这位同事生病了——从数据保护的角度来看，能否简单地将这一事实告知全体员工？
“迈尔女士今天没来，她又偏头痛了。”此类及类似的通报在不少企业中可能或多或少地频繁出现。毕竟，主管和员工需要知道是否必须分配或接管某些任务。然而，人力资源部门往往非常清楚一点：在处理员工的个人数据时必须谨慎。人们不禁要问：员工是否有权得知某位同事是否生病，甚至具体得了什么病？这是否构成严重的数据保护违规行为？
健康数据具有高度敏感性
根据《通用数据保护条例》（GDPR），某些特殊类别的个人数据处理受到更严格的条件约束。GDPR第9条第1款规定，健康数据属于此类特殊类别。根据定义，健康数据是指与自然人的身体或精神健康状况相关的个人数据，并能从中推断出该人的健康状况信息（GDPR第4条第15项）。雇主从雇员处收到的病假通知或工作能力丧失声明显然属于这一类别。此外，在公司内仅提及同事患病这一事实，实际上也构成了可识别该人健康状况的信息。
原则上，处理特殊类别的个人数据是被禁止的，仅在特定法律依据下才被允许（GDPR第9条第2款）。其中包括尤其：
- 为履行劳动合同义务而必需的数据处理；或者
- 受影响个人的同意。
数据保护方面的争议点：“迈尔女士生病了！”
鉴于涉及健康的员工数据具有高度敏感性，理想情况下，雇主应将其直接交由人力资源部门处理。然而，关于这些信息能否仅保留在人力资源部门内的疑问是合理的，因为其他员工确实需要知道某人无法联系以及持续多久，以及是否需要接管相关任务。那么，向全体员工通报“迈尔女士因偏头痛无法上班”是否属于必要的数据处理从而在法律上被允许呢？答案是否定的。毕竟，为了调整工作流程等事宜，完全没必要知晓迈尔女士的具体病情。
而且不仅如此：实际上，甚至没有必要让员工知道，迈尔女士缺席的原因是健康问题。因此，像“迈尔女士生病了，下周才回来”这样的通知，原则上很难被证明为必要的数据处理——无论是针对员工还是针对第三方，如商业伙伴。仅仅声明迈尔女士在特定时间内个人缺席就足够了，且符合目的——不提供任何可推断其健康状况的信息。联邦数据保护专员也认为，就缺勤名单而言，这种做法是允许的。
中间结论：从数据保护的角度来看，向员工或客户等第三方告知员工生病甚至具体健康问题，原则上是非常有问题的。顺便说一句，这也原则上适用于怀孕和产假。
更多相关内容：
- 企业达到多大规模需要设置数据保护官？
- GDPR：柏林电子商务集团被罚52.5万欧元
- 发生数据泄露后该怎么办？
通过同意和罚款解决问题
然而，有些员工可能并不介意同事知道他们生病的情况。在某些团队中，公开处理这些信息也可能符合团队文化。
鉴于这些及其他背景，如果受影响员工在发出相应通知之前已给出明确且最好以书面形式表达的同意，那么传递疾病信息也可能是允许的。出于自身利益考虑，雇主在此应谨慎思考，不应自动接受同意。此外，员工向团队领导透露疾病的更多信息，或者同事明显的孕肚，本身并不构成对其怀孕信息传播的同意。
遵守关于员工健康数据的数据保护规定最终也很重要，因为违规可能导致巨额罚款。例如，一家跨区域经营的汽车经销商集团曾向其客户群（约3,000人）通报了销售经理因病缺席的情况。主管机构处以10,100欧元的罚款。