Uporaba skrivnega kupca

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede uporabe skrivnega kupca v trgovinah.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne nudi storitve pregleda ali vnaprejšnje odobritve različnih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi.

Obdelava delavčevih osebnih podatkov na podlagi njegove osebne privolitve je dopustna le izjemoma pod pogojem, da njena zavrnitev nima nikakršnih posledic na delovno razmerje oziroma na delavčev pravni položaj.

Ob zagotovitvi ustrezne pravne podlage bi bilo treba ustrezno urediti tudi razmerje z zunanjim izvajalcem in zagotoviti spoštovanje določb 28. člena Splošne uredbe (pogodbeni obdelovalec) ter poskrbeti za ustrezno raven varnosti osebnih podatkov v skladu s 24. in 32. členom Splošne uredbe.

Preveriti je treba, ali za upravljavca velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov, v vsakem primeru pa je izdelava takšne ocene priporočljiva.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati konkretno odgovarjati na vprašanja iz vašega zaprosila za mnenje, zato v nadaljevanju podaja splošna pojasnila.

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Glede zvočnega snemanja IP najprej pojasnjuje, da posameznikov glas pove več kot le zapis njegovih besed, zato ni dvoma, da zvočno snemanje pomeni poseg v zasebnost in varstvo osebnih podatkov ter da je takšen poseg dopusten le izjemoma in ob zagotovljeni ustrezni pravni podlagi. ZVOP-2 zvočnega snemanja izrecno ne ureja. Da bi bilo v posamičnih primerih zvočno snemanje dopustno), bi za njegovo zakonito izvajanje moral upravljavec tako zagotoviti ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe. Ob tem IP dodaja, da bi bilo treba, če bi se morda v konkretnem primeru poleg zvočnega izvajalo tudi video snemanje, zagotoviti spoštovanje določb ZVOP-2 o videonadzoru znotraj delovnih prostorov. V skladu s prvim odstavkom 77. člena ZVOP-1 se lahko videonadzor znotraj delovnih prostorov namreč izvaja le v izjemnih primerih, kadar je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi.

Glede obdelave osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. Zakon o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmlS-A, 202/21 - odl. US, 15/22, 54/22 – ZUPŠ-1, 114/23, 136/23 – ZIUZDS, 70/25 – ZUTD-1) v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Ob tem IP poudarja, da mu ni znan zakon, ki bi delodajalcu dajal splošno pravno podlago za skrito snemanje dela zaposlenih, zato bi se na opisani način osebne podatke delavce lahko obdelovalo le, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, zakaj je potrebna takšne obdelava osebnih podatkov delavca. Pri tem mora delodajalec v skladu s 46. členom ZDR-1  varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Delodajalec mora torej paziti tudi na spoštovanje zasebnosti in dostojanstva delavca, odgovornost delodajalca pa narašča z intenzivnostjo posega v zasebnost.

Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih načeloma ne sme obdelovati. Ob tem IP izpostavlja, da je obdelava delavčevih osebnih podatkov na podlagi njegove osebne privolitve dopustna le izjemoma pod pogojem, da njena zavrnitev nima nikakršnih posledic na delovno razmerje oziroma na delavčev pravni položaj. Osebna privolitev v delovnih razmerjih torej je oziroma naj bo bolj izjema kot pravilo, saj je delodajalec v razmerju do delavca močnejša stranka in so možnosti za zlorabo tega instituta v delovnih razmerjih toliko večje. Tudi smernice Delovne skupine po členu 29 glede privolitve kot pravne podlage za obdelavo osebnih podatkov v delovnih razmerjih poudarjajo neprostovoljno naravo razmerja delavec - delodajalec, kar ovira veljavnost privolitve. Temeljni kriterij za dopustnost privolitve v delovnih razmerjih je po mnenju Delovne skupine po členu 29, da podaja ali zavrnitev privolitve za zaposlene nima nikakršnih negativnih posledic. Pri tem je treba upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, ki so določeni v 7. členu Splošne uredbe. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk ali kakršnakoli nedejavnost tako ne pomeni privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. IP poudarja, da mora biti privolitev v primerih, ko obdelava podatkov vključuje več različnih namenov, podana za vsak namen posebej. Upravljavec mora pridobiti več ločenih privolitev za vsako obdelavo posebej (granularnost oziroma razčlenjenost privolitev). Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.

V kolikor bi torej konkretno podjetje kot upravljavec ocenilo, da je v opisanem konkretnem primeru privolitev glede na navedena pojasnila ustrezna pravna podlaga, je treba privolitev oblikovati na ustrezen (zgoraj opisani) način in ločeno zajeti vse namene, za katere bodo osebni podatki posameznika (delavca) obdelovani na podlagi privolitve. Pri presoji mora delodajalec vedno izhajati iz načela najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

IP posebej ponovno opozarja na absolutno svobodnost privolitve v delovnem razmerju in izpostavlja, da je treba striktno ločevati med seznanjenostjo oziroma informiranjem posameznikov (v konkretnem primeru zaposlenih delavcev) o posamezni obdelavi osebnih podatkov in pa privolitvijo v to obdelavo. V primeru seznanitve z obdelavo mora namreč pravna podlaga izhajati iz drugih točk 6. člena Splošne uredbe, medtem ko je v primeru privolitve to samostojna pravna podlaga in se zadevna obdelava brez svobodne privolitve ne sme izvajati. 

Ob zagotovitvi ustrezne pravne podlage bi bilo treba ustrezno urediti tudi razmerje z zunanjim izvajalcem in zagotoviti spoštovanje določb 28. člena Splošne uredbe (pogodbeni obdelovalec) ter poskrbeti za ustrezno raven varnosti osebnih podatkov v skladu s 24. in 32. členom Splošne uredbe.

IP priporoča tudi, da se v skladu s 35. členom Splošne uredbe izvede ocena učinka v zvezi z varstvom osebnih podatkov. IP je na temo ocene učinkov izdelal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani:

https://www.ip-rs.si/prirocniki_smernice/Smernice_o_ocenah_ucinka.pdf

Gre za vnaprejšnjo presojo, ali oziroma pod kakšnimi pogoji bi bila uporaba določene rešitve zakonita, sorazmerna, transparentna, varna itd. Zelo pomembno je izhajati iz težav, ki naj bi jih reševali z uvedbo rešitve, pri čemer je treba realno oceniti, ali se bo na tak način dejansko doseglo zasledovane cilje (te opredeli upravljavec - v konkretnem primeru delodajalec) in ali teh ciljev ni mogoče doseči na drug način (npr. z uporabo drugih sredstev za dosego cilja), ki bi manj posegal v pravice posameznika.

IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena. Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani.

Glede na navedbe v vašem zaprosilu za mnenje predvidena obdelava izpolnjuje (vsaj) kriterij iz točke 7 (nesorazmerje moči - obdelava osebnih podatkov zaposlenih). IP ob tem priporoča, da se v okviru ocene učinka še posebej skrbno obdelajo pravna podlaga in namen(i) obdelave ter obravnavajo tveganja in ukrepi za njihovo zamejitev. Posebno pozornost je treba nameniti tudi spoštovanju načela najmanjšega obsega podatkov ter sorazmernosti, torej ali res ni mogoče namenov, ki naj bi se jih zasledovalo, doseči z milejšimi ukrepi, ki bi manj posegali v zasebnost posameznika. Kvalitetno izdelana ocena učinka bo podala odgovore na številna vprašanja v zvezi z uvedbo rešitve in omogočila odločitev o (ne)dopustnosti uvedbe tega ukrepa oziroma morebitnih potrebnih prilagoditvah pred njegovo uvedbo.

IP sklepno ponovno poudarja, da v okviru mnenja ne more podajati konkretnih ocen o zakonitosti obdelave osebnih podatkov zaposlenih, saj lahko IP to ugotavlja le v okviru nadzornega postopka.

Lepo vas pozdravljamo.

Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,
Informacijska pooblaščenka