Evidenca cepljenj v podjetju + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 18.04.2007 Številka: 0712-382/2007/2 Kategorije:Delovna razmerja --> Kategorije: Delovna razmerja Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
- 2007 prejel vaše e-sporočilo, v katerem nas sprašujete:
- »Ali se glede na zakonodajo o varovanju osebnih podatkov smejo v podjetju voditi evidence o cepljenju zaposlenih (s podatki kot so npr. ime, priimek, datum cepljenja, ponovno cepljenje…)?« Cepljenje sicer plača podjetje.
- »Ali ne sodi pridobivanje podatkov o cepljenju posameznika v pristojnost zdravstva?«
- »Na kakšen način se morajo pridobljeni podatki hraniti oziroma kdo ima dostop do takšnih podatkov?« Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 - ZInfP; v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Ker v sporočilu govorite o »podjetju«, predvidevamo, da ste zaposleni v zasebnem sektorju. 1 Uvod Uvodoma je potrebno pojasnilo o pomenu nekaterih pojmov, kot jih v
- členu opredeljuje ZVOP-1: - Osebni podatek pomeni katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo, torej posameznika, na glede na obliko, v kateri je izražen. Posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je določljiva, če se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila), ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa; - Obdelava osebnih podatkov je definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporočanje in podobno; - Zbirka osebnih podatkov je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Ad 1) 2 Utemeljitev dopustnosti zbiranja in druge obdelave podatkov o cepljenju 2.1 O splošnih podlagah za obdelavo osebnih podatkov v ZVOP-1 ZVOP-1 v prvem odstavku
- člena določa, da se osebni podatki v zasebnem sektorju (kamor spadajo tudi »podjetja«) lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je obdelava določenih osebnih podatkov podana osebna privolitev posameznika. Drugi odstavek
- člena ZVOP-1 določa, da se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. 2.2 Ali obstaja podlaga za obdelavo osebnih podatkov v posebnem zakonu Področna zakona v smislu prvega odstavka
- člena ZVOP-1 sta Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 42/02; ZEPDSV) in Zakon o delovnih razmerjih (Uradni list RS, št. 42/02 in 79/06; ZDR) ZDR v skladu s
- odst.
- čl. ureja delovna razmerja, ki se sklepajo s pogodbo o zaposlitvi med delavcem in delodajalcem. V
- čl. ZDR pa je urejeno varstvo delavčevih osebnih podatkov. Osebni podatki delavcev se lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Osebne podatke delavcev lahko zbira, obdeluje, uporablja in dostavlja tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti. Osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, se morajo takoj zbrisati in prenehati uporabljati. Sledeč določbam ZDR lahko delodajalec torej osebne podatke obdeluje samo, če ima zato podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. ZEPDSV je zakon, ki določa vrste, vsebino in posamezne vidike upravljanja evidenc na področju dela in socialne varnosti. Omenjeni zakon taksativno našteva evidence, ki jih lahko delodajalci vodijo na področju dela in socialne varnosti (npr. evidenca o zaposlenih delavcih) hkrati pa določa vsebino (vrsto podatkov), ki se vodijo v okviru teh evidenc. Enako kot ZDR, tudi ZEPDSV izrecno ne predvideva vodenja evidence o cepljenjih delavcev ali obdelave podatkov o cepljenju v okviru kakšne druge evidence. 2.3 Predpisi s področja preprečevanja in obvladovanja nalezljivih bolezni Primeroma navajamo, da iz določb Zakona o nalezljivih boleznih (Uradni list RS, št. 33/06 -UPB) in Programa imunoprofilakse in kemoprofilakse za leto 2007 (Uradni list RS, št. 22/07) izhaja, da: - je za določene nalezljive bolezni (npr. klopni meningoencefalitis, hepatitis A in B, tetanus…) v primeru, ko so delavci pri svojem delu izpostavljeni nevarnostim okužbe, cepljenje obvezno in da - obvezno cepljenje in kemoprofilakso delavcev, ki so pri svojem delu izpostavljeni nevarnosti okužbe, plača delodajalec. 2.4 Sklep Glede na ugotovitve, da: - lahko delodajalec osebne podatke obdeluje, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem (ZDR), - da se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe (ZVOP-1) in - da je v določenih primerih delodajalec dolžan zagotoviti in financirati obvezno cepljenje svojih zaposlenih, Pooblaščenec zaključuje, da je vzpostavitev in vodenje evidence o cepljenjih s strani delodajalca dopustna, ko: - je delavec v delovnem razmerju z delodajalcem na podlagi pogodbe o zaposlitvi in da podatki o cepljenju v konkretnem primeru vsekakor so v tesni zvezi z delovnim razmerjem, - je opravljeno obvezno cepljenje pogoj za izvrševanje (izpolnjevanje) delovnih obveznosti s strani delavca (oziroma za izvrševanje pogodbe o zaposlitvi). Takrat: - je delodajalec upravičen učinkovito spremljati stanje cepljenosti svojih zaposlenih, zaradi izvrševanja (izpolnjevanja) obveznosti nasproti delavcu in izpolnjevanja zakonskih dolžnosti, - je glede na vaš opis nabora osebnih podatkov v evidenci, ta vsebinsko primerno omejena in ne predstavlja prekomernega zbiranja ali obdelave osebnih podatkov, - je delodajalec upravičen učinkovito spremljati izdatke za svoje delavce, ker nosi stroške obveznega cepljenja. Ad 2)
- Podlaga za obdelavo podatkov o cepljenju pri izvajalcih zdravstvenih storitev V vašem e-sporočilu pravilno ugotavljate, da so izvajalci zdravstvenih storitev, med katere vključujmo tudi izvajanje ukrepov za preprečevanje in obvladovanje nalezljivih bolezni, upravičeni voditi evidence o cepljenju. Za razliko od vašega delodajalca, pa imajo za to celo izrecno zakonsko podlago v Zakonu o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00). Take evidence so na primer »register obveznikov za cepljenje in izvajanja cepljenja«, »evidenca varstva prebivalstva pred steklino«, »evidenca nalezljivih bolezni« in »kartica zdravstvenega zavarovanja«. Ad 3)
- Ukrepi in postopki za zavarovanje osebnih podatkov V nadaljevanju predvsem povzemamo nekatera pojasnila glede zavarovanja osebnih podatkov, ki so sicer dostopna na spletni strani Pooblaščenca: www.ip-rs.si. Ne glede na to ali se evidence vodijo pri delodajalcu ali izvajalcu zdravstvenih storitev, je zavarovanje osebnih podatkov vsekakor eden od bistvenih pogojev za učinkovito varstvo osebnih podatkov oziroma varstvo posameznika, na katerega se podatki nanašajo. Podrobnejših organizacijskih, tehnične in logično tehničnih postopkov in ukrepov za zavarovanje osebnih podatkov v ZVOP-1, kot sistemskem zakonu, ni, saj so odvisni od različnih okoliščin, v katerih se obdelujejo posamezni osebni podatki (ročna ali avtomatizirana obdelava, uporabljena strojna in programska oprema, komu in na kakšen način se podatki posredujejo, obdelavo posebno občutljivih osebnih podatkov , katerih obdelava mora biti skladno z določbami
- člena ZVOP-1 še posebej označena in zavarovana, itd …). Zaradi tega, so v
- členu ZVOP-1 določene samo zahteve, ki jim morajo postopki in ukrepi za zavarovanje osebnih podatkov zadostiti, v
- členu pa je določeno, da morajo upravljavci osebnih podatkov postopke in ukrepe za zavarovanje osebnih podatkov predpisati v svojih aktih ter seveda zagotoviti njihovo izvajanje. V notranjih aktih obdelovalcev osebnih podatkov predpisani organizacijski, tehnični in logično-tehnični postopki in ukrepi za zavarovanje osebnih podatkov morajo v prvi vrsti preprečiti nepooblaščeno obdelavo osebnih podatkov, poleg tega pa morajo preprečiti tudi slučajno, ali namerno nepooblaščeno uničevanje podatkov ter njihovo spremembo ali izgubo. Da bi to dosegli, je potrebno v notranjih aktih predpisati, kako se npr. varujejo prostori, oprema in sistemska programska oprema, vključno z vzhodno-izhodnimi enotami, nadalje kako se varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki, kako preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih in podobno. Da bi dosegli dejansko izvajanje predpisanih ukrepov, je potrebno z akti, ki predpisujejo postopke in ukrepe za zavarovanje osebnih podatkov, seznaniti vse zaposlene, poleg tega pa morajo delodajalci skladno z določbami
- člena ZVOP-1 določiti tudi osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki zaradi narave njihovega dela lahko obdelujejo določene osebne podatke. Navedeno pomeni, da morajo delodajalci poleg aktov, ki predpisujejo postopke in ukrepe za zavarovanje osebnih podatkov, voditi tudi ažuren seznam, iz katerega bo, za vsako zbirko osebnih podatkov, jasno razvidno, katera oseba je odgovorna za posamezno zbirko osebnih podatkov ter katere osebe lahko zaradi narave svojega dela obdelujejo osebne podatke, ki se nanašajo na posamezno zbirko osebnih podatkov. Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026