Pogodbena obdelava, rezultati psiholoških testiranj
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 26.12.2019Številka: 0712-1/2019/2967
Kategorije: Delovna razmerja, Pogodbena obdelava podatkov, Pravne podlage
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede razmerja med MJU in Uradniškim svetom, in sicer vas zanima, kakšno je vaše medsebojno razmerje glede obdelave osebnih podatkov ter ali je treba skleniti pogodbo o obdelavi osebnih podatkov. Prav tako vas zanima obdelava rezultatov psiholoških testiranj kandidatov.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
IP uvodoma pojasnjuje, da v skladu s 4. členom Splošne uredbe o varstvu podatkov pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, pojem »obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.
Pogodbeni obdelovalci so tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oz. namen zanj obdelujejo osebne podatke posameznikov. IP poudarja, da je bistvenega pomena dejstvo, da lahko obdelovalec osebne podatke obdeluje zgolj za namene, za katere ga je pooblastil upravljavec in torej osebnih podatkov ne obdeluje za lastne namene. V vlogi obdelovalca bo tako nastopala tista pravna oziroma fizična oseba, ki bo obdelavo osebnih podatkov izvrševala izključno v imenu in za račun upravljavca osebnih podatkov, bo pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca.
Za določitev medsebojnega razmerja so torej bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Za razlikovanje med upravljavcem in obdelovalcem osebnih podatkov je tako ključno, da je obdelovalec samostojna, od upravljavca ločena pravna entiteta, in da osebne podatke vselej obdeluje le v imenu in za račun upravljavca. Gre torej za primere, ko upravljavec, ki bi posamezne aktivnosti v zvezi z osebnimi podatki lahko izvedel sam, sprejme odločitev, da jih bo iz različnih razlogov zaupal obdelovalcu. Ker slednji dela v imenu in za račun upravljavca, je eden pomembnih elementov razmerja med njima tudi nadzor upravljavca nad obdelavo osebnih podatkov, ki jo zanj izvaja obdelovalec.
IP poudarja, da v okviru mnenja ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je na vsakem upravljavcu (oz. obdelovalcu) posebej. IP sicer meni, da zgoraj navedeni pogoji v primeru, ki ga navajate v vašem zaprosilu, po vsej verjetnosti niso izpolnjeni. Uradniški svet, kot tudi sami navajate v vašem zaprosilu, ni samostojen pravni subjekt, ki bi bil ločen od vašega ministrstva. Prav tako ne obdeluje osebnih podatkov v vašem imenu in za vaš račun, prav tako ne črpa pravne podlage za obdelavo iz vaših upravičenj, ampak neposredno iz določb Zakona o javnih uslužbencih (ZJU; Uradni list RS, št. št. 63/07 – uradno prečiščeno besedilo, 65/08, 69/08 – ZTFI-A, 69/08 – ZZavar-E in 40/12 – ZUJF). Iz navedene pravne podlage svojo pravno podlago za obdelavo črpajo tudi posebne natečajne komisije, ki so imenovane na podlagi 60. člena ZJU, zato po mnenju IP tudi v tem primeru ne gre za pogodbeno obdelavo.
Glede obdelave osebnih podatkov kandidatov za zaposlitev IP najprej splošno pojasnjuje, da delodajalec lahko od kandidata za zaposlitev zbira le tiste osebne podatke, ki so potrebni za presojo o tem, ali ima kandidat ustrezna znanja in izkušnje oziroma ali izpolnjuje pogoje, določene v objavi prostega delovnega mesta. Pri tem mora upoštevati načelo najmanjšega obsega podatkov in nabor osebnih podatkov prilagoditi delovnemu mestu. Vsekakor rezultati testov (tudi psiholoških), ki so jih kandidati opravili v okviru izbirnega postopka, predstavljajo zbirko osebnih podatkov, ki jo upravlja delodajalec. Dokumentacijo, ki nastane v izbirnem postopku, je treba hraniti, dokler je mogoče uveljavljati pravice, ki izvirajo iz izbirnega postopka oziroma je možno vložiti ovadbo ali odškodninsko tožbo oziroma dokler specialni predpisi za posamezne postopke to zahtevajo. Ob tem IP opozarja na načelo omejitve shranjevanja iz 5. člena Splošne uredbe o varstvu podatkov, v skladu s katerim se osebni podatki v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, hranijo le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo.
Ob tem IP pojasnjuje, da se potrdila tistih kandidatov, ki so sami izrazili željo, da delodajalec njihove vloge hrani za namene eventualnih novih razpisov in so za ta namen tudi podali svojo nedvoumno privolitev, lahko hranijo tudi dlje.
Na podlagi navedenega IP tako meni, da v kolikor se kandidat istočasno prijavi na več primerljivih delovnih mest in se istočasno oziroma v ozkem časovnem okviru izvede izbirni postopek za ta delovna mesta, se lahko uporabijo rezultati enega testiranja za vse postopke. Ob tem IP opozarja, da ste kot upravljavec osebnih podatkov med drugim dolžni posameznikom, katerih osebne podatke obdelujete (torej kandidatom za zaposlitev) zagotoviti informacije, ki jih določata 13. in 14. člen Splošne uredbe o varstvu podatkov.
V prihodnjih postopkih pa se rezultati psiholoških testiranj lahko uporabijo, v kolikor so kandidati podali privolitev iz prejšnjega odstavka. Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP:
S spoštovanjem.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca
za varstvo osebnih podatkov
Mojca Prelesnik, univ. dipl. prav.,
Informacijska pooblaščenka