Obdelava OP v delovnih razmerjih

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da je novo potrjeni direktor državnega podjetja že pred nastopom mandata na podjetje poslal prošnjo, da mu pripravijo življenjepise zaposlenih, plače, dodatke in podobno. Zanima vas, če je to dopustno in v kakšnem obsegu.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma pojasnjuje, da je v skladu z 2. členom ZInfP samostojen in neodvisen državni organ, ki lahko poleg nalog, določenih v navedenem členu, na podlagi 49. člena ZVOP-1 daje tudi neobvezna mnenja, pojasnila, stališča, navodila in priporočila s področja varstva osebnih podatkov. Zato IP ne more presojati zakonitosti oziroma ustreznosti organizacije določenega poslovnega subjekta z vidika delovnopravne zakonodaje, saj to ne sodi v njegovo pristojnost.  Prav tako IP izven inšpekcijskega ali drugega upravnega postopka konkretnih obdelav osebnih podatkov oziroma ustreznosti konkretnega ravnanja upravljavca ne more presojati. Zato vam v nadaljevanju podajamo splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo osebnih podatkov.

Obdelava osebnih podatkov pomeni skladno s členom 4(2) Splošne uredbe o varstvu podatkov vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje.

Za vsako obdelavo osebnih podatkov mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov in so za zasebni sektor, kamor sodijo javna podjetja (še veljavna 23. točka 6. člena ZVOP-1), naslednje:

-           privolitev (točka (a)),

-           sklenitev ali izvajanje pogodbe (točka (b)),

-           zakon oziroma izvajanje javnih nalog (točka (c) oziroma (e)),

-           zakoniti interesi, ki prevladajo nad interesi posameznika (točka (f)).

Splošno pravno podlago za obdelavo osebnih podatkov v delovnih razmerjih predstavlja zakon, in sicer sme podjetje osebne podatke v vlogi delodajalca obdelovati primarno v okviru določb Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US in 22/19 – ZPosS; v nadaljevanju ZDR-1). Skladno s prvim odstavkom 48. člena ZDR-1 se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Vrste in vsebina evidenc na področju dela in socialne varnosti pa so določene v Zakonu o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06).

Glede na to IP pojasnjuje, da mora biti za vsako razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa do osebnih podatkov zaposlenih izven upravljavca podana ustrezna pravna podlaga iz člena 6(1) Splošne uredbe o varstvu podatkov, bodisi v zakonu bodisi na drugi podlagi. Vprašanje, kdo znotraj podjetja kot upravljavca osebnih podatkov ter v kakšnih primerih je upravičen do določenih osebnih podatkov zaposlenih, pa je predmet notranje organizacije podjetja. IP ob tem zgolj opozarja, da so skladno s četrtim odstavkom še veljavnega 24. člena ZVOP-1 funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. Na podlagi drugega odstavka 25. člena ZVOP-1 pa morajo upravljavci osebnih podatkov v svojih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov ter določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.

Ali je konkretni posameznik, ki ga izpostavljate v zaprosilu za mnenje, upravičen obdelovati osebne podatke zaposlenih v javnem podjetju ter v kakšnem obsegu, pa IP v okviru tega mnenja ne more odgovoriti.

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/vop/.

Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov, predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lep pozdrav,

                                                                                               Mojca Prelesnik, univ. dipl. prav.,                                               

                                                                                               informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.