Ročni vpis na evidenčni list prihodov in odhodov delavcev

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec RS (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje v zvezi z varstvom osebnih podatkov prihoda in odhoda zaposlenih na/iz delovnega mesta. Pojasnjujete, da se zaposleni ob prihodu in izhodu ročno vpisujejo na skupni evidenčni list, kar ne preprečuje zaposlenim, da bi se seznanili s podatki prihoda in odhoda sodelavca.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

Katere osebne podatke (psevdonimne ali npr. osebno ime) bo delodajalec zbiral v konkretnem primeru, da bo lahko vodil Evidenco o izrabi delovnega časa, (ki jo zahteva 18. člen ZEPDS), bo odvisno od notranje organizacije, ki mora biti sprejeta glede na ocenjena tveganja.

Obrazložitev

IP uvodoma pojasnjuje, da v okviru mnenja ne more podati stališča glede skladnosti konkretnih obdelav osebnih podatkov. IP lahko podaja dokončna stališča glede skladnosti konkretnih obdelav osebnih podatkov le v okviru inšpekcijskega ali drugega ustreznega postopka. V okviru mnenja lahko poda le usmeritve na pogoje, ki jih morajo upravljavci upoštevati za zagotavljanje skladnosti s Splošno uredbo.

Na vprašanje podobno vašemu je IP že podal odgovor v svojem mnenju: Evidenca o izrabi delovnega časa, št. 07120-1/2020/16, z dne 16.01.2020, in predlagamo, da se s tem mnenjem seznanite.

IP dodaja, da je delodajalec skladno z 18. členom Zakona o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06) dolžan voditi tudi Evidenco o izrabi delovnega časa za posameznega delavca, kamor mora dnevno vpisovati naslednje podatke:

• podatke o številu ur,
• skupno število opravljenih delovnih ur s polnim delovnim časom in s krajšim delovnim časom od polnega z oznako vrste opravljenega delovnega časa,
• opravljene ure v času nadurnega dela,
• neopravljene ure, za katere se prejema nadomestilo plače iz sredstev delodajalca, z oznako vrste nadomestila,
• neopravljene ure, za katere se prejema nadomestilo plače v breme drugih organizacij ali delodajalcev in organov z oznako vrste nadomestila,
• neopravljene ure, za katere se ne prejema nadomestilo plače,
• število ur pri delih na delovnem mestu, za katera se šteje zavarovalna doba s povečanjem, oziroma na katerih je obvezno dodatno pokojninsko zavarovanje, z oznako vrste statusa.

Skladno s členom 32 Splošne uredbe mora upravljavec ali obdelovalec sprejeti ustrezne tehnične in organizacijske, da prepreči – med drugim tudi – neupravičen vpogled ali dostop do osebnih podatkov. Ustrezen ukrep za zagotavljanje (bolj) varne obdelave osebnih podatkov je lahko tudi t.i. »psevdonimizacija« (npr. da se zaposleni namesto s svojim imenom vpiše s posebno njemu dodeljeno šifro, kar zagotavlja višjo raven varstva osebnih podatkov in zmanjšuje tveganje pred neupravičenimi vpogledi).

Tveganja je v konkretnih okoliščinah dolžan oceniti upravljavec in če ugotovi, da so tveganja visoka, potem lahko z ukrepi kot je psevdonimizacija navedena tveganja zmanjša. Za sprejem ustreznih ukrepov pa je glede na tveganja odgovoren upravljavec. Ocena tveganj v pisni obliki pomaga upravljavcu pri izkazovanju skladnosti glede obdelave osebnih podatkov. Več o izvedbi ocene tveganj predlagamo, da si preberete v Smernicah glede ocene učinkov na varstvo osebnih podatkov (str. 24; Pri tem opozarjamo, da je oceno tveganj v zvezi s izpolnjevanjem obveznosti po členu 32 Splošne uredbe treba razlikovati od ocene učinkov, ki predstavlja ločeno obveznost po členu 35 Splošne uredbe in jo opisujejo smernice IP. Ocena tveganj pa je sicer del ocene učinkov in zato v tem primeru napotujemo na poglavje v smernicah o oceni učinkov, kjer je opisana tudi ocena tveganja).

Katere osebne podatke (psevdonimne ali npr. osebno ime) bo delodajalec zbiral v konkretnem primeru, da bo lahko vodil navedeno Evidenco o izrabi delovnega časa, ki se zahteva po zakonu, bo torej odvisno od notranje organizacije, ki mora biti sprejeta glede na ocenjena tveganja.

Lep pozdrav,

Pripravil:

Anže Novak, univ. dipl. prav

Svetovalec Pooblaščenca za preventivo

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka