Testiranje zaposlenih

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje v zvezi z nameravanim testiranjem zaposlenih za zaznavanje prisotnosti virusa SARS-CoV-2. Navajate, da bi sodelovanje pri testiranju kot tudi obdelava osebnih podatkov temeljila na izrecni privolitvi zaposlenih. V nadaljevanju opisujete postopek testiranja, način obveščanja zaposlenih in rok hrambe. Pojasnjujete, da je izključni namen testiranja ugotavljanje morebitne okužbe zaposlenih in čimprejšnje ukrepanje delodajalca za preprečitev nadaljnjega širjenja te okužbe. Zanima vas, ali je predviden postopek testiranja in obdelava osebnih podatkov kakorkoli sporna z vidika pristojnosti IP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov vnaprej potrjevati posameznih ukrepov ali rešitev z vidika skladnosti s predpisi s področja varstva osebnih podatkov. Prav tako IP ni pristojen presojati ustreznosti zdravstvenih ukrepov in njihove učinkovitosti. Zato IP na vaše vprašanje v okviru tega mnenja ne more dokončno odgovoriti, temveč v nadaljevanju podaja splošna pojasnila glede zakonitosti obdelave osebnih podatkov.

Splošna uredba določa pravila, ki se uporabljajo za obdelavo osebnih podatkov, in sicer tudi v razmerah, kot je trenutni izbruh COVID-19. Delodajalcem tako omogoča obdelavo osebnih podatkov v okviru epidemije v skladu z nacionalnim pravom in pogoji, določenimi v uredbi.

Za vsako obdelavo osebnih podatkov mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe, v primeru obdelave posebnih vrst osebnih podatkov, med katere sodijo tudi zdravstveni podatki, pa mora bili izpolnjen še eden izmed pogojev iz člena 9(2) Splošne uredbe.

Glede privolitve za obdelavo osebnih podatkov zaposlenih IP poudarja, da ta pravna podlaga v delovnih razmerjih velja le za tiste osebne podatke, ki niso vezani na uresničevanje pravic in obveznosti iz delovnega razmerja oziroma niso v zvezi z delovnim razmerjem posameznika. Zavrnitev privolitve namreč nikakor ne sme imeti negativnih posledic za delovno razmerje. Zato je privolitev kot pravna podlaga za obdelavo osebnih podatkov v delovnih razmerjih uporabljiva le izjemoma, saj je delodajalec v razmerju do delavca močnejša stranka. Upoštevajoč navedeno bi bila lahko izrecna privolitev (člen 9(2)(a) Splošne uredbe) v konkretnem primeru ustrezna pravna podlaga za obdelavo zdravstvenih podatkov zaposlenih le, če bi bilo testiranje za zaznavanje prisotnosti virusa SARS-CoV-2 in obdelava podatkov v tem okviru povsem prostovoljna in zavrnitev privolitve ne bi imela nobenih negativnih posledic za zaposlenega.

Če pa bi želeli predpisati takšno testiranje kot obvezno za vse zaposlene, privolitev ne bo ustrezna pravna podlaga za obdelavo njihovih zdravstvenih podatkov, saj takšne obdelave brez škode za delovno razmerje načeloma ne bodo mogli odkloniti. Zato bi morala v takšnem primeru obstajati kakšna druga pravna podlaga iz členov 6(1) in 9(2) Splošne uredbe.

IP pojasnjuje, da delodajalci glede na določbe delovnopravne zakonodaje v običajnih razmerah niso upravičeni do obdelave zdravstvenih podatkov zaposlenih. V času, ko se soočamo s širjenjem okužb z virusom SARS-CoV-2 in je ogroženo tako zdravje posameznika kot javno zdravje, pa lahko posebne okoliščine terjajo ukrepe, ki lahko posegajo tudi na področje obdelave posebnih vrst osebnih podatkov. Ukrepi, ki posegajo na področje obdelave zdravstvenih podatkov, so lahko tudi v zaščiti življenjskih interesov posameznikov (člen 9(2)(c) Splošne uredbe), saj se uvodna izjava 46 Splošne uredbe izrecno sklicuje na obvladovanje epidemije, ali v javnem interesu na področju javnega zdravja (člen 9(2)(i) Splošne uredbe), če je to predpisano z nacionalno zakonodajo. Ob tem pa gre za vprašanje, na katerega mora primarno podati odgovor zdravstvena stroka. IP zato meni, da morate glede na lastno oceno tveganj presojati nujnost obdelave zdravstvenih podatkov zaposlenih in imeti v primeru obdelave ustrezno pravno podlago. Pri tem pa morate upoštevati tudi načelo sorazmernosti in vedno izbrati tisti ukrep, ki najmanj poseže v pravice posameznika glede na zasledovani zakoniti cilj. Ukrepa torej ne bi smeli odrejati, če je mogoče primerljiv učinek doseči z milejšimi ukrepi. Če se na ravni posameznih organizacij določen ukrep opredeli kot nujen, potreben in učinkovit, pa ga je treba izvajati na način, ki najmanj posega v telo in zasebnost posameznika ter brez prekomerne obdelave osebnih podatkov. V primeru obdelave osebnih podatkov na ustrezni pravni podlagi mora upravljavec vedno upoštevati tudi vsa načela v zvezi z varstvom podatkov iz člena 5 Splošne uredbe ter druge obveznosti, ki jih predpisuje Splošna uredba  (informiranje posameznikov, rok hrambe, varnost itn.).

Glede obdelave osebnih podatkov v okviru izbruha COVID-19 je izjavo podal tudi Evropski odbor za varstvo podatkov, ki je dostopna na povezavi: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_statement_art_23gdpr_20200602_sl_1.pdf.

Več o varstvu osebnih podatkov v delovnih razmerjih pa si lahko preberete v smernicah IP, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/prirocniki-in-smernice/varstvo-osebnih-podatkov-v-delovnih-razmerjih/.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                               

                                                                                                           informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov