Zahteva delodajalca za dokazilo o izpolnjevanju pogoja PCT

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Zanima vas, ali sme delodajalec od zaposlenih zahtevati izpolnjevanje pogoja PCT, če tega ne zahtevajo predpisi. Prosite še za nasvet, kako ravnati v primeru, ko kmet na svojem dvorišču zavrne kmetijskega svetovalca, ker mu ta na njegovo zahtevo ne predloži dokazila o izpolnjevanju pogoja PCT.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Glede vašega vprašanja vam IP v okviru nezavezujočega mnenja tako ne more podati dokončnega odgovora, prav tako pa ni pristojen presojati ustreznosti zdravstvenih ukrepov in njihove učinkovitosti ali vprašanj s področja delovnega prava. Zato vam v nadaljevanju podaja splošne usmeritve in pojasnila zgolj glede obdelave osebnih podatkov.

Za vsako obdelavo osebnih podatkov mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe (privolitev, pogodba, zakon itn.), za posebne vrste osebnih podatkov, med katere spadajo tudi podatki v zvezi z zdravjem, pa mora biti hkrati izpolnjen tudi eden izmed posebnih pogojev, ki so predpisani v členu 9(2) Splošne uredbe.

Za obdelavo osebnih podatkov v delovnih razmerjih je relevanten predvsem 48. člen Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19 in 203/20 – ZIUPOPDVE; v nadaljevanju ZDR-1), ki v prvem odstavku določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Prvi odstavek 5. člena Zakona o varnosti in zdravju pri delu (Ur. l. RS, št. 43/11; v nadaljevanju ZVZD-1) pa določa, da mora delodajalec zagotoviti varnost in zdravje delavcev pri delu. V ta namen mora izvajati ukrepe, potrebne za zagotovitev varnosti in zdravja delavcev ter drugih oseb, ki so navzoče v delovnem procesu, vključno s preprečevanjem, odpravljanjem in obvladovanjem nevarnosti pri delu, obveščanjem in usposabljanjem delavcev, z ustrezno organiziranostjo in potrebnimi materialnimi sredstvi. Določanje ukrepov v skladu z ZVZD-1 ni pristojnost IP, vendar pa je IP pristojen, če pri izvajanju teh ukrepov pride do obdelave osebnih podatkov.

Obdelava zdravstvenih podatkov o pogoju prebolelosti, cepljenju ali testiranju (pogoj PCT) bi bila lahko potrebna zaradi izpolnjevanja pravne obveznosti, ki velja za delodajalca, kot so obveznosti v zvezi z zdravjem in varstvom pri delu, ali javnim interesom, kot je interes za nadzor nad boleznimi ali drugimi nevarnostmi za zdravje. Kot navedeno, Splošna uredba predvideva tudi odstopanja od prepovedi obdelave zdravstvenih podatkov, na primer kadar je to potrebno zaradi bistvenega javnega interesa na področju javnega zdravja (točka (i) člena 9(2)) na podlagi prava Unije ali nacionalnega prava ali za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki (točka (c) člena 9(2)).

Iz navedenega izhaja, da mora imeti delodajalec za obdelavo osebnih podatkov zaposlenih, torej tudi za zbiranje podatkov o izpolnjevanju pogoja PCT, ustrezno pravno podlago. Vsekakor pa je za presojo glede nujnosti izvajanja ukrepov za zajezitev širjenja okužb pristojna zdravstvena stroka. IP pojasnjuje, da delodajalec podatkov o pogoju PCT načeloma ne potrebuje, razen če bi to od njega zahtevali področni predpisi, kot so to na primer odredbe glede obveznih testiranj za zaposlene v določenih dejavnostih. Tudi v takšnem primeru pa lahko delodajalec zbira oziroma obdeluje zgolj tiste podatke, ki so ustrezni in relevantni za takšen namen. V vsakem primeru pa morajo biti zaposlenim že pri zbiranju podatkov na voljo ustrezne informacije o obdelavi njihovih osebnih podatkov, kot to določa člen 13 Splošne uredbe, na primer komu se podatki pošiljajo, za kakšen konkretni namen, na kateri podlagi, kakšen je rok hrambe, kdo je upravljavec, kakšne pravice ima posameznik v zvezi z njegovimi podatki ali je zagotovitev podatkov obvezna in podobno.

IP ob tem dodaja, da je že odgovarjal na podobna vprašanja, kot je vaše, npr. v mnenju št. 07121-1/2021/1083 z dne 14. 6. 2021, ki je dostopno na https://www.ip-rs.si/mnenja-gdpr/.

Glede vprašanja, kako ravnati v primeru nepredložitve dokazila o izpolnjevanju pogoja PCT, pa IP ni pristojen podati nezavezujočega mnenja. Predlagamo vam, da se s tem vprašanjem obrnete na Ministrstvo za delo, družino, socialne zadeve in enake možnosti.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                                

                                                                                                             informacijska pooblaščenka

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov