Персональні дані в охороні праці: медогляди, нещасні випадки й обовʼязки роботодавця

Хто за що відповідає

Закон № 2297-VI розрізняє володільця персональних даних — того, хто визначає мету й склад обробки, і розпорядника — того, хто обробляє дані за його дорученням. Щодо даних своїх працівників роботодавець завжди є володільцем. Програма чи хмарний сервіс, у якому ведуться журнали й медогляди, — розпорядник.

Розпорядник

«Володілець персональних даних може доручити обробку персональних даних розпоряднику персональних даних відповідно до договору, укладеного в письмовій формі. Розпорядник персональних даних може обробляти персональні дані лише з метою і в обсязі, визначених у договорі.»

— ч. 4, 5 ст. 4 Закону України «Про захист персональних даних»

Дані про здоровʼя: заборона та виняток

Стаття 7 Закону забороняє обробку даних, що стосуються здоровʼя, — разом з іншими чутливими категоріями. Але для роботодавця є прямий виняток:

Виняток для трудових відносин

«Положення частини першої цієї статті не застосовується, якщо обробка персональних даних: […] 2) необхідна для здійснення прав та виконання обов'язків володільця у сфері трудових правовідносин відповідно до закону із забезпеченням відповідного захисту».

— п. 2 ч. 2 ст. 7 Закону України «Про захист персональних даних»

Ключові слова — «відповідно до закону» і «із забезпеченням відповідного захисту». Медогляди, розслідування нещасних випадків і облік профзахворювань роботодавець веде, бо цього вимагає законодавство про охорону праці. А захист означає обмежений доступ, мінімум даних і контроль за тим, хто їх бачить.

Чи треба повідомляти Уповноваженого

Стаття 9 Закону вимагає повідомляти Уповноваженого Верховної Ради України з прав людини про обробку, що становить особливий ризик для прав людини, протягом 30 робочих днів з її початку. Види такої обробки визначає сам Уповноважений, і дані про здоровʼя серед них є. Звідси поширена думка, що кожен роботодавець має подати повідомлення через медогляди.

Насправді

Уповноважений роз’яснює: якщо володілець обробляє чутливі дані своїх працівників, він не зобовʼязаний повідомляти про таку обробку. Повідомлення потрібне, коли ви обробляєте дані особливого ризику інших осіб — наприклад, відомості про здоровʼя працівників підрядників, допущених до робіт за нарядами-допусками.

Якщо повідомлення все ж подано, про кожну зміну повідомлених відомостей треба повідомити протягом 10 робочих днів (ч. 3 ст. 9 Закону).

Відповідальна особа

Стаття 24 Закону вимагає створити підрозділ або визначити відповідальну особу з організації захисту персональних даних в органах влади й місцевого самоврядування та у володільців і розпорядників, чия обробка підлягає повідомленню. Для більшості роботодавців, які обробляють лише дані своїх працівників, це не обовʼязок, але корисна практика: хтось має відповідати за доступи, запити працівників і реагування на інциденти.

Що зберігати й кому показувати

Висновок, а не діагноз

Для допуску до роботи потрібен висновок про придатність. Діагноз — лікарська таємниця (ст. 40 Основ законодавства України про охорону здоровʼя).

Нещасні випадки — за Порядком № 337

Матеріали розслідування містять дані про травми. Доступ — комісії з розслідування й відповідальним особам, а не всім, хто має доступ до системи.

Ролі в системі

Інспектор цеху бачить інструктажі своїх людей, але не медичні висновки всього підприємства. Перевіряйте ролі раз на квартал і закривайте доступ звільненим у день звільнення.

Строки

Зберігайте документи стільки, скільки вимагає законодавство для відповідного виду документів, і видаляйте після спливу строку.

Хмарні сервіси й договір з розпорядником

Якщо журнали й медогляди ведуться в хмарному сервісі, з ним має бути письмовий договір про обробку персональних даних. Перевірте в ньому:

мету й обсяг обробки — лише для ваших цілей з охорони праці;
перелік субобробників і країни, де обробляються дані;
строк повідомлення про порушення безпеки;
повернення й видалення даних після завершення договору.

Для прикладу — умови Bezpeco: Договір про обробку персональних даних, перелік субобробників і розподіл обовʼязків між сервісом і клієнтом.

Чек-лист роботодавця

Визначено підставу обробки: виконання обовʼязку за законом (п. 5 ч. 1 ст. 11), для даних про здоровʼя — п. 2 ч. 2 ст. 7.
Працівники повідомлені про обробку їхніх даних — зразок повідомлення.
Перевірено, чи обробляються дані особливого ризику не своїх працівників; якщо так — подано повідомлення Уповноваженому.
У системі — висновки про придатність, а не діагнози.
Ролі обмежують доступ до медичних даних; доступ звільнених закрито.
З постачальником сервісу укладено договір про обробку даних.
Визначено, хто відповідає за захист персональних даних на підприємстві.

Питання та відповіді

Чи треба повідомляти Уповноваженого про дані медоглядів своїх працівників?

Ні. За роз’ясненням Уповноваженого до Порядку повідомлення, коли володілець обробляє чутливі дані своїх працівників, він не зобов’язаний повідомляти про таку обробку. Повідомлення може знадобитися щодо даних про здоровʼя інших осіб, наприклад працівників підрядників.

Чи можна зберігати в системі діагнози працівників?

Для охорони праці роботодавцю потрібен висновок про придатність до роботи, а не діагноз. Відомості про діагноз становлять лікарську таємницю, тож зберігайте їх лише тоді, коли закон прямо вимагає, наприклад у матеріалах розслідування нещасного випадку.

Хто відповідає за дані, якщо вони зберігаються в хмарному сервісі?

Роботодавець лишається володільцем і відповідає за законність обробки. Сервіс є розпорядником: обробляє дані лише з метою й в обсязі, визначених письмовим договором (ст. 4 Закону № 2297-VI).

Чи обовʼязково призначати відповідальну особу за захист персональних даних?

Обовʼязково — для органів влади й місцевого самоврядування та для тих, чия обробка підлягає повідомленню Уповноваженого (ст. 24 Закону № 2297-VI). Іншим роботодавцям — рекомендовано: так простіше організувати доступи, відповіді на запити й реагування на інциденти.