Obdelava registrskih številk delavcev s strani delodajalca

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Na e-naslov Informacijskega pooblaščenca RS (v nadaljevanju IP) ste se obrnili s svojim zaprosilom za mnenje. Zanima vas, ali lahko zahtevate podatek o registrski tablici zaposlenega, v kolikor gre zaposleni na službeno pot z lastnim vozilom?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

* * *

Uvodoma poudarjamo, da mora za obdelavo osebnih podatkov obstajati ena od pravnih podlag, ki jih Splošna uredba določa v 6. členu za zasebni sektor in sicer:

- privolitev (točka (a)),

- sklenitev ali izvajanje pogodbe (točka (b)),

- zakon (točka (c)),

- zaščita življenjskih interesov posameznika (točka (d)) ali

- zakoniti interesi, za katere si prizadeva upravljavec (točka (f)).

Skladno z 48. členom Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS in 81/19, v nadaljevanju: ZDR-1) delodajalec obdeluje osebne podatke delavca samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Poudarjen je torej namen: če ne obstaja izrecna zakonska podlaga ter zbiranje in obdelava osebnih podatkov nista potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja, oz. v zvezi z delovnim razmerjem, obdelava skladno s tem členom ne bo dopustna. Ob tem pa je treba upoštevati tudi načelo najmanjšega obsega podatkov ((b) točka prvega odstavka 5. člena Splošne uredbe), ki določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Ker 48. člen ZDR-1 dopušča obdelavo osebnih podatkov delavcev pod pogojem, da je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, mora delodajalec natančno obrazložiti oziroma izkazati, zakaj bi rad te podatke zaposlenega obdeloval. To pomeni, da je treba osebne podatke delavcev, ki jih delodajalec lahko obdeluje, kadar je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, presojati od primera do primera za vsakega zaposlenega posebej glede na obveznosti, omejitve in naravo posameznega delovnega mesta, kot izhaja iz ZDR-1 ali drugih predpisov, pogodbe o zaposlitvi ali internih aktov delodajalca.

Če delodajalec ne izkaže, da je posredovanje podatkov zaposlenega potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati.

Pogojno pa bi lahko bila ustrezna pravna podlaga za zakonito obdelavo osebnih podatkov konkretnega primera tudi veljavna privolitev zaposlenega, v skladu s točko (a) člena 6(1) Splošne uredbe o varstvu podatkov. Ob tem IP izpostavlja, da je obdelava delavčevih osebnih podatkov na podlagi njegove osebne privolitve dopustna le izjemoma pod pogojem, da njegova zavrnitev nima nikakršnih posledic na delovno razmerje oziroma na delavčev pravni položaj.

V vsakem primeru morate kot delodajalec zaposlenemu zagotoviti tudi v 13. členu Splošne uredbe o varstvu podatkov navedene informacije. Skladno z določbo 13. člena je namreč dolžan upravljavec v primeru, kadar so bili osebni podatki  pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije:

• identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja;

1. kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja;
2. namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
3. kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;
4. uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo;
5. kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49(1) sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo;
6. tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena, in sicer:

• obdobje hrambe osebnih podatkov ali, kadar to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
• obstoj pravice, da se od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov ali omejite obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora obdelavi in pravice do prenosljivosti podatkov;
• obstoj pravice, da se lahko privolitev kadarkoli prekliče, ne da bi to vplivalo na zakonitost obdelave podatkov, ki se je na podlagi privolitve izvajala do njenega preklica;
• pravico do vložitve pritožbe pri nadzornem organu.

IP sklepno povzema, da je za vsako obdelavo osebnih podatkov treba torej najprej zagotoviti ustrezno pravno podlago. Izbor ustrezne pravne podlage za posamezno obdelavo je stvar ocene konkretnih okoliščin, odgovornost za izbiro pa nosi upravljavec.

V upanju, da smo vam z našimi pojasnili pomagali, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka