Početna › Vodič za zdravlje zaposlenih › Zaštita podataka i poverljivost

Vodič za zdravlje zaposlenih

Zaštita podataka i poverljivost: rezultati ostaju kod osobe

Stručno proverio dr Daniel Wallerstorfer, molekularni biolog i osnivač kompanije Novogenia · Ažurirano: 15. 10. 2026. · Vreme čitanja: 9 min

Ukratko

Prema GDPR-u genetski podaci spadaju u posebne vrste podataka o ličnosti (čl. 9); u Švajcarskoj su to osetljivi podaci o ličnosti (čl. 5 DSG). U radnom odnosu pristanak dat poslodavcu retko je zaista dobrovoljan – zato ga Evropski odbor za zaštitu podataka smatra problematičnim. Najčistije rešenje: kompanija uopšte ne obrađuje genetske podatke. Zaposleni daju pristanak direktno laboratoriji ili partneru, izveštaj ide samo njima, a kompanija ne dobija ni pojedinačne rezultate ni zbirne izveštaje. Da li § 26 BDSG opstaje posle presude Suda pravde EU iz 2023. godine, otvoreno je pitanje – programu koji je ovako postavljen on za genetske podatke nije potreban.

Kao glasačka kabina – samo strože

Genetski podaci nisu obični podaci. GDPR ih opisuje kao podatke o nasleđenim ili stečenim genetskim karakteristikama osobe koji daju jedinstvenu informaciju o njenoj fiziologiji ili zdravlju (čl. 4(13) GDPR-a). Ko poznaje vaše gene, zna nešto što nosite sa sobom ceo život. Zato je njihova obrada u načelu zabranjena – osim ako se primenjuje izuzetak (čl. 9(1) i (2)).

Dobar program u kompaniji zato funkcioniše kao izbori. Kompanija obezbeđuje biračko mesto: prostoriju, vreme, poziv. Niko ne gleda u kabinu. I za razliku od izbora, kompanija na kraju ne dobija čak ni ukupan rezultat – rezultati ostaju kod ljudi kojima pripadaju.

Ovde ćete naći pravno obrazloženje za to i pitanja koja ostaju otvorena – kao dopunu pregledu u članku Programi za zdravlje zaposlenih uz genetske analize.

Ko vidi šta: tokovi podataka u programu

Pre nego što razgovarate o zakonskim odredbama, mapirajte tokove podataka. Kod lifestyle analize čist program izgleda ovako:

Podaci	Kuda idu	Šta kompanija vidi
Registracija i pristanak	od zaposlenog direktno laboratoriji ili partneru	Ništa
Uzorak pljuvačke	direktno u laboratoriju, nikada preko kompanije	Ništa
Genetski podaci i izveštaj	iz laboratorije samo osobi, digitalno preko zaštićenog portala	Ništa
Personalizovani suplementi (opciono)	receptura, izveštaj i isporuka idu direktno osobi	Ništa
Račun	kompaniji	Račun – bez rezultata
Povratne informacije o programu	anonimno, kompaniji ili njenom partneru za zdravlje na radnom mestu	Zadovoljstvo i predlozi, nikada genetski sadržaj

Dve tačke zaslužuju posebnu pažnju. Personalizovana receptura suplemenata otkriva nešto o genima osobe koja je dobija. Zato bi, čak i ako je kompanija plaća, trebalo da ide direktno osobi. I naplata: osmislite je tako da kompanija sazna što je moguće manje o tome ko je pojedinačno učestvovao. To nije detalj – ko zna ko se priključio, zna i ko nije.

Očigledni izuzetak za genetske podatke je izričit pristanak za određene svrhe (čl. 9(2)(a) GDPR-a). On može da se povuče u svakom trenutku, a povlačenje mora da bude jednako jednostavno kao davanje pristanka (čl. 7(3)). Stvarni problem na radnom mestu je drugi: dobrovoljnost.

Kada postoji jasna neravnoteža između strana, pristanak ne predstavlja valjan pravni osnov ako je zbog toga malo verovatno da je dat slobodno (uvodna izjava 43). Evropski odbor za zaštitu podataka izričit je u svojim Smernicama 05/2020: zbog zavisnosti u radnom odnosu malo je verovatno da zaposleni mogu da odbiju zahtev svog poslodavca, a da se ne plaše štetnih posledica. Slobodan pristanak mogu da daju samo u izuzetnim okolnostima – kada uopšte neće biti negativnih posledica, bez obzira na to da li pristanu ili ne (tač. 21–22).

Iz toga proizlaze dva pravila:

Pristanak ide na pravu adresu: laboratoriji ili partneru koji obrađuje podatke – a ne kompaniji. Kod medicinskih analiza u Nemačkoj osoba daje izričit pismeni pristanak nadležnom lekaru (§ 8(1) GenDG).
Okruženje olakšava „ne“: nema spiskova učesnika kod rukovodilaca, nema podsetnika od nadređenih, nema pogodnosti rezervisanih za učesnike. Kako pozvati bez stvaranja pritiska, pokazuje članak Interna komunikacija: učešće bez pritiska.

Zaštita podataka zaposlenih: šta je promenila presuda Suda pravde EU iz 2023. godine

Za podatke zaposlenih čl. 88 GDPR-a dozvoljava državama članicama da donesu konkretnija pravila. Ona moraju da obuhvate odgovarajuće i posebne mere za zaštitu ljudskog dostojanstva, legitimnih interesa i osnovnih prava, posebno u pogledu transparentnosti (st. 2). Nemačka je u tu svrhu donela § 26 Saveznog zakona o zaštiti podataka (BDSG). On, između ostalog, propisuje da se pri davanju pristanka mora uzeti u obzir zavisnost svojstvena radnom odnosu, da pristanak mora da bude dat u pisanom ili elektronskom obliku i da poslodavac zaposlene u tekstualnom obliku obaveštava o svrsi i o njihovom pravu na povlačenje pristanka (st. 2). Za posebne vrste podataka, kao što su genetski podaci, pristanak mora izričito da se odnosi na te podatke (st. 3).

Sud pravde Evropske unije doneo je 30. marta 2023. godine presudu od velikog značaja o ovom pitanju (predmet C-34/21). Nacionalna odredba je „konkretnije pravilo“ samo ako ispunjava zahteve iz čl. 88(2); u suprotnom ne sme da se primenjuje, osim ako predstavlja samostalan pravni osnov u smislu čl. 6(3) GDPR-a. Predmet se odnosio na nastavnike u nemačkoj saveznoj pokrajini Hesen i na pokrajinsku odredbu koncipiranu slično kao § 26(1) BDSG. Sud je ukazao da pravilo koje samo ponavlja da obrada mora biti neophodna ne predstavlja konkretnije pravilo. O samom § 26 BDSG nije odlučivao; odredba je u zakonu i dalje nepromenjena.

Šta to znači za vaš program? Manje nego što biste mislili – ako ga pravilno postavite. Prema § 19 GenDG kompanija ionako ne sme da prima genetske rezultate. Ako ne obrađuje genetske podatke, za to joj nije potreban pravni osnov. Zahtevi iz § 26(2) ipak ostaju dobro merilo za svaki pristanak u programu: u pisanom ili elektronskom obliku, sa jasnom svrhom i napomenom o pravu na povlačenje pristanka.

Anonimno nije uvek anonimno

„Samo želimo da vidimo statistiku.“ Želja je razumljiva. GDPR ovde postavlja visok prag: da li se identitet osobe može odrediti, zavisi od svih sredstava za koja se razumno može očekivati da će biti korišćena za njenu neposrednu ili posrednu identifikaciju – kao što je izdvajanje. Pseudonimizovani podaci ostaju podaci o ličnosti; samo zaista anonimne informacije su izvan domašaja prava o zaštiti podataka (uvodna izjava 26).

U malom odeljenju statistika se brzo može povezati sa pojedincima. Zato u kompaniji Novogenia važi pravilo: poslodavac ne dobija pojedinačne rezultate, a ni zbirne izveštaje. Program se ocenjuje na osnovu učešća, zadovoljstva i anonimnih povratnih informacija – nikada na osnovu genetskih rezultata. Kako to pretvoriti u smislene metrike, pokazuje članak Merenje koristi i efekata. Čak i podatke o učešću treba iskazivati samo za veće celine, a ne za pojedinačne male timove.

Švajcarska: Zakon o zaštiti podataka i Zakonik o obligacijama

U Švajcarskoj se umesto GDPR-a primenjuje Savezni zakon o zaštiti podataka (DSG), a radni odnos uređuje Zakonik o obligacijama. Logika je slična; pojedinosti se razlikuju:

Osetljivi podaci: genetski podaci su osetljivi podaci o ličnosti (čl. 5(c)(3) DSG).
Pristanak: punovažan je samo ako je dat dobrovoljno, za jednu ili više određenih radnji obrade, nakon odgovarajućeg informisanja; za osetljive podatke mora biti izričit (čl. 6(6) i (7) DSG).
Ne duže nego što je potrebno: podaci o ličnosti uništavaju se ili anonimizuju čim više nisu potrebni za svrhu obrade (čl. 6(4) DSG).
Uska granica za poslodavce: oni smeju da obrađuju podatke o zaposlenima samo ukoliko se odnose na njihovu podobnost ili su neophodni za ugovor o radu (čl. 328b Zakonika o obligacijama, OR). Genetski rezultati nemaju mesta kod poslodavca.
Informisanje i ispitivanje u inostranstvu: kod lifestyle analiza pismene informacije obuhvataju, između ostalog, laboratoriju i sve uključene kompanije i laboratorije u inostranstvu (čl. 32 GUMG). Ispitivanje u inostranstvu zahteva, između ostalog, pismeni pristanak osobe (čl. 36 u vezi sa čl. 29 GUMG).

Uloge, ugovori i procena uticaja

Program ima više strana: kompaniju, često partnera za zdravlje na radnom mestu, laboratoriju i, kod medicinskih analiza, lekare. Ko određuje svrhu i način obrade, rukovalac je; ko obrađuje podatke u ime drugoga, potreban mu je ugovor u skladu sa čl. 28 GDPR-a. Uloge definišite pre nego što stigne prva registracija – a ne naknadno.

Ko obrađuje genetske podatke u velikom obimu, mora unapred da sprovede procenu uticaja na zaštitu podataka o ličnosti (čl. 35(3)(b) GDPR-a; u Švajcarskoj čl. 22 DSG). U pravilno postavljenom programu taj zadatak je na laboratoriji ili partneru, a ne na kompaniji. Za zaposlene je na kraju važno jasno informisanje: ko obrađuje koje podatke, ko vidi izveštaj – i to da ga kompanija nikada ne vidi. U Nemačkoj prava saodlučivanja saveta zaposlenih ostaju netaknuta (§ 26(6) BDSG). Više o ulogama i rokovima brisanja u članku Genetski podaci i GDPR.

Kontrolna lista za zaštitu podataka u vašem programu

Tokovi podataka su mapirani; kompanija ne obrađuje genetske podatke.
Pristanak ide direktno laboratoriji ili partneru – izričit, za određene svrhe i opoziv u svakom trenutku.
Oni koji ne učestvuju ne trpe nikakve negativne posledice; rukovodioci ne vode spiskove.
Izveštaj, receptura suplemenata i isporuka idu direktno osobi.
Naplata kompaniji otkriva što je moguće manje o pojedinačnim učesnicima.
Nema zbirnih genetskih izveštaja; podaci o učešću samo za veće celine.
Uloge i ugovori su uređeni pre prvog prenosa podataka; procena uticaja je na odgovornoj strani.
U Švajcarskoj: pismene informacije prema čl. 32 GUMG i pismeni pristanak za ispitivanje u inostranstvu.
Lice za zaštitu podataka o ličnosti i savet zaposlenih uključeni su rano.

Česta pitanja

Da li je dovoljno ako kompanija dobija samo anonimnu statistiku?

Ne, iz dva razloga. Prvo, „anonimno“ često nije anonimno: prema uvodnoj izjavi 26 GDPR-a u obzir se uzimaju sva sredstva za koja se razumno može očekivati da će biti korišćena za identifikaciju osobe – a u malim timovima to se brzo dogodi. Drugo, u kompaniji Novogenia poslodavac ne dobija ni zbirne izveštaje. Program ocenjujte na osnovu učešća i anonimnih povratnih informacija, nikada na osnovu genetskih rezultata.

Ko je u takvom programu „rukovalac“ prema GDPR-u?

To zavisi od konstelacije – laboratorija, partner i, po potrebi, lekari mogu da imaju različite uloge. U kompaniji Novogenia uloge zajedno utvrđujemo u ugovoru pre prvog prenosa podataka. Cilj svake konstelacije: sama kompanija ne obrađuje nikakve genetske podatke.

Može li zaposlena da povuče svoj pristanak?

Da, u svakom trenutku – a povlačenje mora da bude jednako jednostavno kao davanje pristanka (čl. 7(3) GDPR-a). Kod medicinskih analiza u Nemačkoj ona može u svakom trenutku da povuče pristanak sa dejstvom za ubuduće, tako što o tome obavesti nadležnog lekara (§ 8(2) GenDG).

Da li § 26 BDSG još važi?

U zakonu je i dalje nepromenjen. Međutim, Sud pravde EU je 2023. godine presudio da su nacionalna pravila o zaštiti podataka zaposlenih „konkretnija pravila“ u smislu čl. 88 GDPR-a samo ako ispunjavaju stav 2 tog člana; u suprotnom ne smeju da se primenjuju (predmet C-34/21). Da li § 26 BDSG ispunjava taj standard, Sud nije sam odlučio. Za vaš program to je sporedno ako kompanija ne obrađuje genetske podatke.

Šta još treba da znaju zaposleni u Švajcarskoj?

Za lifestyle analize moraju da dobiju pismene informacije, između ostalog o laboratoriji koja sprovodi test i o svim uključenim kompanijama i laboratorijama u inostranstvu, sa kontakt podacima stručnjaka i osobe odgovorne za obradu podataka (čl. 32 GUMG). Ispitivanje u inostranstvu – laboratorija kompanije Novogenia nalazi se u Austriji – zahteva, između ostalog, njihov pismeni pristanak (čl. 36 u vezi sa čl. 29 GUMG).

Povezano: Genetski podaci i GDPR · Zaštita podataka i uloge između laboratorije i proizvođača · Pravo: šta poslodavci smeju, a šta ne

Zdravstvena ponuda za vaš tim?

Ispričajte nam nešto o svojoj kompaniji – pokazaćemo vam kako bi mogla da izgleda dobrovoljna ponuda za vaše zaposlene.

Pošaljite upit za projekat →Zdravlje zaposlenih u vodiču za longevity

Napomena: Ovaj vodič predstavlja opšte informacije za kompanije i stručnjake i ne zamenjuje lekarski ni pravni savet. Genetske osobine utvrđene genetskom analizom dobro su dokumentovane (svaki uključeni gen potkrepljen je sa najmanje tri nezavisne studije); preporuke izvedene iz njih logični su zaključci i nisu naučno dokazane. Propisi se mogu promeniti; zadržavamo pravo na greške i izmene.