Posredovanje življenjepisov v okviru javnega razpisa
+ -Številka: 07121-1/2023/1122
Kategorije: Informiranje posameznika, Posredovanje osebnih podatkov, Pravne podlage
Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da se v zadnjem času ob prijavah na razpise za izbiro zavarovalnega posrednika zahteva posredovanje življenjepisov vseh zaposlenih. Zanima vas, ali se lahko takšni podatki sploh zahtevajo ter posredujejo?
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.
1. Za vsako obdelavo osebnih podatkov mora upravljavec izkazati ustrezno pravno podlago ter pri obdelavi osebnih podatkov poleg drugih načel spoštovati tudi načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.
2. IP v okviru mnenja ne more vnaprej odgovoriti na vprašanje, kateri osebni podatki so za konkreten namen javnega razpisa nujno potrebni. O konkretni obdelavi bi lahko odločal zgolj v konkretnem nadzornem oz. inšpekcijskem postopku.
3. Kot upravljavci podatkov, ki se v okviru javnega razpisa od vas zahtevajo, ste dolžni preveriti, ali ima tisti, ki jih od vas zahteva: (i) ustrezno pravno podlago za pridobitev konkretnih podatkov za namen javnega razpisa ter (ii) potrebnost zahtevanih podatkov za konkreten namen.
4. Pred posredovanjem osebnih podatkov mora biti upravljavec absolutno prepričan, da za to obstaja ustrezna pravna podlaga.
O b r a z l o ž i t e v:
IP uvodoma pojasnjuje, da v okviru nezavezujočih mnenj ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje življenjepisov zaposlenih kot naj bi se nanašala zahteva iz javnega razpisa. Izpostavljamo lahko le, da mora biti za takšno zahtevo podana ustrezna pravna podlaga, ter vi kot upravljavec osebnih podatkov pred samim posredovanjem prepričani, da je ta ustrezna. Odgovornost za zakonitost obdelave osebnih podatkov je namreč vedno na upravljavcu (tistemu, ki podatke zahteva kot vzporedno tudi tistemu, ki podatke posreduje), ki jo mora biti sposoben tudi dokazati. Poudarjamo pa, da z določitvijo vsebine javnega razpisa en upravljavec te odgovornosti ne more v celoti preložiti na drugega.
Vsak upravljavec osebnih mora za obdelavo osebnih podatkov, denimo za njihovo pridobivanje, hrambo, posredovanje ali drugačno uporabo, imeti zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe. Več o pravnih podlagah si lahko preberete na: https://upravljavec.si/kako-uporabljate-te-podatke/kratko-o-pravnih-podlagah/.
Pomemben vidik vsakršne obdelave osebnih podatkov je obveščanje o obdelavi osebnih podatkov. Upravljavec osebnih podatkov mora tako že pred samo obdelavo (npr. pred pridobivanjem osebnih podatkov) zagotoviti informacije o obdelavi in sicer: o namenih, za katere bodo pridobljeni podatki uporabljeni; pravno podlago za njihovo obdelavo ter o ostalih pomembnih vidikih obdelave osebnih podatkov, ki so določeni v 13. in 14. členu Splošne uredbe. Navedene informacije morajo biti čim bolj jasne, pregledne in posameznikom razumljive ter lahko dostopne.
IP je za pomoč upravljavcem pri obveščanju posameznikov glede obdelave osebnih podatkov pripravil posebno rubriko, ki je dostopna na spletni strani IP ter pripravil vzorce obvestil posameznikov po 13. oziroma 14. členu Splošne uredbe:
Vsekakor se (ob pogoju zagotovitve ustrezne pravne podlage) lahko obdelujejo zgolj tisti osebni podatki, ki so za konkretni zasledovan namen nujno potrebni. Upravljavec mora namreč spoštovati t.i. načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.
Ob tem IP ponavlja, da v okviru mnenja ne more namesto upravljavca presojati ustreznost izbrane pravne podlage, niti potrebnosti in utemeljenosti zahteve javnega razpisa za posredovanje življenjepisov zaposlenih. Tovrstna ravnanja bi IP lahko presojal zgolj v okviru konkretnega nadzornega oziroma inšpekcijskega postopka, ko so znane vse konkretne okoliščine posameznega primera. Vsak upravljavec mora biti torej sposoben izkazati pravno podlago, v zvezi s katero osebne podatke zahteva ter potrebnost in nujnost teh podatkov za zasledovan namen. Okoliščine se namreč lahko bistveno razlikujejo od primera do primera, zato ni mogoče vnaprej podati splošnega in enovitega odgovora.
Kot upravljavci podatkov, ki se v okviru javnega razpisa od vas zahtevajo, pa ste dolžni preveriti, ali ima tisti, ki jih od vas zahteva: (i) ustrezno pravno podlago za pridobitev konkretnih podatkov za namen javnega razpisa ter (ii) potrebnost zahtevanih podatkov za konkreten namen. Odločilnega pomena namreč je, da upravljavec pri posredovanju podatkov upošteva tako zakonske in podzakonske določbe kot tudi splošna načela obdelave osebnih podatkov in jih v skladu s tem ustrezno varuje. Predlagamo vam, da se za pojasnilo glede pravne podlage in utemeljitev potrebnosti zahtevanih podatkov obrnete neposredno na nosilca javnega razpisa, ki podatke zahteva ter osebne podatke posredujte izključno, ko boste prepričani v zakonitost zahtevane obdelave osebnih podatkov.
V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.
Pripravil:
Grega Rudolf,
asistent svetovalca pri IP
Mojca Prelesnik, univ.dipl.prav.,
informacijska pooblaščenka