Poate avea angajatorul acces la diagnosticul meu de ADHD?

Principiul limitării scopului și al minimizării datelor

Conform art. 5 din GDPR, prelucrarea datelor cu caracter personal trebuie să fie realizată pentru scopuri bine definite și legitime, iar datele colectate trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile pentru care sunt prelucrate (GDPR, 2016, art. 5).

În cazul în care diagnosticul medical nu este esențial pentru îndeplinirea obligațiilor legale ale angajatorului sau pentru sănătatea și securitatea în muncă, acesta nu are dreptul să solicite sau să acceseze astfel de date (GDPR, 2016, art. 5).

Consimțământul angajatului

Accesul angajatorului la datele medicale personale ale angajatului necesită consimțământul explicit al acestuia. Acest consimțământ trebuie să fie informat, liber și specific pentru fiecare scop al prelucrării. Angajatul trebuie să fie informat cu privire la scopurile pentru care datele sunt prelucrate și cine va avea acces la acestea (GDPR, 2016, art. 7).

Confidențialitatea datelor medicale

Articolul 9 din GDPR prevede că prelucrarea categoriilor speciale de date cu caracter personal, cum ar fi datele privind sănătatea, este interzisă, cu excepția cazului în care sunt îndeplinite anumite condiții stricte.

În România, Legea nr. 190/2018 care completează aplicarea GDPR, reiterează că datele privind sănătatea sunt protejate suplimentar și prelucrarea lor este permisă doar în cazuri foarte specifice, cum ar fi îndeplinirea obligațiilor legale în domeniul muncii și securității sociale (Legea nr. 190/2018).

Interesul legitim vs. drepturile și libertățile fundamentale ale angajatului

Chiar dacă angajatorul ar putea argumenta un interes legitim în accesarea datelor medicale (de exemplu, pentru a preveni riscurile la locul de muncă), acest interes trebuie să fie echilibrat cu drepturile și libertățile fundamentale ale angajatului.

Monitorizarea și accesarea datelor personale trebuie să fie proporționale și să nu depășească ceea ce este necesar pentru atingerea scopului urmărit (GDPR, 2016, art. 6).

Dreptul de opoziție al angajatului

Angajatul are dreptul să se opună prelucrării datelor sale personale în orice moment, în baza articolului 21 din GDPR. Dacă angajatul se opune prelucrării, angajatorul trebuie să demonstreze că are motive legitime imperioase pentru prelucrarea datelor care prevalează asupra intereselor, drepturilor și libertăților angajatului (GDPR, 2016, art. 21).

Confidențialitatea dosarului medical de stat (Dosarul Electronic de Sănătate)

Dosarul Electronic de Sănătate (DES) este gestionat de Casa Națională de Asigurări de Sănătate (CNAS) și este destinat exclusiv utilizării de către pacient și medicii săi curanți. Informațiile din acest dosar sunt protejate conform legislației privind protecția datelor cu caracter personal și nu pot fi accesate de angajator fără consimțământul explicit al angajatului (CNAS, 2023).

Protecția datelor cu caracter sensibil

Conform Art. 9 din GDPR, prelucrarea datelor privind sănătatea este interzisă, cu excepția unor situații specifice cum ar fi consimțământul explicit al persoanei vizate sau necesitatea prelucrării pentru îndeplinirea obligațiilor legale în domeniul muncii și securității sociale. Astfel, chiar dacă diagnosticul medical este înregistrat în sistemul medical de stat, acesta nu poate fi accesibil angajatorului fără îndeplinirea acestor condiții (GDPR, 2016, Art. 9).

Obligația de păstrare a secretului profesional

Legislația românească impune o obligație strictă de păstrare a confidențialității datelor medicale. Conform articolului 24 din Legea nr. 46/2003 privind drepturile pacientului, orice informație despre starea de sănătate a pacientului este confidențială și poate fi divulgată doar cu consimțământul pacientului sau în baza unui mandat legal (cum ar fi o decizie judecătorească). Această prevedere este susținută și de Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR în România (Legea nr. 46/2003, Legea nr. 190/2018).

Accesul condiționat de un mandat judecătoresc

În absența unui mandat judecătoresc, nicio persoană, inclusiv angajatorul, nu poate accesa dosarul medical al angajatului. Acest principiu este întărit de reglementările privind protecția datelor personale care stipulează că accesul la datele sensibile, cum sunt cele medicale, trebuie să fie limitat și controlat strict pentru a proteja drepturile și libertățile fundamentale ale persoanei (GDPR, 2016, art. 9).

Dreptul la informare și la opoziție

Conform articolului 15 din GDPR, persoanele vizate au dreptul de a fi informate cu privire la prelucrarea datelor lor personale și de a se opune acestei prelucrări. Aceasta include și datele medicale. Angajații trebuie să fie informați cu privire la scopurile pentru care datele lor sunt prelucrate și să aibă posibilitatea de a se opune acestei prelucrări dacă consideră că aceasta le încalcă drepturile (GDPR, 2016, art. 15).

Concluzie

În România, conform legislațieii naționale și internaționale angajatorul nu poate avea acces la diagnostice medicale ale angajatului obținute de la instituții private decât în condițiile specificate de legislația privind protecția datelor personale, care includ consimțământul explicit al angajatului și respectarea principiilor de minimizare și limitare a scopului prelucrării datelor.

Orice prelucrare care nu respectă aceste condiții este considerată ilegală și poate atrage sancțiuni severe.

De asemenea, conform legislației românești și europene, chiar dacă diagnosticul medical al unui angajat este inclus în dosarul medical de stat, acesta nu poate fi accesibil angajatorului fără respectarea strictă a reglementărilor privind protecția datelor personale, inclusiv obținerea consimțământului explicit al angajatului sau în baza unui mandat judecătoresc.

Aceste măsuri legislative sunt menite să protejeze drepturile și libertățile fundamentale ale persoanelor vizate, asigurând confidențialitatea și securitatea datelor lor medicale.

Bibliografie

GDPR. (2016). Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date. https://eur-lex.europa.eu/eli/reg/2016/679/oj

Legea nr. 46/2003 privind drepturile pacientului. (2003). Monitorul Oficial al României, Partea I, nr. 51. https://legislatie.just.ro/Public/DetaliiDocument/41483

Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR. (2018). Monitorul Oficial al României, Partea I, nr. 651. https://legislatie.just.ro/Public/DetaliiDocument/203151

Casa Națională de Asigurări de Sănătate. (2023). Dosarul electronic de sănătate (DES). https://www.cnas.ro/page/dosarul-electronic-de-sanatate-des.html