Uporaba videokonferenčnega orodja pri delu na domu

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da v času opravljanja dela na domu zaposleni dnevno uporabljajo videokonferenčna orodja za izvedbo sestankov, pogovorov s sodelavci, itd. Glede na to, da so zaposleni navajeni opravljati delo v okolju znotraj delovnih prostorov (open space) in jim pri opravljanju dela na domu ni omogočena konstantna komunikacija, ki so jo vajeni, predlagate, da bi bil določen oddelek pri opravljanju dela na domu skozi celotni delovni čas znotraj delovnega dneva (ne le, ko so predvideni sestanki oddelka) povezan preko videokonferenčnega orodja, pri čemer bi navedeno opredelili s pravilnikom, zaposleni pa bi podali pisno soglasje. Zanima vas, ali gre pri tem lahko za videonadzor in bi delodajalec moral upoštevati določbe ZVOP-1 ter drugo relevantno zakonodajo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma izpostavlja, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka iz svoje pristojnosti konkretnih obdelav osebnih podatkov ne more presojati, zato tudi ne more ocenjevati načina izvajanja dela na domu, ki ga opisujete, z vidika ustreznosti obdelave osebnih podatkov. To pomeni, da vam IP v mnenju ne more podati dokončnega odgovora na to, ali je predlagani način uporabe videokonferenčnega orodja zakonit. V nadaljevanju vam tako podajamo splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo osebnih podatkov.

V situaciji izrednih razmer zaradi COVID-19 je uporaba novih tehnologij, tehnik in metod, ki so povezane tudi z delom na domu, neizogibna. Biti pa mora premišljena, sorazmerna in varna. Tehnologija nam omogoča, da ostanemo povezani. Programska oprema in aplikacije za videokonference so dragocen način poslovanja, izvajanja sestankov ter ohranjanja stikov s sodelavci in nadrejenimi. Uporaba videokonferenčnih orodij pri delu na domu je zato po mnenju IP nujno potrebna za izvajanje kvalitetnega in učinkovitega delovnega procesa ter z vidika varstva osebnih podatkov torej dopustna, vendar ob upoštevanju določenih pogojev.

IP pojasnjuje, da se Splošna uredba uporablja za obdelavo osebnih podatkov, ki se v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi. Obdelava osebnih podatkov pomeni skladno s členom 4(2) Splošne uredbe vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. Tudi pri uporabi videokonferenčnega orodja pri delu na domu pride do avtomatizirane obdelave osebnih podatkov (npr. avdiovizualnih podatkov) delavcev.

Za vsako obdelavo osebnih podatkov mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe. Glede na to, da gre v obravnavanem primeru za obdelavo osebnih podatkov znotraj delovnega razmerja, je v okviru člena 6(1)(b) in (c) Splošne uredbe relevanten  Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US in 22/19 – ZPosS; v nadaljevanju ZDR-1). Skladno s prvim odstavkom 48. člena ZDR-1 se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. IP ugotavlja, da take obdelave osebnih podatkov, kot jo želite izvajati, ne določa noben zakon. Glede privolitve za obdelavo osebnih podatkov delavcev pa IP poudarja, da ta pravna podlaga v delovnih razmerjih velja le za tiste osebne podatke, ki niso vezani na uresničevanje pravic in obveznosti iz delovnega razmerja oziroma niso v zvezi z delovnim razmerjem posameznika. Zavrnitev privolitve namreč nikakor ne sme imeti negativnih posledic za delovno razmerje. Zato je privolitev v delovnih razmerjih uporabljiva le izjemoma, saj je delodajalec v razmerju do delavca močnejša stranka. Upoštevajoč navedeno privolitev v konkretnem primeru najverjetneje ne bo primerna pravna podlaga, predvsem če način dela na domu preko videokonference, kot ga opisujete, predpišete v notranjih aktih kot obvezen. Zato IP meni, da bi morala biti uporaba videokonferenčnega orodja in s tem obdelava osebnih podatkov delavcev v obsegu, kot ga predlagate, nujno potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja.

Delodajalec mora spoštovati vsa načela v zvezi z obdelavo osebnih podatkov, ki so predpisana v členu 5 Splošne uredbe. Osebni podatki morajo biti zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. Delodajalec je torej dolžan preprečiti kakršno koli zlorabo za povsem drugačne in za delavca nepričakovane namene. Predvsem mora paziti, da skladno z načelom najmanjšega obsega podatkov obdeluje le tiste podatke, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Ob tem je pomemben dejavnik tudi vrsta in narava dela. Prav tako mora pri presoji ustreznosti uporabe videokonferenčnega orodja delodajalec upoštevati pričakovano zasebnost delavca, ki je pri delu na domu zagotovo višja kot v samih delovnih prostorih.

Obdelava osebnih podatkov je za dosego določenega legitimnega cilja torej potrebna takrat, kadar takega cilja ni mogoče doseči z drugimi sredstvi, s katerimi se v manjši meri posega v informacijsko zasebnost oziroma v ustavno pravico do varstva osebnih podatkov posameznika, na katerega se nanašajo osebni podatki. IP meni, da je mogoče v konkretnem primeru cilj, to je vzpostavitev učinkovitega delovnega procesa pri delu na domu v smislu potrebne komunikacije med delavci, načeloma doseči tudi z milejšimi sredstvi, ki manj posegajo v zasebnost posameznikov, torej da stalna povezava delavcev določnega oddelka preko videokonferenčnega sistema čez celotni delovni čas v delovnem dnevu praviloma ne bo nujno potrebna za učinkovito izvedbo delovnega procesa. Končna odločitev o obsegu uporabe videokonferenčnega orodja pri delu na domu pa je, upoštevaje opisana izhodišča in konkretne okoliščine, ki jih IP podrobno ne pozna, naloga in odgovornost delodajalca. IP še pripominja, da iz vašega zaprosila ne izhaja, da bi šlo pri tem za kakršen koli nadzor nad delavci (npr. za spremljanje njihove učinkovitosti), zato pogoji za zakonito izvajanje videonadzora oziroma drugih oblik spremljanja v tem mnenju niso obravnavani.

Na koncu IP opozarja na obveznosti, ki jih ima upravljavec osebnih podatkov v zvezi z varnostjo obdelave iz člena 32 Splošne uredbe ter s seznanitvijo delavcev z informacijami iz člena 13 in 14 Splošne uredbe. Prav tako bi bilo v konkretnem primeru najverjetneje treba izvesti oceno učinka v zvezi z varstvom podatkov (DPIA) skladno s členom 35 Splošne uredbe. V primeru, ko je iz ocene učinka v zvezi z varstvom podatkov razvidno, da bi obdelava povzročila veliko tveganje, če upravljavec ne bi sprejel ukrepov za ublažitev tveganja, pa se mora upravljavec pred obdelavo še posvetovati z IP, kot to zahteva člen 36 Splošne uredbe. Podrobnejši opis ocen učinkov v zvezi z varstvom podatkov kot orodja za pravočasno identifikacijo in upravljanje tveganj v povezavi z osebnimi podatki, obrazložitev zakonskih določb ter odgovori na vprašanja, kdo, kdaj, zakaj in kako naj izvede oceno učinkov, so podani v smernicah IP, ki so dostopne na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Smernice_o_ocenah_ucinka__DPIA__julij2018.pdf. Seznam dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov in ga je pripravil IP, pa je dostopen tu: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                                

                                                                                                           informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov