Posredovanje podatkov o dozimetričnih meritvah zaposlenih

Datum

06.10.2025

Številka

07120-1/2025/439

Kategorije

Delovna razmerja, Posebne vrste OP, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja podatkov o dozimetrih zaposlenih.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

Obrazložitev

P uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP uvodoma pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

IP dodaja, da se posebne vrste osebnih podatkov (med nje spadajo tudi osebni podatki v zvezi z zdravjem) lahko obdelujejo le pod pogoji iz drugega odstavka 9. člena Splošne uredbe.

IP splošno pojasnjuje, da glede obdelave osebnih podatkov delavcev sicer veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmlS-A, 202/21 - odl. US, 15/22, 54/22 – ZUPŠ-1, 114/23, 136/23 – ZIUZDS, 70/25 – ZUTD-I; v nadaljevanju: ZDR-1) v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje ZDR-1 v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, zakaj je potrebna takšna obdelava osebnih podatkov delavca. Pri tem mora delodajalec v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Delodajalec mora torej paziti tudi na spoštovanje zasebnosti in dostojanstva delavca, odgovornost delodajalca pa narašča z intenzivnostjo posega v zasebnost. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati.

Zakon o varstvu pred ionizirajočimi sevanji in jedrski varnosti (Uradni list RS, št. 76/17, 26/19, 172/21, 18/23 – ZDU-1O; v nadaljevanju: ZVISJV-1) v 47. členu določa, da pooblaščeni izvajalci dozimetrije ugotavljajo osebno izpostavljenost delavcev na podlagi meritev in izračunov, s katerimi se ocenijo osebne doze delavcev. Pooblaščeni izvajalci dozimetrije zbirajo podatke o osebnih dozah izpostavljenih delavcev, vključenih v dozimetrijo, in vodijo o njih evidenco v sodelovanju z izvajalcem sevalne dejavnosti ali zunanjim izvajalcem. Pooblaščeni izvajalci dozimetrije morajo podatke o osebnih dozah izpostavljenih delavcev pošiljati izvajalcu sevalne dejavnosti in organu, pristojnemu za varstvo pred sevanji, vključno z rezultati meritev na delovnem mestu, če so bili ti uporabljeni za oceno osebnih doz. Izvajalec sevalne dejavnosti mora zagotoviti, da se podatki o osebnih dozah izpostavljenega delavca pošljejo pooblaščenemu izvajalcu medicine dela, ki izvaja zdravstveni nadzor tega delavca, in da je izpostavljeni delavec tudi sam seznanjen o svoji prejeti dozi. Če izvajalec sevalne dejavnosti to izvaja z zunanjimi delavci, mora podatke o osebnih dozah izpostavljenega delavca sporočiti zunanjemu izvajalcu. Podatke o osebnih dozah zunanjih delavcev sporoča pooblaščenemu izvajalcu medicine dela zunanji izvajalec.

V skladu s prvim odstavkom 48. člena ZVISJV-1 se podatki o osebnih dozah izpostavljenih delavcev lahko pošljejo pooblaščenemu izvajalcu medicine dela, pooblaščenemu izvedencu varstva pred sevanji in v centralno evidenco osebnih doz iz 49. člena tega zakona samo na podlagi pisne privolitve izpostavljenega delavca. V 49. členu ZVISJV-1 je med drugim določeno, da se vzpostavijo in vodijo zbirke podatkov o osebnih dozah, njihova vsebina ter to, da se morajo podatki o osebnih dozah izpostavljenih delavcev v predpisanih rokih poslati v centralno evidenco osebnih doz, ki jo vodi organ, pristojen za varstvo pred sevanji. Določena je vsebina centralne evidence in rok hrambe podatkov v njej. Posebej je določeno tudi, kdo ima dostop do podatkov o osebnih dozah iz centralne evidence. To so:

delavec – do svojih osebnih doz;

delodajalec – do osebnih doz svojih delavcev in osebnih doz delavcev zunanjega izvajalca sevalne dejavnosti, ki zanj opravlja dejavnosti, ki vključujejo izpostavljenosti sevanjem;

pooblaščeni izvajalec medicine dela – do osebnih doz izpostavljenih delavcev, za katere izvaja zdravstveni nadzor;

osebni zdravnik izpostavljenega delavca – do osebnih doz svojih pacientov.

Navedene osebe lahko dostopajo tudi do vseh podatkov, ki so bili uporabljeni za oceno doze, ali podatkov o okoliščinah izpostavljenosti. V 50. členu ZVISJV-1 je določeno, da organ, pristojen za varstvo pred sevanji, izda osebno sevalno izkaznico delavcem, ki so zaposleni pri delodajalcu v Republiki Sloveniji in v tujini kot zunanji delavci opravljajo dela, pri katerih so izpostavljeni ionizirajočim sevanjem. Osebna sevalna izkaznica je osebni neprenosljiv dokument, ki vsebuje podatke iz četrtega odstavka 49. člena ZVISJV-1 in vanjo se vpisujejo doze sevanj, ki jih je prejel delavec, ter podatki o opravljenih zdravstvenih pregledih in opravljenih usposabljanjih iz varstva pred sevanji. Delodajalec, pri katerem je delavec zaposlen, mora zagotoviti, da se v osebno sevalno izkaznico sproti vpisujejo vsi podatki iz prejšnjega člena.

Iz navedenega izhaja, da delodajalec ima pravico dostopati do navedenih podatkov v zvezi z dozimetrijo. Ob tem pa IP posebej opozarja tudi na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. V vsakem konkretnem primeru bi bilo treba torej izkazati (to je obveznost upravljavca), zakaj je za dosego želenega namena (v konkretnem primeru je to izvedba presoje kakovosti in ne npr. poročanje organu za varstvo pred sevanji) treba posredovati poimenske sezname dozimetričnih meritev zaposlenih oziroma zakaj istega namena ni mogoče doseči s posredovanjem anonimiziranih seznamov.

IP poudarja tudi, da samo dejstvo, da ima delodajalec pravico dostopa do določenih podatkov o zaposlenih, vsekakor ne pomeni, da lahko te podatke prosto oziroma neomejeno uporablja v kadrovske namene, ampak je treba strogo slediti namenom posamezne obdelave osebnih podatkov ter tako zagotoviti spoštovanje načela omejitve namena, ki določa, da so osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) ne velja za nezdružljivo s prvotnimi nameni. IP tako podaja mnenje, da bi verjetno posredovanje poimenskega seznama lahko bilo dopustno, kadar bi bil namen obdelave upravičen (npr. zagotavljanje varnosti in zdravja pri delu). Poleg tega bi morali biti podatki posredovani upravičeni osebi (npr. pooblaščeni osebi za varstvo pred sevanji, pooblaščenemu izvajalcu medicine dela, …). Na drugi strani IP meni, da kadar so podatki o dozimetričnih meritvah zaposlenih potrebni za npr. statistične ali analitične namene, posredovanje poimenskega seznama najverjetneje ne bi bilo sorazmerno in bi lahko predstavljalo prekomerno obdelavo osebnih podatkov. Ob tem IP ponovno poudarja, da konkretno presojo obstoja pravne podlage in sorazmernosti lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka