Ravnanje delodajalca
+ -Številka: 07121-1/2023/253
Kategorije: Delovna razmerja
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ravnanja vašega delodajalca.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZustS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.
Osebni podatki delavcev se lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno z ZDR-1 ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.
Delodajalec mora ob prenehanju delovnega razmerja deaktivirati elektronski poštni predal bivšega delavca. Delodajalec ne sme po prekinitvi delovnega razmerja elektronski naslov nekdanjega zaposlenega ohraniti aktiven na način, da bi njegovo pošto preusmeril na elektronski naslov drugega zaposlenega ali da bi drugi zaposleni še naprej uporabljal elektronski naslov nekdanjega zaposlenega.
Delodajalec mora pred odhodom delavca in v sodelovanju z njim poskrbeti, da bodo službena sporočila prenesena v npr. skupen elektronski predal za vhodno pošto ali drugače knjižena in dostopna tistemu delavcu oziroma delavcem, ki bodo nadaljevali delo na teh vsebinah.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretnega ravnanja, ki ste ga opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.
IP nadalje pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.
Čeprav ZVOP-2 razlikuje med javnim in zasebnim sektorjem, je področje delovnega prava specialno urejeno za oba sektorja v posebnih zakonih, predvsem v Zakonu o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmlS-A, 202/21 – odl. US, 15/22, 54/22 – ZUPŠ-1) in Zakonu o evidencah na področju dela in socialne varnosti (ZEPDSV; Uradni list RS, št. 40/06). Zaradi izrazite neenakosti moči strank v delovnopravnih razmerjih oziroma zaradi varstva delavca, ki je v razmerju do delodajalca zagotovo šibkejša stranka, je zakonodajalec to področje uredil strožje, zaradi česar na tem področju praviloma niti v zasebnem sektorju ne dopušča avtonomije strank v smislu, da bi delodajalec lahko brez podlage v zakonu od delavca zahteval katerekoli osebne podatke ali jih obdeloval na drugi pravni podlagi (npr. privolitev, pogodba, …). Delavec lahko namreč tudi na delovnem mestu utemeljeno pričakuje določeno stopnjo zasebnosti.
ZDR-1 v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.
Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, za kaj takšne osebne podatke potrebuje. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati.
Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.
IP opozarja, da je nedopustno, da bi delodajalec po prekinitvi delovnega razmerja elektronski naslov nekdanjega zaposlenega ohranil aktiven na način, da bi njegovo pošto preusmeril na elektronski naslov drugega zaposlenega ali da bi drugi zaposleni še naprej uporabljal elektronski naslov nekdanjega zaposlenega. IP tako pojasnjuje, da mora delodajalec ob prenehanju delovnega razmerja deaktivirati elektronski poštni predal zaradi prenehanja pravne podlage za njegov obstoj (48. člen ZDR-1). IP svetuje, da se ob tem hkrati vzpostavi avtomatsko obvestilo o neobstoju tega elektronskega naslova in podatkom, kam naj pošiljatelji naslovijo svoje sporočilo. IP dodaja, da mora imeti delavec, ki odhaja, možnost, da iz službenega predala elektronske pošte bodisi izbriše sporočila in dokumente zasebne narave bodisi jih shrani na drug podatkovni medij (zgoščenko, USB ključ, ipd.) ter da obvesti svoje zasebne kontakte, da na tem elektronskem naslovu ne bo več dostopen. Ta možnost mora biti delavcu dana, rok za odziv pa mora biti razumen. Če delodajalec utemeljeno sumi, da bi delavec lahko izbrisal tudi pomembne podatke službene narave (npr. podatke, ki predstavljajo intelektualno lastnino podjetja, poslovne skrivnosti) ali jih protipravno posredoval tretjim osebam, se takšen postopek lahko izvede komisijsko in zapisniško. Priporočljivo je, da delavec o izbrisu zasebnih vsebin podpiše izjavo, da na službenem računalniku ni več nobenih podatkov, katerih uporaba bi pomenila poseg v njegovo zasebnost. Izjava je lahko sestavni del primopredajnega zapisnika, s katerim zaposleni vrača službeno opremo delodajalcu.
IP pojasnjuje tudi, da mora delodajalec pred odhodom delavca in v sodelovanju z njim poskrbeti, da bodo službena sporočila prenesena v npr. skupen elektronski predal za vhodno pošto ali drugače knjižena in dostopna tistemu delavcu oziroma delavcem, ki bodo nadaljevali delo na teh vsebinah.
IP tako povzema, da je za vsako obdelavo osebnih podatkov treba torej najprej zagotoviti ustrezno pravno podlago. Izbor ustrezne pravne podlage za posamezno obdelavo je stvar ocene konkretnih okoliščin, odgovornost za izbiro pa nosi upravljavec ( v konkretnem primeru delodajalec).
IP dodatno pojasnjuje, da je o vprašanjih glede uporabe službenih sredstev in relacije delodajalec - zaposleni v povezavi s podatki na službenih sredstvih obširno pisal v smernicah Varstvo osebnih podatkov v delovnih razmerjih. Vse relevantne informacije v zvezi z elektronsko pošto boste našli na straneh 21-26. Smernice so dostopne na spletni strani IP:
IP podaja splošno mnenje, da bi lahko v opisanem primeru morda šlo za kršitev vaše ustavne pravice do zasebnosti, ki izhaja iz 37. člena Ustave RS (varstvo tajnosti pisem in drugih občil), ki se lahko povezuje tudi s pravico do varstva osebnih podatkov iz 38. člena Ustave RS. Glede na to, da se pristojnost IP razteza le na pravico iz 38. člena Ustave RS, IP pojasnjuje še, da širši del vaše pravice do zasebnosti z vidika varstva tajnosti pisem in drugih občil (npr. razkritje vsebine) lahko zavarujete preko postopkov pred pristojnimi sodišči bodisi v civilnem bodisi v kazenskem postopku. IP ob tem ponovno poudarja, da o ustreznosti in zakonitosti obdelave osebnih podatkov v konkretnem primeru lahko presoja le v okviru konkretnega inšpekcijskega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera.
V kolikor menite, da so vam bile kršene vaše pravice v zvezi z varstvom osebnih podatkov, lahko pri IP vložite prijavo po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana. To lahko storite tudi preko obrazca, ki je dostopen na spletni strani IP:
https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlozitev-prijave
Lepo vas pozdravljamo.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca
za varstvo osebnih podatkov
Mojca Prelesnik, univ. dipl. prav.,
Informacijska pooblaščenka