Marcus Belke
CEO di 2B Advice GmbH, che guida l'innovazione nella privacy conformità e di gestione del rischio e di guidare lo sviluppo di Ailance, la nuova generazione di prodotti per la salute. conformità piattaforma.
La valutazione della protezione dei dati di Dati sulla salute nel rapporto di lavoro è uno degli aspetti più delicati della moderna prassi di compliance. Un'occasione attuale di approfondimento è rappresentata dalla pubblicazione del Commissario di Stato per il Protezione dei dati e la Libertà di Informazione della Renania Settentrionale-Vestfalia (LDI NRW) sulla cosiddetta prosecuzione della malattia. La questione centrale è se e in che misura un datore di lavoro abbia il diritto di raccogliere o richiedere informazioni sullo stato di salute dei dipendenti se si sospetta che diversi periodi di malattia siano collegati tra loro e quindi non scatti un nuovo pagamento continuato della retribuzione.
I dati sanitari e la loro necessità di protezione
Dati sulla salute sono soggetti all'art. 9 par. 1 GDPR categorie speciali di dati personali. In linea di principio, non possono essere trattati a meno che non vi sia un'autorizzazione speciale ai sensi dell'art. 9 (2) del GDPR. GDPR si applica. Nel rapporto di lavoro, tale Elaborazione tra l'altro dall'art. 9 par. 2 lett. b GDPR i.V. m. § § 26 (3) BDSG se è necessario per l'esercizio dei diritti o per l'adempimento degli obblighi legali previsti dal diritto del lavoro.
L'espressione "necessario" non è una mera formalità: richiede una valutazione della protezione dei dati in ogni singolo caso. Pertanto, i datori di lavoro non possono esigere la presentazione di documenti medici in modo generalizzato o far eseguire le proprie diagnosi. Devono essere in grado di giustificare la proporzionalità della misura.
La malattia continua come pietra di paragone della pratica conforme alla protezione dei dati
Il termine "continuazione della malattia" deriva dalla legge sulla continuazione della retribuzione (Sezione 3 (1) frase 2 EFZG). Secondo questa legge, l'obbligo di continuare a pagare il salario non si applica se un dipendente si ammala di nuovo, ma la nuova malattia è causalmente collegata alla precedente e il periodo di sei settimane è già stato esaurito. Spesso non è chiaro se tale connessione esista o meno. In una controversia in materia di lavoro, i datori di lavoro hanno l'onere di presentare e dimostrare l'esistenza del nesso causale.
È proprio qui che sorgono le tensioni sulla protezione dei dati: Per adempiere all'onere della prova, i datori di lavoro spesso richiedono una dichiarazione medica. Ad esempio, dal medico curante, dal medico aziendale o dalla compagnia di assicurazione sanitaria. Tuttavia, l'LDI NRW sottolinea che tali misure comportano una notevole violazione dei diritti dei lavoratori interessati e possono quindi essere autorizzate solo in casi eccezionali particolarmente giustificati.
Il ruolo del dovere di collaborazione del dipendente
La decisione della Corte Federale del Lavoro del 18 gennaio 2023 (caso n. 5 AZR 93/22) fornisce un significativo impulso alla pratica. Secondo questa decisione, spetta al lavoratore dimostrare in termini concreti e comprensibili che non vi è alcun collegamento tra i periodi di malattia. Questo graduale onere della prova può obbligare il lavoratore a liberare i medici curanti dal loro obbligo di riservatezza.
La rilevanza di questa decisione in termini di legge sulla protezione dei dati è notevole: mentre i datori di lavoro sono autorizzati a raccogliere dati solo in misura limitata, i dipendenti hanno l'obbligo procedurale di rivelarli. Si tratta di un rapporto teso che i responsabili della compliance e della protezione dei dati devono tenere sotto controllo.
Suggerimento di lettura: Giudizio della BAG sulla controversia sulla malattia continuata: perché la presentazione di una UA non è più sufficiente da sola
Misure di protezione dei dati nella pratica
Indipendentemente dal modo in cui i dati sono stati ottenuti, si applica quanto segue Dati sulla salute richiedono sempre maggiori misure di protezione tecniche e organizzative. Queste includono in particolare la separazione Immagazzinamento da Dati sulla salutel'esclusione di accessi non autorizzati attraverso concetti di ruolo e di diritti e l'uso di Cifratura. Queste misure non sono semplicemente delle buone pratiche raccomandate, ma sono richieste dalla legge, ad esempio dall'art. 32. GDPR.
Inoltre, si raccomanda una valutazione documentata dei rischi in una fase iniziale. In particolare, se il datore di lavoro ha un colpiti persona che voglia fare una comunicazione o che voglia affidarsi alle informazioni della cassa malattia. Queste misure devono essere Registro delle attività di trattamento e affiancate da valutazioni d'impatto sulla protezione dei dati (DPIA) se i rischi sono classificati come elevati.
Raccomandazioni per i responsabili della protezione dei dati e della conformità
Nella pratica operativa, è essenziale che i responsabili della protezione dei dati e della conformità configurino attivamente i limiti e le possibilità legali in caso di sospetta prosecuzione della malattia. A questo proposito è essenziale una stretta collaborazione con i dipartimenti delle risorse umane. In particolare, è necessario sviluppare descrizioni procedurali standardizzate che definiscano i criteri per la raccolta consentita, tengano conto di strumenti alternativi più indulgenti (come i pareri del medico aziendale) e regolino rigorosamente l'accesso a dati particolarmente sensibili.
Inoltre, i corsi di formazione interna dovrebbero garantire che i responsabili delle risorse umane non agiscano in modo avventato o fuori dalla routine. Dati sulla salute o richiederli. Una struttura Documentazione dei singoli casi, comprese le considerazioni sulla Necessità e proporzionalità è urgentemente raccomandato. Non da ultimo per quanto riguarda i possibili controlli da parte delle autorità di vigilanza.
Valutazione della protezione dei dati sulla prosecuzione della malattia
La valutazione della prosecuzione della malattia ai sensi della legge sulla protezione dei dati richiede un approccio differenziato. I datori di lavoro devono soppesare attentamente l'interesse al controllo dei costi ai sensi del diritto del lavoro e l'interesse dei dipendenti alla protezione ai sensi della legge sulla protezione dei dati. I responsabili della protezione dei dati e della conformità svolgono un ruolo centrale in questo senso: non solo assicurano che i processi siano organizzati in modo legalmente conforme, ma proteggono anche i diritti fondamentali dei dipendenti. Si tratta di un gioco di equilibri che richiede tatto e precisione giuridica in egual misura.
Suggerimento per il collegamento: Dati sulla salute dei dipendenti: cosa i datori di lavoro sono autorizzati a fare e a sapere
Marcus Belke è CEO di 2B Advice e avvocato ed esperto di informatica per la protezione dei dati e la digitalizzazione. Conformità. Scrive regolarmente di governance dell'IA, conformità al GDPR e gestione del rischio. Potete trovare maggiori informazioni su di lui sul sito Pagina del profilo dell'autore.
German 
English 
Italian 
French