Dostop čistilk in vzdrževalcev do osebnih podatkov v poslovnih prostorih

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec RS (v nadaljevanju IP) je prejel vaše vprašanje, glede zagotavljanja varne obdelave osebnih podatkov v poslovnih prostorih, ko vanj vstopajo čistilke ali tehnični vzdrževalci. Zanima vas, ali je treba z njimi skleniti posebne dogovore ali pogodbe, ki bi jih zavezovali k varovanju zaupnosti osebnih podatkov, s katerimi se lahko seznanijo ob opravljanju svojega dela?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

IP pojasnjuje, da je organizacija, ki obdeluje osebne podatke dolžna zagotoviti zaupnost osebnih podatkov – tako, da se z osebnimi podatki lahko seznanijo zgolj pooblaščene osebe, ki osebne podatke potrebujejo za izvajanje svojega dela. Omogočanje dostopa do varovanih osebnih podatkov osebam, ki zaradi dela ne potrebujejo dostopa do osebnih podatkov ni v skladu z načelom zaupnosti osebnih podatkov (člen 5 (1)(f) Splošne uredbe). Več o zagotavljanju varne obdelave osebnih podatkov si lahko preberete v Smernicah o zavarovanju osebnih podatkov. Več o zagotavljanju varstva osebnih podatkov v delovnih razmerjih najdete v smernicah IP: Varovanje osebnih podatkov v delovnih razmerjih.

Dalje IP pojasnjuje, da čistilnih servisov, vzdrževalcev prostorov, ipd. tudi ne gre šteti za pogodbene obdelovalce v smislu člena 28 Splošne uredbe, saj namen njihove storitve ni obdelava osebnih podatkov (drugače je na primer računovodski servis, ki obračunava plače zaposlenim, kjer je njihova storitev neposredno povezana z obdelavo osebnih podatkov za upravljavca – naročnika storitve računovodenja – takšno stališče glede čistilnih servisov izhaja tudi iz Smernic IP o pogodbeni obdelavi; več na str.11). Več o pogodbeni obdelavi osebnih podatkov lahko najdete tudi v navedenih smernicah.

Glede vašega vprašanja v zvezi s posebnimi določbami ali pravnimi zavezami k zaupnosti, IP dodaja, da v okviru mnenja ne more podajati pravnih nasvetov glede ustreznih organizacijskih in tehničnih ukrepov, da se zagotovi varno obdelavo osebnih podatkov, skladno s členom 32 Splošne uredbe in 24. ter 25. členom ZVOP-1. V vsakem primeru pa bi morala pogodbena zagotovila o zaupnosti veljati vedno, ko obstaja možnost seznanitve s podatki, zlasti pa v primerih, ko neka oseba, ki deluje pod vodstvom ali navodili upravljavca, potrebuje dostop do osebnih podatkov zaradi svojega dela oziroma je seznanitev nujna za opravljanje njenega dela. Presoja o tem, kako se to tehnično in organizacijsko izvede, pa je naloga in odgovornost upravljavca.

Lep pozdrav,

Pripravil:

Anže Novak, univ. dipl. prav

Svetovalec Pooblaščenca za preventivo

Mojca Prelesnik, univ. dipl. prav

informacijska pooblaščenka