RODO a ubezpieczenie zdrowotne – jakie dane może zbierać pracodawca?

Prywatne ubezpieczenie zdrowotne to dziś jeden z najczęściej oferowanych benefitów pracowniczych. Dla pracowników oznacza dostęp do szybszej diagnostyki i konsultacji specjalistycznych, dla pracodawców – element wspierający budowanie atrakcyjnego miejsca pracy. Wdrożenie takiego świadczenia wiąże się jednak z koniecznością przetwarzania danych osobowych, w tym danych szczególnej kategorii. Warto więc spojrzeć na ten obszar również z perspektywy przepisów o ochronie danych osobowych.

Czy pracodawca może przetwarzać dane dotyczące zdrowia pracowników?

Co do zasady – nie.

Zgodnie z RODO dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych, których przetwarzanie jest zabronione, chyba że spełniona zostanie jedna z przesłanek legalizujących wskazanych w przepisach.

W kontekście prywatnego ubezpieczenia zdrowotnego najczęściej podstawą przetwarzania takich danych będzie zgoda pracownika.

Należy jednak pamiętać, że nie każda zgoda będzie wystarczająca. W relacji pracodawca–pracownik musi ona spełniać szczególne wymogi, aby mogła zostać uznana za ważną.

Czy zgoda pracownika zawsze jest dobrowolna?

Nie zawsze.

Ze względu na relację podporządkowania w stosunku pracy przyjmuje się, że zgoda pracownika może być obarczona ryzykiem braku pełnej dobrowolności. Dlatego jej stosowanie powinno być oceniane ostrożnie.

Aby zgoda mogła stanowić podstawę przetwarzania danych, powinna być:

• dobrowolna – pracownik musi mieć realną możliwość odmowy bez negatywnych konsekwencji,
• konkretna i świadoma – musi wiedzieć, jakie dane i w jakim celu są przetwarzane,
• jednoznaczna – wyrażona poprzez wyraźne działanie,
• odwoływalna – pracownik powinien mieć możliwość jej wycofania w każdym czasie.

W praktyce oznacza to, że udział w prywatnym ubezpieczeniu zdrowotnym nie może być obowiązkowy, a brak zgody nie powinien wpływać na sytuację pracownika w organizacji.

Jakie dane pracodawca może przekazywać do ubezpieczyciela?

Wyłącznie niezbędne.

Zasada minimalizacji danych, wynikająca z RODO, oznacza, że pracodawca może przetwarzać tylko takie dane, które są konieczne do realizacji konkretnego celu.

W przypadku prywatnego ubezpieczenia zdrowotnego będą to najczęściej:

• dane identyfikacyjne pracownika (np. imię, nazwisko),
• dane kontaktowe,
• inne informacje wymagane przez ubezpieczyciela do zawarcia i obsługi umowy.

Co istotne, pracodawca nie powinien samodzielnie zbierać szerszego zakresu danych medycznych, jeśli nie jest to niezbędne. W wielu przypadkach to ubezpieczyciel jako odrębny administrator danych odpowiada za pozyskanie dodatkowych informacji bezpośrednio od pracownika.

Jakie obowiązki informacyjne ma pracodawca?

Pracodawca, jako administrator danych, ma obowiązek zapewnić pracownikom pełną i przejrzystą informację o przetwarzaniu ich danych osobowych.

Obowiązek ten obejmuje w szczególności poinformowanie o:

• tożsamości administratora danych,
• celu i podstawie przetwarzania,
• zakresie przetwarzanych danych,
• odbiorcach danych (np. ubezpieczycielu),
• okresie przechowywania danych,
• prawach przysługujących pracownikowi (w tym prawie do wycofania zgody).

Informacje te powinny być przekazane w sposób jasny i zrozumiały, najlepiej jeszcze przed przystąpieniem pracownika do programu ubezpieczenia.

Dlaczego prawidłowe przetwarzanie danych ma znaczenie?

Wdrożenie prywatnego ubezpieczenia zdrowotnego to nie tylko decyzja organizacyjna, ale również proces wymagający zapewnienia zgodności z przepisami o ochronie danych osobowych.

Nieprawidłowe określenie podstawy przetwarzania, zbieranie nadmiarowych danych czy brak realizacji obowiązków informacyjnych mogą prowadzić do ryzyk prawnych i organizacyjnych.

Z drugiej strony, właściwie zaprojektowany proces przetwarzania danych:

• ogranicza ryzyko naruszeń,
• zwiększa transparentność działań pracodawcy,
• buduje zaufanie pracowników,
• wspiera bezpieczne wdrażanie benefitów zdrowotnych.

Prywatne ubezpieczenie zdrowotne może być wartościowym elementem oferty pracodawcy, jednak jego wdrożenie powinno uwzględniać nie tylko aspekty biznesowe, ale również wymogi wynikające z RODO.

Artykuł przygotowany przez:

Pallada Ubezpieczenia