Obveščanje zaposlenih o okuženosti + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.02.2022 Številka: 07120-1/2022/39 Kategorije: --> Kategorije: Delovna razmerja, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Sprašujete, ali je v skladu z GDPR, da vaša ravnateljica v vsakem elektronskem sporočilu javno sporoča vsem delavcem šole z imenom in priimkom, kdo od zaposlenih je bil pozitiven na HAG oz. PCR testu za covid-19? Pojasnjujete, da vsi od zaposlenih sporočate svojo bolezen oz. odsotnosti ravnateljici, delujete v skladu s pravili, greste v karanteno, ste v bolniškem staležu po navodilih svojega osebnega zdravnika in zato sprašujete, ali res mora cel kolektiv vrtca in šole vedeti, kdo je okužen? *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Glede na številne vsakodnevne spremembe predpisov v zvezi z ukrepi za zamejevanje širjenja virusa COVID-19 IP opozarja, da je mnenje pripravljeno glede na predpise, ki so veljali v času priprave mnenja. Vsak zavezanec pa je dolžan sproti preverjati konkretne obveznosti, ki veljajo zanj. Na podobna vprašanja kot je vaše, je IP v preteklosti že odgovarjal, gre npr. za mnenja št. 07121-1/2020/359 z dne 17.03.2020, št. 07120-1/2020/569 z dne 28.10.2020 in št. 07121-1/2020/1742 z dne 1.10.2020. Mnenja so dosegljiva s pomočjo iskalnika na www.ip-rs.si/vop. Uvodoma pojasnjujemo, da mora biti za vsako obdelavo osebnih podatkov podana ustrezna pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe, npr. skladno s točko (d), kadar je obdelava potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe. Nadalje pa 9. člen Splošne uredbe določa izjeme, v katerih primerih je obdelava posebnih vrst osebnih podatkov (kot so npr. zdravstveni podatki) dovoljena. Na primer, obdelava zdravstvenih osebnih podatkov bi bila dovoljena, če bi bila skladno s točko (
- c)drugega odstavka 9. člena Splošne uredbe obdelava potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali drugega posameznika, kadar posameznik, na katerega se nanašajo osebni podatki, fizično ali pravno ni sposoben dati privolitve. V okviru delovnega razmerja je relevantna tudi določba prvega odstavka 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A in 202/21 – odl. US, ZDR-1), ki določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Zakon izrecno ne določa, kdaj in od koga bi v nastalih razmerah posameznik lahko ali moral pridobiti osebne podatke o tem, kdo so okuženi posamezniki npr. na šoli, saj so primeri in okoliščine lahko izredno raznolike in v zakonu vseh enoznačno niti ne bi bilo mogoče zajeti. Navedeno torej pomeni, da bi lahko obstajala pravna podlaga za obveščanje sodelavcev glede okužb npr. v zgoraj navedeni točki (
- c)drugega odstavka 9. člena Splošne uredbe ali pa v zvezi z delovnim razmerjem, če to določajo področni predpisi. Kot smo poudarili v zgoraj citiranih mnenjih, morajo pristojni o ukrepih v sodelovanju z zdravstveno stroko (NIJZ) presojati od primera do primera in ugotavljati, kateri podatki so potrebni za zaščito življenjskih interesov ljudi ali v zvezi z zagotavljanjem zdravja in varstva pri delu ali na drugih pravnih podlagah. Z vidika obdelave zdravstvenih podatkov pa sama informacija o tem, da je eden od učiteljev v šoli obolel za virusom (brez drugih podatkov) načeloma ne pomeni obdelave osebnih podatkov, saj brez drugih dodatnih podatkov tak posameznik ni določljiv. Splošno obveščanje o dejstvu obstoja okužbe v organizaciji brez dodatnih podatkov (npr. imena, spola, drugih informacij, ki delajo posameznika določljivega) torej ni sporno. Če gre za posredovanje statističnih podatkov na podlagi katerih posameznika ni mogoče enoznačno določiti, torej brez razkrivanja drugih podatkov o obolelem (npr. spol, starost, naslov, ulica, delovno mesto ipd.), potem sploh ne gre za obdelavo osebnih podatkov in je posredovanje dopustno. Kot je IP že večkrat poudaril, morajo torej pooblaščeni zdravniki in pooblaščene osebe za zdravje in varstvo pri delu v sodelovanju z NIJZ delodajalcem pomagati pri iskanju odgovorov, na to koga konkretno je treba obvestiti v primeru odrejene karantene ali okužbe v delovnih organizacijah, vrtcih, šolah in drugih organizacijah, saj IP tega ne more in ne sme odrejati. To je namreč odvisno od konkretne organizacije dela, stikov med zaposlenimi ipd. IP izven inšpekcijskega postopka ne sme in ne more presojati, katere konkretne podatke se lahko obdeluje v zvezi s trenutno situacijo, pač pa le pristojne institucije. Ustreznosti posameznih ukrepov z drugih vidikov pa IP ne sme komentirati, saj ni pristojen za odločanje o zdravstvenih ukrepih. V kolikor na podlagi naših pojasnil menite, da je prišlo do kršitve varstva osebnih podatkov, lahko podate prijavo v zvezi z domnevnimi kršitvami pri IP. Uporabite lahko obrazec »Prijava kršitve varstva osebnih podatkov (Obrazec ZIN PRIJAVA)«, ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. V upanju, da ste prejeli odgovor na vaše vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026