Posredovanje obrazca ER-28 delodajalcu

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja obrazca ER-28 delodajalcu.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Osebni podatki delavcev se lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno z ZDR-1 ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Delodajalec je do osebnih podatkov na obrazcu ER-28 upravičen šele takrat, ko nastopijo okoliščine, zaradi katerih navedene osebne podatke potrebuje.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP nadalje pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)  obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)  obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)  obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)  obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Čeprav ZVOP-2 razlikuje med javnim in zasebnim sektorjem, je področje delovnega prava specialno urejeno za oba sektorja v posebnih zakonih, predvsem v Zakonu o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmlS-A, 202/21 – odl. US, 15/22, 54/22 – ZUPŠ-1; v nadaljevanju: ZDR-1) in Zakonu o  evidencah na področju dela in socialne varnosti (ZEPDSV; Uradni list RS, št. 40/06). Zaradi izrazite neenakosti moči strank v delovnopravnih razmerjih oziroma zaradi varstva delavca, ki je v razmerju do delodajalca zagotovo šibkejša stranka, je zakonodajalec to področje uredil strožje, zaradi česar na tem področju praviloma niti v zasebnem sektorju ne dopušča avtonomije strank v smislu, da bi delodajalec lahko brez podlage v zakonu od delavca zahteval katerekoli osebne podatke ali jih obdeloval na drugi pravni podlagi (npr. privolitev, pogodba, …). Delavec lahko namreč tudi na delovnem mestu utemeljeno pričakuje določeno stopnjo zasebnosti.

ZDR-1 v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, za kaj takšne osebne podatke potrebuje. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati.

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

V primeru delavca, ki mu pripada nadomestilo plače zaradi nege ožjega družinskega člana od prvega dne zadržanosti od dela, Zakon o zdravstvenem varstvu in zdravstvenem zavarovanju (Uradni list RS, št. 72/06, s spremembami in dopolnitvami; v nadaljevanju: ZZVZZ) določa, kateri osebni podatki so relevantni za obdelavo. ZZVZZ v 31. členu določa, da je osnova za nadomestilo povprečna mesečna plača in nadomestila oziroma povprečna osnova za plačilo prispevkov v koledarskem letu pred letom, v katerem je nastala začasna zadržanost od dela. V primeru, da mora nadomestilo zagotoviti delodajalec, mora razpolagati s podatki, ki mu omogočajo izračun nadomestila.

Pri izračunu navedenega nadomestila si delodajalci lahko pomagajo z obrazcem ER-28 (Poročilo o zadržanosti in osebnem dohodku), iz katerega so med drugim razvidni podatki o skupnem številu ur, ki jih je delavec opravil v preteklem letu, o višini skupnega čistega zneska doseženega osebnega dohodka ter povprečna urna osnova. Omenjeni podatki so potrebni za pravilen izračun nadomestila za bolniško odsotnost. Te podatke morajo delodajalci posredovati Zavodu za zdravstveno zavarovanje Slovenije (v nadaljevanju: ZZZS). V primeru, ko je plačnik tega nadomestila ZZZS, je namreč osnova za izračun nadomestila povprečna plača v preteklem letu, povečana za določen koeficient. Brez podatkov iz obrazca ER-28 torej ni mogoč pravilen izračun nadomestila za odsotnost. Iz navedenega je razvidno, da je posredovanje podatkov, ki jih vsebuje obrazec ER-28, potrebno zaradi uresničevanja pravic (delavca) iz delovnega razmerja oziroma v zvezi z delovnim razmerjem v smislu določbe prvega odstavka 48. člena ZDR-1, kar pomeni, da navedena določba ZDR-1 predstavlja zakonsko podlago za obdelavo delavčevih osebnih podatkov iz obrazca ER-28.

Obrazec ER 28 sicer ni predpisan in tudi ne obvezen, a se še vedno uporablja za podatke o plači in opravljenih urah, ki jih potrebuje delodajalec za izračun bolniške osnove, zato za enake namene zadošča tudi potrdilo nekdanjega delodajalca o letni bruto plači in urni obveznosti.

IP poudarja, da je delodajalec do osebnih podatkov na obrazcu ER-28 upravičen šele takrat, ko nastopijo okoliščine (npr. nega ožjega družinskega člana), zaradi katerih navedene osebne podatke potrebuje. Načeloma takšen obrazec delodajalcu posreduje sam zaposleni, ki ga pridobi od nekdanjega delodajalca.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka