Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 25.10.2007
Naslov: Posredovanje OP zaposlenih v tujino
Številka: 0712-939/2007//2
Vsebina: Iznos osebnih podatkov v tretje države
Pravni akt: Mnenje

Spoštovani,

Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 16.10.2007 prejel vaše e-sporočilo, v katerem navajate, da ste Javna agencija.... V Braziliji odpirate predstavništvo slovenskega gospodarstva in ste se v Sao Paulu povezali z odvetniško pisarno, ki vam pomaga pri urejanju dokumentacije v zvezi z registracijo. Eden izmed dokumentov zahteva, da navedete poimenski seznam zaposlenih v javni agenciji, njihovo delovno mesto v agenciji, poklic, naslov in morebitni delež v agenciji. V zvezi s navedenim vas zanima:

Ali ste dolžni posredovati navedene informacije?


V nadaljevanju vam na podlagi predstavljenega stanja ter na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem:

1.    Pooblaščenec uvodoma opozarja, da ni pristojen presojati zakonitosti zbiranja osebnih podatkov s strani registrskih organov v tretjih državah. Glede na to, da se predstavništvo slovenske pravne osebe v tretji državi ustanovi v skladu s pravnim redom države, v kateri bo predstavništvo delovalo, mora slovenska pravna oseba, ki želi ustanoviti predstavništvo v tretji državi, registrskemu organu posredovati tisto dokumentacijo, ki je v zvezi s tem določena v pravnem redu države, v kateri bo predstavništvo delovalo. V kolikor je potrebno za namene registracije predstavništva v tretji državi registrskemu organu tretje države posredovati tudi dokumentacijo z osebnimi podatki zaposlenih v slovenski pravni osebi, lahko slovenska pravna oseba registrskemu organu tretje države zahtevane osebne podatke posreduje le v primeru, če so iznos oziroma posredovanje podatkov v tretjo državo izpolnjeni pogoji iz 63. ali 70. člena ZVOP-1.

2.    Ker Pooblaščenec za Brazilijo še ni vodil postopka ugotavljanja ustrezne ravni varstva osebnih podatkov, pogoj za iznos osebnih podatkov iz 63. člena ZVOP-1 ni izpolnjen.

3.    Pooblaščenec meni, da lahko javna agencija brazilskemu registrskemu organu na podlagi 70. člena ZVOP-1 posreduje poimenski seznam z navedbo osebnih imen, delovnih mest v agenciji, poklicev, naslovov in morebitnih deležev v agenciji za vse tiste svoje zaposlene, pri katerih iz pogodbe o zaposlitvi izhaja, da svoje delo opravljajo oziroma ga bodo opravljali tudi na predstavništvu v Braziliji. Poleg tega lahko na poimenskem seznamu navede tudi osebna imena, nazive ali funkcije, delovna mesta, službene telefonske številke in naslove službene elektronske pošte predstojnika in tistih zaposlenih v agenciji, katerih delo je pomembno zaradi poslovanja agencije s strankami oziroma uporabniki storitev ter vse tiste osebne podatke, ki se vodijo v sodnem ali kakšnem drugem podobnem registru oziroma zbirki, ki je namenjena zagotavljanju informacij javnosti.  

O b r a z l o ž i t e v:

1.  Splošno o veljavnosti ZVOP-1 in pravnih podlagah za obdelavo osebnih podatkov

V prvem odstavku 5. člena ZVOP-1 je določeno, da ta zakon velja za obdelavo osebnih podatkov, če je upravljavec osebnih podatkov ustanovljen, ima sedež ali je registriran v Republiki Sloveniji ali če je podružnica upravljavca osebnih podatkov registrirana v Republiki Sloveniji.

ZVOP-1 kot temeljni in sistemski zakon s področja varstva osebnih podatkov v prvem odstavku 8. člena določa, da se osebni podatki lahko obdelujejo (zbirajo, pridobivajo, shranjujejo, združujejo, posredujejo, sporočajo, razkrivajo, uporabljajo, ipd.) le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon, ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. V drugem odstavku 8. člena je nadalje še določeno, da mora biti namen obdelave določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.

Pravne podlage za obdelavo osebnih podatkov v javnem sektorju so podrobneje določene v 9. členu ZVOP-1, pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju pa podrobneje določa 10. člen ZVOP-1.

Iz zgoraj navedenega izhaja, da ZVOP-1 kot splošen zakon na sistemski ravni ureja varstvo osebnih podatkov, vendar dopušča, da se varstvo osebnih podatkov ureja za posamezna (ožja) pravna področja tudi s področnimi zakoni. Kadar obdelava osebnih podatkov ni urejena v področnih zakonih, je obdelava osebnih podatkov dopustna, če se osebni podatki obdelujejo na podlagi osebne privolitve posameznika ali pod pogoji in na način, določen v 2., 3. in 4. odstavku 9. člena, 2. in 3. odstavku 10. člena ter VI. delu ZVOP-1 (Področne ureditve; členi 72 do 90).   

2. Iznos osebnih podatkov zaposlenih iz države in njihovo posredovanje upravljavcem in uporabnikom v tretjih državah

2.1. Splošno o iznosu osebnih podatkov v tretje države

Kot tretja država se šteje država, ki ni članica Evropske unije ali Evropskega gospodarskega prostora.

Posredovanje osebnih podatkov v tretjo državo je po določbah 63. člena ZVOP-1 dopustno v skladu z določbami tega zakona in pod pogojem, da slovenski državni nadzorni organ (Pooblaščenec) izda odločbo, da država, v katero se podatki iznašajo, zagotavlja ustrezno raven varstva osebnih podatkov. Takšna odločba ni potrebna v primeru, če je tretja država že na seznamu tistih držav iz 66. člena ZVOP-1, za katere je Pooblaščenec že ugotovil, da imajo v celoti ali delno zagotovljeno ustrezno raven varstva osebnih podatkov.  

Iz zgoraj navedenih določb 63. člena ZVOP-1 izhaja, da morata biti za iznos in posredovanje osebnih podatkov uporabniku osebnih podatkov v tretji državi izpolnjena dva pogoja in sicer:

1.    Za posredovanje oziroma sporočanje in dajanje osebnih podatkov na razpolago uporabniku ali upravljavcu osebnih podatkov v tretji državi mora obstajati katera izmed pravnih podlag, ki so za javni sektor določene v 9. členu, za zasebni sektor pa v 10. členu ZVOP-1.

2.    Ob izpolnjenem prvem pogoju je posredovanje osebnih podatkov uporabniku ali upravljavcu osebnih podatkov v tretji državi dopustno, če Pooblaščenec izda odločbo, da država, v katero se podatki iznašajo, zagotavlja ustrezno raven varstva osebnih podatkov. Odločba ni potrebna, če je tretja država že na seznamu tistih držav iz 66. člena ZVOP-1, za katere je ugotovljeno, da v celoti zagotavljajo ustrezno raven varstva osebnih podatkov, ali pa le to zagotavljajo delno, če se posredujejo tisti osebni podatki in za tiste namene, za katere je ugotovljena ustrezna raven varstva.    

Pooblaščenec za Brazilijo do sedaj še ni vodil postopka ugotavljanja ustrezne ravni varstva osebnih podatkov, zaradi česar Brazilije ni na seznamu tretjih držav iz 66. člena ZVOP-1.

Ne glede na to, da Pooblaščenec za določeno tretjo državo še ni ugotovil, da le ta zagotavlja ustrezno raven varstva osebnih podatkov, se osebni podatki v takšno državo kljub temu lahko posredujejo, in sicer v primeru, če je izpolnjen katerikoli izmed pogojev, ki jih taksativno določa prvi odstavek 70. člena ZVOP-1. Po določbah prvega odstavka 70. člena ZVOP-1 se namreč ne glede na prvi odstavek 63. člena ZVOP-1 osebni podatki lahko iznesejo in posredujejo v tretjo državo, če:
1.    tako določa drug zakon ali obvezujoča mednarodna pogodba;
2.    je podana osebna privolitev posameznika, na katerega se nanašajo osebni podatki in je seznanjen s posledicami takšnega posredovanja;
3.    je iznos potreben za izpolnitev pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem osebnih podatkov ali za izvršitev predpogodbenih ukrepov, sprejetih kot odgovor na zahtevo posameznika, na katerega se nanašajo osebni podatki;
4.    je iznos potreben za sklenitev ali izvršitev pogodbe, ki je v korist posameznika, na katerega se nanašajo osebni podatki, sklenjeno med upravljavcem osebnih podatkov in tretjo stranko;
5.    je iznos potreben, da se pred hujšim ogrožanjem zavaruje življenje ali telo posameznika, na katerega se nanašajo osebni podatki;
6.    se iznos opravi iz registrov, javnih knjig ali uradnih evidenc, ki so po zakonu namenjene zagotavljanju informacij javnosti in so na voljo za vpogled javnosti na splošno ali katerikoli osebi, ki lahko izkaže pravni interes, da so v posameznem primeru izpolnjeni pogoji, ki jih za vpogled določa zakon;
7.    upravljavec osebnih podatkov zagotovi ustrezne ukrepe zavarovanja osebnih podatkov ter temeljnih pravic in svoboščin posameznikov in navede možnosti njihovega uresničevanja ali varstva, predvsem v določbah pogodb ali v splošnih pogojih poslovanja.
 
V primeru, ko je izpolnjen katerikoli izmed pogojev iz 1., 2., 3., 4., 5. in 6. točke prvega odstavka 70. člena ZVOP-1, za iznos osebnih podatkov in njihovo posredovanje uporabniku v tretji državi ni potrebna nobena odločba Pooblaščenca. Posebna odločba Pooblaščenca je potrebna le v primeru iznosa osebnih podatkov pod pogoji iz zgoraj navedene 7. točke prvega odstavka 70. člena ZVOP-1.

2.2. Splošno o pravnih podlagah za obdelavo osebnih podatkov zaposlenih v javni agenciji

Namen obdelave osebnih podatkov delavcev je določen v Zakonu o delovnih razmerjih (ZDR; Uradni list RS, št. 42/02, 79/06 in 46/07) in v Zakonu o evidencah na področju dela in socialne varnosti (ZEPDSV; Uradni list RS, št. 40/06). Po določbah prvega odstavka 46. člena ZDR se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom, ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. V prvem odstavku 5. člena ZEPDSV je določeno, da se podatki, ki jih vsebujejo evidence iz 6. člena tega zakona (med temi evidencami je tudi evidenca o zaposlenih delavcih, ki jo vodijo vsi delodajalci), lahko uporabljajo za odločanje v upravnih postopkih v skladu z zakoni, ki urejajo posamezna področja, ter za namene izvajanje statističnih, socialno ekonomskih in drugih raziskovanj, ki imajo zakonsko podlago.

Glede na to, da se po določbah 1. člena Zakona o javnih uslužbencih (ZJU; Uradni list RS, št. 63/07-UPB3) zaposleni v javni agenciji štejejo med javne uslužbence, je potrebno pravno podlago za posredovanje in razkrivanje osebnih podatkov zaposlenih v JAPTI presojati tudi z vidika določb ZJU, Zakona o dostopu do informacij javnega (ZDIJZ; Uradni list RS, št. 51/06 – UPB2 in 117/06 – ZDavP2) ter Zakona o javnih agencijah (ZJA; Uradni list RS, št. 52/02 in 51/04).

V prvem odstavku 46. člena ZJU je določeno, da se za izvajanje politike upravljanja s kadrovskimi viri v organih državne uprave, za obračun plač in izvajanje drugih obveznosti delodajalca ter za odločanje o pravicah in obveznostih iz delovnih razmerij vodi centralna kadrovska evidenca državne uprave. Prvi odstavek 50. člena ZJU nadalje še določa, da za namene iz prvega odstavka 46. člena tega zakona lahko podatke centralne kadrovske evidence pridobijo predstojniki, vodje kadrovskega poslovanja, druge osebe, ki odločajo o pravicah in obveznostih javnih uslužbencev, ter inšpektorji.    

ZDIJZ v 1. alineji 3. odstavka 6. člena določa, da se ne glede na določbe prvega odstavka dostop do zahtevane informacije dovoli, če gre za podatke o porabi javnih sredstev ali podatke, povezane z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca, razen v primerih iz 1. in 4. do 8. točke prvega odstavka ter v primerih, ko zakon, ki ureja javne finance ali zakon, ki ureja javna naročila, določata drugače.

V 33. členu ZJA (javnost dela) je v 1. alineji drugega odstavka določeno, da je agencija pri obveščanju uporabnikov dolžna v prostorih, v katerih poteka poslovanje z uporabniki, v pisni obliki posredovati v prejšnjem odstavku navedene podatke, med njimi tudi o direktorju javne agencije ter članih njenega sveta kot tudi o imenu in priimku oseb, ki poslujejo z uporabniki ter odgovornih oseb. Podobne določbe v zvezi z javno objavo in dajanjem podatkov javnosti so tudi v 2. odstavku 106. člena ZVOP-1, kjer je določeno, da upravljavci osebnih podatkov lahko javnosti posredujejo in javno objavijo osebno ime, naziv ali funkcijo, službeno telefonsko številko in naslov službene elektronske pošte predstojnika in tistih zaposlenih, katerih delo je pomembno zaradi poslovanja s strankami oziroma uporabniki storitev.

2.3. Iznos osebnih podatkov zaposlenih v javni agenciji in njihovo posredovanje registrskemu organu tretje države
 
Kot izhaja iz vašega dopisa, se od vas zahteva, da v zvezi z odpiranjem predstavništva Javne agencije za podjetništvo in tuje investicije (v nadaljevanju JAPTI) v Braziliji, na enem od dokumentov navedete poimenski seznam zaposlenih v javni agenciji, njihovo delovno mesto v agenciji, poklic, naslov in morebitni delež v agenciji. Zahtevajo torej navedbo in posredovanje osebnih podatkov, ki jih v svojih zbirkah osebnih podatkov vodi JAPTI. Takšno posredovanje oziroma dajanje osebnih podatkov zaposlenih na razpolago registrskemu organu tretje države se po določbi 3. točke 6. člena ZVOP-1 nedvomno šteje kot obdelava osebnih podatkov.

Po določbi 1. točke prvega odstavka 70. člena ZVOP-1 se osebni podatki lahko iznesejo in posredujejo v tretjo državo, če tako določa drug zakon ali obvezujoča mednarodna pogodba. Pooblaščenec v zvezi z navedeno določbo ugotavlja, da v slovenski zakonodaji ni nikjer izrecno določeno posredovanje osebnih podatkov zaposlenih v javni agenciji registrskemu organu tretje države. Pooblaščencu tudi ni znana nobena obvezujoča mednarodna pogodba, ki bi določala takšno posredovanje. Vendar pa Pooblaščenec v zvezi z izpolnitvijo pogoja iz 1. točke prvega odstavka 70. člena ZVOP-1 meni, da je na tej pravni podlagi dopustno v tretjo državo posredovati tudi vse tiste osebne podatke, za katere je v kateremkoli od področnih zakonov določeno, da se lahko posredujejo javnosti in javno objavijo. Ob upoštevanju zgoraj navedenih določb tretjega odstavka 6. člena ZDIJZ, drugega odstavka 33. člena ZJA ter drugega odstavka 106. člena ZVOP-1, ki določajo javnost osebnih podatkov javnih uslužbencev, Pooblaščenec meni, da JAPTI brazilskemu registrskemu organu lahko posreduje poimenski seznam, na katerem so navedena osebna imena, nazivi ali funkcije, delovna mesta, telefonske številke in naslovi službene elektronske pošte predstojnika in vseh tistih zaposlenih v agenciji, katerih delo je pomembno zaradi poslovanja agencije s strankami oziroma uporabniki storitev.

Po proučitvi ostalih pogojev, ki so za iznos osebnih podatkov določeni v prvem odstavku 70. člena ZVOP-1, Pooblaščenec ob upoštevanju zgoraj navedenih pravnih podlag za obdelavo osebnih podatkov zaposlenih v javni agenciji meni, da lahko JAPTI določene osebne podatke svojih zaposlenih brazilskemu registrskemu organu posreduje tudi na podlagi in pod pogoji iz 3. in 6. točke prvega odstavka 70. člena ZVOP-1.

Po določbi 3. točke prvega odstavka 70. člena ZVOP-1 se osebni podatki lahko iznesejo in posredujejo v tretjo državo, če je iznos potreben za izpolnitev pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem osebnih podatkov ali za izvršitev predpogodbenih ukrepov, sprejetih kot odgovor na zahtevo posameznika, na katerega se nanašajo osebni podatki. Pooblaščenec v zvezi z navedeno določbo meni, da lahko JAPTI na tej podlagi registrskemu organu v Braziliji posreduje poimenski seznam z navedbo osebnih imen, delovnih mest v agenciji, poklicev, naslovov in morebitnih deležev v agenciji za  vse tiste svoje zaposlene, pri katerih iz pogodbe o zaposlitvi izhaja, da svoje delo opravljajo oziroma ga bodo opravljali tudi na predstavništvu v Braziliji. V takšnem primeru je namreč iznos osebnih podatkov teh zaposlenih po mnenju Pooblaščenca potreben zaradi izpolnjevanja pogodbe o zaposlitvi.

Po določbi 3. točke prvega odstavka 70. člena ZVOP-1 se osebni podatki lahko iznesejo in posredujejo v tretjo državo, če se iznos opravi iz registrov, javnih knjig ali uradnih evidenc, ki so po zakonu namenjene zagotavljanju informacij javnosti in so na voljo za vpogled javnosti na splošno ali katerikoli osebi, ki lahko izkaže pravni interes, da so v posameznem primeru izpolnjeni pogoji, ki jih za vpogled določa zakon. Pooblaščenec v zvezi z navedeno določbo meni,  da lahko JAPTI na tej podlagi registrskemu organu v Braziliji posreduje tudi vse tiste osebne podatke, ki se vodijo sodnem ali kakšnem drugem registru, javni knjigi ali uradni evidenci, ki je po zakonu namenjena zagotavljanju informacij javnosti in je na voljo za vpogled javnosti na splošno ali katerikoli osebi, ki lahko izkaže pravni interes, da so v posameznem primeru izpolnjeni pogoji, ki jih za vpogled določa zakon.

Prijazen pozdrav,

Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka