W styczniu 2021 r. Cypryjski organ nadzorczy (Commissioner for Personal Data Protection) wydał decyzję odnoszącą się do armatora statków Sea Chefs Cruises Ltd., który pozyskiwał uprzednie zgody pracowników na udostępnianie danych medycznych pracodawcy oraz wielu innym podmiotom.  Organ nadzorczy nakazał pracodawcy, na podstawie art 58 ust. 2 lit. d RODO, zaprzestanie przetwarzania danych dotyczących zdrowia pracowników na podstawie wyraźnej zgody oraz przetwarzanie wyłącznie tych danych dotyczących zdrowia w kontekście zatrudnienia, które są niezbędne do wywiązania się z obowiązków określonych przepisami prawa lub układami zbiorowymi do celów rekrutacji, wykonywania umowy wykonania umowy o pracę, bezpieczeństwa i higieny pracy, oraz wykonywania i korzystania z praw i przywilejów przez pracowników. Postępowanie przed tym Cypryjskim organem nadzorczym rozpoczęło się od skargi pracownika złożonej do Niemieckiego organu nadzorczemu, który uznał, że wiodącym organem nadzorczym jest ten Cypryjski będący organem właściwym ze względu na siedzibę administratora danych. Z ustalonego stanu faktycznego wynika, że kandydat do pracy na statku zarządzanym przez Sea Chefs Cruises Ltd. był zobowiązany do podpisania generalnego upoważnienia/zezwolenia na udostępnianie jego danych dotyczących zdrowia szerokiej gamie podmiotów współpracujących z pracodawcą w przypadku sytuacji kryzysowych.  Podpisywany dokument stanowił, iż kandydat na pracownika wyraża wyraźną zgodę na udostępnienie jego danych dotyczących zdrowia szeregu podmiotom: Namely the “Authorisation for release of medical records” provides multiple purposes inter alia (1) the authorisation given to any doctor, pharmacist, insurance company etc. to disclose to Sea Chefs Cruises Ltd all health information and medical records […] (2) consent given to any other company or any other doctor […] who is in possession of medical/health data to allow Sea Chefs Cruises Ltd free access to those data (3) consent to the ability of the Company to ask questions and discuss the medical information […] (4) consent to transfer or disclose medical data to local or foreigh. Administrator danych uważał jednak, że: The company prepared and […]