S sprejemom Odloka o načinu izpolnjevanja pogoja prebolevnosti, cepljenja in testiranja za zajezitev širjenja okužb z virusom SARS-CoV-2[1], ki je sprva začel veljati 15. septembra 2021, se je način poslovanja velikega dela podjetij v Sloveniji spremenil. Če je bilo izpolnjevanje pogoja prebolevnosti, cepljenja in testiranja (»pogoj PCT«) do začetka septembra omejeno zgolj na določene dejavnosti, je pa po 15. septembru zelo malo izjem, kjer prebivalci ne bi rabili izkazati izpolnjevanje tega pogoja. Namen prispevka je, da odgovorimo na zelo pogosta vprašanja: Kako preverim izpolnjevanje pogoja PCT? Ali kot delodajalec/podjetje sploh imam pravico vpogledovati v osebne podatke zaposlenih/strank? Kdo mi daje to pravico? Ali ni vse skupaj protiustavno/protizakonito? Kako naj se rešim inšpekcije, če me pridejo obiskati?
Izpolnjevanje pogoja PCT
Šteje se, da oseba izpolnjuje pogoj PCT, če razpolaga z enim izmed naštetih dokazil[2]:
– dokazilo o negativnem rezultatu testa PCR, ki ni starejši od 72 ur od odvzema brisa, ali testa HAG, ki ni starejši od 48 ur od odvzema brisa;
– digitalno COVID potrdilo EU v digitalni ali papirnati obliki, opremljeno s kodo QR;
– digitalni COVID potrdilo tretje države v digitalni ali papirnati obliki, opremljenim s kodo QR, dokazilo o cepljenju zoper COVID-19, s katerim izkazujejo, da je prejela enega izmed cepiv, ki so na voljo,
– dokazilo o pozitivnem rezultatu testa PCR, ki je starejši od deset dni, razen če zdravnik presodi drugače, vendar ni starejši od 180 dni in
– dokazilo o prebolelosti in dokazilom o cepljenju, s katerim dokazujejo, da so bile v obdobju, ki ni daljše od 180 dni od pozitivnega rezultata testa PCR oziroma od začetka simptomov, cepljene z enim odmerkom cepiva.
Delovna razmerja
Glede posebnih vrst osebnih podatkov, med katere sodijo med drugim osebni podatki v zvezi z zdravjem (in s tem izpolnjevanjem pogoja PCT) GDPR[3] določa, da je tovrstna obdelava prepovedana, razen v določenih primerih, ki so taksativno našteti. Med tovrstne izjeme sodijo, denimo:
– obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali drugega posameznika, kadar posameznik, na katerega se nanašajo osebni podatki, fizično ali pravno ni sposoben dati privolitve;
– obdelava je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi;
– obdelava je potrebna iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti.
Zakon o delovnih razmerjih[4] kot pravno podlago za obdelavo osebnih podatkov delavcev v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, i. če je to določeno z ZDR-1 ali drugim zakonom ali ii. če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.
Glede na to, da Odlok izrecno predpisuje, da so delodajalci dolžni zagotoviti, da delavci oz. druge osebe, ki pri njih opravljajo delo na drugi pravni podlagi, izpolnjujejo pogoj PCT, sledi, da so delodajalci upravičeni do obdelovanja osebnih podatkov delavcev v zvezi z izpolnjevanjem pogoja PCT. Izpolnjevanje pogoja PCT z vidika delavca prestavlja osebni podatek, ki ga je delodajalec dolžan obdelovati zaradi uresničevanja (predvsem) obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, saj drugače ne more zagotoviti delovnega procesa. Taka obdelava je zagotovo potrebna iz razlogov javnega interesa na področju javnega zdravja.
Delodajalci za zaposlene in druge osebe, ki opravljajo delo pri njih na katerikoli drugi podlagi (študenti, pogodbeni delavci itn.) so, torej, upravičeni od zaposlenih zahtevati sledeče:
– informacijo o tem, ali izpolnjujejo enega izmed pogojev PCT in zahtevati vpogled v dokazilo o tem (še posebej glede izpolnjevanja P in C dela pogoja). Ne smejo pa iz tega delati evidenc ali zahtevati kopije dokazil, ki bi jih potem hranili. Izjema je zgolj priprava splošnega seznama zaposlenih, iz katerega je razvidno, ali konkretni delavci izpolnjujejo pogoj PCT (s splošno navedbo, da konkretni delavec izpolnjuje »pogoj PCT«) in do kdaj. Lahko se doda tudi opomba, da so pogledali v dokazilo o tem.[5] V tem primeru morajo delodajalci paziti na to, da je takšna evidenca zaklenjena oz. hranjena na mestu, do katerega nimajo dostopa nepooblaščene osebe (denimo v personalnih mapah zaposlenih, v kadrovski službi itn.);
– v primeru delavcev, ki tega pogoja ne izpolnjujejo (s poudarkom na pogoj T), in pod pogojem, da delodajalec organizira samotestiranje za takšne delavce, so delavci dolžni voditi evidenco samotestiranja, ki vsebuje: i. datum samotestiranja, ii. rezultat samotestiranja in iii. podpis delavca. Samotestiranje se opravlja na teden dni in se mora opraviti v delovnem okolju. V tem primeru predlagam, da se evidenčni list hrani pri delavcu, ki ga mora predložiti na vpogled kot dokazilo o izpolnjevanju pogoja PCT (tedensko) oz. na zahtevo delodajalca/inšpektorja. Sam Odlok sicer ne prepoveduje hrambe evidenčnih listov s strani delodajalcev, vendar menim, da je zaradi določb prava varstva osebnih podatkov ustrezneje, da jih hranijo delavci;
– pri delavcih in drugih osebah, ki razpolagajo z EU COVID potrdilom, ki vsebuje QR kodo, se vpogled v dokazilo o izpolnjevanju pogoja PCT izvede z uporabo aplikacije, ki jo je pripravil NIJZ
– če se odločijo delavcem predložiti v podpis izjavo o izpolnjevanju pogoja PCT, morajo pri tem paziti, da se izjava tudi nanaša na izpolnjevanje PCT pogoja na splošno in do kdaj (ter tudi opombo, da so vpogledali v dokazilo o tem), ne pa tudi konkretnih podatkov o tem pogoju (npr. s katerim cepivom se je oseba cepila, kdaj, kje itn.). V vsakem primeru pa morajo še vpogledati v dokazilo o izpolnjevanju tega pogoja, skladno z 2. členom Odloka v povezavi s 7. členom Odloka.
Uporabniki storitev
Podobno kot zgoraj so ponudniki blaga in storitev (denimo, obrtniki, trgovci, gostinci itn.) skladno z Odlokom dolžni preverjati izpolnjevanje pogoja PCT pri uporabnikih storitev ter drugih, ki se udeležujejo njihovih dejavnosti oz. so prisotni pri izvajanju dejavnosti[6] in sicer z dokazili iz 2. člena Odloka[7]. Glede na trenutno besedilo Odloka menim, da je ponudnik upravičen tudi preveriti dokazilo o izpolnjevanju pogoja PCT z vpogledom, saj drugače ne more preveriti izpolnjevanje pogoja PCT.
Pri tistih uporabnikih, ki razpolagajo z EU COVID potrdilom, ki vsebuje QR kodo, se vpogled v dokazilo o izpolnjevanju pogoja PCT izvede z uporabo aplikacije, ki jo je pripravil NIJZ. Če se kot dokazilo o izpolnjevanju pogoja PCT predloži drugo potrdilo oziroma dokazilo v skladu z Odlokom, oseba, ki je za to pristojna pri ponudniku, preveri izpolnjevanje pogoja PCT z vpogledom v to potrdilo oziroma dokazilo. Tako preverjanje se opravi, kadar je iz dejanja oziroma ravnanja uporabnika mogoče zanesljivo sklepati, da je privolil v vpogled v svoje osebne podatke.
Skladno z Odlokom se uporabnikom, ki ne izpolnjujejo pogoja PCT (oz. ki ne predložijo dokazila o tem), ne dovoli uporabe storitve oziroma udeležba ali prisotnost pri izvajanju dejavnosti ali v okoljih v Republiki Sloveniji.[8]
Vendar pri tem izpostavljam, da mnenja Informacijskega pooblaščenca, objavljena pred sprejemom Odloka, izražajo dvom o tem, da določbe podzakonskih predpisov (torej tudi odlokov) predstavljajo ustrezno pravno podlago za vpogled v dokazila o izpolnjevanju pogoja PCT uporabnikov storitev s strani ponudnikov. Tudi sama imam podobne pomisleke, saj je skladno z Ustavo RS[9] obdelavo osebnih podatkov in namene obdelave mogoče določiti samo z zakonom (drugi odstavek 38. člena Ustave RS). Takšnega zakona, ki bi urejal pravno podlago za obdelavo podatkov o izpolnjevanju PCT pogoja uporabnikov storitev, po mojem vedenju, v naši zakonodaji ni. Dejstvo pa je (kar tudi sam Informacijski pooblaščenec izpostavlja), da so podzakonski akti veljavni, dokler jih Ustavno sodišče RS ne razveljavi znotraj predpisanega postopka. Kdaj bo Ustavno sodišče RS presojalo glede same zakonitosti Odloka oz. njegove skladnosti z Ustavo RS, v tem hipu še ni znano.[10] Do takrat pa so inšpekcijski organi vezani na določila Odloka.
Na terenu
V praksi so se nakazale rešitve s podpisovanjem izjave uporabnikov, da izpolnjujejo pogoj PCT, pred opravljanjem storitve. Nikakor ne svetujem (samo) podpisovanja izjav s strani uporabnikov, da izpolnjujejo pogoj PCT, saj za to ne vidim pravne podlage v trenutno veljavni zakonodaji. Odlok ne predvideva, da takšna izjava predstavlja dokazilo o izpolnjevanju pogoja PCT. Zato tudi ni nujno (oz. je celo mal verjetno), da bo pristojni inšpektor tak način preverjanja pogoja PCT upošteval kot skladnega z Odlokom.
Menim, da je prvi in osnovi korak ob obisku stranke, da se jo opozori, da je za opravljanje storitve nujno izpolnjevanje pogoja PCT, kar se dokazuje z dokazili iz 2. člena Odloka (denimo, EU COVID potrdilo). Če oseba predloži dokazilo, se opravi vpogled vanj (primarno z aplikacijo NIJZ, podrejeno z vpogledom, če dokazilo ne vsebuje QR kode). Če oseba ne predloži dokazila, se jo opozori na to, da je ponudnik v tem primeru skladno z Odlokom dolžan zavrniti opravljanje storitve, saj je za to tudi prekrškovno odgovoren, enako kot stranka, ki bi uporabljala storitve v nasprotju z določili Odloka.
[1] Uradni list RS, št. 147/21, 149/21, 152/21 in 155/21; »Odlok«.
[2] 2. člen Odloka.
[3] Splošna uredba o varstvu osebnih podatkov, OJ L 119, 4.5.2016, p. 1–88; »GDPR«.
[4] Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE in 119/21 – ZČmIS-A), »ZDR-1«.
[5] Smernice Informacijskega pooblaščenca o preverjanju pogoja PCT (https://www.ip-rs.si/novice/smernice-o-preverjanju-pct-pogojev 17. 9. 2021). Mnenja Informacijskega pooblaščenca št. 07121-1/2021/1325 26. julij 2021, 07121-1/2021/1363 3. avgust 2021, 07121-1/2021/1083 14. junij 2021, 07120-1/2021/385 27. julij 2021, 07121-1/2021/1589 26. avgust 2021, 07120-1/2021/425 25. avgust 2021.
[6] Drugi odstavek 5. člena Odloka.
[7] Prvi odstavek 7. člena v povezavi z 2. členom Odloka.
[8] Četrti odstavek 7. člena Odloka.
[9] Ustava Republike Slovenije (Ur. l. RS, št. 33/91-I, 42/97 – UZS68, 66/00 – UZ80, 24/03 – UZ3a, 47, 68, 69/04 – UZ14, 69/04 – UZ43, 69/04 – UZ50, 68/06 – UZ121,140,143, 47/13 – UZ148, 47/13 – UZ90,97,99, 75/16 – UZ70a in 92/21 – UZ62a); »Ustava RS«.
[10] Na današnji 26. seji bo obravnavalo zahtevo Policijskega sindikata Slovenije – PSS, Ljubljana za oceno ustavnosti in zakonitosti zgolj 10.a člena Odloka (U-I-210/21).
Vir: OZS
