Pošiljanje plačilnih list

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je e-pošti prejel vaše vprašanje. Navedli ste, da v vašem podjetju razmišljate o možnosti pošiljanja plačilnih list zaposlenim po e-pošti. O tem nameravate najprej seznaniti zaposlene in z njihovim soglasjem pridobiti njihove osebne e-naslove in kriptirati gesla. Sprašujete, kaj to pomeni v zvezi z varstvom osebnih podatkov.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. 

Na podobna vprašanja, kot je vaše, je IP v preteklosti že podal svoja nezavezujoča mnenja, ki jih lahko poiščete z uporabo iskalnika, ki je dostopen na https://www.ip-rs.si/vop/. Gre na primer za mnenji št. 0712-1/2019/1757 z dne 25.10.2019 in št. 0712-1/2019/1555 z dne 28.6.2019.

Kot smo poudarili npr. v zgoraj citiranem mnenju št. 0712-1/2019/1555, je pošiljanje plačilnih list prek elektronskega naslova načeloma dopustno, pri čemer pa mora delodajalec poskrbeti za ustrezno varnost pri prenosu osebnih podatkov, saj lahko ti dokumenti vsebujejo tudi posebne vrste osebnih podatkov (npr. članstvo v sindikatu), kakor tudi zagotoviti, da se lahko s plačilno listo seznani samo ustrezen prejemnik. Pri njihovem prenosu je treba upoštevati 14. člen ZVOP-1, ki  določa, da morajo biti osebni podatki posebej označeni in zavarovani. Pri prenosu preko telekomunikacijskih omrežjih so ti podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. Tudi če plačilna lista ne vsebuje posebnih vrst osebnih podatkov priporočamo, naj bo zavarovana z geslom.

Izbor primernih tehničnih in organizacijskih ukrepov za zavarovanje osebnih podatkov je odgovornost upravljavca osebnih podatkov, IP vam lahko poda zgolj splošna priporočila. Priporočamo vam, da pri pošiljanju plačilnih list na zasebne e-naslove upoštevate zgoraj omenjene ukrepe za zavarovanje osebnih podatkov. Kot ste navedli tudi sami, je za pošiljanje plačilnih list na e-naslove potrebno zagotoviti tudi ustrezno pravno podlago skladno s Splošno uredbo, npr. privolitev zaposlenih (več informacij o privolitvi je dostopnih na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/).

Več o zavarovanju osebnih podatkov si lahko preberete v Smernicah IP Zavarovanje osebnih podatkov, ki so dostopne na:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                              

Barbara Pirš, univ.dipl.prav.,

Svetovalka Pooblaščenca za preventivo