Hramba osebnih podatkov bivših zaposlenih in pravica do izbrisa

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede obdobja hrambe osebnih podatkov bivših zaposlenih. Zanima vas, kako dolgo po prekinitvi delovnega razmerja ima delodajalec pravico videti osebno mapo zaposlenega oziroma po kolikem času jo more uničiti ter ali mora zaposlitvena agencija izbrisati osebne podatke, če jih k temu pisno pozovete. 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

Ko delavcu preneha delovno razmerje, mora delodajalec njegove podatke, razen tistih, katerih trajno vodenje zahteva zakon ali za katere obstaja druga pravna podlaga, zbrisati iz evidenc, ki jih vodi.

Delodajalec mora trajno hraniti dokumente s podatki delavca in izvirne listine, na podlagi katerih se vpisujejo podatki v evidenco o zaposlenih delavcih. Dokumente, ki se na podlagi zakona hranijo trajno, mora delodajalec voditi ločeno od zbirke podatkov aktualnih zaposlenih (npr. v posebni arhivski zbirki nekdanjih zaposlenih delavcev).

Pravica do izbrisa ni absolutna in je med drugim omejena z dolžnostjo glede hrambe osebnih podatkov, če tako zahteva zakon, in pravico glede hrambe podatkov, ki so potrebni za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

O b r a z l o ž i t e v:

O varstvu osebnih podatkov v delovnih razmerjih je IP pripravil smernice, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih. Smernice podajajo odgovore na najpogosteje zastavljena vprašanja glede varstva osebnih podatkov, s katerimi se srečujejo delavci in delodajalci.

Prav tako je IP na podobna vprašanja s področja obdelave osebnih podatkov v delovnih razmerjih že odgovarjal in o tem izdal številna neobvezna mnenja, s katerimi se lahko seznanite na povezavi https://www.ip-rs.si/mnenja-gdpr/ (kategorija »Delovna razmerja«), npr.:

-       mnenje št. 0712-1/2019/3020 z dne 20. 1. 2020;

-       mnenje št. 0712-1/2019/2954 z dne 29. 12. 2019;

-       mnenje št. 0712-1/2019/2436 z dne 17. 12. 2019;

-       mnenje št. 07121-1/2022/277 z dne 9. 3. 2022;

-       mnenje št. 0712-1/2019/1956 z dne 26. 8. 2019.

Iz teh mnenj in zgoraj navedenih smernic IP (str. 32 in 33) izhaja, da Splošna uredba o varstvu podatkov na splošno ureja rok hrambe osebnih podatkov enotno za vse vrste osebnih podatkov, in sicer v členu 5(1)(e). Ta določa, da se osebni podatki lahko hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, dokler je potrebno za namene, za katere se osebni podatki obdelujejo. Osebni podatki se lahko hranijo daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno ali zgodovinsko-raziskovalne namene ali statistične namene, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz Splošne uredbe o varstvu podatkov, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki.

Tretji odstavek 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami; v nadaljevanju ZDR-1) določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati, Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06; v nadaljevanju ZEPDSV) pa določa, da se evidence, ki jih vodijo delodajalci, začnejo za posameznega delavca voditi z dnem, ko sklene pogodbo o zaposlitvi, prenehajo pa z dnem, ko mu pogodba o zaposlitvi preneha. Dokumenti s podatki o delavcu, za katerega se prenehajo voditi omenjene evidence in izvirne listine, na podlagi katerih se vpisujejo podatki v te evidence, se hranijo kot listine trajne vrednosti.

Navedeno pomeni, da delodajalec tudi po prenehanju delovnega razmerja nujno razpolaga z določenimi zbirkami osebnih podatkov o bivših delavcih, in sicer z zbirkami osebnih podatkov, ki vsebujejo dokumente in izvirne listine iz 14., 17. in 19. člena ZEPDSV (listine trajne vrednosti). Poleg tega pa lahko delodajalec po prenehanju delovnega razmerja obdeluje tudi druge osebne podatke delavca, ki so v skladu s prvim odstavkom 48. člena ZDR-1 potrebni zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, vendar samo toliko časa, dokler stranki delovnega razmerja lahko uveljavljata svoje pravice. Ko so poravnane vse obveznosti, ki izhajajo iz delovnega razmerja, je namen, zaradi katerega so se delavčevi osebni podatki zbirali, dosežen, zato mora delodajalec zbrisati in prenehati uporabljati vse delavčeve osebne podatke, razen tistih, za katere ZEPDSV ali drug zakon (če gre npr. za arhivsko gradivo) določa, da se hranijo trajno.

IP priporoča, da delodajalec  po  prenehanju  delovnega  razmerja  pregleda  personalno  mapo delavca ter izloči dokumente, ki predstavljajo listine trajne vrednosti (npr. pogodbe o zaposlitvi, M-obrazci) in jih shrani v arhivski zbirki. Ostale dokumente hrani glede na namen njihove obdelave (npr. dokumentov zvezi s kršitvami pogodbenih ali  drugih  obveznosti iz  delovnega  razmerja lahko hrani  do  izteka  zastaralnih  rokov  s  področja  obligacijskega  ali kaznovalnega prava (5 let), psihometrične teste, ki imajo glede na strokovno literaturo kratko dobo uporabnosti (približno 2 leti), pa lahko uniči takoj po prenehanju delovnega razmerja). Upoštevaje zgoraj navedene usmeritve mora torej delodajalec sam presoditi, koliko časa je ustrezno hraniti določene osebne podatke nekdanjega zaposlenega, ki mu bodo omogočali kasnejše dokazovanje zakonitosti v morebitnih prihodnjih pravnih postopkih oziroma postopkih v teku.

Tudi za zaposlitveno agencijo velja smiselno enako, kar pomeni, da mora imeti za hrambo osebnih podatkov ustrezno pravno podlago.

Pravica do izbrisa oziroma pravica do pozabe je urejena v členu 17 Splošne uredbe o varstvu podatkov. Posameznik, na katerega se nanašajo osebni podatki, ima na tej podlagi pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar je podan eden od naslednjih razlogov:

a)    osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;

b)    posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;

c)    posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);

d)    osebni podatki so bili obdelani nezakonito;

e)    osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;

f)     osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).

Ob tem IP izpostavlja, da pravica do izbrisa ni neomejena. Splošna uredba o varstvu podatkov v členu 17(3) namreč določa, da se posameznik, na katerega se nanašajo osebni podatki, ne more sklicevati na pravico do izbrisa, če je obdelava potrebna:

a)    za uresničevanje pravice do svobode izražanja in obveščanja;

b)    za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;

c)    iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);

d)    za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 9(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali

e)    za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Ali je določena zahteva za izbris utemeljena, je torej odvisno od več konkretnih okoliščin, česar IP v okviru mnenja ne more presojati, saj bi s tem kot pritožbeni organ v zvezi z uveljavljanjem pravic po Splošni uredbi o varstvu podatkov prejudiciral svojo odločitev. Pojasnjuje pa, da če ne primer hrambo podatkov določa zakon, potem praviloma posameznik izbrisa ne bo dosegel.

Več informacij v zvezi s pravico do izbrisa je dostopnih tudi na spletni strani IP:  https://tiodlocas.si/zelim-izbrisati-svoje-podatke/.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka