Posredovanje OP zaposlenih sindikatu

Na e-naslov Informacijskega pooblaščenca (v nadaljevanju IP) ste posredovali e-sporočilo, v katerem nas sprašujete, ali vam je podjetje upravičeno posredovati osebne podatke zaposlenih, ki so člani vašega sindikata in plačujejo članarino preko podjetja, kjer so zaposleni. Ažuren seznam zaposlenih potrebujete zaradi nakupa trgovinskih bonov članom sindikata.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Za vsako obdelavo osebnih podatkov mora imeti sindikat kot upravljavec ustrezno in zakonito pravno podlago. Ta je seveda odvisna od namena obdelave. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden izmed pogojev, določenih v členu 6(1) ali 9(2) Splošne uredbe. Obdelavo posebnih vrst osebnih podatkov, med katere sodi tudi podatek, ki razkriva članstvo v sindikatu, ureja člen 9 Splošne uredbe, po katerem je obdelava takšnih osebnih podatkov dopustna le v primerih, če je izpolnjen kateri od pogojev, ki jih taksativno določa drugi odstavek tega člena. Možne pravne podlage za obdelavo osebnih podatkov članov sindikatov, odvisno od konkretnega namena obdelave, bi bile lahko po Splošni uredbi eventualno vse podlage iz drugega odstavka člena 9.

Za obdelavo drugih osebnih podatkov, ki ne predstavljajo posebnih vrst osebnih podatkov, pa bi v poštev prišle zlasti pravne podlage po 6. členu Splošne uredbe, na primer naslednje:

- privolitev po točki a člena 6(1),

- izpolnitev zakonske obveznosti, ki velja za upravljavca po točki c člena 6(1) ali

- zakoniti interesi upravljavca po točki f člena 6(1).

Za druge namene pa mora sindikat zagotoviti ustrezno drugo pravno podlago, kot navedeno zgoraj. Privolitev posameznika, na katerega se nanašajo osebni podatki, pomeni skladno s točko 11 člena 4 Splošne uredbe vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. Veljavna privolitev mora tako zadostiti štirim zahtevam, in sicer mora biti:

• prostovoljna,
• specifična,
• informirana in
• nedvoumna.

Glede na navedeno IP meni, da za tiste namene, za katere sindikat obdeluje osebne podatke na podlagi privolitve, ki mora biti v primeru obdelave posebnih vrst osebnih podatkov izrecna (točka a) člena 9(2)), zgolj npr. podpis splošne pristopne izjave za članstvo v sindikatu s pavšalno navedbo, da je obdelava teh osebnih podatkov potrebna »za potrebe sindikata« ne zadostuje, saj takšna privolitev ni ne specifična niti informirana. Konkreten, ekspliciten in legitimen namen pa je predpogoj za pridobitev veljavne privolitve. Če obdelava podatkov vključuje več namenov, mora biti privolitev dana za vsak namen posebej.

Več o pogojih za veljavno privolitev je na voljo na spletni strani IP, ki je dostopna na naslednji povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/.

IP meni, da sindikat lahko pridobiva določene osebne podatke delavcev tudi neposredno od delodajalca. Splošni okvir za posredovanje osebnih podatkov delodajalca sindikatu predstavlja 203. člen Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1), ki določa, da mora delodajalec sindikatu zagotoviti pogoje za hitro in učinkovito opravljanje sindikalnih dejavnosti v skladu s predpisi, s katerimi se varujejo pravice in interesi delavcev. Prav tako pa je v tem okviru delodajalec dolžan sindikatu omogočiti dostop do podatkov, ki so potrebni pri opravljanju sindikalne dejavnosti. Navedena določba ZDR-1 pa ni dovolj določna v smislu določil ZVOP-1, da bi sama zase predstavljala pravno podlago. Navedeno sicer ne pomeni, da v posebej utemeljenih okoliščinah in ob upoštevanju strogega načela sorazmernosti (3. člen ZVOP-1 in člen 5 Splošne uredbe), ne more predstavljati pravne podlage za posredovanje osebnih podatkov članov sindikata. Konkreten obseg osebnih podatkov, do katerih je sindikat upravičen, je torej treba presojati glede na okoliščine posameznega primera (predvsem zakonske določbe glede vloge sindikata v posameznih primerih npr. obveznost posvetovanja v določenih primerih, možnost zastopanja delavca ipd. in določila kolektivnih pogodb). 

V zvezi z dopustnostjo obdelav osebnih podatkov za namen odtegovanja članarine pa IP pojasnjuje, da je obdelava tovrstnega podatka dopustna le v taksativno določenih primerih, med drugim bodisi na podlagi izrecne privolitve za enega ali več določenih namenov (točka a) člena 9(2)) bodisi če je obdelava potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava ter prava socialne varnosti in socialnega varstva, če to dovoljuje pravo Unije ali pravo države članice ali kolektivna pogodba v skladu s pravom države članice, ki zagotavlja ustrezne zaščitne ukrepe za temeljne pravice in interese posameznika, na katerega se nanašajo osebni podatki (točka b) člena 9(2)).

Na podlagi tretjega odstavka 207. člena ZDR-1 zagotavlja delodajalec na zahtevo sindikata v skladu z aktom sindikata, katerega član je delavec, tehnično izvedbo obračuna in plačevanja sindikalne članarine za delavca. Delavec lahko plačuje sindikalno članarino na dva načina, in sicer tako, da jo plačuje sindikatu neposredno sam ali pa tako, da tehnično izvedbo obračuna in plačevanja sindikalne članarine zagotavlja delodajalec. Če se delavec odloči za slednjega, plačila dejansko ni mogoče izvesti brez podatka o tem, v kateri sindikat je delavec včlanjen. To se na podlagi odločitve delavca uredi na zahtevo sindikata, katerega član je delavec, skladno s tretjim odstavkom 207. člena ZDR-1 in v skladu z aktom sindikata. To pomeni, da delodajalec ni upravljavec zbirke osebnih podatkov v zvezi z nakazili sindikalne članarine, ampak zgolj »uporabnik« teh podatkov na podlagi pooblastila delavca v skladu z 9. točko 4. člena Splošne uredbe (pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne).

Iz navedenega izhaja, da je sindikat kot upravljavec zbirke tisti, ki mora ob včlanitvi oziroma tudi kasneje, če pride do spremembe, pridobiti ustrezne osebne privolitve oz. pooblastila svojih članov za izvajanje plačila članarine preko delodajalca. Potem posameznim delodajalcem, kjer so zaposleni člani sindikata, ki želijo plačevati članarino preko delodajalca posreduje potrebne podatke. To pomeni, da delodajalec nima pravne podlage, da bi od delavcev zahteval podatek o tem, ali so včlanjeni v sindikat, v katerega, in tudi ne za druge namene pridobivati teh podatkov, saj lahko obdeluje le tiste osebne podatke, ki jih dobi od sindikata in za konkretne namene (torej nakazilo članarine).

Poleg tega bi moral sindikat izpolniti vsaj še naslednje splošne obveznosti, ki izhajajo iz vsebine določb Splošne uredbe:

-           v statutu, pravilniku ali drugem internem aktu določiti, za kakšen namen se bodo uporabljali osebni podatki članov, kateri osebni podatki se bodo obdelovali ter koliko časa se bo podatke hranilo;

-           določiti, kdo bodo odgovorne osebe, ki bodo upravičene do vpogleda v tako obdelane podatke;

-           sprejeti ustrezne ukrepe za zavarovanje oz. varnost osebnih podatkov, ki se bodo obdelovali;

-           seznaniti člane sindikata z informacijami, ki so opredeljene v členu 13 oziroma 14 Splošne uredbe.

Prav tako mora sindikat poskrbeti za klasične druge vidike varstva osebnih podatkov, ki veljajo za vse upravljavce, kot so zagotavljanja varnosti pri obdelavi, vzpostavitev evidence obdelav, skleniti ustrezne pogodbe o pogodbeni obdelavi v primeru najema pogodbenih obdelovalcev, razmisliti o imenovanju pooblaščene osebe za varstvo podatkov (več https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pooblascena-oseba-za-varstvo-podatkov/) ipd.

Več o ključnih področjih najdete na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/).

Več uporabnih nasvetov za manjše upravljavce pa tudi na naši spletni strani: https://upravljavec.si/ .

Lep pozdrav,

                                                                                    Mojca Prelesnik

                                                                                    informacijska pooblaščenka

Pripravila:

mag. Tanja SLAK

država nadzornica za varstvo osebnih podatkov

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.