Dopustnost zbiranja osebnih podatkov zaposlenih ob bolniški odsotnosti

Datum

21.07.2026

Številka

07121-1/2026/709

Kategorije

Delovna razmerja, Pravne podlage, Varnost osebnih podatkov

pri Informacijskem pooblaščenec (IP) smo prejeli vaš dopis, v katerem nas zaprošate za mnenje glede dopustnosti zbiranja osebnih podatkov ob nastopu bolniške odsotnosti oziroma nege. Pojasnjujete, da je delodajalec zaposlene obvestil, da se bodo v dogovoru z občino ustanoviteljico izvajale kontrole morebitnih bolniških odsotnosti, zlasti med poletnimi počitnicami. Vsak zaposleni mora ob nastopu bolniške odsotnosti ali nege še isti dan prek SMS sporočila obvestiti ravnateljico na njen osebni telefon in takratno vodjo, v SMS sporočilo pa zapisati tudi ime in priimek zdravnika ter telefonsko številko, na kateri naj bi bil zdravnik dosegljiv za informacije. Na IP naslavljate sledeča vprašanja:

1.

Ali sme delodajalec kot splošno obveznost za vse zaposlene zahtevati, da ob vsaki bolniški odsotnosti ali negi v SMS sporočilu posredujejo ime in priimek zdravnika ter telefonsko številko, na kateri naj bi bil zdravnik dosegljiv za informacije?

2.

Ali je dopustno, da se takšni podatki pošiljajo prek SMS sporočila na osebni telefon ravnateljice in hkrati še takratni vodji, oziroma ali bi moral delodajalec za takšno obveščanje določiti uradno in varno službeno komunikacijsko pot?

3.

Ali mora delodajalec zaposlene predhodno pisno seznaniti s pravno podlago za zbiranje teh podatkov, namenom zbiranja, obsegom podatkov, osebami, ki bodo imele dostop do podatkov, načinom hrambe, rokom hrambe in načinom varovanja podatkov?

4.

Ali je zgolj dejstvo, da se bodo kontrole izvajale “v dogovoru z občino ustanoviteljico”, lahko pravna podlaga za zbiranje dodatnih osebnih podatkov zaposlenih, zlasti podatkov o zdravniku in njegovi telefonski številki?

5.

Ali lahko občina ustanoviteljica sodeluje pri nadzoru bolniških odsotnosti zaposlenih v javnem vrtcu na način, da bi dostopala do osebnih podatkov posameznih zaposlenih, podatkov o njihovi bolniški odsotnosti, podatkov o zdravniku, režimu gibanja, telefonskih številk zdravnikov ali poročil o opravljenih kontrolah?

6.

Ali je za namen organizacije dela in morebitne kontrole bolniške odsotnosti praviloma dovolj, da zaposleni delodajalca obvesti o nastopu odsotnosti, vrsti odsotnosti v splošnem smislu, na primer bolniška odsotnost ali nega, ter o predvidenem trajanju, če mu je to znano, medtem ko se ostali podatki pridobivajo po uradnih postopkih in le v konkretnih, utemeljenih primerih?

7.

Ali je dopustno, da delodajalec zaradi napovedane kontrole bolniških odsotnosti v času poletnih počitnic vnaprej in pavšalno od vseh zaposlenih zahteva kontaktne podatke zdravnika, čeprav lahko po izdaji eBOL podatke o bolniški odsotnosti pridobi po uradni poti?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1 in 10/26 – ZP-1L, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Dogovor med delodajalcem in ustanoviteljem sam po sebi ne predstavlja ene izmed pravnih podlag za obdelavo osebnih podatkov in ne more širiti pravnih podlag delodajalca glede zbiranja osebnih podatkov zaposlenih. Te so določene v členu 6(1) Splošne uredbe, za posebne vrste osebnih podatkov, med katere spadajo tudi podatki v zvezi z zdravjem, pa mora biti hkrati izpolnjen eden izmed posebnih pogojev, ki so določeni v členu 9(2) Splošne uredbe.

IP ni znano, da obstajala takšna pravna podlaga, ki bi vrtcu dopuščala posredovanje kadrovskih in zdravstvenih podatkov delavca ustanoviteljici za namen kontrole bolniške odsotnosti oziroma nege otroka.

Delodajalec nima na voljo izrecne zakonske podlage za sistematično, vnaprejšnje, masovno in dolgoročno zbiranje podatkov o izbranem osebnem zdravniku delavcev. Lahko pa bi delodajalec ta podatek za posameznega delavca pridobil in obdeloval, če bi prepričljivo izkazal konkretno potrebo po pridobitvi oziroma upravičen namen njegove obdelave (npr., če po pridobljenem podatku tudi izvede kontrolo bolniške odsotnosti).

Če delodajalec določi način posredovanja osebnih podatkov zaposlenih, mora zagotoviti, da se ti podatki obdelujejo po ustreznih, varnih in nadzorovanih komunikacijskih poteh ter da imajo dostop do njih le osebe, ki jih potrebujejo za opravljanje svojih nalog.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven nadzornih ali drugih postopkov presojati konkretnih obdelav osebnih podatkov. To pomeni, da v tem mnenju ne more odločati o tem, ali je v konkretnem primeru podana kršitev varstva osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava podatkov zakonita. Prav tako poudarja, da ni pristojen za komentiranje splošnih pravic in obveznosti iz delovnega razmerja ter same ustreznosti ureditve obveznega sporočanja delavca v določenem roku in obdobju glede odsotnosti z dela zaradi bolniške odsotnosti ali nege.

Za vsako obdelavo osebnih podatkov mora imeti upravljavec ustrezno in zakonito pravno podlago. Te so določene v členu 6(1) Splošne uredbe, za posebne vrste osebnih podatkov, med katere spadajo tudi podatki v zvezi z zdravjem, pa mora biti hkrati izpolnjen eden izmed posebnih pogojev, ki so določeni v členu 9(2) Splošne uredbe. Dogovor med delodajalcem in ustanoviteljem sam po sebi ne predstavlja ene izmed pravnih podlag za obdelavo osebnih podatkov in ne more širiti pravnih podlag delodajalca glede zbiranja osebnih podatkov zaposlenih.

Splošno pravno podlago za obdelavo osebnih podatkov delavcev predstavlja Zakon o delovnih razmerjih (Uradni list RS, št. 21/13 s spremembami in dopolnitvami; v nadaljevanju ZDR-1), ki v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Iz ustaljene prakse IP izhaja, da ima delodajalec pravno podlago za pridobivanje in drugačno obdelavo osebnih podatkov delavcev v zvezi z njihovo bolniško odsotnostjo za namen obračuna nadomestila plače, organizacije dela, kontrole bolniškega staleža in uresničevanja drugih pravic in obveznosti iz delovnega razmerja.

Ob tem IP pojasnjuje, da delodajalec nima na voljo izrecne zakonske podlage za sistematično, vnaprejšnje, masovno in dolgoročno zbiranje podatkov o izbranem osebnem zdravniku delavcev. Lahko pa bi delodajalec ta podatek za posameznega delavca pridobil in obdeloval, če bi prepričljivo izkazal konkretno potrebo po pridobitvi oziroma upravičen namen njegove obdelave; torej, če izkaže, da podatek dejansko potrebuje v posamičnem primeru za uveljavljanje pravic in obveznosti iz delovnega razmerja za določenega delavca (npr., če po pridobljenem podatku tudi izvede kontrolo bolniške odsotnosti). Delodajalec mora ob pridobitvi osebnih podatkov delavcu zagotoviti informacije o obdelavi osebnih podatkov v skladu s 13. členom Splošne uredbe, med drugim o pravni podlagi obdelave, namenih obdelave, uporabnikih oziroma kategorijah uporabnikov osebnih podatkov, obdobju hrambe, pravicah posameznika in drugih informacijah, ki jih določa navedeni člen.

Občina kot ustanoviteljica vrtca nima splošnega zakonskega pooblastila za dostop do kadrovskih oziroma zdravstvenih podatkov zaposlenih zgolj zaradi izvajanja ustanoviteljskih nalog. Posredovanje takšnih podatkov občini bi bilo dopustno le, če bi za to obstajala ustrezna pravna podlaga iz 6. in 9. člena Splošne uredbe. IP sicer ni znano, da obstajala takšna pravna podlaga, ki bi vrtcu dopuščala posredovanje kadrovskih in zdravstvenih podatkov delavca ustanoviteljici za namen kontrole bolniške odsotnosti oziroma nege otroka.

Splošna uredba v členu 5(1)(f) in členu 32 od upravljavca zahteva, da zagotovi ustrezno varnost osebnih podatkov ter sprejme ustrezne tehnične in organizacijske ukrepe za njihovo varovanje. Če delodajalec določi način posredovanja osebnih podatkov zaposlenih, mora zagotoviti, da se ti podatki obdelujejo po ustreznih, varnih in nadzorovanih komunikacijskih poteh ter da imajo dostop do njih le osebe, ki jih potrebujejo za opravljanje svojih nalog. Posredovanje osebnih podatkov na osebne mobilne telefone posameznih zaposlenih lahko z vidika zagotavljanja ustrezne ravni varstva in nadzora nad obdelavo odpira vprašanja skladnosti z zahtevami Splošne uredbe, zato bi moral delodajalec presoditi ustreznost takšnega načina komunikacije in sprejeti primerne organizacijske ukrepe.

Lepo vas pozdravljamo.

Pripravila:

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka