Dane zdrowotne i RODO
Jakie dane zdrowotne może analizować dział HR — i czego zabrania RODO?
Ten artykuł dotyczy prawa niemieckiego. Analiza danych zdrowotnych podlega art. 9 RODO. Do analiz WHP dozwolone są wyłącznie w pełni zanonimizowane dane (np. raporty GKV). Indywidualne zwolnienia lekarskie są surowo zakazane w HR-Analytics; HR może rejestrować samą liczbę dni zwolnienia wyłącznie do celów administracyjnych, takich jak termin BEM.
Dozwolone i zakazane źródła danych w WHP
| Źródło danych | Status wg RODO | Prawidłowe wykorzystanie w WHP |
|---|---|---|
| Indywidualne zwolnienia lekarskie (AU) | Surowo zakazane w HR-Analytics | Pozostają w aktach osobowych — wyłącznie do celów administracyjnych |
| Raporty zdrowotne kas chorych | Dozwolone — pod warunkiem anonimizacji | Od minimalnej liczby ubezpieczonych ustalonej przez kasę: zgodna z RODO podstawa planu rocznego |
| Naukowo zwalidowane ankiety pracownicze | Dozwolone — przy zastosowaniu odpowiednich środków | Anonimowe narzędzie zewnętrzne, brak zapisu adresów IP, wyraźna komunikacja dobrowolności udziału |
| Wewnętrzne statystyki absencji (zagregowane, anonimowe) | Dozwolone | HR może analizować wskaźniki między działami — nigdy na poziomie pojedynczych osób |
| Diagnozy z zaświadczeń lekarskich | Surowo zakazane | Diagnozy nie należą do akt HR — nawet „tylko do informacji” |
Dlaczego rosnąca absencja chorobowa stawia HR pod presją?
Gdy rośnie absencja chorobowa, kierownictwo domaga się natychmiastowych wyjaśnień. Zrozumiałe — ale odruch głębszego zaglądania w dane personalne prowadzi prosto w pułapkę RODO. Art. 9 RODO klasyfikuje dane zdrowotne jako szczególną kategorię danych, obejmując je tym samym najwyższym poziomem ochrony w europejskim prawie o ochronie danych.
Osoba odpowiedzialna za HR, która nieumyślnie operuje diagnozami ze zwolnień lekarskich lub tworzy analizy demograficzne na tyle szczegółowe, że umożliwiają identyfikację pojedynczych osób, naraża się na kary do 20 milionów euro lub 4% globalnego rocznego obrotu — w zależności od tego, która kwota jest wyższa.
Wytyczne GKV dotyczące prewencji (niemieckie ustawowe ubezpieczenie zdrowotne) wymagają, jako warunku wsparcia ze strony kas chorych, aby działania prozdrowotne opierały się na analizie stanu wyjściowego (Leitfaden Prävention 2025, rozdz. 6.2.2). Analiza ta powinna być zgodna z ochroną danych i opierać się na danych zanonimizowanych. Kto źle to zrozumie i zacznie katalogować przyczyny chorób poszczególnych pracowników, nie tylko narusza RODO, ale też traci podstawę do współpracy z kasą.
Jakie narzędzia analityczne są dopuszczalne?
Raporty absencji GKV: zgodnie z § 20b SGB V (prawo niemieckie) kasy chorych mają za zadanie wspierać promocję zdrowia w miejscu pracy i w tym celu badać sytuację zdrowotną w firmie — obejmuje to zanonimizowane raporty zdrowotne. Pokazują one zagregowaną absencję, grupy diagnoz (według rozdziałów ICD-10) i główne obszary obciążeń, nie identyfikując poszczególnych osób. Przeszkoda: każda kasa sama ustala, ilu swoich ubezpieczonych musi mieć w firmie, aby wydać raport — proszę zapytać w swojej kasie. W mniejszych firmach niektóre kasy oferują rozwiązania alternatywne.
Firmowe ankiety zdrowotne: naukowo zwalidowane narzędzia ankietowe, takie jak COPSOQ (obciążenie psychiczne), SALSA (zasoby) czy dostosowany do firmy krótki kwestionariusz, są kluczowym narzędziem analizy stanu obecnego. Zgodność z ochroną danych zapewniają trzy warunki: (1) pełna anonimowość bez zapisu adresów IP, (2) wyraźnie zakomunikowana dobrowolność przed rozpoczęciem ankiety, (3) wyniki analizowane wyłącznie w postaci zagregowanej dla grup liczących co najmniej 5 osób.
Zagregowane wskaźniki absencji: HR może obliczać wskaźniki absencji między działami i prezentować je w kręgu sterującym (Steuerkreis). Granicą jest możliwość identyfikacji: przyjętą praktyką jest niewykazywanie osobno działów liczących poniżej 5 osób — nie ma ustalonej ustawowo liczby, a porozumienia zakładowe często określają wyższą minimalną wielkość. Dotyczy to również pozornie niegroźnych zestawień, jak „dział X w 3 kwartale”.
Jak sprawdzić ankietę pod kątem ochrony danych przed jej wysłaniem?
Zanim ankieta trafi do pracowników, zaleca się tę szybką kontrolę:
Kontrola 1 — test możliwości wnioskowania: czy pytania demograficzne (dział + wiek + płeć) w małych grupach mogą umożliwić identyfikację pojedynczych osób? Grup liczących poniżej 5 osób nie należy analizować osobno (przyjęta minimalna wielkość, a nie liczba ustawowa).
Kontrola 2 — klauzula dobrowolności: czy na stronie startowej ankiety jednoznacznie zakomunikowano, że udział jest dobrowolny i nie są zapisywane adresy IP ani znaczniki czasu?
Kontrola 3 — dowód ograniczenia celu: czy zapewniono umownie i technicznie, że dane są wykorzystywane wyłącznie do planowania działań WHP, a następnie usuwane? Powiązanie z ocenami wyników pracy stanowi poważne naruszenie RODO.
Co zrobić, gdy kadra kierownicza pyta o diagnozy?
Rzeczywisty scenariusz: kierownik działu pyta na spotkaniu kręgu sterującego, dlaczego „w logistyce wszyscy ciągle chorują”. HR odczuwa presję udzielenia konkretnych odpowiedzi. Właściwą reakcją nie jest sięganie po indywidualne dane o absencji, lecz skierowanie się na dozwolone narzędzia analityczne.
Konkretnie: krąg roboczy ds. zdrowia (AK Gesundheit) zleca krótką analizę na danych zagregowanych. Jeśli jest dostępny, pobierany jest raport absencji chorobowej odpowiedniej kasy chorych (GKV). Jeśli nie, dobrowolna, anonimowa błyskawiczna ankieta w dziale (z zachowaniem minimalnej wielkości grupy) może dostarczyć pierwszych wskazówek.
Co może powiedzieć HR: „Przyglądamy się zanonimizowanym wskaźnikom absencji działu i porównujemy je z rokiem poprzednim. Nie analizujemy danych indywidualnych — to niedozwolone z punktu widzenia ochrony danych, a poza tym nie jest to naszym celem. Celem jest zrozumienie obciążenia pracą, a nie przyczyn choroby poszczególnych osób.”
Powiązane działania i tematy
Najważniejsze w skrócie
- Indywidualne diagnozy ze zwolnień lekarskich są tabu dla HR-Analytics — nawet „tylko do informacji”.
- Raporty absencji chorobowej GKV (od minimalnej liczby ubezpieczonych ustalonej przez kasę) są narzędziem analitycznym przyjaznym ochronie danych.
- Ankiety wymagają: anonimowości, dobrowolności, ograniczenia celu oraz zaangażowania rady zakładowej.
- Grup liczących poniżej 5 osób nie należy analizować osobno — przyjęta minimalna wielkość, często ustalona w porozumieniu zakładowym.
Najczęstsze pytania
Czy HR może śledzić liczbę dni zwolnienia lekarskiego przypadających na pracownika?+
Tak — samą liczbę dni zwolnienia lekarskiego (bez diagnozy) można rejestrować z powodów administracyjnych, np. do monitorowania BEM (zarządzania powrotem do pracy) — § 167 SGB IX wymaga śledzenia progu 6 tygodni. Danych tych nie wolno jednak wykorzystywać do ocen wyników pracy ani do celów analitycznych wykraczających poza wyzwalacz procedury BEM.
Do jakich danych zdrowotnych ma wgląd rada zakładowa?+
Rada zakładowa ma ogólne prawo do informacji (§ 80 BetrVG), ale również ona nie ma prawa do indywidualnych danych diagnostycznych. Może żądać zagregowanych statystyk absencji. W konkretnej procedurze BEM rada uczestniczy tylko za zgodą osoby zainteresowanej (§ 167 ust. 2 SGB IX); czuwa jednak nad tym, aby pracodawca oferował BEM.
Czy do ankiety GKV potrzebujemy zgody rady zakładowej?+
Z reguły tak. Jeśli ankieta jest prowadzona za pomocą systemu technicznego (np. narzędzia online), obowiązuje współdecydowanie na podstawie § 87 ust. 1 pkt 6 BetrVG (urządzenia techniczne); standaryzowany kwestionariusz może ponadto wymagać zgody jako kwestionariusz osobowy na podstawie § 94 BetrVG (prawo niemieckie). Bez zgody rady może ona żądać wstrzymania ankiety. Zaangażowanie rady zakładowej nie jest jednak przeszkodą — z reguły znacząco zwiększa akceptację ankiety wśród załogi.
Czy możemy przeprowadzić rzetelną analizę stanu obecnego również bez raportu GKV?+
Tak. Dla firm poniżej progu raportowania zaleca się połączenie zagregowanych wewnętrznych wskaźników absencji (monitoring HR), wizytacji przeprowadzanych przez lekarza medycyny pracy oraz dobrowolnej błyskawicznej ankiety. Taka kombinacja zapewnia rzetelną analizę stanu wyjściowego również bez raportu kasy chorych.
Analizować dane zdrowotne — ale we właściwy sposób
EasyWHP agreguje absencje, wyzwalacze BEM i działania — tak, że HR nigdy nie widzi indywidualnych danych diagnostycznych.
Źródła
- Art. 9 RODO — przetwarzanie szczególnych kategorii danych osobowych (danych zdrowotnych) ↗
- § 20b SGB V — Promocja zdrowia w miejscu pracy: zadanie kas chorych ↗
- § 167 ust. 2 SGB IX — obowiązek BEM: śledzenie dni zwolnienia lekarskiego jako ustawowo dopuszczalna podstawa ↗
- § 87 BetrVG — współdecydowanie przy ankietach pracowniczych (pkt 6: urządzenia techniczne) ↗
- § 80 BetrVG — ogólne zadania rady zakładowej (prawo do informacji) ↗
- § 94 BetrVG — Kwestionariusze osobowe (zgoda rady zakładowej) ↗
- GKV-Spitzenverband: Leitfaden Prävention 2025 (rozdz. 6.2.2, kryteria wsparcia) ↗
Stan na: 2026-06-24. To nie jest porada prawna ani podatkowa — w konkretnym przypadku prosimy skonsultować się ze specjalistą.