Zahteve delodajalca po posredovanju številke ZZZS kartice + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.05.2021 Številka: 07121-1/2021/984 Kategorije:Delovna razmerja, Privolitev, Zdravstveni osebni podatki --> Kategorije: Delovna razmerja, Zdravstveni osebni podatki, Privolitev Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zahteve delodajalca po posredovanju številke vaše ZZZS kartice. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP uvodoma pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. Izbor ustrezne pravne podlage za posamezno obdelavo je obveznost upravljavca (v konkretnem vašega delodajalca), ki mora pri tem upoštevati konkretne okoliščine in namene obdelave. Pri presoji mora delodajalec vedno izhajati iz načela najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave (v konkretnem primeru ugotovitev rezultata testiranja na virus SARS-CoV-2). V konkretnem primeru, ki ga opisujete v vašem zaprosilu za mnenje, gre za obdelavo podatkov o zdravstvenem stanju, ki spadajo med posebne vrste osebnih podatkov, njihova obdelava pa je načeloma prepovedana. Njihova obdelava je dopustna le izjemoma, in sicer mora sama obdelava osebnih podatkov potekati na eni od pravnih podlag, ki jih določa drugi odstavek
- člena Splošne uredbe o varstvu podatkov. V skladu s tem je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: obdelava je potrebna iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki; obdelava je potrebna iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti; obdelava je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ipd. Vse možne izjeme od prepovedi obdelave posebnih vrst osebnih podatkov so določene v točkah (a)-(j) drugega odstavka
- člena Splošne uredbe o varstvu podatkov. Glede obdelave osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. Zakon o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE) v
- členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku
- člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati. Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Ob tem IP poudarja, da mu ni znan zakon, ki bi delodajalcu dajal splošno pravno podlago za posredovanje številke ZZZS kartice, zato bi se na opisani način osebne podatke delavce lahko obdelovalo le, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, zakaj je potrebna takšne obdelava osebnih podatkov delavca. Pri tem mora delodajalec v skladu s
- členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Delodajalec mora torej paziti tudi na spoštovanje zasebnosti in dostojanstva delavca, odgovornost delodajalca pa narašča z intenzivnostjo posega v zasebnost. Ob tem pa IP posebej poudarja, da je obdelava delavčevih osebnih podatkov na podlagi njegove osebne privolitve dopustna le izjemoma pod pogojem, da njena zavrnitev nima nikakršnih posledic na delovno razmerje oziroma na delavčev pravni položaj. Osebna privolitev v delovnih razmerjih torej je oziroma naj bo bolj izjema kot pravilo, saj je delodajalec v razmerju do delavca močnejša stranka in so možnosti za zlorabo tega instituta v delovnih razmerjih toliko večje. Tudi smernice Evropskega odbora za varstvo podatkov (EDPB) glede privolitve kot pravne podlage za obdelavo osebnih podatkov v delovnih razmerjih poudarjajo neprostovoljno naravo razmerja delavec - delodajalec, kar ovira veljavnost privolitve. Temeljni kriterij za dopustnost privolitve v delovnih razmerjih je po mnenju EDPB, da podaja ali zavrnitev privolitve za zaposlene nima nikakršnih negativnih posledic. Pri tem je treba upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, ki so določeni v
- členu Splošne uredbe o varstvu podatkov. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk ali kakršnakoli nedejavnost tako ne pomeni privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. IP poudarja, da mora biti privolitev v primerih, ko obdelava podatkov vključuje več različnih namenov, podana za vsak namen posebej. Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče. Upoštevajoč navedeno bi bila lahko izrecna privolitev (člen 9
(2)(a) Splošne uredbe o varstvu podatkov) v konkretnem primeru ustrezna pravna podlaga za obdelavo zdravstvenih podatkov zaposlenih le, če bi bilo testiranje za zaznavanje prisotnosti virusa SARS-CoV-2 in obdelava podatkov v tem okviru povsem prostovoljna in zavrnitev privolitve ne bi imela nobenih negativnih posledic za zaposlenega. Če pa je takšno testiranje za zaposlene obvezno (kot tudi navajate v vašem zaprosilu za mnenje), privolitev ne bo ustrezna pravna podlaga za obdelavo zdravstvenih podatkov zaposlenih, saj takšne obdelave brez škode za delovno razmerje načeloma ne bodo mogli odkloniti. Zato bi morala v takšnem primeru obstajati kakšna druga pravna podlaga iz zgoraj predstavljenega drugega odstavka 9. člena Splošne uredbe o varstvu podatkov. IP pojasnjuje tudi, da delodajalci glede na določbe delovnopravne zakonodaje v običajnih razmerah niso upravičeni do obdelave zdravstvenih podatkov zaposlenih. V času, ko se soočamo s širjenjem okužb z virusom SARS-CoV-2 in je ogroženo tako zdravje posameznika kot javno zdravje, pa lahko posebne okoliščine terjajo ukrepe, ki lahko posegajo tudi na področje obdelave posebnih vrst osebnih podatkov. Ukrepi, ki posegajo na področje obdelave zdravstvenih podatkov, so lahko tudi v zaščiti življenjskih interesov posameznikov (člen 9
(2)(c) Splošne uredbe o varstvu podatkov), saj se uvodna izjava 46 Splošne uredbe o varstvu podatkov izrecno sklicuje na obvladovanje epidemije, ali v javnem interesu na področju javnega zdravja (člen 9
(2)(
- i)Splošne uredbe o varstvu podatkov), če je to predpisano z nacionalno zakonodajo. Ob tem pa gre za vprašanje, na katerega mora primarno podati odgovor zdravstvena stroka. IP zato meni, da mora delodajalec glede na lastno oceno tveganj presojati nujnost obdelave zdravstvenih podatkov zaposlenih in imeti v primeru obdelave ustrezno pravno podlago. Pri tem pa mora upoštevati tudi načelo sorazmernosti in vedno izbrati tisti ukrep, ki najmanj poseže v pravice posameznika glede na zasledovani zakoniti cilj. Ukrepa torej ne bi smeli odrejati, če je mogoče primerljiv učinek doseči z milejšimi ukrepi. Če se na ravni posameznih organizacij določen ukrep opredeli kot nujen, potreben in učinkovit, pa ga je treba izvajati na način, ki najmanj posega v telo in zasebnost posameznika ter brez prekomerne obdelave osebnih podatkov. V primeru obdelave osebnih podatkov na ustrezni pravni podlagi mora upravljavec vedno upoštevati tudi vsa načela v zvezi z varstvom podatkov iz člena 5 Splošne uredbe ter druge obveznosti, ki jih predpisuje Splošna uredba o varstvu podatkov. V delovnih razmerjih lahko torej pod določenimi pogoji kot pravno podlago za posredovanje informacije o negativnem testu zaposlenega delodajalcu štejemo določbo 48. člena ZDR-1. IP pa je v kontekstu delovnih razmerij v svojih mnenjih že večkrat jasno poudaril, da nikakor ne more obstajati obveznost predložitve zdravstvenega izvida, temveč zgolj same informacije, ki iz takšnega izvida izhaja (v konkretnem primeru negativen izvid). Zaposleni torej praviloma niso dolžni avtomatično in v vsakem primeru delodajalca obvestiti o okužbi oziroma negativnem izvidu. Lahko pa takšno obveznost posamezni delodajalec izjemoma odredi po presoji pristojnih institucij in pooblaščene osebe za medicino dela (glede na posebno naravo in organizacijo dela). Pri tem pa opozarjamo, da delodajalec ni upravičen pridobivati dejanskih izvidov oziroma nima podlage za pregledovanje SMS sporočila (v primeru takšnega načina prevzema izvida) v telefonu zaposlenega ali celo, da bi mu moral zaposleni posredovati takšno sporočilo. Delodajalec namreč nikoli ni upravičen do prejema izvida kot takega, lahko pa je v konkretnem primeru upravičen do informacije o negativnem izvidu. V tem kontekstu je torej zahteva delodajalca po številki ZZZS kartice, ki seveda predstavlja še toliko večji poseg v zasebnost posameznika, zelo verjetno nesorazmerna, saj delodajalec ni upravičen do pregledovanja zdravstvene dokumentacije zaposlenega. Ob tem IP dodaja, da je pri presoji treba vselej upoštevati tudi morebitne obveznosti posameznega delodajalca, ki izhajajo iz veljavnih predpisov (npr. obveznosti testiranja za zaposlene v zdravstvu, v vzgoji in izobraževanju ipd.). S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026