Vpogled v evidenco prisotnih zaposlenih

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da v vaši organizaciji elektronsko beležite delovni čas zaposlenih. Zaposlenim omogočate vpogled v poimenski seznam zaposlenih, ki so v danem trenutku prisotni na sedežu delodajalca, pri čemer pa razlog odsotnosti (letni dopust, bolniška ipd.) ni razviden. Nekateri zaposleni sicer pravijo, da jim ta seznam prav pride, ker tako vedo, ali sodelavcu lahko prevežejo telefon ali ne, ker vidijo, ali je v službi. Zanima vas, ali je tak vpogled zaposlenih z vidika varstva osebnih podatkov sploh dopusten.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Obdelava osebnih podatkov je dopustna le, če zanjo obstaja ustrezna pravna podlaga. V členu 6 Splošne uredbe so tako določene pravne podlage, in sicer:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

V delovnih razmerjih se osebni podatki obdelujejo primarno na podlagi zakonske določbe, in sicer pravno podlago v smislu člena 6(1)(c) predstavljata Zakon o evidencah na področju dela in socialne varnosti (Ur. l. RS, št. 40/06, v nadaljevanju ZEPDSV) in Zakon o delovnih razmerjih (Ur. l. RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1).

Čeprav ZEPDSV izrecno določa vrste in vsebino evidenc na področju dela in socialne varnosti, način zbiranja podatkov, način vodenja in povezovanja evidenc in način posredovanja podatkov, pa ZDR-1 v prvem odstavku 48. člena še na splošno določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Tako so evidence, ki jih morajo delodajalci voditi v skladu ZEPDSV, izrecno določene v 12. členu tega zakona (med njimi je tudi evidenca o izrabi delovnega časa), 13. člen pa določa še njihovo vsebino. Ker pa prvi odstavek 48. člena ZDR-1 dopušča obdelavo osebnih podatkov tudi brez dodatne podlage v drugem zakonu, lahko delodajalec od delavca sicer zahteva/obdeluje tudi druge osebne podatke kot tiste določene z ZEPDSV, vendar le pod pogojem, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Samo evidentiranje prisotnosti na delu tako ni v nasprotju s Splošno uredbo, saj je takšno evidentiranje potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja oz. je v zvezi z delovnim razmerjem. Zaposleni namreč na tak način dokazuje prisotnost na delovnem mestu oz. izpolnjevanje pogodbenih obveznosti.

Ne glede na navedeno pa IP pojasnjuje, da je vsak upravljavec dolžan zagotoviti zavarovanje osebnih podatkov na način, kot ga določa 24. člen ZVOP-1, ki v tem delu še ostaja veljaven kljub sprejemu Splošne uredbe. Slednji v prvem odstavku določa, da mora upravljavec sprejeti organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava osebnih podatkov.  

Skladno z drugim odstavkom 25. člena ZVOP-1, ki je skladno s pojasnili Ministrstva za pravosodje[1] v zasebnem sektorju veljaven le kot »primerno sredstvo za naslovitev tveganj”, upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Dostopnost do posamezne zbirke (npr. o prisotnosti zaposlenih na delovnem mestu) znotraj upravljavca je torej stvar odločitve upravljavca. Povedano drugače, odločitev o tem, ali bodo zaposleni imeli dostop do zbirke podatkov o prisotnosti, ni pravica zaposlenih, temveč je stvar organizacije in vodenja dela znotraj upravljavca. Za organizacijo in vodenje dela imajo delodajalci določeno odgovorno osebo (npr. direktor). IP pa izven inšpekcijskega postopka ne more presojati posameznih vidikov ustreznosti organizacije dela in s tem povezanih obdelav osebnih podatkov znotraj posameznega upravljavca.

Če je torej seznanitev vseh zaposlenih s prisotnostjo/odsotnostjo posameznega zaposlenega potrebna zaradi potreb organizacije dela (kot navajate), je to lahko skladno z zgoraj navedenim. Odgovornost za odločitev in presojo utemeljenosti pa je na strani delodajalca. Za konec IP še dodaja, da je v vsakem primeru pravilna odločitev, da razlog odsotnosti zaposlenega širšemu krogu zaposlenih ni razviden, saj bi takšno obdelavo osebnih podatkov težko utemeljili kot potrebno; posebna previdnost je potrebna pri obdelavi osebnih podatkov, povezanih z zdravjem (npr. bolniška odsotnost).

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

                                                                          Mojca Prelesnik, univ.dipl.prav.,                                                  informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

[1] Prva sistemska pojasnila Ministrstva za pravosodje ob začetku razvoja uporabe nove evropske zakonodaje o varstvu osebnih podatkov z dne 28. 5. 2018.