Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste proizvodno podjetje z različnimi profili zaposlenih, od proizvodnih delavcev do zaposlenih, ki morajo zaradi narave svojega dela potovati v tujino. Sprašujete nas, ali lahko v podjetju pooblastite osebo, ki bo zbirala digitalna potrdila o cepljenju ali prebolevnosti ali številke teh digitalnih potrdil za zaposlene. Nadalje vas zanima, ali lahko spremljate / beležite testiranje zaposlenih, ki niso cepljeni / preboleli.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

V primeru, ki ga izpostavljate, gre za vprašanje obdelave posebnih vrst osebnih podatkov. Podatki o zdravstvenem stanju so namreč skladno s členom 4(15) Splošne uredbe o varstvu podatkov: osebni podatki, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju. Obdelava tovrstnih, posebnih vrst osebnih podatkov je praviloma prepovedana (člen 9 Splošne uredbe o varstvu podatkov), izjemoma pa je dopustna npr. na podlagi izrecne privolitve posameznika ali če je obdelava potrebna

• iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki;
• iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti;
• za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ipd.

Vse možne izjeme od prepovedi obdelave posebnih vrst osebnih podatkov navaja člen 9(2)(a)-(j) Splošne uredbe.

V delovnih razmerjih lahko sicer pod določenimi pogoji kot pravno podlago za posredovanje informacije o negativnem testu zaposlenega delodajalcu štejemo določbo 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s sprem. in dop., v nadaljevanju ZDR-1), ki v prvem odstavku določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Poudariti je treba, da privolitev za zbiranje osebnih podatkov v takšnih okoliščinah, ko gre za prizadevanja za zajezitev nalezljive bolezni, ne bo ustrezna pravna podlaga.

Pri ugotavljanju pravne podlage za obdelavo zdravstvenih osebnih podatkov, morate v okoliščinah konkretnega primera najprej razčistiti, ali je v danem trenutku pogoj PCT oziroma samo pogoj testiranja z zakonom oziroma podzakonskim predpisom obvezen ali ne. Glede na hitro spreminjajoče pogoje, med drugim vezano tudi na določen sektor, v katerem deluje podjetje oziroma so zaposleni delavci, je nemogoče ugotoviti, ali je v vašem primeru določeno obvezno testiranje oziroma pogoj PCT ali ne.

PCT je v vašem podjetju predpisan kot obvezen pogoj

Če je testiranje oziroma pogoj PCT v vašem primeru obvezen, je delodajalec na podlagi ZDR-1 ter v povezavi s podzakonskim predpisom, ki določa obveznost izpolnjevanja takšnega pogoja, upravičen do informacije o testiranju oziroma izpolnjevanju pogoja PCT.

Vendar pa je IP v prej izdanih mnenjih že večkrat poudaril, da v kontekstu delovnih razmerij, nikakor ne more obstajati obveznost predložitve zdravstvenega izvida, temveč zgolj same informacije iz izvida, zato delodajalec tudi ne sme zbirati in hraniti zdravstvenih izvidov in potrdil o cepljenju/ prebolevnosti/ testiranju. Delavec lahko sicer prostovoljno pokaže izvid ali potrdilo, vendar delodajalec tega od njega nikakor ne sme zahtevati in izvidov / potrdil hraniti.

Upoštevaje načelo najmanjšega obsega podatkov se je delodajalec namreč upravičen seznaniti zgolj z zgolj informacijo o tem, da zaposleni izpolnjuje katerikoli pogoj PCT, npr. tako, da zaposleni poda izjavo, ne da bi izkazoval okoliščine z dokazili. Izjemoma, če bi delodajalec v specifičnih konkretnih okoliščinah utemeljil, da mora biti prepričan o dejstvu, da zaposleni izpolnjuje pogoje ukrepov, ki jih je določil delodajalec (ker npr. z drugimi ukrepi v organizaciji, kot je nošenje mask, zagotavljanje razdalje ipd. ni mogoče zagotoviti zadostne varnosti za zdravje zaposlenih), bi bilo eventualno lahko dopustno, da delodajalec zahteva tudi dokazilo na vpogled. Podatkov pridobljenih z vpogledom v dokazilo pa delodajalec ni upravičen beležiti v svoje evidence (npr. čas testa, datum jemanja brisa, datum prejetega cepiva, vrsta cepiva, številka zdravstvenega zavarovanja zaposlenega itd.). Po mnenju IP  tudi ne bi bilo dopustno voditi evidence o tem, kateri pogoj PCT posamezni delavec izpolnjuje, temveč eventualno le, ali delavec izpolnjuje predvidene pogoje PCT (torej katerikoli pogoj).

Drugače bi lahko veljalo, če bi poseben predpis (npr. odredba vlade), posebej urejal zbiranje dokazil v zvezi s prebolevnostjo, cepljenostjo in/ali testiranjem – kot to na primer velja na področju zdravstva in izobraževanja (glej npr. mnenje IP št. 07121-1/2021/1039, z dne 03.06.2021).

PCT v vašem podjetju ni predpisan kot obvezen pogoj

V kolikor vlada za vaš sektor oziroma konkretno za vaše podjetje ni predpisala obveznega pogoja PCT, delodajalec pa sam želi sprejeti določene ukrepe za zajezitev širjenja virusa, vam uvodoma pojasnjujemo, da IP ni pristojen presojati primernosti, nujnost in sorazmernost samega ukrepa. To namreč je predmet ocene tveganj, ki jo delodajalec izvede v skladu z Zakonom o varnosti in zdravju pri delu (Uradni list RS, št. 43/11; v nadaljevanju ZVZD-1) ob sodelovanju pristojnih institucij (pooblaščena oseba medicine dela in NIJZ). Po 5. členu ZVZD-1 mora delodajalec zagotoviti varnost in zdravje delavcev pri delu. V ta namen mora izvajati ukrepe, potrebne za zagotovitev varnosti in zdravja delavcev ter drugih oseb, ki so navzoče v delovnem procesu, vključno s preprečevanjem, odpravljanjem in obvladovanjem nevarnosti pri delu, obveščanjem in usposabljanjem delavcev, z ustrezno organiziranostjo in potrebnimi materialnimi sredstvi. Delodajalec mora upoštevati spreminjajoče se okoliščine ter izvajati take preventivne ukrepe in izbirati take delovne in proizvajalne metode, ki bodo zagotavljale izboljševanje stanja in višjo raven varnosti in zdravja pri delu, ter bodo vključene v vse aktivnosti delodajalca in na vseh organizacijskih ravneh. ZVZD-1 kot obveznost delodajalca določa izvedbo ocene tveganj, v okviru katere mora delodajalec sprejeti tudi odločitev o uvedbi ukrepov za zmanjšanje nesprejemljivega tveganja (17. člen ZVZD-1). Na podlagi ocene tveganja se izdela izjavo o varnosti, pri kateri lahko sodeluje tudi izvajalec medicine dela (1. al. 2. odst. 33. čl. ZVZD-1). 12. člen ZVZD-1, ki ureja dolžnosti delavcev, določa, da mora delavec spoštovati in izvajati ukrepe za zagotavljanje varnosti in zdravja pri delu, 10. člen pa določa, da so vse dolžnosti delodajalca po tem zakonu in predpisih, izdanih na njegovi podlagi, hkrati pravice delavca v zvezi z zagotavljanjem njegove varnosti in zdravja pri delu.

Določanje ukrepov v skladu z ZVZD-1 torej ni pristojnost IP, vendar pa je IP pristojen, kolikor pri izvajanju teh ukrepov pride do obdelave osebnih podatkov.

Po mnenju IP iz zgoraj navedenega sledi, da je izvajanje ukrepov za varnost in zdravje pri delu, pravica in dolžnost delavca, kar pa pomeni, da je delodajalec na podlagi 48. člena ZDR-1 v potrebnem obsegu upravičen tudi do obdelave osebnih podatkov v zvezi z izvajanjem teh ukrepov. Ob tem pa mora delodajalec, kot upravljavec osebnih podatkov zagotavljati tudi spoštovanje vseh načel varstva osebnih podatkov – med drugim tudi načela omejitve namena (osebni podatki so zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni) in načela najmanjšega obsega podatkov (osebni podatki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo). Če torej delodajalec izvaja ukrepe, ki so pripravljeni v skladu z ZVZD-1 in usklajeni s pristojnimi strokovnimi službami (NIJZ, izvajalec medicine dela), potem sme v potrebnem obsegu obdelovati tudi osebne podatke zaposlenih.

Pri navedenem veljajo enaka načela kot pri zgoraj opisani situaciji z obvezno odrejenim pogojem PCT (torej zgolj informacija o izpolnjevanju pogoja, ne pa tudi zbiranje izvidov ali potrdil, razen v kolikor zakonodaja ne določala drugače).

Vir: Informacijski pooblaščenec