Mnenje
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Glede vašega vprašanja vam IP v okviru nezavezujočega mnenja tako ne more podati dokončnega odgovora, prav tako pa ni pristojen presojati ustreznosti zdravstvenih ukrepov in njihove učinkovitosti ali vprašanj s področja delovnega prava. Zato vam v nadaljevanju podaja splošne usmeritve in pojasnila zgolj glede obdelave osebnih podatkov.
Za vsako obdelavo osebnih podatkov mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe (privolitev, pogodba, zakon itn.), za posebne vrste osebnih podatkov, med katere spadajo tudi podatki v zvezi z zdravjem, pa mora biti hkrati izpolnjen tudi eden izmed posebnih pogojev, ki so predpisani v členu 9(2) Splošne uredbe.
Za obdelavo osebnih podatkov v delovnih razmerjih je relevanten predvsem 48. člen Zakona o delovnih razmerjih (ZDR-1), ki v prvem odstavku določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Prvi odstavek 5. člena Zakona o varnosti in zdravju pri delu (ZVZD-1) pa določa, da mora delodajalec zagotoviti varnost in zdravje delavcev pri delu. V ta namen mora izvajati ukrepe, potrebne za zagotovitev varnosti in zdravja delavcev ter drugih oseb, ki so navzoče v delovnem procesu, vključno s preprečevanjem, odpravljanjem in obvladovanjem nevarnosti pri delu, obveščanjem in usposabljanjem delavcev, z ustrezno organiziranostjo in potrebnimi materialnimi sredstvi. Določanje ukrepov v skladu z ZVZD-1 ni pristojnost IP, vendar pa je IP pristojen, če pri izvajanju teh ukrepov pride do obdelave osebnih podatkov.
Obdelava zdravstvenih podatkov o pogoju prebolelosti, cepljenju ali testiranju (pogoj PCT) bi bila lahko potrebna zaradi izpolnjevanja pravne obveznosti, ki velja za delodajalca, kot so obveznosti v zvezi z zdravjem in varstvom pri delu, ali javnim interesom, kot je interes za nadzor nad boleznimi ali drugimi nevarnostmi za zdravje. Kot navedeno, Splošna uredba predvideva tudi odstopanja od prepovedi obdelave zdravstvenih podatkov, na primer kadar je to potrebno zaradi bistvenega javnega interesa na področju javnega zdravja (točka (i) člena 9(2)) na podlagi prava Unije ali nacionalnega prava ali za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki (točka (c) člena 9(2)).
Iz navedenega izhaja, da mora imeti delodajalec za obdelavo osebnih podatkov zaposlenih, torej tudi za zbiranje podatkov o izpolnjevanju pogoja PCT, ustrezno pravno podlago. Vsekakor pa je za presojo glede nujnosti izvajanja ukrepov za zajezitev širjenja okužb pristojna zdravstvena stroka. IP pojasnjuje, da delodajalec podatkov o pogoju PCT načeloma ne potrebuje, razen če bi to od njega zahtevali področni predpisi, kot so to na primer odredbe glede obveznih testiranj za zaposlene v določenih dejavnostih. Tudi v takšnem primeru pa lahko delodajalec zbira oziroma obdeluje zgolj tiste podatke, ki so ustrezni in relevantni za takšen namen. V vsakem primeru pa morajo biti zaposlenim že pri zbiranju podatkov na voljo ustrezne informacije o obdelavi njihovih osebnih podatkov, kot to določa člen 13 Splošne uredbe, na primer komu se podatki pošiljajo, za kakšen konkretni namen, na kateri podlagi, kakšen je rok hrambe, kdo je upravljavec, kakšne pravice ima posameznik v zvezi z njegovimi podatki ali je zagotovitev podatkov obvezna in podobno.
IP ob tem dodaja, da je že odgovarjal na podobna vprašanja, kot je vaše, npr. v mnenju št. 07121-1/2021/1083 z dne 14. 6. 2021, ki je dostopno na https://www.ip-rs.si/mnenja-gdpr/.
Glede vprašanja, kako ravnati v primeru nepredložitve dokazila o izpolnjevanju pogoja PCT, pa IP ni pristojen podati nezavezujočega mnenja. Predlagamo vam, da se s tem vprašanjem obrnete na Ministrstvo za delo, družino, socialne zadeve in enake možnosti.
Vir: Informacijski pooblaščenec, 29. 7. 2021
Članki izražajo stališča avtorjev, in ne nujno organizacij, v katerih so zaposleni, ali uredništva portala IUS-INFO.
Pogovor z LEXI
