Obdelava posebnih vrst OP zaposlenih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.02.2021 Številka: 07121-1/2021/272 Kategorije:Delovna razmerja, Pravne podlage, Zdravstveni osebni podatki --> Kategorije: Delovna razmerja, Zdravstveni osebni podatki, Pravne podlage Na e-naslov Informacijskega pooblaščenca (v nadaljevanju IP) ste posredovali e-sporočilo, v katerem nas sprašujete, če je delodajalec (na podlagi sprejetega protokola v podjetju) upravičen, da od zunanjega izvajalca testiranja (hitri testi so obvezni pri trgovcih) upravičen zahtevati (ta pa mu posredovati) podatek o morebitnem pozitivnem testu na covid za svojega zaposlenega oz. ali je upravičen do podatkov o tem, kateri delavci in kdaj so opravili test pri temu izvajalcu. Navedli ste še, da bi želeli uvesti evidenco izvedenih testiranj ter da je namen zavarovanje podjetja oz. dejavnosti, ker je vprašljivo "zaupanje" v to, da bodo dejansko vsi delavci opravili testiranje in sporočili, če bodo pozitivni. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov vnaprej potrjevati posameznih ukrepov ali rešitev z vidika skladnosti s predpisi s področja varstva osebnih podatkov. Prav tako IP ni pristojen presojati ustreznosti zdravstvenih ukrepov in njihove učinkovitosti. Zato IP na vaše vprašanje v okviru tega mnenja ne more dokončno odgovoriti, temveč v nadaljevanju podaja splošna pojasnila glede zakonitosti obdelave osebnih podatkov. Splošna uredba določa pravila, ki se uporabljajo za obdelavo osebnih podatkov, in sicer tudi v razmerah, kot je trenutni izbruh COVID-
- Delodajalcem tako omogoča obdelavo osebnih podatkov v okviru epidemije v skladu z nacionalnim pravom in pogoji, določenimi v uredbi. Za vsako obdelavo osebnih podatkov mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6
(1)Splošne uredbe, v primeru obdelave posebnih vrst osebnih podatkov, med katere sodijo tudi zdravstveni podatki, pa mora bili izpolnjen še eden izmed pogojev iz člena 9
(2)Splošne uredbe. Glede privolitve za obdelavo osebnih podatkov zaposlenih IP poudarja, da ta pravna podlaga v delovnih razmerjih velja le za tiste osebne podatke, ki niso vezani na uresničevanje pravic in obveznosti iz delovnega razmerja oziroma niso v zvezi z delovnim razmerjem posameznika. Zavrnitev privolitve namreč nikakor ne sme imeti negativnih posledic za delovno razmerje. Zato je privolitev kot pravna podlaga za obdelavo osebnih podatkov v delovnih razmerjih uporabljiva le izjemoma, saj je delodajalec v razmerju do delavca močnejša stranka. Upoštevajoč navedeno bi bila lahko izrecna privolitev (člen 9
(2)(a) Splošne uredbe) v konkretnem primeru ustrezna pravna podlaga za obdelavo zdravstvenih podatkov zaposlenih le, če bi bilo testiranje za zaznavanje prisotnosti virusa SARS-CoV-2 in obdelava podatkov v tem okviru povsem prostovoljna in zavrnitev privolitve ne bi imela nobenih negativnih posledic za zaposlenega. Če pa bi želeli predpisati takšno testiranje kot obvezno za vse zaposlene, privolitev ne bo ustrezna pravna podlaga za obdelavo njihovih zdravstvenih podatkov, saj takšne obdelave brez škode za delovno razmerje načeloma ne bodo mogli odkloniti. Zato bi morala v takšnem primeru obstajati kakšna druga pravna podlaga iz členov 6
(1)in 9
(2)Splošne uredbe. IP pojasnjuje, da delodajalci glede na določbe delovnopravne zakonodaje v običajnih razmerah niso upravičeni do obdelave zdravstvenih podatkov zaposlenih. V času, ko se soočamo s širjenjem okužb z virusom SARS-CoV-2 in je ogroženo tako zdravje posameznika kot javno zdravje, pa lahko posebne okoliščine terjajo ukrepe, ki lahko posegajo tudi na področje obdelave posebnih vrst osebnih podatkov. Ukrepi, ki posegajo na področje obdelave zdravstvenih podatkov, so lahko tudi v zaščiti življenjskih interesov posameznikov (člen 9
(2)(c) Splošne uredbe), saj se uvodna izjava 46 Splošne uredbe izrecno sklicuje na obvladovanje epidemije, ali v javnem interesu na področju javnega zdravja (člen 9
(2)(
- i)Splošne uredbe), če je to predpisano z nacionalno zakonodajo. Ob tem pa gre za vprašanje, na katerega mora primarno podati odgovor zdravstvena stroka. IP zato meni, da morate glede na lastno oceno tveganj presojati nujnost obdelave zdravstvenih podatkov zaposlenih in imeti v primeru obdelave ustrezno pravno podlago. Pri tem pa morate upoštevati tudi načelo sorazmernosti in vedno izbrati tisti ukrep, ki najmanj poseže v pravice posameznika glede na zasledovani zakoniti cilj. Ukrepa torej ne bi smeli odrejati, če je mogoče primerljiv učinek doseči z milejšimi ukrepi. Če se na ravni posameznih organizacij določen ukrep opredeli kot nujen, potreben in učinkovit, pa ga je treba izvajati na način, ki najmanj posega v telo in zasebnost posameznika ter brez prekomerne obdelave osebnih podatkov. V primeru obdelave osebnih podatkov na ustrezni pravni podlagi mora upravljavec vedno upoštevati tudi vsa načela v zvezi z varstvom podatkov iz člena 5 Splošne uredbe ter druge obveznosti, ki jih predpisuje Splošna uredba (informiranje posameznikov, rok hrambe, varnost itn.). Glede obdelave osebnih podatkov v okviru izbruha COVID-19 je izjavo podal tudi Evropski odbor za varstvo podatkov, ki je dostopna na povezavi: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_statement_art_23gdpr_20200602_sl_1.pdf. Več o varstvu osebnih podatkov v delovnih razmerjih pa si lahko preberete v smernicah IP, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/prirocniki-in-smernice/varstvo-osebnih-podatkov-v-delovnih-razmerjih/. Lepo vas pozdravljamo, Mojca Prelesnik informacijska pooblaščenka Pripravila: mag. Tanja SLAK država nadzornica za varstvo osebnih podatkov To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija. Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026