Testiranje računalniškega programa za obdelavo plač
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 22.04.2007Številka: 0712-387/2007/2
Kategorije: Delovna razmerja Spoštovani,dne 05.04.2007 smo po elektronski pošti prejeli vaše vprašanje, ki se nanaša na področje varstva osebnih podatkov. Navajate, da ste računalniško podjetje, ki svojim strankam med drugim ponuja tudi progam za izračunavanje plač zaposlenih, pri čemer pri postavitvi in testiranju tega programa po sami naravi dela prihajate v stik z osebnimi podatki naročnikovih zaposlenih, v tem primeru predvsem z njihovimi plačami, njihovega soglasja za to pa nimate. Pri tem obenem navajate, da sami ne vodite nobene zbirke osebnih podatkov (to opravlja podjetje – naročnik) in da ste v stiku s temi podatki le toliko, kolikor je to nujno potrebno za izpolnjevanje pogodbenih obveznosti med vami in naročnikom. V zvezi s tem vas zanima, ali je za opravljanje vašega dela dovolj sklicevanje na 11. člen ZVOP-1 (pogodbena obdelava osebnih podatkov v okviru pooblastil) ali od podjetja – naročnika potrebujete še kakšno posebno pooblastilo za uporabo osebnih podatkov zaposlenih pri testiranju programov?Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem o posredovanju osebnih podatkov.Pooblaščenec uvodoma pojasnjuje, da je po 6. tč. 1. odst. 6. čl. ZVOP-1 upravljavec osebnih podatkov fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Iz 7. tč. 1. odst. 6. čl. ZVOP-1 obenem izhaja, da je pogodbeni obdelovalec fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in za račun upravljavca osebnih podatkov. Ob tem pojasnjujemo, da v skladu s 3. tč. 6. člena ZVOP-1 pomeni obdelava osebnih podatkov kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki,…zlasti zbiranje, pridobivanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago. Glede na vaš opis dejanskega stanja Pooblaščenec najprej ugotavlja, da je upravljavec zbirke osebnih podatkov o plačah zaposlenih naročnik, vi pa ste pogodbeni obdelovalec v smislu definicije iz 7. tč. 1. odst. 6. čl. ZVOP-1 v tistem delu, v katerem, ob testiranju računalniškega programa za naročnika, obdelujete osebne podatke pri njem zaposlenih. Ob upoštevanju navedenega morate spoštovati določbo 11. člena ZVOP-1, ki jo v nadaljevanju povzemamo:1. odstavek 11. člena ZVOP-1 določa, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena ZVOP-1, pri čemer navedeni člen ureja zavarovanje zbirk osebnih podatkov, in sicer gre za organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov. Drugi odstavek 11. člena ZVOP-1 obenem pravi, da sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena ZVOP-1. Izvajanje postopkov in ukrepov iz 24. člena ZVOP-1 nadzoruje upravljavec osebnih podatkov. Iz vsega navedenega torej izhaja, da kot pogodbeni obdelovalec ne potrebujete soglasja posameznega zaposlenega pri naročniku za obdelavo njegovih osebnih podatkov, s katerimi prihajate v stik ob testiranju naročenega računalniškega programa. V zvezi z vašim vprašanjem pa Pooblaščenec obenem poudarja, da zgolj sklicevanje na 11. člen ZVOP-1 ne zadostuje. V pogodbi o naročilu programa, ki jo sklenete z naročnikom, morate opredeliti tudi dolžnosti posamezne pogodbene stranke glede ravnanja z osebnimi podatki, s katerimi prihajate v stik ter se v zvezi s tem dogovoriti tudi o postopkih in ukrepih za zavarovanje zbirk osebnih podatkov, kot jih določa 24. čl. ZVOP-1. Priporočamo vam, da si ogledate tudi druga mnenja s področja varstva osebnih podatkov, ki so objavljena na spletni strani http://www.ip-rs.si/index.php?id=424, po kateri lahko iščete s pomočjo naprednega iskalnika.
S spoštovanjem,Informacijski pooblaščenec:
Nataša Pirc, univ. dipl. prav.,
pooblaščenka