employee-health-data

员工健康数据

概述

员工健康数据是劳动关系中处理的最敏感个人数据类别之一。根据 GDPR 第 9(1) 条，它属于“与健康有关的数据”；第 4(15) 条将其定义为“与自然人的身体或精神健康有关的个人数据，包括提供医疗保健服务所产生的数据，这些数据能够揭示其健康状况”。雇主通常会为管理员工缺勤、评估其是否适合工作、开展职业健康监测、为残障员工调整工作场所，以及实施复工计划而处理健康数据。每项此类处理活动都必须确定有效的第 9(2) 条例外，严格遵循数据最小化原则，并明确划分雇主需要了解的信息（是否适合工作／是否不适合工作及所需的任何调整）与必须由职业健康服务提供方掌握的临床详情（诊断、治疗、预后）。

法律框架

第 9(2) 条关于员工健康数据的例外

例外情形	条款	劳动关系中的适用情形
明确同意	第 9(2)(a) 条	由于双方权力不对等，通常难以成立；可适用于真正自愿参加的健康促进计划
劳动法义务	第 9(2)(b) 条	主要依据：为履行劳动、社会保障和社会保护法规定的义务而进行必要处理——但须在国家法律授权的范围内，并采取适当的保障措施
重大利益	第 9(2)(c) 条	紧急情况下，员工因身体原因无法行动，且应急响应需要健康数据
医疗专业人员处理	第 9(2)(h) 条	为预防医学或职业医学、工作能力评估、医学诊断而进行处理——由受职业保密义务约束的医疗专业人员实施或在其责任下实施
公共卫生	第 9(2)(i) 条	公共卫生威胁（疫情应对）——必须以国家或欧盟法律为依据
重大公共利益	第 9(2)(g) 条	国家法律规定重大公共利益依据的情形，例如要求处理数据以评估合理调整措施的残障歧视立法

第 9(2)(b) 条——劳动义务

这是最常用的例外。其要求包括：

1. 国家法律授权：处理必须得到欧盟或成员国法律授权（不能仅以劳动合同为依据）
2. 适当的保障措施：国家法律必须为数据主体的基本权利和利益提供适当的保障措施
3. 必要性：处理必须是履行相关义务所必需的，而不仅仅是有用

各国实施情况：

司法管辖区	法律依据	适用范围
英国	DPA 2018, Schedule 1, Part 1, Para 1	为履行劳动义务而进行必要处理，包括健康与安全职责、法定病假工资、残障员工工作调整
德国	BDSG Section 26(3)	为劳动关系目的处理特殊类别数据，且为行使劳动法或社会保障法规定的权利或履行相关义务所必需
法国	Labour Code Art. L.4624-1 et seq.	职业健康监测；雇主只能收到适合／不适合工作的结论，而不能获知诊断
荷兰	UAVG Art. 30(1)(a)	为履行法律或集体协议规定的劳动权利和义务而进行必要处理
意大利	D.Lgs. 81/2008, Art. 25 and 41	职业健康监测；主管医生（medico competente）开展评估，并且只告知是否适合工作的判断

第 9(2)(h) 条 — 医疗专业人员例外

在医疗专业人员的执行或监督下进行处理，且该专业人员受职业保密义务约束时，允许进行此类处理。适用于：

• 职业健康医生开展适岗评估
• 公司护士提供现场健康服务
• 员工援助计划（EAP）咨询师

关键限制：医疗专业人员只能向雇主告知评估结论（适岗／不适岗／经调整后适岗），不得透露相关临床详情。诊断信息须由医疗专业人员与员工保密。

处理场景

场景 1：病假管理

雇主需要的信息：缺勤日期、缺勤是否有证明、预计返岗日期，以及所需的工作场所调整。

雇主不得获取的信息：诊断、治疗详情、预后、用药情况、心理健康具体情况。

数据流：

1. 员工按照病假政策通知雇主其缺勤情况
2. 员工向雇主提供适岗证明（英国：工作适岗声明）或由全科医生或主治医生出具的同等医疗证明
3. 适岗证明注明：(a) 日期范围，(b) 员工是「不适合工作」还是「经调整后可能适合工作」，以及 (c) 建议采取的任何调整
4. 雇主记录：缺勤日期、适岗证明日期和调整要求
5. 雇主无需索取或记录诊断信息（英国适岗证明上的诊断栏虽然可见，但除非员工为调整工作而主动提供，否则雇主不应将其记录在 HR 系统中）

Atlas Manufacturing Group 示例：Atlas 的病假政策规定，员工缺勤不超过 7 天时可自行证明；缺勤超过 7 天时须提供适岗证明。HR 系统仅记录缺勤日期和适岗／不适岗结论。适岗证明中的诊断栏不会录入 HR 系统。如果员工缺勤超过 4 周，公司会提供转介至职业健康服务的机会——职业健康报告会向雇主说明员工的适岗情况、调整措施和预计返岗日期，但不会披露临床诊断。

场景 2：适岗评估

触发情形：安全关键岗位（司机、机器操作员、高空作业人员）、长期缺勤后返岗，或雇主担忧员工能否安全履行其岗位职责。

数据流：

1. 雇主将员工转介至职业健康服务提供方，并提出具体的书面转介问题（例如：「员工是否适合操作叉车设备？是否需要调整工作场所？」）
2. 转介材料不得包含雇主尚未合法持有的健康信息
3. 职业健康服务提供方在员工配合下对其进行检查
4. 提供方向雇主出具报告，仅回答转介问题：适岗／不适岗／经调整后适岗
5. 如建议采取调整措施，应以功能性方式描述（例如「6 周内将举重重量限制在最多 10kg」），不作临床解释
6. 员工会收到报告副本，并可在报告发送给雇主前申请修改（英国《1988 年医疗报告查阅法》）

第 9(2)(h) 条的适用：职业健康服务提供方是受职业保密义务约束的医疗专业人员（注册于 GMC、NMC 或同等机构）。相关处理在其监督下进行。他们只向雇主提供作出雇佣决策所必需的信息。

场景 3：职业健康监护

范围：针对暴露于职业危害（噪声、振动、有害物质、电离辐射、石棉、铅）的员工依法开展的健康监护。

法律依据：第 9(2)(b) 条——依据落实《89/391/EEC 框架指令》的国家健康与安全法律所承担的法律义务。

主要义务：

• 健康监护必须由具备资质的职业健康专业人员开展
• 雇主会收到一份适任证明，注明员工是否适合接触特定危害
• 个体健康记录由职业健康服务提供方保管，而非由雇主保管
• 雇主会收到汇总统计数据（适任／不适任员工人数），用于风险评估
• 只有在员工同意或国家法律明确授权的情况下，才可向雇主提供个体检查结果

场景 4：残障与合理调整

法律依据：第 9(2)(b) 条，并结合国家残障歧视法律（英国：《2010 年平等法案》；欧盟：《2000/78/EC 就业平等待遇框架指令》）。

数据最小化原则：雇主需要了解：

• 员工是否患有符合残障法律定义的疾病（或可能患有此类疾病）
• 该疾病在工作情境下造成的功能限制
• 哪些调整可使员工胜任其岗位

雇主不需要了解：具体诊断、用药、治疗史或预后——除非员工自愿分享这些信息以协助调整流程。

场景 5：COVID-19 检测与疫苗接种（历史遗留）

背景：许多组织在疫情期间实施了 COVID-19 检测和疫苗接种状态核查。相关历史数据和政策可能仍然存在。

当前义务：

• 必须审查疫情期间收集的 COVID 检测数据，确保其保留方式合规
• 必须删除疫苗接种状态记录，除非持续的法律义务要求保留（例如，特定司法辖区的医护人员）
• 检测结果和疫苗接种记录属于第 9(1) 条规定的健康数据
• 疫情期间处理数据的合法依据（通常为第 9(2)(b) 条或第 9(2)(i) 条）可能不再适用，因为疫情相关法律框架已被废止

Atlas Manufacturing Group 示例：Atlas 于 2020—2022 年依据第 9(2)(b) 条（英国健康与安全法律义务）和第 9(2)(i) 条（公共卫生）收集 COVID 检测结果和疫苗接种状态。2022 年强制检测指引撤销后，Atlas 开展了数据保留审查，并于 2023 年 3 月删除了所有 COVID 检测数据和疫苗接种记录，仅保留用于职业健康报告的汇总统计数据。

场景 6：员工健康计划

说明：雇主提供的健康计划，包括健康风险评估、健身挑战、心理健康支持和生物特征筛查。

合法依据：第 9(2)(a) 条规定的明确同意——健康计划是少数可能有效适用同意的就业场景，因为：

• 参与完全出于自愿
• 不参与不会对就业造成不利后果
• 计划旨在为员工谋福利

条件：

• 同意必须细化至具体项目（对每项计划内容分别征求同意）
• 雇主不得接收个体健康数据；第三方健康服务提供方应处理数据，并仅向雇主提供汇总的匿名报告
• 员工必须能够随时撤回同意
• 直属经理不得知道谁参与了计划

数据最小化框架

雇主可以持有哪些数据

数据要素	是否允许	合法依据
缺勤日期	是	第 6(1)(b) 条：合同 + 第 9(2)(b) 条：就业义务
适合／不适合工作的结论	是	第 9(2)(b) 条：就业义务
必要的工作场所调整	是	第 9(2)(b) 条：残障立法
职业健康转介往来函件	是	第 9(2)(h) 条：健康专业人员
工作适任证明	是	第 9(2)(b) 条：健康与安全义务

雇主不得持有的数据

数据要素	是否禁止	原因
临床诊断	是（除非员工自愿分享）	对就业决策并非必要
治疗详情	是	并非必要；构成不成比例的侵入
用药信息	是	并非必要；可能揭示与工作无关的健康状况
心理健康咨询记录	是	由健康专业人员依专业保密义务处理
全科医生／医院记录	是	雇主无权合法访问
基因检测结果	是	第 9(1) 条 + 第 9(4) 条规定的特定国家限制

健康数据访问控制

按需知悉层级

角色	访问级别
人力资源经理（员工关系）	缺勤日期、适合／不适合工作的结论、调整要求
直属经理	仅限缺勤日期和预计返岗日期；不得访问健康详情
职业健康服务提供方	完整临床信息（受专业保密义务约束）
DPO	可访问处理记录并检查政策合规情况；不得访问个人健康数据
薪资部门	仅为计算法定病假工资而访问缺勤日期
IT	不得访问健康数据内容；仅限系统管理

技术控制

• 健康数据必须存储在人力资源系统中独立且受访问控制的区域（不得存放在一般员工档案中）
• 访问健康数据字段需要特定角色权限，并须记录审计日志
• 静态存储的健康数据必须加密（AES-256）
• 健康数据不得纳入一般人力资源报告或分析
• 如果健康数据访问模式显示异常活动，自动警报必须通知 DPO

执法先例

监管机构	案例	罚款／结果	主要问题
LfDI Hamburg（德国）	H&M，2020	EUR 35,258,707.95	雇主系统性记录员工复工谈话中的健康详情，包括诊断和家庭成员健康问题
CNIL（法国）	SAN-2021-015	EUR 150,000	雇主在 COVID 筛查期间收集了超出法律要求范围的过多健康数据
Garante（意大利）	Provvedimento 2022-0156	限制处理	雇主要求员工在病假表上披露诊断
ICO（英国）	执法通知，2021	下令停止处理	雇主未经必要性审查或取得同意，便向直属经理分享员工心理健康数据
AEPD（西班牙）	PS/00142/2022	EUR 100,000	雇主在法律依据失效后仍处理员工 COVID 疫苗接种状态

集成点

• 就业场景下的同意限制：在就业场景中，处理健康数据所依据的同意受到限制（参见 employment-consent-limits 技能）。
• 员工 DSAR 回复：员工 DSAR 中经常会请求健康数据（参见 employee-dsar-response 技能）。
• 人力资源系统隐私配置：人力资源系统中的健康数据需要专门的访问控制（参见 hr-system-privacy-config 技能）。
• 员工监控 DPIA：涉及健康数据的健康计划需要进行 DPIA（参见 employee-monitoring-dpia 技能）。
• 背景调查隐私：残障歧视法限制了就业前健康问题的询问（参见 background-check-privacy 技能）。