Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 11.01.2018
Naslov: Zbiranje osebnih podatkov kandidatov za zaposlitev
Številka: 0712-1/2017/2612
Vsebina: Delovna razmerja
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je dne 11. 12. 2017 prejel vaše e-sporočilo, kateremu ste priložili obrazec »Podatki za zaposlitev«, ki ga posredujete kandidatom za zaposlitev. Ker želite urediti področje varstva osebnih podatkov v skladu z novo uredbo, prosite za mnenje, ali je dokument v celoti ustrezen oziroma za priporočilo, kako ga izboljšati.  

  

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007-UPB1, v nadaljevanju: ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/2005 in 51/2007–ZUstS-A) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem, ob tem pa poudarjamo, da IP ne more izven inšpekcijskega postopka izvajati presoje o skladnosti posameznih internih aktov ali obrazcev s predpisi s področja varstva osebnih podatkov.

 

 

Obrazložitev:

 

Splošne pravne podlage za obdelavo osebnih podatkov so določene v 8. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Drugi odstavek istega člena pa določa, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave osebnih podatkov na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Določba prvega odstavka 8. člena ZVOP-1 je splošne narave, zato so v 9. členu ZVOP-1 še posebej določene pravne podlage za obdelavo osebnih podatkov v javnem sektorju, v 10. členu ZVOP-1 pa pravne podlage v zasebnem sektorju.

 

Čeprav ZVOP-1 razlikuje med javnim in zasebnim sektorjem, je področje delovnega prava specialno urejeno za oba sektorja v posebnih zakonih, tj. predvsem v Zakonu o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/2006; v nadaljevanju: ZEPDSV) in Zakonu o delovnih razmerjih (Uradni list RS, št. 21/2013 s spr.; v nadaljevanju: ZDR-1). ZEPDSV v 12. členu določa vrste evidenc, ki jih morajo voditi delodajalci (evidenca o zaposlenih delavcih, evidenca o stroških dela, evidenca o izrabi delovnega časa, evidenca o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu), v 13., 16., 18. in 20. členu pa njihovo vsebino. ZDR-1 v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno z zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

 

Delodajalec torej lahko obdeluje tiste delavčeve osebne podatke, ki jih določa ZEPDSV in v skladu z 48. členom ZDR-1 tiste osebne podatke, za katere izkaže, da jih potrebuje zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravice in obveznosti obeh, torej delavca in delodajalca.

 

Osebna privolitev delavca (priporočena je pisna privolitev, ker je v primeru spora enostavno dokazljiva) je dopustna le izjemoma pod pogojem, da zavrnitev soglasja resnično nima posledic na delovno razmerje oziroma na delavčev pravni položaj.

 

V zvezi s spremembo zakonodaje na področju varstva osebnih podatkov, IP pojasnjuje, da se bo Splošna uredba o varstvu osebnih podatkov v državah članicah EU začela uporabljati 25. 5. 2018. To pomeni, da bodo upravljavci osebnih podatkov (tudi delodajalci) v Sloveniji po navedenem datumu pri obdelavi osebnih podatkov morali upoštevati določbe te uredbe, ZVOP-2 (ki je v pripravi in bo nadomestil ZVOP-1 in uredil določena področja, ki jih lahko država članica v skladu z uredbo uredi v nacionalni zakonodaji) ter tudi specialne predpise, ki določajo pogoje obdelave osebnih podatkov na posameznem področju (npr. ZEPDSV in ZDR-1). Tako pri zbiranju osebnih podatkov na podlagi zakona predvidoma ne bo večjih sprememb, medtem ko uredba določa strožje pogoje glede privolitve in informiranja posameznikov. Če privolitve, s katerimi razpolagajo upravljavci, zadovoljujejo standarde, postavljene z uredbo, ostanejo veljavne tudi naprej, sicer bodo morali pridobiti nove. V zvezi s privolitvijo so relevantni predvsem členi 6, 7 in 8 nove uredbe ter uvodne določbe 32, 42, 43 in 171, v zvezi z informiranjem posameznika pa člena 13 in 14 nove uredbe ter uvodne določbe 60, 61 in 62.  

 

Privolitev posameznika mora biti prostovoljna (ne sme biti pogojevana ali izsiljena), nedvoumna (ne sme obstajati dvom v to, ali se je posameznik strinjal z obdelavo osebnih podatkov ali ne), podana mora biti aktivno (z izjavo ali dejanjem, zato »tihe« privolitve (molk ali neodzivnost posameznika) ne moremo šteti za privolitev) in za konkretno obdelavo osebnih podatkov. Zelo pomemben element privolitve je predhodna informiranost posameznika, saj se lahko le na podlagi ustreznih informacij (komu zaupa podatke in za kakšen namen, morebitno posredovanje podatkov tretjim osebam) posameznik svobodno odloči, ali bo svoje podatke posredoval ali ne. Upravljavci osebnih podatkov morajo biti zmožni izkazati, da so pridobili privolitev posameznika in morajo posamezniku zagotoviti tudi pravico do umika privolitve.

 

*****

 

IP po pregledu obrazca, ki ste ga posredovali, ugotavlja, da imate v 13. členu ZEPDSV, ki določa vsebino evidence o zaposlenih delavcih, pravno podlago za zbiranje naslednjih osebnih podatkov izbranih kandidatov:

 

- osebno ime (priimek, ime),

- kraj rojstva,

- EMŠO,

- davčna številka,

- državljanstvo,

- izobrazba (na obrazcu so rubrike: naziv končane izobrazbe, stopnja izobrazbe, ustanova – šola, fakulteta),

- ali je delavec invalid,

- kategorija invalidnosti,

- naslov stalnega prebivališča (ulica, hišna številka, kraj, poštna številka, občina, država),

- naslov začasnega prebivališča (ulica, hišna številka, kraj, poštna številka, občina, država).

 

V zvezi z datumom prijave in odjave začasnega prebivališča IP ugotavlja, da vam ZEPDSV ne daje podlage za njuno zbiranje, kar pomeni, da morate izkazati, da podatka potrebujete za uresničevanje pravic in obveznosti iz delovnega razmerja (48. člen ZDR-1). Glede naslova, s katerega se delavec vozi na delo (če to ni naslov stalnega ali začasnega prebivališča, kar je po mnenju IP redko), pa IP meni, da ga delodajalec lahko zbira na podlagi 48. člena ZDR-1, saj so od tega odvisni stroški prevoza na delo, ki jih mora plačati delavcu.

 

V 16. členu ZEPDSV, ki določa vsebino evidence o stroških dela, ima delodajalec pravno podlago za zbiranje:

- številke transakcijskega računa, na katerega se izplačujejo plače in ostali prejemki,

- imena banke in poslovne enote banke (čeprav ta podatek v 16. členu ZEPDSV ni eksplicitno naveden, IP meni, da je neločljivo povezan s številko transakcijskega računa, saj mora delodajalec za izvedbo nakazila prejemkov vedeti, pri kateri banki ima delavec odprt račun). 

 

Za zbiranje podatkov o zaščitnih oblačilih (številka oblačila, številka obutve) ima delodajalec pravno podlago v 48. členu ZDR-1, saj podatke potrebuje za uresničevanje pravic in obveznosti iz delovnega razmerja. V skladu z 19. členom Zakona o varnosti in zdravju pri delu (Uradni list RS, št. 43/2011) mora namreč delodajalec zagotavljati varnost in zdravje pri delu tako, da med drugim zagotavlja delavcem osebno varovalno opremo in njeno uporabo, če sredstva za delo in delovno okolje kljub varnostnim ukrepom ne zagotavljajo varnosti in zdravja pri delu.

 

IP opozarja, da se podatek o narodnosti v skladu z 19. točko 6. člena ZVOP-1 šteje med občutljive osebne podatke in da delodajalec, kolikor je znano IP, nima pravne podlage za njegovo zbiranje v nobenem zakonu, prav tako nima razloga, da bi ga zbiral na podlagi osebne privolitve.

 

Podatke o otrocih (priimek in ime, EMŠO), starih do 15 let, lahko delodajalec zbira in nadalje obdeluje na podlagi 48. člena ZDR-1, če je to potrebno zaradi uveljavljanja pravic delavcev, ki jim gredo iz delovnega razmerja. Takšna je tudi pravica do dodatnega dneva letnega dopusta za vsakega otroka, ki še ni dopolnil 15 let, in je določena v 159. členu ZDR-1. Če želi delavec uveljavljati to pravico, kar je zagotovo v njegovem interesu, mora delodajalcu posredovati potrebne osebne podatke otroka.

 

ZEPDSV posebej ne določa možnosti zbiranja zasebnih kontaktnih podatkov delavca (številka mobilnega telefona in e-naslova), prav tako ti podatki praviloma niso nujno potrebni za uresničevanje pravic in obveznosti iz delovnega razmerja (48. člen ZDR-1). Zato jih delodajalec lahko zbira le s privolitvijo delavca izrecno za namen lažjega in hitrejšega komuniciranja, ki naj bi bilo v interesu obeh. V tem primeru mora delodajalec natančno opredeliti, da posredovanje podatkov ni obvezno in da lahko delavec posreduje en ali oba podatka, odvisno od tega, na kakšen način želi, če sploh želi, komunicirati z delodajalcem preko telefona ali elektronske pošte. Delodajalec namreč lahko komunicira z delavcem tudi po navadni pošti.

 

Delodajalec ima pravno podlago za pridobitev podatka o tem, ali ima delavec veljavno vozniško dovoljenje, v 48. členu ZDR-1, vendar ne od vseh delavcev, ampak le od tistih, ki pri opravljanju dela uporabljajo službena vozila oziroma so zaposleni na delovnih mestih, za katera se kot pogoj zahteva opravljen vozniški izpit določene kategorije.

 

IP ugotavlja, da ste na obrazcu navedli, katere osebne podatke morajo izbrani kandidati posredovati, katere podatke lahko posredujejo, če želijo uveljavljati določene pravice (podatki o delovni dobi in podatki o otrocih), in posredovanje katerih podatkov je neobvezno oziroma prostovoljno (številka mobilnega telefona in e-naslov, opravljen vozniški izpit in kategorija, podatki v zvezi s prijavo na ZRSZ in prvo zaposlitvijo), pri čemer ste navedli tudi namen obdelave osebnih podatkov. IP meni, da bi bil obrazec bolj pregleden, če bi ga razdelili na tri dele (obvezni podatki - podatki, ki jih določa zakon, in podatki, ki so bili v razpisu navedeni kot pogoj za zasedbo delovnega mesta, seveda v skladu z veljavno zakonodajo; podatki, ki jih izbrani kandidat posreduje, če želi uveljavljati določene pravice; podatki, katerih posredovanje je neobvezno) in če bi pri vsakem podatku, ki je podlaga za pridobitev določenih pravic po ZDR-1 in katerega posredovanje ni obvezno, posebej navedli namen obdelave. Prav tako predlagamo, da preverite, da bo obrazec v delu, ki predvideva zbiranje osebnih podatkov na podlagi osebne privolitve posameznika, zadostil  zgoraj navedenim zahtevam nove uredbe.

 

V zvezi s podatkom o tem, ali je posameznik prijavljen na ZRSZ, ste na obrazcu navedli »podatke v zvezi s prijavo na ZRSZZ  in prvo zaposlitvijo želimo, da lahko preverimo ali sodite v katero izmed ranljivejših skupin za katero je mogoče pridobiti sofinanciranje s strani državnih organov. Čeprav za zaposlitev ni pogoj, da sodite v ranljivejšo skupino, je v našem interesu, da v primeru, da je to mogoče, pridobimo ustrezna sredstva (prav tako pa je lahko to tudi v vašem interesu, saj so pogoji zaposlitve v tem primeru prilagojeni zahtevam javnega razpisa in tako za vas ugodnejši). V kolikor bomo ugotovili, da sodite v katero izmed ranljivejših skupin bomo sredstva za zaposlitev pridobivali samo na podlagi predhodnega dogovora z vami«. Glede tovrstne oblike zbiranja osebnih podatkov zaposlenih, pri čemer gre lahko tudi za občutljive osebne podatke, IP meni, da iz navedb ni mogoče jasno razbrati, kako boste zagotovili, da gre resnično za prostovoljno posredovanje podatkov glede na to, da, kolikor je razbrati, podati ne predstavljajo pogojev za zasedbo delovnega mesta niti ni njihovo posredovanje nujno potrebno iz drugih razlogov.

 

Naknadno (ko je kandidat že izbran) pridobivanje podatkov o tem, ali posameznik sodi v katero izmed skupin, za katero delodajalec lahko pridobi določene ugodnosti, če ga zaposli, na opisani način, ki bi ga lahko posameznik razumel kot obvezo, ni ustrezno. Če želi delodajalec zaposliti posameznike, za katere bo s strani države pridobil določene ugodnosti, potem bi bilo smiselno, da to navede že v razpisu za prosto delovno mesto, v tem primeru bi lahko šlo za pridobivanje podatkov tudi na podlagi 48. člena ZDR-1. Druga možnost je, da posameznika ob sklenitvi pogodbe seznanite z možnostjo, da na lastno željo posreduje navedene podatke, s posledicami takšnega posredovanja in z dejstvom, da posredovanje nikakor ni obvezno. V nadaljevanju pa v primeru, da posameznik tako želi pridobite veljavno soglasje in same podatke, ki jih kot delodajalec potrebujete za uveljavljanje navedenih ugodnosti (predlagamo, da poskrbite, da bo privolitev veljavna pod zgoraj navedenimi pogoji iz nove uredbe).

 

Glede spodaj navedenih dokumentov, ki jih mora izbrani kandidat dostaviti v kadrovsko službo: dokazila o delovni dobi - delovna knjižica in izpisek zavarovanj v RS po 1. 1. 2009, ki ga izda ZPIZ, dokazila o izobrazbi - fotokopija diplome, izpiski iz rojstne matične knjige za otroke do 15. leta starosti, odločba o invalidnosti, obrazec ER-28 ali potrdilo ZRSZ, če posameznik ni bil zaposlen in je prejemal denarno nadomestilo (Zakon o zdravstvenem varstvu in zdravstvenem zavarovanju v 31. členu določa, da je osnova za nadomestilo povprečna mesečna plača in nadomestila oziroma povprečna osnova za plačilo prispevkov v koledarskem letu pred letom, v katerem je nastala začasna zadržanost od dela), fotokopija transakcijskega računa, osebni dokument – na vpogled), IP pripominja naslednje:

- obrazec ER-28 ni obvezen, za enake namene (izračun nadomestila plače med začasno zadržanostjo od dela) zadošča potrdilo bivšega delodajalca o delavčevi letni bruto plači in urni obveznosti,

- delavec lahko na izpisku iz matičnega registra o rojstvu prekrije vse osebne podatke, razen svojega imena ter imena, priimka in datuma rojstva otroka (če uveljavlja pravice v zvezi z otrokom),

- kopije bančne kartice (vi ste sicer navedli kopijo transakcijskega računa) s številko osebnega računa, na katerega bo delodajalec delavcu izplačeval plače in ostale prejemke, delodajalec ne sme zahtevati, saj mu delavec lahko številko svojega računa dostavi v drugačni obliki. 

 

Zaključno pa poudarjamo, da je podano mnenje informativno in neobvezujoče, saj lahko dokončno presojo zakonitosti konkretne obdelave osebnih podatkov IP poda zgolj v okviru inšpekcijskega postopka, ko lahko dejansko preveri vse okoliščine posameznega primera.

 

 

Lepo vas pozdravljamo,

 

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka