Delodajalec in diagnoza + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.05.2007 Številka: 0712-478/2007/2 Kategorije:Delovna razmerja --> Kategorije: Delovna razmerja Spoštovani,Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je od vas po elektronski pošti dne 10.05.2007 prejel vprašanje v zvezi s posredovanjem vaših zdravstvenih podatkov s strani nadrejenega članom upravnega odbora pri delodajalcu. V vprašanju navajate, da ste konec leta 2006 zboleli in da ste bili z delovnega mesta odsotni skoraj 3 mesece. V tem času je vaš nadrejeni od vašega osebnega zdravnika zahteval podatke o vaši bolezni, natančneje o diagnozi vaše bolezni. Zdravnik mu diagnoze zaradi varstva osebnih podatkov ni razkril, nadrejeni pa je na podlagi domnev, ki si jih je ustvaril na podlagi pogovora z zdravnikom, na sestanku upravnega odbora članom razkril vašo »diagnozo«. Zanima vas, ali je s tem kršil Zakon o varstvu osebnih podatkov? Navajate še, da v vaši organizaciji nimate sprejetega internega akta o varstvu osebnih podatkov, čeprav bi ga morali imeti. Zanima vas, kako ravnati v nastali situaciji.Ker lahko avtentično razlago posameznih določb relevantnih predpisov daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 - ZInfP; v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05) posredujemo neobvezno mnenje v zvezi z vašim vprašanjem:ZVOP-1 določa pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov. ZVOP-1 v
- členu opredeljuje obdelavo osebnih podatkov kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporočanje in podobno. Izhajajoč iz navedenega bi bilo v vašem primeru najprej potrebno ugotoviti, ali je vaš nadrejeni »razširjal« osebne podatke, ki izvirajo iz zbirke osebnih podatkov. V opisu dejanskega stanja namreč ne navajate, ali je nadrejeni članom upravnega odbora razkril pravilno diagnozo o vašem zdravstvenem stanju, ali pa je šlo zgolj za izražanje njegovih domnev, mnenj oz. opažanj. Varstvo osebnih podatkov, kot ga opredeljuje ZVOP-1, je namreč vezano na varstvo osebnih podatkov v okviru zbirk osebnih podatkov. Pri pogovoru med zaposlenimi gre lahko npr. za strokovni posvet, ki je nekaj povsem običajnega, poleg tega pa ni nujno neposredno povezan z razširjanjem podatkov iz zdravstvene dokumentacije kot zbirke osebnih podatkov. Ne glede na navedeno pa Pooblaščenec v nadaljevanju pojasnjuje, kako je z dopustnostjo obdelave osebnih podatkov, kadar le – ti izvirajo iz zbirke osebnih podatkov: Pooblaščenec najprej ugotavlja, da je upravljavec zbirke osebnih podatkov o vašem zdravstvenem stanju vaš osebni zdravnik. ZVOP-1 namreč v
- točki
- odstavka
- člena pravi, da je upravljavec fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave.
- člen ZVOP-1 v
- odst. določa, da mora upravljavec osebnih podatkov proti plačilu stroškov posredovanja, če zakon ne določa drugače, posredovati osebne podatke uporabnikom osebnih podatkov. Iz
- tč.
- odst.
- čl. ZVOP-1 obenem izhaja, da je uporabnik osebnih podatkov fizična, pravna ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki. Takšna definicija dejansko pomeni, da se za uporabnika osebnih podatkov šteje katerakoli oseba, ki se jih posredujejo ali razkrivajo osebni podatki (torej tudi vaš nadrejeni, v kolikor bi mu zdravnik posredoval vaše osebne podatke, kar pa se v konkretnem primeru, kot navajate, ni zgodilo). Glede vprašanja dopustnosti oziroma zakonitosti posredovanja osebnih podatkov uporabnikom s strani upravljavcev osebnih podatkov, pa je treba upoštevati tudi splošne določbe o pravnih podlagah za obdelavo osebnih podatkov iz 8.,9.,
- in
- čl. ZVOP-
- Upoštevaje določbo prvega odstavka
- člena ZVOP-1 se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Podatek o zdravstvenem stanju posameznika sodi med tako imenovane občutljive osebne podatke v skladu z
- točko
- člena ZVOP-1, za obdelavo katerih je zakon v
- členu navedel še dodatne, strožje pogoje in predpostavke, ki morajo biti v skladu z ZVOP-1 izpolnjeni, da je obdelava občutljivih osebnih podatkov zakonsko dopustna. Tako se občutljivi podatki v skladu s navedenim členom lahko obdelujejo le v naslednjih primerih:
- če je posameznik za to podal izrecno osebno privolitev, ki je praviloma pisna, v javnem sektorju pa tudi določena z zakonom;
- če je obdelava potrebna zaradi izpolnjevanja obveznosti in posebnih pravic upravljavca osebnih podatkov na področju zaposlovanja v skladu z zakonom, ki določa tudi ustrezna jamstva pravic posameznika;
- če je obdelava nujno potrebna za varovanje življenja ali telesa posameznika, na katerega se osebni podatki nanašajo, ali druge osebe, kadar posameznik, na katerega se osebni podatki nanašajo, fizično ali poslovno ni sposoben dati svoje privolitve iz
- točke tega člena;
- če jih za namene zakonitih dejavnosti obdelujejo ustanove, združenja, društva, verske skupnosti, sindikati ali druge nepridobitne organizacije s političnim, filozofskim, verskim ali sindikalnim ciljem, vendar le, če se obdelava nanaša na njihove člane ali na posameznike, ki so v zvezi s temi cilji z njimi v rednem stiku, ter če se ti podatki ne posredujejo drugim posameznikom ali osebam javnega ali zasebnega sektorja brez pisne privolitve posameznika, na katerega se nanašajo;
- če je posameznik, na katerega se nanašajo občutljivi osebni podatki, te javno objavil brez očitnega ali izrecnega namena, da omeji namen njihove uporabe;
- če jih za namene zdravstvenega varstva prebivalstva in posameznikov ter vodenja ali opravljanja zdravstvenih služb obdelujejo zdravstveni delavci in zdravstveni sodelavci v skladu z zakonom;
- če je to potrebno zaradi uveljavljanja ali nasprotovanja pravnemu zahtevku;
- če tako določa drug zakon zaradi izvrševanja javnega interesa.ZVOP-1 kot splošen predpis na sistemski ravni ureja varstvo osebnih podatkov, vendar dopušča, da se varstvo osebnih podatkov ureja za posamezna pravna področja tudi s področnimi zakoni. Tako je potrebno dopustnost zbiranja podatkov o zdravstvenem stanju zaposlenih s strani delodajalca presojati tudi v luči pozitivne delovnopravne zakonodaje in zakonodaje, ki ureja področje zdravstvenega varstva.V skladu s
- členom Zakona o delovnih razmerjih (Uradni list RS, št. 42/02, v nadaljevanju: ZDR) se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. (
- odstavek
- člena ZDR). Drugi odstavek istega člena nadalje določa, da osebne podatke delavcev lahko zbira, obdeluje, uporablja in dostavlja tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti.
- odstavek pa še določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati. Iz navedene določbe ZDR tako izhaja, da delodajalec lahko zbira le tiste podatke zaposlenih, ki so določeni s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Upoštevaje
- člen Zakona o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/2006, v nadaljevanju: ZEPDSV) vodijo delodajalci naslednje evidence v skladu s tem zakonom: evidenco o zaposlenih delavcih, evidenco o stroških dela, evidenco o izrabi delovnega časa ter evidenco o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu. ZEPDSV nadalje določa, katere podatke delodajalec vpisuje v posamezno od teh evidenc. Glede podatkov o delavcu Pooblaščenec poudarja, da se od podatkov, ki nakazujejo na njegovo zdravstveno stanje, lahko obdeluje le podatek o tem, ali je delavec invalid in podatek o kategoriji invalidnosti. Glede na navedeno je potrebno ugotoviti, da ZEPDSV delodajalcu ne daje pravne oziroma dopustne podlage za zbiranje podatkov o zdravstvenem stanju svojih zaposlenih, temveč mu omogoča le zbiranje podatkov o tem, ali je delavec invalid ter podatkov o kategoriji invalidnosti. Navedeno ugotovitev pa potrjuje tudi določba Zakona o zdravstveni dejavnosti (Uradni list RS, št. 9/92, 37/1995, 8/1996, 90/1999, 31/2000, 45/2001, 2/2004, 80/2004), ki v
- členu zavezuje zdravstvene delavce in zdravstvene sodelavce ter druge osebe, ki so jim podatki o zdravstvenem stanju posameznika in o vzrokih, okoliščinah in posledicah tega stanja dosegljivi zaradi narave njihovega dela, varovati te podatke kot poklicno skrivnost. Isti člen tudi določa, da se ti podatki ne smejo dajati drugim ljudem oziroma javnosti in tudi ne objavljati na način, ki bi omogočal razkritje posameznika, na katerega se nanašajo. Navedena določba
- člena ZZDej tako kot nedopustno opredeljuje kakršnokoli posredovanje zdravstvenih podatkov posameznika ter podatkov o vzrokih, okoliščinah in posledicah tega stanja. Kolikor bi torej delodajalec ta podatek pridobil od zdravstvenega delavca oziroma sodelavca ali druge osebe, ki so ji ti podatki dosegljivi zaradi narave njenega dela, bi navedene osebe s posredovanjem podatka o zdravstvenem stanju »tretjemu« kršila poklicno skrivnost, s čimer bi storila prekršek po določbi
- točke
- odstavka
- člena ZZDej. Pooblaščenec pa ob tem omenja tudi Zakon o zdravniški službi (Uradni list RS, št. 72/2006 – uradno prečiščeno besedilo, v nadaljevanju: ZZdrS-UPB3), ki v
- členu določa, da mora zdravnik voditi dokumentacijo o zdravstvenem stanju in zdravljenju bolnika in druge evidence v skladu s posebnim zakonom.
- člen istega zakona nadalje določa, da mora zdravnik varovati kot poklicno skrivnost podatke o zdravstvenem stanju bolnika in podatke o vzrokih, okoliščinah in posledicah tega stanja. Podatki iz prejšnjega člena pa se v skladu z
- členom ZZdrS-UPB ne smejo dajati drugim ljudem oziroma javnosti in tudi ne objavljati na način, ki bi omogočal razkritje posameznika, na katerega se nanašajo.Pooblaščenec dodaja še to, da na potrdilu o upravičeni zadržanosti od dela, ki je standardizirani obrazec, zdravnik delodajalcu zgolj odkljuka eno od kategorij (bolezen, poškodba pri delu, poklicna bolezen, poškodba izven dela, nega…), ki pa ne razkriva dejanskega stanja, temveč je to le napotek delodajalcu za izračun višine nadomestila.Delodajalcu veljavna zakonodaja glede na navedeno, ne daje zakonske podlage za obdelavo podatkov, ki se nanašajo na vaše zdravstveno stanje, temveč lahko obdeluje (pridobiva) le podatke o morebitni invalidnosti in kategoriji invalidnosti, zato že pridobivanje in razpolaganje delodajalca z diagnozo vaše bolezni pomeni nedopustno obdelavo občutljivih osebnih podatkov. Obveščanje upravnega odbora o diagnozi vaše bolezni, bi v kolikor ne bi šlo zgolj za izražanje osebnega mnenja, ki nima podlage v podatkih iz zbirke osebnih podatkov, po mnenju Pooblaščenca predstavljalo obdelavo osebnih podatkov, ki je nedvomno nedopustna. Pooblaščenec namreč meni, da pravna podlaga, ki bi dopuščala razkrivanje diagnoze vaše bolezni, t.j. razkrivanje vašega občutljivega osebnega podatka vašim sodelavcem in drugim zaposlenim pri delodajalcu, ne obstaja. Da pa bi lahko Informacijski pooblaščenec začel inšpekcijski postopek, torej da bi torej lahko ugotovil, ali je bil kljub vsemu storjen prekršek nedovoljene obdelave osebnih podatkov, bi bilo potrebno posedovati več podatkov za začetek postopka (podrobnejši opis dejanskega stanja, dokazila, v kateri pravni osebi se je to zgodilo, kdo je bil nadrejeni, ki ga omenjate, …).V upanju, da smo odgovorili na vaše vprašanje vas lepo pozdravljamo. S spoštovanjem,Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026