Czy pracodawca powinien zawrzeć umowę powierzenia z jednostką służby medycyny pracy?

Każdy pracodawca jest zobowiązany do ochrony zdrowia swoich pracowników, zatem zapewniając pracownikom profilaktyczną opiekę medyczną, pracodawca wybiera podstawową jednostkę służby medycyny pracy i z nią zawiera umowę o świadczenia zdrowotne. Kodeks pracy również jednoznacznie wskazuje, że pracodawca może dopuścić do pracy jedynie osobę posiadającą aktualne orzeczenie lekarskie, a wszelkie niezbędne badania odbywają się na podstawie skierowania wydanego przez pracodawcę. W rozumieniu przepisów ogólnego rozporządzenia o ochronie danych, regulacja jasno przesądza, że to pracodawca jest administratorem danych osobowych osób kierowanych na badania. Należy jednak pamiętać, że dane osobowe pracowników są gromadzone i przetwarzane zarówno przez pracodawcę, jak i wybraną podstawową jednostkę służby medycyny pracy.

Zatem czy pracodawca powinien zawrzeć umowę powierzenia z jednostką służby medycyny pracy?

W przypadku medycyny pracy, każdy z tych podmiotów będzie odrębnym administratorem to znaczy że każdy z nich samodzielnie ustala cele i środki przetwarzania danych osobowych. Obowiązek zawarcia umowy powierzenia przetwarzania danych osobowych jest nałożony na administratora  gdy przetwarzanie danych osobowych ma być dokonywane w jego imieniu przez inny podmiot przetwarzający. W przypadku świadczeń z zakresu ochrony zdrowia pracowników, lekarz medycyny pracy realizuje własne zadania, określone przepisami ustawy o służbie medycyny pracy, a także aktach wykonawczych wydanych na jej podstawie. Lekarz medycyny pracy działa więc niezależnie od pracodawcy, a dane osobowe pracowników (pacjentów) przetwarza w imieniu własnym, a tym samym staje się administratorem danych osobowych udostępnionych mu przez pracodawcę. Lekarz udzielający świadczeń z zakresu medycyny pracy jest odbiorcą tych danych. W takim przypadku podstawą prawną do przetwarzania danych pracowników i osób przyjmowanych do pracy, jest art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. h RODO w związku z art. 11 i art. 12 ust. 2 pkt. 1 ustawy o służbie medycyny pracy.

Powyższe oznacza, że w momencie przekazania danych, administratorem tych danych staje się podstawowa jednostka służby medycyny pracy i przetwarza przekazane przez pracodawcę dane osobowe jako samodzielny administrator danych, zatem nie ma obowiązku zawarcia umowy powierzenia.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.).

Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (t.j. Dz. U. z 2022 r. poz. 1510 z późn. zm.).

Ustawa z dnia 27 czerwca 1997 r. o służbie medycyny pracy (t.j. Dz. U. 2022 poz. 437).