Spółka, jako administrator danych osobowych pracowników, dysponuje określonymi informacjami na temat osób zatrudnionych co do zasady w celach związanych z realizacją uprawnień i obowiązków, wynikających z sektorowych przepisów prawa. W szczególności dotyczy to regulacji z zakresu prawa pracy, ubezpieczeń, rachunkowości oraz przepisów podatkowych. W przypadku przekazywania podmiotowi medycznemu informacji dotyczących pracownika w związku z zapewnieniem świadczeń tzw. medycyny pracy (tj. badań wstępnych, okresowych i kontrolnych), pracodawca ma obowiązek udostępnienia podmiotowi medycznemu określonych danych osobowych pracownika, zawartych na skierowaniu na profilaktyczne badania lekarskie. W związku z realizacją świadczeń z zakresu medycyny pracy podmiot medyczny także udostępnia pracodawcy określone dane osobowe pracownika, chociażby zawarte na orzeczeniu lekarskim wydanym w formie zaświadczenia.  Obowiązek pracodawcy do udostępnienia pewnych informacji dotyczących pracownika i uprawnienie do pozyskania wskazanych w przepisach prawa danych osobowych od podmiotu medycznego wynika z art. 229 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy, ustawy z dnia z dnia 27 czerwca 1997 r.  o służbie medycyny pracy oraz Rozporządzenia Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996 r. w sprawie przeprowadzania badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w Kodeksie pracy. Powyższe dotyczy jednak jedynie przypadków korzystania ze świadczeń tzw. medycyny pracy, określonych wprost w przepisach prawa. Nie ma więc zastosowania w sytuacji wymiany pomiędzy pracodawcą a podmiotem medycznym danych osobowych pracownika w związku z zapewnieniem dodatkowych świadczeń, nie przewidzianych w Kodeksie pracy, Rozporządzeniu oraz ustawie o służbie medycyny pracy. Pozyskanie więc od podmiotu leczniczego danych osobowych pracownika w zakresie zawartych na fakturze imienia i nazwiska pracownika korzystającego z określonych świadczeń medycznych powinno się odbywać na podstawie ogólnych podstaw legalności przetwarzania danych osobowych, o których mowa w art. 23 (w przypadku tzw. danych zwykłych) oraz 27 (w przypadku danych wrażliwych) ustawy o ochronie danych osobowych.

W świetle art. 27 ust. 1 ustawy o ochronie danych osobowych za dane wrażliwe uważa się dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również dane o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz dane dotyczące skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. W świetle powyższej definicji należy rozważyć status danych osobowych, których dotyczy przedmiotowa opinia, tj. imienia i nazwiska pracownika korzystającego ze świadczeń medycznych ze zwróceniem uwagi na fakt, czy przekazanie na fakturze komunikatu o zrealizowanych świadczeniach z podaniem imienia i nazwiska pracownika nie będzie informacją ujawniającą dane o stanie zdrowia. Według poglądu przedstawianego w piśmiennictwie, poprzez posłużenie się przez ustawodawcę zwrotem "dane ujawniające" można wywieźć, że danymi o charakterze wrażliwym (sensytywnym) będą zarówno informacje bezpośrednio, wprost wskazujące na określone w art. 27 ust. 1 ustawy o ochronie danych osobowych cechy osoby jak i informacje, z których tego rodzaju wiadomości (tj. dane o stanie zdrowia) przeciętny odbiorca może wyprowadzić z dużą dozą prawdopodobieństwa (Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz, Ochrona danych osobowych. Komentarz, wyd. V, s. 504). W omawianym przypadku uzasadnione jest przyjęcie, iż przekazane przez podmiot leczniczy dane dotyczące pracownika z połączeniem informacji o zrealizowanych świadczeniach medycznych będą stanowiły dane sensytywne w rozumieniu ustawy o ochronie danych osobowych. Twierdzenie to poparte jest stanowiskiem Generalnego Inspektora Ochrony Danych Osobowych, według którego „mając na względzie, że imię i nazwisko określonego pracownika wyszczególnione na fakturze wystawionej przez placówkę medyczną wskazują na fakt korzystania przez taką osobę z konkretnych świadczeń medycznych oraz częstotliwość korzystania z tego rodzaju świadczeń, można wnioskować pośrednio, że taka informacja dotyczy stanu zdrowia osoby, która ze świadczeń tych korzystała.” (Porady i Wskazówki GIODO, Serwis prawno-pracowniczy nr 47/2011, s. 4). Z uwagi na powyższe rozważania, przekazanie przez podmiot leczniczy danych osobowych pracownika na fakturze za zrealizowane usługi należy uznać za przetwarzanie danych osobowych, które mają charakter sensytywny.

Przez „przetwarzanie danych” należy rozumieć „jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych (…)”. Co do zasady przetwarzanie  danych wrażliwych jest zabronione, chyba że pracodawca wykaże jedną z podstaw legalności wskazanych w art. 27 ust. 2 ustawy o ochronie danych osobowych uprawniającą ten podmiot do pozyskania i dalszego dysponowania takimi danymi. Zgodnie z treścią tego artykułu, przetwarzanie danych sensytywnych jest dopuszczalne m. in. gdy osoba, której dane dotyczą wyrazi na to zgodę na piśmie (art. 27 ust. 2 pkt 1 ustawy o ochronie danych osobowych), przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą i stwarza pełne gwarancje ich ochrony (art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych), przetwarzanie jest niezbędne do wykonania zadań pracodawcy odnoszących się do pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie (art. 27 ust. 2 pkt 6 ustawy o ochronie danych osobowych). Ze względu na uwagi poczynione we wstępnej części opinii należy wykluczyć podstawy prawne, o których mowa w art. 27 ust. 2 pkt 2 i 6 ustawy o ochronie danych osobowych. Żaden bowiem przepis prawa regulujący stosunek zatrudnienia (w szczególności Kodeks pracy, Rozporządzenie oraz ustawa o służbie medycyny pracy) nie upoważnia pracodawcy do pozyskania informacji, z których pośrednio można wywieźć dane o stanie zdrowia pracownika, gdy ten korzysta ze świadczeń medycznych na zasadzie dobrowolności (innych niż tzw. medycyna pracy).

W związku z powyższym co do zasady podmiot leczniczy nie powinien udostępniać na fakturze informacji dotyczących pracowników, gdyż może to skutkować przetwarzaniem danych osobowych przez pracodawcę bez podstawy prawnej. Jedyną przesłanką legalizującą przetwarzanie danych osobowych pracownika o charakterze wrażliwym, w przypadku korzystania z dobrowolnych świadczeń medycznych, byłaby zgoda udzielona na piśmie (art. 27 ust. 2 pkt 1 ustawy o ochronie danych osobowych). Niemniej zastosowanie jej w niniejszym przypadku należy rozważyć także pod kątem tzw. zasady adekwatności, wyrażonej w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych, według której pracodawca jest zobowiązany zapewnić, że dane osobowe, które przetwarza jako administrator, są adekwatne w stosunku do celów, w jakich są przetwarzane. Zgodnie z powszechnie obowiązującą w doktrynie interpretacją adekwatność przetwarzania danych osobowych polega na zapewnieniu, aby zakres danych osobowych przetwarzanych w oparciu o właściwe podstawy prawne i w określonych celach nie wykraczał poza katalog danych niezbędnych, wystarczających do zrealizowania tych celów. Istotnym w tej sytuacji jest zatem określenie sposobu rozliczenia usług, świadczonych przez podmiot medyczny. W przypadku wykupienia pakietu usług w ramach miesięcznego abonamentu dla ilości pracowników zgłoszonych do dobrowolnej opieki medycznej, informacje o poszczególnych osobach faktycznie korzystających ze świadczeń wydają się zbędne do dokonania rozliczeń. Tym samym przetwarzanie danych osobowych pracowników które pozyskano za pośrednictwem faktury, nawet za pisemnie wyrażoną zgodą będzie mieć miejsce z naruszeniem ustawy o ochronie danych osobowych.