Службите по трудова медицина са задължителна част от дейността на всеки работодател в България. Ролята и функциите на тези служби неизменно предполагат обработка на лични данни, която следва да се осъществява в съответствие с приложимото право.
Българското законодателство (Закона за здравословни и безопасни условия на труда („ЗБУТ“)) възлага на службите по трудова медицина да осигуряват здравословни и безопасни условия на труд на работещите.
Сред дейностите на службите по трудова медицина са оценка на професионалните рискове, анализ и наблюдението на здравословното състояние на работещите. Тяхното изпълнение налага обработката на лични данни на служители, включително и чувствителни лични данни, а именно такива за здравния им статус. Тази обработка следва да се извършва в съответствие с разпоредбите на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни („Регламента“, „ОРЗД”) и Закона за защита на личните данни(„ЗЗЛД“).
По-долу ще бъдат накратко описани основните задължения, в областта на защитата на личните данни, които всяка служба по трудова медицина следва да спазва при осъществяване на дейността си.
I. Подготовка на политика за защита на личните данни на службата по трудова медицина
На първо място, доколкото основната дейност на службите по трудова медицина изисква работа с лични данни на служители, те следва да гарантират защитата на тези данни в процеса на работа в съответствие с посочената по-горе приложима нормативна база – ОРЗД и ЗЗЛД.
Това включва подготовката на политика за защита на личните данни, както и съответните съпътстващи я документи – регистър на нарушенията, формуляри, с които субектите на данни да могат да упражнят правата си и други.
Част от политиката за защита на личните данни е и определянето на подходящи технически и организационни мерки – криптиране, ограничен достъп, физическа сигурност на архивите и други. В Регламента е посочено примерно изброяване, но и конкретни критерии, с които тези мерки следва да се съобразяват: „Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност.“.
В допълнение към горното, при наличие на системи за видеонаблюдение, те също следва да бъдат регламентирани със съответни правила.
II. Сключване на съответния вид споразумение по ОРЗД с клиентите
Прегледите и съответната обработка на лични данни, включително и чувствителни (за здравословното състояние), изискват регламентиране на отношенията между службите по трудова медицина и техните клиенти, така че правата на субектите на данни да бъдат защитени. За целта, на първо място, е необходимо да се определят правилно ролите на двете страни при размяната на лични данни – администратор и обработващ или двама администратори. Съгласно практиката на Комисията за защита на личните данни, службите по трудова медицина са най-често в ролята на обработващи, но все пак е препоръчително преценката да се осъществява за всеки отделен случай. Веднъж установили ролите на страните по обработката на лични данни, службите по трудова медицина следва да сключат съответното споразумение по Регламента със своите клиенти, за да регламентират защитата на данните. Това обичайно е споразумение между администратор и обработващ по чл. 28 ОРЗД.
III. Назначаване на длъжностно лице по защита на данните
Регламентът в чл. 37, пар. 1, т. „в“ предвижда: „администраторът и обработващият лични данни да определят длъжностно лице по защита на данните във всички случаи, когато основните дейности на администратора или обработващия лични данни се състоят в мащабно обработване на специалните категории данни.“
Доколкото дейността на службите по трудова медицина е свързана точно с такава мащабна обработка на специална категория лични данни (т.е. такива за здравословното състояние), те следва да определят длъжностно лице по защита на данните.
IV. Санкции
Всички посочени по-горе задължения са приложими към службите по трудова медицина. Регламентът и ЗЗЛД уреждат и последиците при нарушение на правилата за защита на личните данни. Предвидени са имуществени санкции или глоби в големи размери до 10 милиона евро или до 2% от световния оборот за предходната финансова година, която от двете суми е по-висока.
Настоящата статия има информативен характер и цели да внесе яснота по отношение на задълженията на службите по трудова медицина в областта на защитата на личните данни. Ако имате необходимост от съдействие с някоя от точките по-горе, можете да се обърнете към нас.
