Vodenje evidence o izpolnjevanju pogoja PCT na področju zdravstva

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše elektronsko sporočilo, v katerem sprašujete, ali je na področju zdravstva dopustno voditi evidence o tem, kateri od zdravstvenih delavcev oz. sodelavcev je cepljen oz. prebolevnik oz. se je dolžan testirati in kakšni so rezultati testiranja. Zanima vas tudi, ali je takšno evidenco dopustno voditi tudi za nezdravstvene delavce, za katere Odredba ne določa obveznega testiranja.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem poudarjamo, da IP izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

IP uvodoma pojasnjuje, da mora imeti upravljavec za zakonito obdelavo osebnih podatkov ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov. Osebne podatke, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju, Splošna uredba o varstvu podatkov v členu 4(15) opredeljuje kot podatke o zdravstvenem stanju. Slednji se na podlagi člena 9(1) Splošne uredbe o varstvu podatkov uvrščajo med posebno vrsto osebnih podatkov, katerih obdelava je prepovedana, v kolikor ni podana katera od izjem, ki so navedene v točkah (a) do (j) člena 9(2) Splošne uredbe o varstvu podatkov.

Za obdelavo podatkov v delovnih razmerjih je relevanten predvsem 48. člen Zakona o delovnih razmerjih (Uradni list RS, št. 21/13 in naslednji; v nadaljevanju ZDR-1), ki v prvem odstavku določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Kateri osebni podatki so tisti, ki jih delodajalec lahko obdeluje zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, je potrebno presojati od primera do primer. Na delodajalcu je, da utemelji, zakaj potrebuje določen osebni podatek delavca zaradi uresničevanja pravic in obveznosti iz delovnega razmerja oziroma v zvezi z delovnim razmerjem. Skladno s tretjim odstavkom 48. člena ZDR-1, se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Delodajalec podatkov kot jih navajate načeloma ne potrebuje, razen če to od njega zahtevajo področni predpisi kot na primer odredbe glede obveznih testiranj za zaposlene v določenih dejavnostih. Tudi v takšnem primeru pa morajo biti osebni podatki, ki jih delodajalec obdeluje, skladno z načelom najmanjšega obsega podatkov iz točke (c) člena 5 Splošne uredbe o varstvu podatkov zbira oziroma obdeluje zgolj tiste podatke, ki so ustrezni in relevantni za takšen namen.

Odredba o izvajanju posebnega presejalnega programa za zgodnje odkrivanje okužb z virusom SARS-CoV-2 za osebe, ki opravljajo zdravstveno dejavnost (Uradni list RS, št. 36/2021, s spremembami in dopolnitvami; v nadaljevanju Odredba) določa izvajanje posebnega presejalnega programa za zgodnje odkrivanje okužb z virusom SARS-CoV-2 za osebe, ki opravljajo zdravstveno dejavnost (posebni program za zdravstveno dejavnost) pri vseh izvajalcih zdravstvene dejavnosti, ki opravljajo zdravstveno dejavnost v skladu z zakonom, ki ureja zdravstveno dejavnost (izvajalci). Odredba v 2. členu določa, da se morajo zdravstveni delavci in zdravstveni sodelavci, ki delo opravljajo pri izvajalcih (zdravstveni delavci), pred začetkom opravljanja zdravstvenih storitev udeležiti testiranja na virus SARS-CoV-2 (testiranje) v okviru posebnega programa za zdravstveno dejavnost, in sicer najmanj vsakih sedem dni.

V 3. členu Odredbe je določeno, katerim osebam in kdaj se ni treba testirati, in sicer je določeno, da se ni treba testirati osebam, ki predložijo negativni rezultat testa na virus SARS-CoV-2 z metodo verižne reakcije s polimerazo (test PCR) ali hitrega antigenskega testa (test HAG), ki ni starejši od 48 ur od odvzema brisa; imajo dokazilo o cepljenju proti COVID-19; imajo dokazilo o pozitivnem rezultatu testa PCR, ki je starejši od deset dni, razen če zdravnik presodi drugače, vendar ni starejši od šest mesecev; ali imajo potrdilo zdravnika, da je prebolel COVID-19 in od začetka simptomov ni minilo več kot šest mesecev. Ne glede na navedeno pa je testiranje obvezno za zdravstvene delavce z znaki COVID-19.

Odredba v 4. členu nadalje določa, da izvajalec določi pooblaščeno osebo, ki se ji sporočijo negativni rezultati testiranj, izvedeni v okviru posebnega programa za zdravstveno dejavnost.

Glede na Odredbo so zdravstveni delavci pooblaščeni osebi, dolžni praviloma sporočati zgolj to, da so bili na predpisanem testiranju in da je bil izvid negativen. Zdravstveni delavec je torej dolžan sporočiti zgolj negativen rezultat testiranja. V kolikor se delavec ni testiral pri izvajalcu, ki opravlja testiranje za določeno ustanovo, lahko pooblaščena oseba od zdravstvenega delavca zahteva tudi podatek, pri katerem izvajalcu se je zdravstveni delavec testiral in pri izvajalcu preveri, ali je bilo za zdravstvenega delavca testiranje dejansko izvedeno. V evidenci lahko za namene izpolnjevanja zgoraj navedene odredbe za posameznega zdravstvenega delavca vodi le izjavo delavca o negativnem testu, datum negativnega testa ter podatek o tem, kje je bil test opravljen.

V primeru, da se zdravstvenemu delavcu iz razlogov, navedenih v 3. členu Odredbe ni potrebno testirati, mora pooblaščeni osebi sporočiti, iz katerega razloga se mu ni treba testirati ter mu omogočiti vpogled v dokazilo, ki potrjuje njegovo izjavo. V tem primeru se za namene izpolnjevanja Odredbe v evidenci za posameznega zdravstvenega delavca vodi le izjava delavca o tem, da izpolnjuje pogoje iz 3. člena Odredbe ter do kdaj jih izpolnjuje in uradni zaznamek o vpogledu v dokazilo (npr. potrdilo št. … ali potrdilo z dne …), ne pa tudi razlog za to (v evidenco se torej ne vpiše, da je npr. prebolevnik oziroma da se je cepil).

V vsakem primeru morajo biti zaposlenim že pri zbiranju podatkov na voljo ustrezne informacije o obdelavi njihovih osebnih podatkov, kot to določa člen 13 Splošne uredbe o varstvu podatkov, na primer komu se podatki pošiljajo, za kakšen konkretni namen, na kateri podlagi, kakšen je rok hrambe, kdo je upravljavec, kakšne pravice ima posameznik v zvezi z njegovimi podatki ali je zagotovitev podatkov obvezna in podobno.

V primeru, da Odredba za nezdravstvene delavce ne določa obveznega testiranja, delodajalec pa želi kljub temu sprejeti določene ukrepe za zajezitev širjenja virusa, pa IP pojasnjuje, da ni pristojen presojati primernosti, nujnosti in sorazmernosti samega ukrepa. To namreč je predmet ocene tveganj, ki jo delodajalec izvede v skladu z Zakonom o varnosti in zdravju pri delu (Uradni list RS, št. 43/11; v nadaljevanju ZVZD-1) ob sodelovanju pristojnih institucij (pooblaščena oseba medicine dela in NIJZ). Določanje ukrepov v skladu z ZVZD-1 torej ni pristojnost IP, vendar pa je IP pristojen, če pri izvajanju teh ukrepov pride do obdelave osebnih podatkov. Izvajanje ukrepov za varnost in zdravje pri delu je pravica in dolžnost delavca, kar pomeni, da je delodajalec na podlagi 48. člena ZDR-1 v potrebnem obsegu upravičen tudi do obdelave osebnih podatkov v zvezi z izvajanjem teh ukrepov. Ob tem pa mora delodajalec kot upravljavec osebnih podatkov zagotavljati spoštovanje vseh načel varstva osebnih podatkov, med drugim tudi načela omejitve namena (osebni podatki so zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni) in načela najmanjšega obsega podatkov (osebni podatki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo). Če torej delodajalec izvaja ukrepe, ki so pripravljeni v skladu z ZVZD-1 in usklajeni s pristojnimi strokovnimi službami (NIJZ, izvajalec medicine dela), potem sme v potrebnem obsegu obdelovati tudi s tem povezane osebne podatke delavcev.

IP je v okviru projekta iDecide izdal priročnike, od katerih je eden namenjen varovanju osebnih podatkov v delovnem razmerju in vsebuje tudi posebno poglavje glede varstva osebnih podatkov v času epidemije Covid-19. Priročnik je dostopen na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/brosure/brosura_delovna_populacija.pdf.

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/vop/.

Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lep pozdrav,

                                                                                    Mojca Prelesnik

                                                                                    informacijska pooblaščenka

Pripravila:

mag. Vanja Zrimšek, univ. dipl. prav.,

svetovalka IP

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.