Sporočanje podatkov o negativnem testu na covid-19 + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.02.2021 Številka: 07120-1/2021/69 Kategorije:Delovna razmerja, Posebne vrste, Pravne podlage, Zdravstveni osebni podatki --> Kategorije: Pravne podlage, Zdravstveni osebni podatki, Posebne vrste, Delovna razmerja Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem sprašujete, ali smejo vzgojno-izobraževalni zavodi dostopati do rezultatov testov zaposlenih, ki so bili testirani skladno z Odredbo o izvajanju posebnega presejalnega programa za zgodnje odkrivanje okužb z virusom SARS-CoV-2 za osebe, ki opravljajo dejavnost vzgoje in izobraževanja (Uradni list RS, št. 11/21; v nadaljnjem besedilu: Odredba). Nekateri izvajalci – zdravstveni domovi so namreč že prejeli zahtevek vzgojno-izobraževalnega zavoda po posredovanju podatkov o rezultatih testov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Podatki o zdravstvenem stanju so skladno s členom 4
(15)Splošne uredbe o varstvu podatkov: osebni podatki, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju. Splošna uredba o varstvu podatkov šteje podatke v zvezi z zdravjem za posebne vrste osebnih podatkov. Obdelava tovrstnih podatkov je praviloma prepovedana (člen 9 Splošne uredbe o varstvu podatkov), izjemoma pa je dopustna npr. na podlagi izrecne privolitve posameznika ali če je obdelava potrebna iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki; iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti; za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ipd. Vse možne izjeme od prepovedi obdelave posebnih vrst osebnih podatkov navaja člen 9
(2)(a)-(j) Splošne uredbe. Področna zakona, ki urejata področje varstva osebnih podatkov v delovnih razmerjih, sta predvsem Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06, v nadaljevanju ZEPDSV) in Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1). ZEPDSV v
- členu določa vrste evidenc, ki jih morajo voditi delodajalci (evidenca o zaposlenih delavcih, evidenca o stroških dela, evidenca o izrabi delovnega časa, evidenca o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu), v 13., 16.,
- in
- členu pa njihovo vsebino. ZDR-1 pa v prvem odstavku
- člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Iz navedene določbe ZDR-1 izhaja, da delodajalci ne smejo zbirati katerihkoli osebnih podatkov, ampak le tiste osebne podatke, ki jih potrebujejo za dosego v zakonu določenega namena, tj. uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Določba vključuje načelo najmanjšega obsega podatkov iz člena 5
(1)(c) Splošne uredbe, ki ga je treba upoštevati pri vsaki obdelavi osebnih podatkov, in določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Delodajalec lahko obdeluje tiste delavčeve osebne podatke, ki jih določa ZEPDSV in v skladu z 48. členom ZDR-1 tiste osebne podatke, za katere izkaže, da jih potrebuje zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravice in obveznosti obeh, torej delavca in delodajalca. Delodajalec lahko od delavca zbira le tiste osebne podatke, ki jih določa zakon (ZEPDSV, ZDR-1 ali drug področni zakon) in tiste osebne podatke, za katere ima osebno privolitev delavca. Ob tem je treba poudariti, da je obdelava osebnih podatkov delavca na podlagi njegove osebne privolitve dopustna le, če lahko delavec privolitev brez posledic za delovno razmerje odkloni. Zavrnitev privolitve namreč nikakor ne sme imeti negativnih posledic za delovno razmerje. Zato je privolitev kot pravna podlaga za obdelavo osebnih podatkov v delovnih razmerjih uporabljiva le izjemoma, saj je delodajalec v razmerju do delavca močnejša stranka. Upoštevajoč navedeno bi bila lahko izrecna privolitev (člen 9
(2)(
- a)Splošne uredbe) v konkretnem primeru ustrezna pravna podlaga za obdelavo zdravstvenih podatkov zaposlenih le, če bi bilo testiranje za zaznavanje prisotnosti virusa SARS-CoV-2 in obdelava podatkov v tem okviru povsem prostovoljna in zavrnitev privolitve ne bi imela nobenih negativnih posledic za zaposlenega. Glede na navedeno je odgovor na vprašanje, ali lahko delodajalec zahteva od zdravstvenih domov ali od delavcev informacijo o negativnem izvidu testiranja, praviloma ne. Delavci ter zdravstveni domovi niso dolžni avtomatično in v vsakem primeru delodajalca obvestiti o okužbi oziroma negativnem izvidu. Lahko pa takšno obveznost posamezno podjetje ali organizacija izjemoma odredi po presoji pristojnih institucij (zlasti epidemiologa, ministra za zdravje) in pooblaščene osebe za medicino dela (glede na posebno naravo in organizacijo dela). V konkretnem primeru je minister za zdravje sprejel Odredbo o izvajanju posebnega presejalnega programa za zgodnje odkrivanje okužb z virusom SARS-CoV-2 za osebe, ki opravljajo dejavnost vzgoje in izobraževanja, ki takšno obveščanje izrecno nalaga. 5. člen Odredbe določa, da testirana oseba sporoči »negativen izvid testiranja predstojniku vzgojno-izobraževalnega zavoda oziroma osebi, ki jo on pooblasti.« Obveznost sporočanja se nanaša na testirano osebo in ne na zdravstveni zavod ali drugo zdravstveno institucijo. Pri tem pa opozarjamo, da delodajalec oziroma predstojnik vzgojno-izobraževalnega zavoda ali oseba, ki jo ta pooblasti, ni upravičena pridobivati dejanskih izvidov oziroma nima podlage za pregledovanje SMS sporočila (v primeru takšnega načina prevzema izvida) v telefonu zaposlenega ali celo, da bi moral zaposleni posredovati takšno sporočilo predstojniku ali pooblaščeni osebi. Delodajalec namreč nikoli ni upravičen do prejema izvida kot takega, lahko pa je v konkretnem primeru upravičen do informacije o negativnem izvidu. Natančne modalitete posredovanja takšnih informacij ter vodenja teh podatkov (ki so nedvomno posebne vrste osebnih podatkov, kot smo že pojasnili zgoraj) pa IP ne more komentirati ali predpisovati, saj je to v pristojnosti ministrstva, alternativno ali v sodelovanju z NIJZ. Odgovor na vaše vprašanje torej je, da po trenutnih pravilih zdravstveni zavodi ne smejo sporočati podatkov predstojnikom vzgojno-izobraževalnih institucij (razen če bi jih testirani zaposleni posebej pooblastili), temveč je obveznost sporočanja na zaposlenih. Usmerimo pa vas lahko tudi na podstran spletne strani Informacijskega pooblaščenca, na kateri objavljamo mnenja, stališča in priporočila IP v povezavi z varstvom osebnih podatkov v času epidemije koronavirusa (COVID-19): https://www.ip-rs.si/index.php?id=897. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026