Dane zdrowotne i RODO
Jakie dane zdrowotne może analizować dział HR — i czego zabrania RODO?
Analiza danych zdrowotnych podlega art. 9 RODO. Do analiz dozwolone są wyłącznie w pełni zanonimizowane dane (np. raporty zdrowotne kas chorych). Indywidualnych zwolnień lekarskich HR nie może wykorzystywać do analiz.
Dozwolone i zabronione źródła danych w WHP
| Źródło danych | Status wg RODO | Prawidłowe wykorzystanie w WHP |
|---|---|---|
| Indywidualne zwolnienia lekarskie | Surowo zabronione w HR-Analytics | Pozostają w aktach osobowych — wyłącznie do celów administracyjnych |
| Raporty zdrowotne kas chorych | Legalne — o ile zanonimizowane | Od minimalnej liczby ubezpieczonych, którą ustala każda kasa: podstawa zgodna z ochroną danych dla planu rocznego |
| Naukowo zwalidowane ankiety pracownicze | Legalne — przy właściwych środkach | Anonimowe narzędzie zewnętrzne, brak zapisu adresów IP, wyraźnie komunikowana dobrowolność |
| Wewnętrzne statystyki absencji (zagregowane, anonimowe) | Legalne | HR może analizować wskaźniki międzydziałowe — nigdy na poziomie pojedynczej osoby |
| Diagnozy z zaświadczeń lekarskich | Surowo zabronione | Diagnozy nie mają miejsca w aktach HR — nawet 'tylko do wiadomości' |
Dlaczego głębszy wgląd w dane personalne przy rosnącej absencji jest ryzykowny?
Ponieważ art. 9 RODO klasyfikuje dane zdrowotne jako szczególną kategorię danych i wprowadza tym samym najwyższy poziom ochrony w europejskim prawie ochrony danych. Gdy rośnie absencja chorobowa, zarząd żąda natychmiastowych wyjaśnień. Zrozumiałe — ale odruch głębszego wglądu w dane personalne prowadzi prosto w pułapkę RODO.
Osoba odpowiedzialna za HR, która nieumyślnie posługuje się diagnozami ze zwolnień lekarskich lub tworzy analizy demograficzne na tyle szczegółowe, że umożliwiają identyfikację poszczególnych osób, naraża się na kary do 20 milionów euro lub 4% globalnego rocznego obrotu — w zależności od tego, która kwota jest wyższa (art. 83 ust. 5 RODO).
Wytyczne dotyczące prewencji GKV przewidują w zakładowym procesie promocji zdrowia (WHP) rzetelną analizę sytuacji wyjściowej. Analiza ta musi być zgodna z przepisami o ochronie danych i opierać się na danych zanonimizowanych. Kto zrozumie to błędnie i zacznie katalogować przyczyny chorób poszczególnych pracowników, zagraża nie tylko ochronie danych, ale też podstawie do wsparcia ze strony kasy chorych.
Które narzędzia analityczne są dozwolone w świetle ochrony danych?
Raporty kas chorych o absencji: kasy chorych są zgodnie z § 20b SGB V (niemiecka ustawa o ubezpieczeniu zdrowotnym) zobowiązane do wspierania zakładowej promocji zdrowia (WHP) — obejmuje to zanonimizowane raporty zdrowotne. Pokazują one zagregowaną absencję, grupy diagnoz (wg rozdziałów ICD-10) i główne obszary obciążenia, bez identyfikacji poszczególnych osób. Przeszkoda: aby raport pozostał anonimowy, każda kasa ustala minimalną liczbę ubezpieczonych u niej pracowników — Mobil Krankenkasse wymaga na przykład co najmniej 50. W mniejszych firmach niektóre kasy oferują rozwiązania alternatywne.
Zakładowe ankiety zdrowotne: naukowo zwalidowane narzędzia ankietowe, takie jak COPSOQ (obciążenie psychiczne), SALSA (zasoby) lub zaadaptowana firmowa krótka ankieta, są silnym narzędziem analizy stanu obecnego. Bezpieczeństwo prawne zapewniają trzy warunki: (1) pełna anonimowość bez zapisu adresów IP, (2) wyraźnie komunikowana dobrowolność przed ankietą, (3) wyniki analizowane wyłącznie w zagregowanej formie dla grup liczących co najmniej pięć osób.
Zagregowane wskaźniki absencji: HR może obliczać i przedstawiać w kręgu sterującym wskaźniki absencji dla poszczególnych działów. Granicę wyznacza możliwość identyfikacji: działy poniżej 5 osób nie mogą być wykazywane osobno — dotyczy to również pozornie nieszkodliwych kombinacji, takich jak 'dział X w trzecim kwartale'.
Jak sprawdzić ankietę pod kątem ochrony danych przed wysłaniem?
Zanim ankieta pracownicza zostanie rozesłana, zaleca się ten szybki test kontrolny:
Punkt 1 — test możliwości identyfikacji: czy pytania demograficzne (dział + wiek + płeć) w małych grupach mogą prowadzić do identyfikacji poszczególnych osób? Grup poniżej 5 osób nigdy nie analizuje się osobno.
Punkt 2 — klauzula dobrowolności: czy na stronie startowej ankiety jednoznacznie komunikuje się, że udział jest dobrowolny i że nie są zapisywane adresy IP ani znaczniki czasu?
Punkt 3 — dowód ograniczenia celu: czy umownie i technicznie zapewniono, że dane są wykorzystywane wyłącznie do planowania działań WHP, a następnie usuwane? Powiązanie z ocenami wyników pracy stanowi poważne naruszenie RODO.
Co robić, gdy kierownicy pytają o diagnozy?
Realny scenariusz: kierownik działu pyta na spotkaniu kręgu sterującego, dlaczego 'w logistyce wszyscy są ciągle chorzy'. HR odczuwa presję dostarczenia konkretnych odpowiedzi. Właściwą reakcją nie jest sięganie po indywidualne dane ze zwolnień lekarskich, lecz skierowanie sprawy do dozwolonych narzędzi analitycznych.
Konkretnie: zespół ds. zdrowia zleca krótką analizę na danych zagregowanych. Jeśli jest dostępny, pobiera się raport odpowiedniej kasy chorych o absencji. Jeśli nie, dobrowolna, anonimowa błyskawiczna ankieta w dziale (z zachowaniem minimalnej wielkości grupy) może dostarczyć pierwszych wskazówek.
Co HR może powiedzieć: 'Przyglądamy się zanonimizowanym wskaźnikom absencji działu i porównujemy je z rokiem poprzednim. Nie przyglądamy się danym indywidualnym — jest to niedozwolone z punktu widzenia ochrony danych i nie jest naszym celem. Celem jest zrozumienie obciążenia pracą, a nie przyczyn chorób poszczególnych osób.'
Powiązane działania i tematy
Najważniejsze w skrócie
- Indywidualne diagnozy ze zwolnień lekarskich są tabu w analizach HR — nawet „tylko do wiadomości”.
- Raporty kas chorych o absencji (o ile wystarczająco wielu pracowników jest ubezpieczonych w jednej kasie) to czyste narzędzie analityczne zgodne z ochroną danych.
- Ankiety wymagają: anonimowości, dobrowolności, ograniczenia celu i włączenia rady zakładowej.
- Grup poniżej 5 osób nigdy nie wolno analizować osobno.
Najczęstsze pytania
Czy HR może śledzić liczbę dni zwolnienia lekarskiego przypadających na pracownika?+
Tak — sama liczba dni zwolnienia lekarskiego (bez diagnozy) może być rejestrowana z powodów administracyjnych, np. na potrzeby monitoringu BEM (§ 167 SGB IX wymaga śledzenia granicy 6 tygodni). Dane te nie mogą jednak być wykorzystywane do oceny wyników pracy ani do celów analitycznych wykraczających poza wyzwalacz BEM.
Co rada zakładowa może wglądać w zakresie danych zdrowotnych?+
Rada zakładowa ma ogólne prawo do informacji (§ 80 BetrVG), ale również ona nie ma prawa do indywidualnych danych diagnostycznych. Rada może żądać zagregowanych statystyk absencji. W przypadku BEM rada czuwa nad tym, czy pracodawca wypełnia swoje obowiązki (§ 167 ust. 2 SGB IX); w konkretnym postępowaniu BEM uczestniczy tylko za zgodą osoby, której ono dotyczy.
Czy do ankiety pracowniczej potrzebna jest zgoda rady zakładowej?+
Z reguły tak. Ankiety online są urządzeniami technicznymi w rozumieniu § 87 ust. 1 pkt 6 BetrVG i podlegają współdecydowaniu rady zakładowej; jeśli ankieta służy ocenie ryzyka, zastosowanie ma ponadto § 87 ust. 1 pkt 7 BetrVG. Bez zgody rady zakładowej firma naraża się na powództwo o zaniechanie. Włączenie rady zakładowej nie jest jednak przeszkodą — zazwyczaj zwiększa akceptację ankiety wśród załogi.
Czy możliwa jest rzetelna analiza stanu obecnego bez raportu kasy chorych?+
Tak. Dla firm poniżej progu raportowania zaleca się kombinację zagregowanych wewnętrznych wskaźników absencji (monitoring HR), wizyt lekarza zakładowego oraz dobrowolnej błyskawicznej ankiety. Również bez zewnętrznego raportu kasy chorych taka kombinacja zapewnia rzetelną analizę sytuacji wyjściowej.
Analiza danych zdrowotnych — ale we właściwy sposób
EasyWHP agreguje absencję, wyzwalacze BEM i działania — HR nigdy nie widzi indywidualnych danych diagnostycznych.
Źródła
- Art. 9 DSGVO — Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheitsdaten) ↗
- § 20b SGB V — Betriebliche Gesundheitsförderung durch die Krankenkassen ↗
- §167 Abs. 2 SGB IX — BEM-Pflicht: AU-Tage-Tracking als gesetzlich zulässige Grundlage ↗
- §87 BetrVG — Mitbestimmung bei Mitarbeiterbefragungen (Nr. 6: technische Einrichtungen) ↗
- §80 BetrVG — Allgemeine Aufgaben des Betriebsrats (Informationsrecht) ↗
- Art. 83 RODO — ogólne warunki nakładania administracyjnych kar pieniężnych ↗
- Mobil Krankenkasse — raport zdrowotny dla pracodawców (od 50 ubezpieczonych pracowników) ↗
Stan na: 2026-06-24. Ten poradnik dotyczy prawa niemieckiego (§ 167 SGB IX) i nie stanowi porady prawnej — konkretny przypadek warto skonsultować ze specjalistą.