← Slovenija

Obdelava zdravstvenih podatkov pri delodajalcih - IPRS

Obdelava zdravstvenih podatkov pri delodajalcih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.11.2021 Številka: 07121-1/2021/2156 Kategorije: --> Kategorije: Delovna razmerja, Moderne tehnologije, Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Privolitev, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Pojasnjujete, da razvijate poslovno idejo in sicer razmišljate o pametni napravi, ki bi beležila določene zdravstvene podatke zaposlenih. Te podatke bi zbirali z namenom, da bi zaposlene pravočasno obvestili o poslabšanju stanja, o morebitnih nevarnostih, predvidenih zdravstvenih težavah ter da bi zmanjšali bolniške odsotnosti ipd. Zbirali bi podatke o telesni temperaturi, srčnemu tlaku, kisiku v krvi, o nepotrebnih opravljenih gibih ipd. za preprečitev nastanka zdravstvenih težav in za pravočasno ukrepanje. Pametno napravo bi zaposleni imel le z njegovo privolitvijo, nihče v to ne bi bil prisiljen. Zanima vas, če takšne podatke sploh smete zbirati in kakšni so pogoji na področju Splošne uredbe o varstvu podatkov (GDPR). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
  3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
  4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov),
  5. točko prvega odstavka
  6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
  7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati, niti ne more vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Zato IP v nadaljevanju podaja zgolj splošna pojasnila z vidika varstva osebnih podatkov. Pojem »podatki o zdravstvenem stanju« pomeni skladno s členom 4

(15)Splošne uredbe o varstvu podatkov osebne podatke, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju. Pojem »obdelava« pa pomeni skladno s členom 4
(2)Splošne uredbe o varstvu podatkov vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. Za vsako obdelavo osebnih podatkov mora imeti upravljavec ustrezno in zakonito pravno podlago. Te so določene v členu 6
(1)Splošne uredbe o varstvu podatkov, za posebne vrste osebnih podatkov, med katere spadajo tudi podatki v zvezi z zdravjem, pa mora biti hkrati izpolnjen eden izmed posebnih pogojev, ki so določeni v členu 9
(2)Splošne uredbe o varstvu podatkov. Splošno zakonsko podlago za obdelavo osebnih podatkov delavcev predstavlja Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE in 119/21 – ZČmIS-A; nadaljevanju ZDR-1), ki v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pravno podlago za obdelavo osebnih podatkov lahko predstavlja tudi privolitev; za obdelavo posebnih vrst osebnih podatkov pa mora biti privolitev izrecna. Po definiciji iz člena 4
(11)Splošne uredbe o varstvu podatkov je privolitev prostovoljno, konkretno, informirano in nedvoumno ravnanje v obliki izjave ali jasnega pritrdilnega dejanja, iz katerega je mogoče sklepati na želje posameznika, na katerega se nanašajo osebni podatki, s katerim izrazi strinjanje z obdelavo osebnih podatkov, ki se nanašajo nanj. Pogoji za veljavno privolitev so predpisani v členu 7 Splošne uredbe o varstvu podatkov. Več o privolitvi si lahko preberete tudi na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/privolitev. Izpolnjevanje pogoja prostovoljnosti privolitve je v delovnih razmerjih lahko problematično. Zavrnitev privolitve s strani delavca za obdelavo osebnih podatkov namreč ne sme imeti nikakršnih posledic za delovno razmerje. Privolitev kot pravna podlaga za obdelavo osebnih podatkov v okviru delovnih razmerij pride zato v poštev zgolj izjemoma, če delodajalec lahko izkaže, da je privolitev resnično prostovoljna, ter zagotovi, da so izpolnjeni tudi drugi pogoji za veljavnost privolitve (npr. nedvoumnost, preklicljivost, dokazljivost, razumljivost in jasnost, granularnost), obenem pa obdelava ustreza tudi vsem načelom iz člena 5 Splošne uredbe o varstvu podatkov in drugim pravilom, ki jih predpisuje ta uredba. IP opozarja predvsem na načelo omejitve namena, po katerem morajo biti osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. Prav tako morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (načelo najmanjšega obsega podatkov). Upoštevajoč navedeno je vprašljivo, če bi bila obdelava zdravstvenih podatkov delavcev, ki jo opisujete, lahko skladna z vsemi določbami Splošne uredbe o varstvu podatkov. Obstoj pravne podlage namreč ni edino merilo, na podlagi katerega se presoja skladnost neke obdelave s predpisi s področja varstva osebnih podatkov. Tudi če bi bila izrecna privolitev delavca v konkretnem primeru podana, predstavlja obdelava njegovih zdravstvenih podatkov izredno veliko tveganje za zlorabe in nenamensko obdelavo osebnih podatkov, za kar je odgovoren delodajalec. Poleg tega IP izpostavlja, da mora skladno s prvim odstavkom
  1. člena Zakona o varnosti in zdravju pri delu (Uradni list RS, št. 43/11; v nadaljevanju ZVZD-1) delodajalec zagotoviti, da zdravstvene ukrepe v zvezi z varnostjo in zdravjem pri delu izvaja izvajalec medicine dela. Pravilnik o preventivnih zdravstvenih pregledih delavcev (Uradni list RS, št. 87/02, 29/03 – popr., 124/06 in 43/11 – ZVZD-1) v
  2. členu npr. določa, da mora pooblaščeni zdravnik v desetih dneh po končanem preventivnem zdravstvenem pregledu posredovati delodajalcu oceno o delavčevem izpolnjevanju posebnih zdravstvenih zahtev za določeno delo v delovnem okolju. Pooblaščeni zdravnik o rezultatu pregleda takoj obvesti delavca, njegovega izbranega osebnega zdravnika in delodajalca, če je pri pregledu ugotovljena takšna okvara zdravja delavca, ki ogroža njegovo življenje oziroma njegovo delovno zmožnost. Pooblaščeni zdravnik na podlagi rezultatov pregledov predlaga ukrepe za izboljšanje razmer na delovnih mestih in v delovnih okoljih oziroma ukrepe za odpravo vzrokov, ki ogrožajo oziroma utegnejo ogrožati zdravje delavcev. Glede na povzeto zakonsko ureditev, torej naloge, ki jih ima izvajalec medicine dela, ter dejstvo, da delodajalec ni upravičen do podatkov o razlogih za morebitne omejitve, diagnoze, vrste bolezni oziroma do drugih zdravstvenih podatkov pregledanega delavca, se zastavlja vprašanje, ali bi delodajalec sploh lahko pridobil veljavno privolitev delavcev, da sam zbira tiste zdravstvene podatke delavcev, za katere je pooblaščen izvajalec medicine dela in s katerimi se sam načeloma ne sme seznaniti. Prav tako ni jasno, kako bi delodajalec lahko v takem primeru zagotovil omejitev namena. Vendar pa IP ponovno poudarja, da je odgovornost za zakonito in pošteno obdelavo osebnih podatkov na upravljavcu. Zato vam v okviru mnenja ne more podati dokončnega odgovora na to, ali bi bilo lahko zbiranje zdravstvenih podatkov delavcev, kot ga opisujete, v celoti zakonito, nedvomno pa se kaže kot zelo problematično. Glede na to, da bi šlo za obsežno obdelavo zdravstvenih podatkov delavcev, bi morali pred obdelavo opraviti tudi oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov skladno s členom 35 Splošne uredbe o varstvu podatkov. Več o oceni učinka v zvezi z varstvom podatkov si lahko preberete na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/ocena-u%C4%8Dinka-v-zvezi-z-varstvom-podatkov/#kdajizvesti, več o obdelavi zdravstvenih podatkov pa na: https://www.ip-rs.si/varstvo-osebnih-podatkov/in%C5%A1pekcijski-nadzor/najbolj-pogoste-kr%C5%A1itve/zdravstveni-podatki. Več o varstvu osebnih podatkov v delovnih razmerjih si lahko preberete tudi v smernicah IP, ki so dostopne na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih.pdf. Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si. Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/mnenja-gdpr/. Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov, predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov. Lep pozdrav, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija. Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.