25 maja 2018 roku zaczęło obowiązywać ogólne rozporządzenie o ochronie danych osobowych. RODO kojarzy się głównie z klauzulami zgody i politykami prywatności, ale ma też konkretne konsekwencje dla dokumentacji BHP — a te bywają pomijane.
Dane o zdrowiu to dane szczególnej kategorii
Orzeczenia lekarskie z badań profilaktycznych, dokumentacja powypadkowa, informacje o ograniczeniach zdrowotnych — wszystko to dane dotyczące zdrowia, objęte szczególną ochroną na mocy art. 9 RODO. Ich przetwarzanie jest dopuszczalne, bo wynika z obowiązku prawnego pracodawcy, ale wymaga zachowania szczególnej staranności.
Co to znaczy w praktyce
Najczęstszy problem to zakres informacji. Pracodawca ma prawo znać treść orzeczenia lekarskiego — zdolny, niezdolny, zdolny z ograniczeniami — ale nie ma prawa do wiedzy o rozpoznaniu, wynikach badań czy przebiegu leczenia. Lekarz medycyny pracy przekazuje orzeczenie, nie dokumentację medyczną.
Drugi obszar to dostęp. Do dokumentacji zawierającej dane o zdrowiu powinny mieć dostęp wyłącznie osoby upoważnione — a upoważnienie musi być udzielone na piśmie. W małych firmach zdarza się, że orzeczenia leżą w segregatorze dostępnym dla całego działu kadr, choć nie wszyscy powinni je oglądać.
Trzeci to przechowywanie. Dokumenty z danymi o zdrowiu wymagają zabezpieczenia — szafa zamykana na klucz, a przy wersji elektronicznej kontrola dostępu i szyfrowanie.
Dokumentacja powypadkowa
Protokół powypadkowy zawiera dane o stanie zdrowia poszkodowanego i okolicznościach zdarzenia. Udostępnia się go poszkodowanemu, a w razie wypadku śmiertelnego — członkom rodziny. Nie jest to natomiast dokument do wglądu dla współpracowników czy przełożonych spoza zespołu powypadkowego.
Warto też pamiętać, że rejestr wypadków, prowadzony obowiązkowo, powinien zawierać tylko dane niezbędne — bez rozbudowanych opisów stanu zdrowia.
Firma zewnętrzna obsługująca BHP
Jeżeli zadania służby BHP realizuje podmiot zewnętrzny, przetwarza on dane osobowe pracowników w imieniu pracodawcy. Wymaga to zawarcia umowy powierzenia przetwarzania danych. To formalność, o której łatwo zapomnieć przy wieloletniej współpracy rozpoczętej przed 2018 rokiem.
Czego RODO nie zmienia
Obowiązki wynikające z Kodeksu pracy i przepisów BHP pozostają bez zmian. RODO nie zwalnia z prowadzenia dokumentacji ani nie wymaga zgody pracownika na jej przetwarzanie — podstawą jest obowiązek prawny, nie zgoda. Zbieranie zgód „na wszelki wypadek” bywa błędem, bo sugeruje, że pracownik mógłby ją wycofać.
Podstawa prawna
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO), art. 6, 9 i 28
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000, z późn. zm.)
- Ustawa z dnia 26 czerwca 1974 r. — Kodeks pracy, art. 221, 221b i 229