Informacijski pooblaščenec (v nadaljevanju: IP) je prejel elektronsko sporočilo, v katerem navajate, da vam delodajalec na podlagi ocene zdravstvenega stanja omogoča delo od doma. Za mnenje ste zaprosili zdravnika medicine dela, prometa in športa. Zdravniško mnenje o opravljanju dela od doma, vključno z vašimi diagnozami, je bilo posredovano delodajalcu, ki vam ga je kasneje vrnil. Posredovanje diagnoz vašemu delodajalcu se vam zdi sporno, saj gre za zaupne osebne podatke. Prosite za mnenje in usmeritve.

Na podlagi informacij, ki ste jih posredovali na IP, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo neobvezno mnenje v zvezi z vašim vprašanjem.

Podatki o zdravstvenem stanju so skladno s členom 4(15) Splošne uredbe o varstvu podatkov: osebni podatki, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju. Splošna uredba o varstvu podatkov šteje podatke v zvezi z zdravjem za posebne vrste osebnih podatkov. Obdelava tovrstnih podatkov je praviloma prepovedana (člen 9 Splošne uredbe o varstvu podatkov), izjemoma pa je dopustna npr. na podlagi izrecne privolitve posameznika ali če je obdelava potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ipd. (gre za primere, ki so določeni v členu 9(2)(a)-(j) Splošne uredbe o varstvu podatkov).

Področna zakona, ki urejata področje varstva osebnih podatkov v delovnih razmerjih, sta predvsem Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06, v nadaljevanju ZEPDSV) in Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1).

ZEPDSV v 12. členu določa vrste evidenc, ki jih morajo voditi delodajalci (evidenca o zaposlenih delavcih, evidenca o stroških dela, evidenca o izrabi delovnega časa, evidenca o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu), v 13., 16., 18. in 20. členu pa njihovo vsebino. V evidenco o zaposlenih delavcih se v skladu s 13. členom ZEPDSV za vsakega delavca, ki je v delovnem razmerju, vpišejo naslednji podatki:

a) podatki o delavcu:

- osebno ime,

- datum rojstva, če oseba nima EMŠO,

- kraj rojstva,

- država rojstva, če je kraj rojstva v tujini,

- enotna matična številka občana,

- davčna številka,

- državljanstvo,

- naslov stalnega prebivališča (ulica, hišna številka, kraj, poštna številka, šifra občine, občina, šifra države, država),

- naslov začasnega prebivališča (ulica, hišna številka, kraj, poštna številka, šifra občine, občina, šifra države, država),

- izobrazba,

- ali je delavec invalid,

- kategorija invalidnosti,

- ali je delavec delno upokojen,

- ali delavec opravlja dopolnilno delo pri drugem delodajalcu,

- ime drugega delodajalca (in matična številka), pri katerem delavec opravlja dopolnilno delo,

- naslov drugega delodajalca, pri katerem delavec opravlja dopolnilno delo (ulica, hišna številka, poštna številka, kraj);

b) podatki o delovnem dovoljenju delavca (tujci);

c) podatki o sklenjeni pogodbi o zaposlitvi;

č) podatki o prenehanju pogodbe o zaposlitvi.

ZDR-1 v 48. členu določa:

(1) Osebni podatki delavcev se lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

(2) Osebne podatke delavcev lahko zbira, obdeluje, uporablja in posreduje tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti.

(3) Osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, se morajo takoj zbrisati in prenehati uporabljati.

(4) Določbe prejšnjih odstavkov se uporabljajo tudi za osebne podatke kandidatov.

Iz navedene določbe ZDR-1 izhaja, da delodajalci (tako v javnem kot tudi v zasebnem sektorju) ne smejo zbirati katerihkoli osebnih podatkov, ampak le tiste osebne podatke, ki jih potrebujejo za dosego v zakonu določenega namena, tj. uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Določba vključuje načelo najmanjšega obsega podatkov iz člena 5(1)(c) Splošne uredbe, ki ga je treba upoštevati pri vsaki obdelavi osebnih podatkov, in določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Delodajalec lahko obdeluje tiste delavčeve osebne podatke, ki jih določa ZEPDSV in v skladu z 48. členom ZDR-1 tiste osebne podatke, za katere izkaže, da jih potrebuje zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravice in obveznosti obeh, torej delavca in delodajalca.

Delodajalec lahko od kandidata za zaposlitev zbira le tiste osebne podatke, ki so potrebni za presojo o tem, ali ima kandidat ustrezna znanja in izkušnje oziroma ali izpolnjuje pogoje, določene v objavi prostega delovnega mesta. Pri tem mora upoštevati načelo najmanjšega obsega podatkov in nabor osebnih podatkov prilagoditi delovnemu mestu. Za ta namen delodajalec še ne potrebuje npr. EMŠO in davčne številke, številke transakcijskega računa, podatkov o otrocih. Ko pa delodajalec izbere kandidata in z njim sklene pogodbo o zaposlitvi, pridobi osebne podatke, ki jih mora obdelovati v evidencah v skladu z ZEPDSV, in vse ostale podatke, ki so potrebni za uresničevanje pravic in obveznosti iz delovnega razmerja (npr. konfekcijsko številko za delovni plašč, podatke o otrocih za izračun letnega dopusta). Delodajalec lahko od delavca zbira le tiste osebne podatke, ki jih določa zakon (ZEPDSV, ZDR-1 ali drug področni zakon) in tiste osebne podatke, za katere ima osebno privolitev delavca. Ob tem je treba poudariti, da je obdelava osebnih podatkov delavca na podlagi njegove osebne privolitve dopustna le, če lahko delavec privolitev brez posledic za delovno razmerje odkloni.

Peti odstavek 28. člena ZDR-1 določa, da zaradi ugotovitve kandidatove zdravstvene zmožnosti za opravljanje dela delodajalec na svoje stroške napoti kandidata na predhodni zdravstveni pregled v skladu s predpisi o varnosti in zdravju pri delu. Pravilnik o preventivnih zdravstvenih pregledih delavcev (Uradni list RS, št. 87/02, 29/03 – popr., 124/06 in 43/11 – ZVZD-1) v 15. členu določa, da pooblaščeni zdravnik medicine dela v desetih dneh po končanem preventivnem zdravstvenem pregledu posreduje delodajalcu oceno o delavčevem izpolnjevanju posebnih zdravstvenih zahtev za določeno delo v delovnem okolju. Pooblaščeni zdravnik o rezultatu pregleda takoj obvesti delavca, njegovega izbranega osebnega zdravnika in delodajalca, če je pri pregledu ugotovljena takšna okvara zdravja delavca, ki ogroža njegovo življenje oziroma njegovo delovno zmožnost. Med podatki, s katerimi se delodajalec lahko seznani, so omejitve, ki se vpisujejo v obrazec Zdravniško spričevalo z oceno izpolnjevanja posebnih zdravstvenih zahtev po opravljenem predhodnem preventivnem zdravstvenem pregledu ali obrazec Zdravniško spričevalo z oceno izpolnjevanja posebnih zdravstvenih zahtev po opravljenem usmerjenem obdobnem ali drugem usmerjenem preventivnem zdravstvenem pregledu. Delodajalec pa ni upravičen do podatkov o razlogih za morebitne omejitve, diagnoze, vrste bolezni oziroma do drugih zdravstvenih podatkov pregledanega delavca.

Smiselno enako bi veljalo tudi v primeru zahteve delodajalca, da upravičenost dela na domu izkažete z zdravniškim potrdilom. V tem primeru lahko po mnenju IP takšno potrdilo vsebuje ugotovitev, da vaše zdravstvenega stanje kaže na (ne)utemeljenost dela od doma, ne pa tudi konkretnih razlogov za omejitev, diagnoz, vrste bolezni oz. drugih zdravstvenih podatkov delavca.

Če na podlagi navedenega menite, da je prišlo do nezakonitega posredovanja vaših OP delodajalcu, lahko podate prijavo na IP (podana je lahko tudi anonimno). Pomagate si lahko z obrazcem »Prijava kršitve varstva osebnih podatkov« (Obrazec ZIN Prijava), ki je objavljen na spletni strani IP, na https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

Vir: Informacijski pooblaščenec