Rozliczenie za wykonanie usług z zakresu medycyny pracy nie może wskazywać, jakie badania przeprowadzono konkretnemu zatrudnionemu. Potwierdza to UODO.
Pracodawca może domagać się od podmiotu leczniczego zestawienia badań, jakie przeprowadzono skierowanym na nie pracownikom. Płaci za nie, więc ma prawo rozliczać wydatki. Niedopuszczalne jest jednak przekazywanie firmie imiennej listy pracowników wraz z adnotacją o badaniach, jakie przeszedł każdy z nich. Rozliczanie kosztów nie może bowiem prowadzić do udostępnienia informacji o stanie zdrowia zatrudnionych. Taką interpretację przepisów potwierdził Urząd Ochrony Danych Osobowych.

Za dużo

Sprawa, którą zajmował się UODO, dotyczyła jednej z komend wojewódzkich policji. Ta ostatnia poprosiła szpital, do którego kierowała funkcjonariuszy na badania medycyny pracy, o imienną listę przebadanych osób wraz z wykazem wykonanych badań. Nieoficjalnie uzasadniała to koniecznością ewidencjonowania kosztów (chęcią zapewnienia większej efektywności wydatkowania środków publicznych). Szpital odmówił ze względu na brak podstawy prawnej do pozyskiwania przez pracodawcę (policję) informacji o stanie zdrowia funkcjonariusza. Podkreślił jednocześnie, że należy ona do szczególnej kategorii danych, których przetwarzanie jest ograniczone (art. 9 RODO). Sprawa trafiła do UODO, a ten – w piśmie z 14 maja 2019 r. – przypomniał, że zgodnie z art. 221 k.p. katalog informacji, które mogą być pozyskiwane przez pracodawcę, jest zamknięty (nie zawiera informacji o stanie zdrowia) i nie może on przetwarzać danych wykraczających poza ten zakres. Z kolei ustawa z 6 kwietnia 1990 r. o policji (t.j Dz.U. z 2019 r. poz. 161 ze zm.) wskazuje m.in., że badania lekarskie kończą się orzeczeniem, w którym lekarz stwierdza istnienie lub brak przeciwwskazań do służby na określonym stanowisku. Pracodawca powinien zatem wiedzieć jedynie, czy pracownik/funkcjonariusz jest zdolny do konkretnej pracy/służby, czy też nie (nie ma prawa poznać informacji o stanie zdrowia podwładnego, w tym wyników szczegółowych zabiegów). UODO wskazał też, że zgodnie z motywem 35 RODO do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie te, które ujawniają informacje o przeszłym, obecnym lub przyszłym stanie fizycznego i psychicznego zdrowia danej osoby. Imienny wykaz pracowników wraz z adnotacją o przeprowadzonych badaniach – w ocenie UODO – naruszałby prawo do prywatności i ochrony danych pracownika (a mają one nadrzędne znaczenie wobec aspektu finansowego, czyli konieczności rozliczeń kosztów badań ponoszonych przez zatrudniającego). Zdaniem urzędu pracodawca nie jest uprawniony do pozyskania danych o badaniach medycyny pracy (w odniesieniu do konkretnego pracownika), bo nie może on kwestionować konieczności przeprowadzania danego badania bądź konsultacji z lekarzem specjalistą.
Omawiana interpretacja ma istotne znaczenie.
– Pracodawca płaci za badania, więc może domagać się informacji potrzebnych do rozliczeń. Powinien jednak pozyskiwać jedynie zestawienie zabiegów lub świadczeń wraz z cenami, jakie w określonym czasie – np. miesiącu – przeprowadzono w trakcie badania skierowanych przez niego pracowników. Ale już bez np. podawania dat lub godzin badań, bo to może ułatwić identyfikację osoby, która je przechodziła – tłumaczy dr Maciej Chakowski, partner w kancelarii C&C Chakowski & Ciszek.

Problem małych

W praktyce omawiane zasady mogą jednak wywoływać problemy. Chodzi przede wszystkim o przypadek np. małej firmy, która w danym miesiącu skieruje na badania tylko jednego pracownika. Wówczas z zestawienia otrzymanego od podmiotu leczniczego (na potrzeby rozliczeń) pracodawca dowie się, jakie badania przeszedł zatrudniony (nie trzeba ich przyporządkowywać, bo tylko jedna osoba była badana). Wydaje się, że w takim przypadku szpital nie mógłby jednak odmówić rozliczenia usług.
– Ochrona danych nie może tego blokować. Ale z drugiej strony w takim przypadku nie ma rozwiązania, które w 100 proc. gwarantowałoby ochronę informacji. Można oczywiście zakodować świadczenia, ale pracodawca mógłby łatwo je rozszyfrować po cenach – tłumaczy dr Chakowski.
Podkreśla, że możliwe jest np. pozyskanie zgody od samego pracownika na przetwarzanie danych (w przeprowadzanych badaniach).
– Ale zatrudniony to słabsza strona stosunku pracy, więc mogłyby pojawić się wątpliwości co do swobody wyrażenia woli – dodaje.
Z tego powodu takie rozwiązanie kwestionuje prof. Monika Gładoch, radca prawny z kancelarii M. Gładoch Specjaliści Prawa Pracy. – W tym przypadku mamy przecież do czynienia ze szczególną kategorią informacji, których pozyskiwanie jest ograniczone przez RODO – dodaje.
Jej zdaniem w omawianym przypadku należy raczej albo czekać z przekazaniem rozliczenia do momentu, gdy przebadana będzie większa grupa zatrudnionych, albo przekazywać (w zestawieniu) jedynie liczbę przeprowadzonych badań bez wskazywania ich rodzaju. Takie rozwiązania też mają jednak mankamenty (np. możliwy długi czas oczekiwania na rozliczenie lub próby rozkodowania rodzaju świadczenia po cenie). – To realny problem, który w praktyce nie dotyczy tylko przypadku, gdy w danym okresie czasu na badanie będzie skierowany tylko jeden pracownik. To przykład ewidentny, ale chodzi też o sytuację, gdy będzie to np. czterech pracowników, a z zestawienia świadczeń będzie wynikać, że konieczne było przeprowadzenie trzech badań na obecność ostrej choroby zakaźnej. Nie sądzę, że którykolwiek pracownik chciałby się znaleźć w takiej sytuacji – dodaje prof. Gładoch.
Pomocne byłoby orzecznictwo sądów.
– W szczególności chodziłoby o rozstrzygnięcie tego, czy i na ile efektywność wydawania publicznych środków uzasadnia pozyskiwanie informacji o badaniach pracowników sfery budżetowej – podsumowuje dr Chakowski.

opinia

Firmy nie mogą pozyskiwać takich informacji

Paweł Makowski wiceprezes JAMANO, firmy doradczej zapewniającej obsługę prawną i wsparcie biznesowe (w tym z zakresu ochrony danych osobowych) / DGP
W orzeczeniu wydawanym w wyniku skierowania pracownika na badania lekarz stwierdza istnienie bądź brak przeciwwskazań zdrowotnych do pracy na określonym stanowisku. Zgodnie z polskim prawem tylko tyle wolno pracodawcy wiedzieć na temat stanu zdrowia pracownika. W praktyce faktury za wykonanie usług z zakresu medycyny pracy zawierają również zestawienie wykonanych badań. Każde badanie ma swoją cenę, a pracodawca chce wiedzieć, za co płaci. Niedopuszczalne jest jednak przekazanie takich informacji w sposób umożliwiający zestawienie wykonanych badań z konkretnym pracownikiem – takie zestawienie danych może bowiem ujawniać informacje na temat stanu zdrowia pracownika, które stanowią szczególną kategorię danych osobowych (art. 9 RODO). Ich przetwarzanie wymaga szczególnych podstaw prawnych i gwarancji ochrony, więc firmy nie mogą pozyskiwać takich danych od lekarza medycyny pracy. Rozliczenia z zakresu medycyny pracy nie powinny zatem zawierać informacji, które umożliwiłyby identyfikację stanu zdrowia pracownika. W przypadku, gdy zestawienie badań dołączone do faktury dotyczyłoby tylko jednego pracownika, można wskazać np. liczbę dokonanych zabiegów i badań, ale nie ich rodzaj.