Posredovanje osebnih podatkov zaposlenih krovni družbi
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 20.11.2014Številka: 0712-1/2014/3614
Kategorije: Upravljanje gospodarskih družb Prejeli smo vaše elektronsko sporočilo, v katerem sprašujete za mnenje glede promocijskega oglaševanja preko elektronske pošte. Skupino HSE sestavljajo krovna družba HSE d.o.o. in odvisne družbe v njeni 100 % lasti (DEM; SENG; TEŠ) ter družbe v večinski lasti (PV;TET). Med krovno in odvisno družbo ne obstaja nikakršna pogodba o obvladovanju. Krovna družba neprestano zahteva podatke od odvisnih družb, med drugim tudi osebne podatke zaposlenih. Zanima vas, ali lahko odvisna družba posreduje te podatke krovni družbi, ki je ne-nazadnje »druga« pravna oseba.Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Ur. l. RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji:Osebne podatke vaših zaposlenih lahko tretjim osebam (tudi krovni družbi) posredujete le, če imate za to pravni temelj, v konkretnem primeru bi lahko bil dan z ZDR-1, če je posredovanje podatkov vaših zaposlenih krovni družbi potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.O b r a z l o ž i t e v:Kot že izhaja iz vaših navedb, je vaša družba samostojna pravna oseba in kot taka ustreza definiciji upravljavca osebnih podatkov opredeljeni v 6. točki 6. člena ZVOP-1, ki določa, da je upravljavec fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov, oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. ZVOP-1 torej ne dopušča možnosti, da bi kot isti upravljavec osebnih podatkov veljali povezani družbi. ZVOP-1 torej določa, da je vsaka gospodarska družba, ne glede na kapitalski delež drugih družb, upravljavec osebnih podatkov po 6. točki 6. člena ZVOP-1.Iz vašega dopisa izhaja, da želi krovna družba pridobiti osebne podatke zaposlenih v odvisni družbi. Kot že pojasnjeno, se odvisna družba šteje za upravljavca zbirke osebnih podatkov svojih zaposlenih, krovna družba pa ima v takšnem primeru položaj tretje osebe, ne glede na lastniška razmerja med njima. Tako kot vsaka tretja oseba torej tudi krovna družba potrebuje pravno podlago za obdelavo osebnih podatkov iz zbirke odvisne družbe, oz. mora imeti odvisna družba pravno podlago, da te podatke posreduje krovni družbi.Pravne podlage za obdelavo (tudi posredovanje) osebnih podatkov v zasebnem sektorju opredeljuje 10. člen ZVOP-1. Ta v prvem odstavku določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Glede posredovanja osebnih podatkov zaposlenih lahko pravno podlago v smislu 10. člena ZVOP-1 predstavlja Zakon o delovnih razmerjih (Ur. l. RS, št. 21/13 in 78/13, v nadaljevanju ZDR-1), ki v 48. členu ZDR določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Na podlagi vašega dopisa Pooblaščenec ne more ugotoviti, ali bi bilo posredovanje osebnih podatkov vaših zaposlenih krovni družbi potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Navedeno bi lahko Pooblaščenec ugotovil šele ob uvedbi postopka inšpekcijskega nadzora. Hkrati Pooblaščenec še dodaja, da posredovanje teh podatkov na podlagi privolitve zaposlenih v konkretnem primeru ne bi bilo primerno, saj je v razmerju med delodajalcem in delavcem težko govoriti o resnično prostovoljni privolitvi delavca.S spoštovanjem,Informacijski pooblaščenec:Mojca Prelesnik, univ. dipl. prav.,pooblaščenka