Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 12.08.2015
Naslov: Zaposlitvene agencije, seznanitev naročnikov, psihometrično testiranje
Številka: 0712-1/2015/2043
Vsebina: Delovna razmerja, Zdravstveni osebni podatki
Pravni akt: Mnenje

prejeli smo vaše sporočilo, v katerem pojasnjujete, da pravna oseba izvaja selekcijske postopke za druge pravne osebe (naročnike). Za čas selekcijskega postopka hrani podatke kandidatov, ki se prijavijo na prosto delovno mesto ("bazen primernih kandidatov"). Kandidati so seznanjeni, da se njihove vloge zbirajo za naročnika. Ali ima pravna oseba zakonito podlago za:

·         hrambo in posredovanje osebnih podatkov za čas selekcijskega postopka? Ali bi morale osebe podati posebno soglasje (čeprav iz oglasa izhaja, da se išče kandidate za naročnika)? Ali bi morale osebe biti seznanjene za katerega naročnika gre že tekom postopka (pogosto so pogoji naročnikov varstvo poslovne skrivnosti o nazivu naročnika dokler niso izbrani zadnji ključni kandidati)?

·         hrambo osebnih podatkov tudi po preteku selekcijskega postopka, če bi osebe podale posebno soglasje, da dovoljujejo uporabo njihovih podatkov, ko se pojavi primerni naročnik / primerno delovno mesto (hramba na zalogo za nedoločeno število naročnikov in nedoločen čas)?

·         posredovanje osebnih podatkov, ko se pojavi primerni naročnik, če kandidata ponovno zaprosi za soglasje (za konkretnega naročnika)?

·         za hrambo in posredovanje rezultatov, ki jih pravna oseba dobi na podlagi psihometrihčnih testov (v vseh treh primerih: 1. čas selekcije; 2. nedoločen čas "na zalogo"; 3. čas selekcije za novega naročnika)?

 

Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

Obdelava osebnih podatkov v časovnih intervalih, ki jih navajate, in njihovo posredovanje naročnikom je dopustno pod pogojem, da pravna oseba nastopa v vlogi upravljavca teh osebnih podatkov in je posameznik z roki hrambe vnaprej jasno seznanjen, prav tako pa tudi z vrstami uporabnikov, ki jim bodo podatki posredovani, ter je za take namene obdelave in roke hrambe osebnih podatkov podal svojo privolitev, ali pa pravna podlaga za obdelavo podatkov v konkretnem primeru izhaja neposredno iz določb ZVOP-1 ali ZDR. V primeru, da pravna oseba nastopa kot pogodbeni obdelovalec,  lahko osebne podatke obdeluje zgolj v okviru naročnikovega pooblastila, za določene namene in jih mora nato vrniti naročniku.

 

V primeru, da je pravna oseba upravljavec osebnih podatkov in te podatke nato posreduje potencialnim naročnikom, morajo biti kandidati z identiteto naročnika seznanjeni skladno z 19. členom ZVOP-1, ki dopušča seznanitev z vrsto uporabnikov, kar pomeni, da je dovolj generični opis. V primeru, da pravna oseba nastopa kot pogodbeni obdelovalec točno določenega naročnika in obdeluje osebne podatke kandidatov po njegovih naročilih, pa je kandidate dolžna seznaniti s tem, kdo je upravljavec osebnih podatkov za čigar izvaja pogodbeno obdelavo osebnih podatkov uporabnikov in torej zadošča generični opis vrste uporabnikov.

 

IP opozarja, da je izvajanje psihometričnih testov, hramba takih podatkov »na zalogo« in njihovo posredovanje naročnikom, ki niso vnaprej znani, ter ko ni znano niti kakšne so zahteve delovnega mesta oz. zaželene osebnostne lastnosti v povezavi uresničevanjem pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, sporna z vidika zahtev ZDR in ZVOP-1. V primeru, da pravna oseba kot pogodbeni obdelovalec izvede psihometrično testiranje za znanega naročnika in opredeljeno delovno mesto, to lahko stori na način in pod pogoji, pojasnjenimi spodaj.

 

 

Obrazložitev:

 

Kot izhaja iz vašega sporočila, vas zanima predvsem sledeče:

-       na kakšni pravni podlagi lahko pravna oseba obdeluje, hrani in posreduje osebne podatke, ki jih pridobi od kandidata za prosto delovno mesto, v fazi izbirnega postopka ter tudi po njegovem zaključku (če se v bodoče pojavi primeren naročnik),

-       ali mora biti kandidat seznanjen z identiteto naročnika in

-       na kakšni pravni podlagi in za kakšno obdobje lahko pravna oseba hrani in posreduje podatke o psihometričnih testiranjih.

 

1.     Pravne podlage za obdelavo, hrambo in posredovanje osebnih podatkov kandidatov za zaposlitve

 

IP pojasnjuje, da se glede na 10. člen ZVOP-1 osebni podatki v zasebnem sektorju lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Poleg tega se v zasebnem sektorju lahko obdelujejo tudi  osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.

Pravno podlago za obdelavo osebnih podatkov v delovnih razmerjih predstavlja Zakon o delovnih razmerjih (Uradni list RS, št. 21/2013, nadaljevanju: ZDR-1). Prvi odstavek 48. člena ZDR-1 tako določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Iz navedene določbe ZDR-1 izhaja, da delodajalec lahko zbira le tiste podatke zaposlenih, ki so določeni s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. ZDR-1 na ta način tudi konkretizira načelo sorazmernosti iz 3. člena ZVOP-1, ki določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo.

 

V zvezi z izborom kandidatov ZDR-1 v 28. členu določa, da delodajalec sme od kandidata zahtevati le predložitev dokazil o izpolnjevanju pogojev za opravljanje dela in ne sme od kandidata zahtevati podatkov o družinskem oziroma zakonskem stanu, o nosečnosti, o načrtovanju družine oziroma drugih podatkov, če niso v neposredni zvezi z delovnim razmerjem. Delodajalec je dolžan neizbranemu kandidatu na njegovo zahtevo vrniti vse dokumente, ki mu jih je predložil kot dokaz za izpolnjevanje zahtevanih pogojev za opravljanje dela.

 

Odgovori na vaše vprašanje so veliki meri odvisni tudi od položaja pravne osebe v  odnosu do naročnika.  Pravna oseba lahko namreč nastopa v vlogi upravljavca osebnih podatkov, in torej sama določa sredstva in namene obdelave osebnih podatkov kandidatov ter je tako zavezana določbam ZVOP-1, ki urejajo delovanje upravljavca. Pravna oseba pa lahko nastopa tudi v vlogi pogodbenega obdelovalca osebnih podatkov, to je npr. v primeru, ko za naročnika izvede selekcijski postopek in pri tem obdeluje osebne podatke le v obsegu znotraj pooblastila naročnika in nikakor ne za svoj namen.

 

Skladno z navedenim je potrebno presojati  pravno podlago za obdelavo in hrambo osebnih podatkov v fazi izbirnega postopka in kasneje. V primeru, da pravna oseba nastopa kot upravljavec osebnih podatkov, mora pri postopku izbire kandidatov za zaposlitev upoštevati določbe ZVOP-1 in specialne določbe ZDR-1 glede obdelave osebnih podatkov delavcev oziroma kandidatov za zaposlitev in sme tako obdelovati le podatke, ki so primerni in potrebni zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem oziroma sme od kandidata pridobivati le podatke, ki so v neposredni zvezi z delovnim razmerjem.

Tu velja še opozorilo, da je obdelava osebnih podatkov v okviru delovnega razmerja dopustna le, če kandidat vanjo privoli (pisna osebna privolitev, na kateri je jasno razvidno za kakšno obdelavo taksativno naštetih osebnih podatkov gre in za kakšen namen), pri čemer mu morajo biti pred podajo takšne privolitve dane jasne informacije o tem, da je podaja pisne privolitve povsem prostovoljna, da  v primeru zavrnitve ne bo trpel nobenih posledic ter da lahko svojo privolitev kadarkoli prekliče.

 

V primeru, da vaša pravna oseba nastopa le kot pogodbeni obdelovalec osebnih podatkov v primeru iskanja kandidata za določenega naročnika, pa zbranih osebnih podatkov ne sme obdelovati za svoje namene, izven pooblastila naročnika.

 

Iz navedenega sklepno izhaja, da je obdelava osebnih podatkov v časovnih intervalih, ki jih navajate, in njihovo posredovanje naročnikom, dopustna, pod pogojem, da pravna oseba nastopa v vlogi upravljavca teh osebnih podatkov in je posameznik z roki hrambe vnaprej jasno seznanjen, prav tako pa z vrstami uporabnikov, ki jim bodo podatki posredovani, ter je za take namene obdelave in roke hrambe osebnih podatkov podal svojo privolitev, ali pa pravna podlaga za obdelavo podatkov v konkretnem primeru izhaja neposredno iz določb ZVOP-1 ali ZDR. V primeru, da pravna oseba nastopa kot pogodbeni obdelovalec, pa lahko osebne podatke obdeluje zgolj v okviru naročnikovega pooblastila, za določene namene in jih mora nato vrniti naročniku.

 

2.     Ali mora biti kandidat seznanjen z identiteto naročnika

 

V primeru, da je pravna oseba upravljavec osebnih podatkov in te podatke nato posredujete potencialnim naročnikom, morajo biti kandidati z identiteto naročnika seznanjeni skladno z 19. členom ZVOP-1, ki določa seznanitev posameznikov z uporabniki osebnih podatkov oz. vrsto uporabnikov, katerim upravljavec posreduje podatke. Glede na to, da zakon dopušča seznanitev z vrsto uporabnikov, v tem primeru seznanitev s konkretnim nazivom naročnika ni potrebna, dovolj je generični opis vrste uporabnikov.

 

V primeru, da pravna oseba nastopa kot pogodbeni obdelovalec točno določenega naročnika in obdeluje osebne podatke kandidatov po njegovih naročilih, pa je kandidate dolžna seznaniti s tem, kdo je upravljavec osebnih podatkov za čigar izvaja pogodbeno obdelavo osebnih podatkov.

 

3.     Na kakšni pravni podlagi in za kakšno obdobje lahko pravna oseba hrani in posreduje podatke o psihometričnih testiranjih

 

Pri izvedbi psihometričnih testov in posredovanju rezultatov takih testov je potrebno upoštevati zgoraj navedene omejitve glede obdelave osebnih podatkov zaposlenih in kandidatov. O tem je IP že objavil svoje mnenje, ki je dostopno na tej povezavi: https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/?tx_jzvopdecisions_pi1[showUid]=1217&tx_jzvopdecisions_pi1[highlightWord]=psiho&cHash=04461e5075736d2373d0981379cc7948.

 

V njem poudarjamo, da delodajalec lahko tako testiranje naroči strokovno usposobljenemu psihologu oziroma instituciji, ki naj pokaže, kateri od kandidatov ima lastnosti, ki so za delo na določenem delovnem mestu zaželene (npr. komunikativnost, sposobnost za delo v skupini, vodstvene sposobnosti itd.), pri čemer pa lahko delodajalec od izvajalca takega psihometričnega testiranja dobi zgolj podatek o tem, ali kandidat glede zaželenih lastnosti zahtevam za delovno mesto ustreza ali ne. Takšno psihometrično testiranje zaposlenih lahko delodajalec izvede tudi v času trajanja delovnega razmerja, vendar samo v primeru, ko je takšno ugotavljanje lastnosti zaposlenih potrebno za uresničevanje pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem t.j., ko gre za lastnosti, katerih poznavanje s strani delodajalca je relevantno in nujno z vidika uresničevanja pravic in obveznosti iz delovnega razmerja oziroma za učinkovito organiziranje delovnega procesa.

 

IP opozarja, da je izvajanje psihometričnih testov, hramba takih podatkov »na zalogo« in njihovo posredovanje naročnikom, ki niso vnaprej znani, ter ko ni znano niti kakšne so zahteve delovnega mesta oz. zaželene osebnostne lastnosti v povezavi uresničevanje pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, sporna z vidika zgoraj pojasnjenih zahtev ZDR in ZVOP-1.

 

V primeru, da pravna oseba kot pogodbeni obdelovalec izvede psihometrično testiranje za znanega naročnika in opredeljeno delovno mesto, pa to lahko stori na način in pod pogoji, kot jih pojasnjujemo v zgornjem mnenju.

 

S pozdravi,

 

Informacijski pooblaščenec:
Mojca Prelesnik, univ.dipl.prav.,
informacijska pooblaščenka

 

Pripravil:
Jelena Burnik,
državna nadzornica za
varstvo osebnih podatkov