.

Ob tem IP še pojasnjuje, da je glede obdelave osebnih podatkov zaposlenih delavcev s strani delodajalca v času virusa COVID-19 že pripravil nekaj mnenj in njihovo vsebino objavil tudi na svoji spletni strani. Posredujemo vam povezavo na vsebino neobvezujočega mnenja, v katerem med drugim najdete tudi pojasnila v zvezi s tovrstno obdelavo osebnih podatkov zaposlenih delavcev:

www.ip-rs.si//mnenja-gdpr/6048a57a38b7f

Več o varstvu osebnih podatkov v delovnih razmerjih si lahko preberete tudi v smernicah IP, ki so dostopne na povezavi.

Na koncu IP poudarja, da v okviru mnenja ne more presojati, ali so v konkretnem primeru, za konkreten namen in podatke izpolnjeni pogoji za obdelavo določenega podatka. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega postopka.

Lep pozdrav,

                                                                                   Mojca Prelesnik

                                                                                   informacijska pooblaščenka

Maja Wondra Horvat, univ. dipl. prav.,

svetovalka IP   

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.