Analiza bolniških odsotnosti v kolektivu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.03.2022 Številka: 07120-1/2022/78 Kategorije: --> Kategorije: Delovna razmerja, Zdravstveni osebni podatki, Anonimizacija/psevdonimizacija Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste zaradi neučinkovite izrabe delovnega časa opravili analizo bolniških odsotnosti v vašem kolektivu, in sicer v zdravstvenem domu. Pojavili so se očitki, da ste s tem kršili zakonodajo s področja varstva osebnih podatkov, zato vas zanima naše mnenje glede takšne uporabe podatkov o odsotnosti delavcev. Analizo ste pripravili v trojni vlogi kot pooblaščeni specialist medicine dela, pomočnik direktorja in član delovne skupine za pripravo rešitve za dolgoročno obvladovanje absentizma v Republiki Sloveniji. Navajate še, da je bil vaš vzorec za klasično statistično analizo premajhen, zato je bila potrebna analiza posameznih anonimiziranih primerov. Zaključujete še, da vam je analiza pomagala do dveh glavnih ugotovitev, in sicer da so problematični posamezniki, ki zlorabljajo bolniški stalež in da moški skoraj nikoli niso v bolniškem staležu zaradi nege družinskega člana, kar bi bilo po vašem mnenju treba nasloviti, saj nesorazmerno večje breme pade na ženske zaposlene. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče: · privolitev (točka (a)), · sklenitev ali izvajanje pogodbe (točka (b)), · zakon (točka (c)), · zaščita življenjskih interesov posameznika (točka (d)), · izvajanje javne naloge (točka (
- e)v zvezi s četrtim odstavkom 9. člena ZVOP-1), · zakoniti interesi upravljavca, ki ne prevladajo nad interesi in pravicami posameznika (točka (f)). Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov. Glede na to da IP ne more v mnenju z gotovostjo preveriti, katere osebne podatke zaposlenih ste obdelovali zgolj iz previdnosti izpostavljajo, da bi delodajalec, ki zaradi narave dela obdeluje osebne podatke svojih zaposlenih v različnih vlogah, npr. kot zaposlene in hkrati kot paciente, kršil zakonodajo, če bi te vloge mešal in bi v vlogi delodajalca obdeloval tudi osebne podatke zaposlenih, ki jih obdeluje in ima do njih dostop kot izvajalec zdravstvenih storitev ali izvajalec medicine dela. V primeru, ki ga opisujete, gre verjetno za obdelavo osebnih podatkov, povezanih z odsotnostjo z dela zaradi poškodbe ali bolezni, torej za odsotnost zaradi bolniškega staleža. Kljub temu, da delodajalec ne obdeluje konkretnih zdravstvenih podatkov delavca v smislu diagnoz (saj tega ne sme), govorimo tudi pri podatkih, povezanih z bolniškim staležem, za podatke v zvezi z zdravjem posameznika. Ti podatki pa so po Splošni uredbi deležni večje zaščite zaradi njihove občutljivosti; govorimo namreč o posebnih vrstah osebnih podatkov. Pravne podlage za obdelavo posebnih vrst osebnih podatkov so nekoliko drugačne kot v zgoraj opisanem prvem odstavku 6. člena Splošne uredbe, in sicer so strožje. 9. člen v prvem odstavku uvaja splošno pravilo, da je obdelava posebnih vrst osebnih podatkov prepovedana, razen v primerih obstoja pravnih podlag, naštetih v drugem odstavku 9. člena Splošne uredbe. Točka (
- b)drugega odstavka 9. člena tako določa, da obdelava posebnih vrst osebnih podatkov ni prepovedana, če je obdelava potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava ter prava socialne varnosti in socialnega varstva, če to dovoljuje pravo Unije ali pravo države članice ali kolektivna pogodba v skladu s pravom države članice, ki zagotavlja ustrezne zaščitne ukrepe za temeljne pravice in interese posameznika, na katerega se nanašajo osebni podatki. Področna zakona, ki urejata področje varstva osebnih podatkov na področju delovnega prava ter prava socialne varnosti in socialnega varstva, sta predvsem Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06, v nadaljevanju ZEPDSV) in Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1). ZEPDSV v 12. členu določa vrste evidenc, ki jih morajo voditi delodajalci (evidenca o zaposlenih delavcih, evidenca o stroških dela, evidenca o izrabi delovnega časa, evidenca o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu), v 13., 16., 18. in 20. členu pa njihovo vsebino. ZDR-1 pa v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Iz slovenske zakonodaje izhaja, da delodajalec sme in mora zbirati določene osebne podatke v zvezi z bolniškim staležem za namene preverjanja upravičenosti odsotnosti z dela ter za obračun nadomestila plače. V primeru, ki ga opisujete, pa je vprašanje, ali smete poleg navedenih namenov podatke o bolniškem staležu uporabljati tudi za širši namen organizacije dela in uvajanje izboljšav v delovnem procesu, preprečevanje absentizma. Pri tem se postavlja predvsem vprašanje, ali gre za obdelavo z namenom »uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem (prvi odstavek 48. člena ZDR-1)«. IP v splošnem mnenju, ki ni in ne more biti izdano po izvedenem ugotovitvenem postopku in torej ne temelji na dejstvih in dokazih v konkretnem primeru, ne more upravljavcem zagotoviti, da je predstavljena obdelava osebnih podatkov zakonita. Upravljavci namreč sami najbolje poznajo svoje konkretne okoliščine, razloge za obdelavo osebnih podatkov, potrebe delovnih procesov itd. Lahko pa zapišemo, da če kot upravljavec lahko izkažete, da je obdelava potrebna za namene uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem in pri tem ni šlo za mešanje vlog in kršitev predpisov glede obsega osebnih podatkov, do katerih imate v različnih vlogah dostop, bi takšna obdelava lahko bila skladna z zakonodajo. Delodajalec mora imeti možnost upravljanja organizacije in delovnih procesov, seveda pa mora to potekati v okvirih obstoječe zakonodaje. Ob tem naj opozorimo tudi na načelo najmanjšega obsega podatkov iz člena 5
(1)(c) Splošne uredbe, ki ga je treba upoštevati pri vsaki obdelavi osebnih podatkov, in določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Delodajalec lahko obdeluje tiste delavčeve osebne podatke, ki jih določa ZEPDSV in v skladu z 48. členom ZDR-1 tiste osebne podatke, za katere izkaže, da jih potrebuje zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Če glede vaših analiz odsotnosti z delovnega mesta zaradi bolniškega staleža lahko utemeljite, da je obdelava potrebna v smislu izvajanja določb ZDR-1, morate biti torej pozorni tudi na to, katere podatke za te namene obdelujete; za vsako vrsto osebnega podatka morate biti namreč sposobni utemeljiti, zakaj je obdelava potrebna. Opredeliti pa se moramo tudi do vaše navedbe o analizi posameznih »anonimiziranih« primerov. IP sicer v mnenju ne more presojati, ali bi bila takšna anonimizacija dejansko mogoča v analizi, kot ste jo zasnovali, opozoriti pa moramo, da je popolna anonimizacija podatkov v praksi pogosto težko dosegljiva. Vprašati se je treba, ali posameznik ni (več) določljiv, in sicer pod nobenimi pogoji, z nobenim ključem in nikomur. V praksi se pogosto izvajajo analize in raziskave, ki vključujejo fizične osebe, z uporabo psevdonimov, ki pa so še vedno osebni podatki. Ker ne vemo, kaj v vašem primeru pomenijo anonimizirani primeri in o tem niti ne moremo soditi, smo iz previdnosti zasnovali mnenje v smeri, da ste v analizi obdelovali osebne podatke posameznikov. Kakršna koli stopnja zaščite pred nepooblaščenimi posegi v integriteto in zasebnost posameznika pa je zelo dobrodošla, bodisi da gre za uporabo psevdonimov bodisi so podatki v določenih fazah analize ali v razmerju do določenih raziskovalcev tudi dejansko anonimizirani. Zaključujemo pa še z navedbo pomembnega izseka uvodne določbe
(71)Splošne uredbe, ki določa: »Da bi upravljavec ob upoštevanju posebnih okoliščin in okvira, v katerih se osebni podatki obdelujejo, zagotovil pošteno in pregledno obdelavo osebnih podatkov za posameznika, na katerega se osebni podatki nanašajo, bi moral (…) zavarovati osebne podatke tako, da se upoštevajo morebitne nevarnosti, povezane z interesi in pravicami posameznika, na katerega se nanašajo osebni podatki, ter da se preprečijo tudi diskriminatorne posledice za posameznike na podlagi rasnega ali etničnega porekla, političnega mnenja, vere ali prepričanja, članstva v sindikatu, genetskega ali zdravstvenega stanja, spolne usmerjenosti ali učinki, ki privedejo do ukrepov, ki imajo takšne posledice.« Iz navedenega stavka uvodne določbe izhaja poziv, da rezultatov analize ne smete uporabiti za uvajanje ukrepov z diskriminatornimi posledicami za posameznike na podlagi zdravstvenega stanja. Navajate na primer, da so rezultati analize pokazali, da so v vseh primerih matere tiste, ki so odsotne zaradi nege družinskega člana; Splošna uredba poziva, da naj takšnega (ali katerega koli drugega) rezultata ne bi uporabili za uvedbo ukrepov z diskriminatornimi posledicami. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026