Hälsouppgifter på arbetsplatsen: vad arbetsgivaren får veta

Arbetsgivaren får behandla uppgifter om en arbetstagares hälsa bara när det behövs för att betala lön för sjuktid, för att utreda om det finns en grundad orsak till frånvaron eller om arbetstagaren själv vill att arbetsförmågan utreds utifrån dem. Uppgifterna får behandlas bara av utsedda personer, de förvaras separat från andra personuppgifter och raderas genast när grunden upphör. Företagshälsovården berättar för arbetsgivaren om arbetsförmågan bara på en allmän nivå, inte diagnosen utan arbetstagarens samtycke.

Guiden är skriven för grundaren eller den operativa ledaren i ett företag med 5–25 personer, där hälsouppgifterna ofta behandlas av verkställande direktören själv eller av en löneräkningspartner. Den är inte juridisk rådgivning i ett enskilt fall.

Vilka hälsouppgifter får arbetsgivaren behandla?

Hälsouppgifter hör till de särskilda kategorier av personuppgifter som avses i artikel 9 i EU:s allmänna dataskyddsförordning (GDPR). Enligt dataombudsmannens byrå är behandlingen av dem i princip förbjuden, om inte ett undantag från förbudet har föreskrivits. I arbetslivet finns undantaget i lagen om integritetsskydd i arbetslivet 759/2004. Gränserna för arbetssökande finns i guiden får man fråga om hälsa i en anställningsintervju.

Enligt 3 § i lagen får arbetsgivaren behandla endast personuppgifter som är direkt nödvändiga för anställningsförhållandet, och från kravet på nödvändighet kan man inte avvika ens med arbetstagarens samtycke. Enligt 5 § i lagen har arbetsgivaren rätt att behandla uppgifter om hälsotillståndet om de har samlats in hos arbetstagaren själv eller på annat håll med hans eller hennes skriftliga samtycke och behandlingen behövs

• för att betala lön för sjuktid eller därmed jämförbara förmåner som anknyter till hälsotillståndet,
• för att utreda om det finns en grundad orsak till frånvaron från arbetet, eller
• om arbetstagaren uttryckligen vill att arbetsförmågan utreds utifrån uppgifterna om hälsotillståndet.

Dessutom får uppgifterna behandlas när det föreskrivs någon annanstans i lag. Enligt 10 a § i lagen om företagshälsovård ska arbetsgivaren till exempel anmäla sjukfrånvaron till företagshälsovården senast när frånvaron har pågått en månad.

Får arbetsgivaren veta diagnosen?

Diagnosen kan komma till arbetsgivarens kännedom, men den får inte registreras. Enligt arbetarskyddsförvaltningen får arbetsgivaren bilda ett register över tidpunkterna för sjukfrånvaro till exempel för lönebetalningen, men får inte registrera diagnoser från sjukintyg som läkare har skrivit. Enligt arbetarskyddsförvaltningen har arbetsgivaren redan kännedom om vilken sjukdom som nedsätter arbetsförmågan om en diagnos krävs i sjukintyget. Arbetstagaren kan själv berätta mer om sin sjukdom om han eller hon vill.

När ett sjukintyg med diagnos lämnas till arbetsgivaren ser bara den utsedda handläggaren det, och i lönesystemet antecknas endast datumen. Olika slags intyg beskrivs i guiden sjukintyg till arbetsgivaren, och korta frånvaron i guiden sjukfrånvaro med egen anmälan. Arbetsarrangemangen kan i regel ordnas utan diagnos: det räcker med uppgifter om hur länge frånvaron varar och eventuella begränsningar.

Vad får företagshälsovården berätta för arbetsgivaren?

Dataskyddet inom företagshälsovården är strikt. Enligt dataombudsmannens byrås vanliga frågor får företagshälsovården inte lämna ut arbetstagarens hälsouppgifter till arbetsgivaren utan hans eller hennes samtycke. Företagshälsovården får ge arbetsgivaren uppgifter om arbetsförmågan bara på en allmän nivå, till exempel arbetsför, delvis arbetsför eller arbetsoförmögen, och i intyget antecknas inga enskilda testresultat eller diagnoser.

Enligt 13 § i lagen om företagshälsovård antecknas i intyget från en hälsoundersökning som gjorts på grund av arbetet en allmän bedömning av arbetstagarens hälsomässiga förutsättningar att sköta sina uppgifter. Enligt arbetarskyddsförvaltningen kommer arbetstagaren inför en företagshälsoförhandling ofta på förhand överens med företagshälsovården om vad som berättas om sjukdomen för arbetsgivaren.

Arbetsgivaren har ingen åtkomst till företagshälsovårdens patientdatasystem. Enligt 21 § i lagen om företagshälsovård 1383/2001 föreskrivs om upprättande och förvaring av journalhandlingar i lagen om klientuppgifter, så de är tjänsteproducentens handlingar. Därför flyttas de inte över till företaget när företagshälsovården byts.

Vilka uppgifter får arbetsgivaren? Tabell

Villkoren för narkotikatester beskrivs i guiden rusmedelsprogram på arbetsplatsen.

Vem får behandla hälsouppgifter och var förvaras de?

Enligt 5 § i lag 759/2004 får hälsouppgifter behandlas bara av de personer som utifrån dem bereder eller fattar beslut om anställningsförhållandet eller verkställer sådana beslut. Arbetsgivaren ska utse dessa personer eller ange de uppgifter som omfattar behandlingen, och de får inte röja uppgifterna för utomstående under anställningsförhållandet eller efter att det upphört. Enligt arbetarskyddsförvaltningen ska kretsen av handläggare vara så begränsad som möjligt.

Hälsouppgifter ska förvaras separat från andra personuppgifter. Enligt dataombudsmannens byrå får anteckningar om hälsotillståndet inte sparas till exempel tillsammans med löneadministrationens uppgifter. I ett litet företag betyder det i praktiken en separat, begränsad mapp eller del av ett system som bara de utsedda personerna kan öppna. Arbetsgivaren får lämna ett läkarintyg som arbetstagaren lämnat in vidare till företagshälsovården, om inte arbetstagaren har förbjudit det.

Hur länge får hälsouppgifter förvaras?

Lagen anger ingen fast förvaringstid. Enligt 5 § i lag 759/2004 ska uppgifter om hälsotillståndet raderas omedelbart när det inte längre finns en grund för behandlingen enligt lagen, och grunden för och behovet av behandlingen ska bedömas minst vart femte år. Arbetsgivarens förvaring av hälsouppgifter bygger alltså på behov, inte på en standardtid: när lönen har betalats och ärendet är behandlat, bedöm om intyget fortfarande behövs.

Exempel (fiktivt): ett programvaruföretag med 12 personer

En arbetstagare är sjukledig i två veckor och skickar läkarintyget till verkställande direktören per e-post. Verkställande direktören är utsedd handläggare: hon sparar intyget i en begränsad mapp, raderar e-postmeddelandet och antecknar bara frånvarodatumen i lönesystemet. Teamledaren får veta när arbetstagaren kommer tillbaka och ordnar arbetet utifrån det. När lönen för sjuktid har betalats och ärendet är behandlat bedömer verkställande direktören om intyget fortfarande behövs och raderar det när grunden har upphört. Exemplet är ingen kundberättelse.

Intern anvisning för behandling av hälsouppgifter: mall

Nedan finns en mall som kan kopieras som företagets egen anvisning. Den är en utgångspunkt, inte ett juridiskt dokument; gå igenom den med den person som ansvarar för dataskyddet.

BEHANDLING AV HÄLSOUPPGIFTER – [Företag Ab] – uppdaterad [datum]

Vad vi behandlar
- Datum för sjukfrånvaro och intyg som arbetstagaren lämnat in
  för lön för sjuktid och grunden för frånvaron.
- Vi registrerar inga diagnoser i löne- eller personalsystemet.

Vem behandlar
- Utsedda handläggare: [namn, roll] och [namn, roll].
- Chefen får veta hur länge frånvaron varar, inte orsaken.

Var förvaras
- Separat mapp: [system / sökväg], åtkomst bara för utsedda personer.
- Inte i e-post, chatt eller gemensamma mappar.

Hur länge
- Raderas genast när grunden upphör.
- Behovet bedöms minst en gång per år, enligt lagen senast vart femte år.

Företagshälsovården
- Företagshälsovården ger oss bara en allmän bedömning av arbetsförmågan.
- Vi anmäler sjukfrånvaro till företagshälsovården senast
  när frånvaron har pågått en månad.

Den årliga bedömningen av behovet är mallens egen linje, som är striktare än lagen.

Vad lönar det sig att berätta för teamet?

Arbetstagaren bör på förhand veta vad hans eller hennes uppgifter används till. Berätta i introduktionen hur intyget lämnas in, vem som ser det, vad som antecknas i lönesystemet och att företagshälsovården inte berättar diagnosen utan samtycke. Enligt dataombudsmannens byrå kan arbetstagaren fråga företagshälsovården vem som har behandlat hans eller hennes uppgifter och till vem de har lämnats ut.

I ett litet team är hälsan inget gemensamt samtalsämne. Om arbetstagaren själv vill berätta om sin sjukdom är det hans eller hennes val, och uppgiften förs inte vidare. Samma princip gäller psykisk hälsa på arbetsplatsen och samtal om tidigt stöd. Lag 759/2004 ska också hållas tillgänglig för arbetstagarna på arbetsplatsen.

Minneslista: ordning på hälsouppgifterna den här veckan

1. Utse handläggare för hälsouppgifter, vanligen en eller två personer.
2. Skapa en separat mapp med åtkomsträttigheter begränsade till de utsedda personerna.
3. Kontrollera att löne- eller personalsystemet inte innehåller diagnoser eller namn på sjukdomar.
4. Flytta intyg som blivit kvar i e-post och chatt till den separata mappen och radera kopiorna.
5. Skriv ned den interna anvisningen och berätta om den för teamet.
6. Kom överens med företagshälsovården om hur uppgifter om arbetsförmågan förmedlas och vem som tar emot dem.
7. Boka in en regelbunden bedömning av behovet i kalendern och radera uppgifter som det inte längre finns grund för.

Om lönen för sjuktid är oklar, se guiden sjukledighet och lön. Lagstadgad företagshälsovård ingår i alla StartHealths tjänstepaket.

Vanliga frågor