Zbiranje kontaktov za primer nesreče

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Zanima vas, ali lahko delodajalec delavce zaprosi za posredovanje podatkov o kontaktni osebi za primer nesreče. Pojasnjujete, da bi delavci v prijavo prostovoljno vpisali ime in priimek ter telefonsko številko osebe, ki jo lahko delodajalec pokliče, če ima delavec nesrečo pri delu. Dostop do teh podatkov bi imeli le delavci kadrovske službe in bi jih lahko uporabljali le za opisane namene.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma pojasnjuje, da se je 25. 5. 2018 na področju varstva osebnih podatkov začela uporabljati Splošna uredba, ki v veliki meri nadomešča določbe dosedanjega ZVOP-1. Glede na to, da Republika Slovenija še ni sprejela zakona, s katerim bi uredila izvajanje Splošne uredbe in razveljavila določbe obstoječega ZVOP-1, pa sta v Republiki Sloveniji do uveljavitve takšnega zakona v uporabi dva predpisa, ki na sistemski ravni urejata področje varstva osebnih podatkov, in sicer Splošna uredba ter ZVOP-1. Ker se Splošna uredba v članicah Evropske unije uporablja neposredno, ostajajo v Republiki Sloveniji po 25. 5. 2018 v veljavi le še tiste določbe ZVOP-1, ki jih Splošna uredba ne ureja drugače in niso v nasprotju z določbami te uredbe.

Večina splošnih določb iz I. dela ZVOP-1 je z uveljavitvijo Splošne uredbe prenehala veljati. V veljavi pa ostajajo določbe tistih členov, ki jih Splošna uredba ne ureja oziroma ki jih Republika Slovenija lahko še vedno uredi drugače. To so npr. področne ureditve ZVOP-1, torej zlasti ureditev videonadzora, biometrije, evidentiranja vstopov in izstopov, povezovanja zbirk podatkov ter strokovnega nadzora, v kolikor niso v nasprotju s katero od določb Splošne uredbe (npr. definicija privolitve).

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe. Ena izmed možnih podlag je izpolnitev zakonske obveznosti, ki velja za upravljavca (člen 6(1)(c) Splošne uredbe).

Za obdelavo podatkov v delovnih razmerjih je relevanten predvsem 48. člen Zakona o delovnih razmerjih (Uradni list RS, št. 21/13; s spremembami in dopolnitvami; ZDR-1), skladno s katerim se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Glede privolitve za obdelavo osebnih podatkov delavcev po členu 6(1)(a) Splošne uredbe pa IP poudarja, da je ta pravna podlaga v delovnih razmerjih ustrezna le za tiste osebne podatke, ki niso vezani na uresničevanje pravic in obveznosti iz delovnega razmerja oziroma niso v zvezi z delovnim razmerjem posameznika. Zavrnitev privolitve namreč nikakor ne sme imeti negativnih posledic za delovno razmerje. Zato je privolitev kot pravna podlaga za obdelavo osebnih podatkov v delovnih razmerjih uporabljiva le izjemoma, saj je delodajalec v razmerju do delavca močnejša stranka.

IP v okviru mnenja ne more presojati, ali so v konkretnem primeru, za konkreten namen in podatke izpolnjeni pogoji za obdelavo. Meni pa, da podatki o imenu, priimku ter telefonski številki osebe, ki jo lahko pokliče delodajalec v primeru nesreče delavca, praviloma niso nujno potrebni za uresničevanje pravic in obveznosti iz delovnega razmerja. Zato bi jih delodajalec lahko zbiral s privolitvijo delavca zgolj za namen lažjega in hitrejšega obveščanja o nesreči, kar naj bi bilo v interesu obeh. V tem primeru pa mora delodajalec natančno opredeliti, da posredovanje teh podatkov ni obvezno. Prav tako IP poudarja, da mora privolitev izpolnjevati tudi vse druge pogoje za veljavnost, ki jih določa Splošna uredba. Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/.

Več o obdelavi osebnih podatkov v delovnih razmerjih pa si lahko preberete v smernicah IP, ki so dostopne na: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih.

Lep pozdrav,

Mojca Prelesnik, univ. dipl. prav.,                                               

informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov