Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 23.01.2018
Naslov: Mnenje glede kadrovske agencije in statusa upravljavca podatkov
Številka: 0712-3/2018/20
Vsebina: Delovna razmerja, Posredovanje OP med upravljavci, Razno
Pravni akt: Mnenje

Prejeli smo vaš dopis, v katerem nas sprašujete za mnenje glede statusa upravljavca podatkov v primeru družbe s koncesijo za posredovanje začasnih in občasnih del študentov in dijakov (oz. oseb iz 6.b člena Zakona o zaposlovanju in zavarovanju za primer brezposelnosti) poleg tega pa gre za družbo, ki je vpisana v register domačih pravnih in fizičnih oseb za opravljanje dejavnosti zagotavljanja dela delavcev uporabniku. Kot pojasnjujete v prvem primeru (koncesionar za študentski servis) podatke o študentih zbirate in upravljate na podlagi zakona (ZZZPB ter starega Pravilnika o pogojih za opravljanje dejavnosti agencij za zaposlovanje), v drugem primeru (agencija za posredovanje dela) pa podatke o delavcih zbirate in upravljate na podlagi zakona (ZDR-1 in Zakona o evidencah na področju dela in socialne varnosti).

 

Zanima vas, kakšen status imajo vaši naročniki, saj ti delavci (oz. študentje) delo dejansko opravljajo v njihovih prostorih, z njihovimi delovnimi sredstvi, pod njihovim nadzorom in njihovimi navodili. Delavci imajo razmerje z vami, nato pa so napoteni na delo k naročniku. V prvem primeru naročnik podpiše napotnico, ki jo izdate kot koncesionar, v drugem primeru pa komercialno pogodbo o napotitvi delavcev.

 

Vaša matična švicarska družba, ki ima hčerinske družbe po vsej Evropi in drugih kontinentih je na podlagi meddržavnega sodelovanja zavzela stališče, da gre za status dveh upravljalcev podatkov. Torej menijo, da ​​sta v odnosu do delavcev obe stranki delodajalec, zato pa tudi upravljavec (osebnih) podatkov​. V RS to ​(torej da se v takem primeru za delodajalca štejeta oba) ​definira tudi zakon o varnosti in zdravju pri delu in Pravilnik o pogojih za opravljanje dejavnosti agencij za zaposlovanje (3. člen ZVZD-1, 19 - 21. čl. Pravilnik o pogojih za opravljanje dejavnosti agencij za zaposlovanje). ​Glede na povedano bi radi delovali tako, da bi se tako vaša družba kot tudi njen pogodbenik oba hkrati štela za upravljavca oz. soupravljavca podatkov.​

 

Zanima vas, ali je stališče IP pritrdilno, da:

 

    1. ​so v teh dveh razmerjih tudi naročniki upravljavci podatkov in ne obdelovalci naših podatkov;
    2. ​da lahko naročniku posredujete potrebne osebne podatke delavcev (in katere) že po samem zakonu, saj jih potrebujejo za potrebe identifikacije delavca, ki pride na delo. V sklopu vašega dela sicer pridobivate soglasje delavcev, da lahko njihove podatke posredujete vsakokratnem uporabniku vendar bi se želeli prepričati, da imamo podlago za navedeno že v členih ZDR-1 (59-62);  
    3. ​​lahko naročniku študentskega dela pošljete študentsko napotnico s podatki, ki jih ta mora vsebovati na podlagi 19. čl. Pravilnika o pogojih za opravljanje dejavnosti agencij za zaposlovanje, kar sedaj delate na zahtevo študenta.

 

 

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

 

IP uvodoma pojasnjuje, da lahko poda samo nezavezujoče mnenje, ki se dotika vidikov varstva osebnih podatkov in ne mnenja s področja delovno-pravnih razmerij in urejanja tovrstnih pravic in obveznosti.

 

Ad a)

 

Splošna Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; uredba) bistveno ne spreminja definicije upravljavca in obdelovalca, zato pritrjujemo, da je treba šteti tako vas kot vaše naročnike (pravne osebe, kamor se napoti delavce na delo), za upravljavce osebnih podatkov, saj vsak od vas zasleduje lastne oziroma za zakonom opredeljene namene obdelave osebnih podatkov in za vsakega od vas veljajo tudi nekatere zgoraj omenjene zakonske zahteve (ZZZPB, ZDR-1, ZVZD, ZEPDSV …).

 

 

Ad b in

 

Tako vi kot vaši naročniki ne morete opravljati svojih storitev ne da bi obdelovali osebne podatke študentov oziroma napotenih delavcev. Pri tem morate sami preveriti, kakšen nabor podatkov je bodisi določen izrecno z zakonodajo bodisi nujno potreben za doseganje zakonitih ciljev, pri tem pa upoštevati načelo minimizacije in zbrati, obdelati in posredovati le tisti nabor podatkov, ki je nujno potreben za doseganje ciljev. Nabor podatkov se seveda lahko pomembno razlikuje glede na posebne okoliščine primera (v odvisnosti od zahtev delovnega mesta, posebnih nalog ali zahtevanih kvalifikacij ipd.). Glede vašega vprašanja o posredovanju študentskih napotnic s podatki pa pojasnjujemo, da če obdelavo osebnih podatkov, med katero sodi tudi posredovanje osebnih podatkov, določa zakon, potem privolitev (oz. soglasje) posameznika ni ne primerna ne potrebna pravna podlaga. Kar pa ne pomeni, da niste dolžni upoštevati zgoraj omenjenih opozoril glede minimizacije obdelave osebnih podatkov na potreben in sorazmeren obseg[1].

 

Zaključno še priporočamo, da v (pogodbenem) razmerju do vaših naročnikov smiselno upoštevate in uredite tudi zahteve 26. člena uredbe, ki določa zahteve glede skupnih upravljavcev.

 

 

Lep pozdrav,

 

                                                                                              Mojca Prelesnik, univ.dipl.prav.,                                                  

                                                                                               informacijska pooblaščenka

 

 

Pripravil:                                                                                                                                

mag. Andrej Tomšič,
namestnik informacijske pooblaščenke 

                                                          

           

 

 


[1] Glej 25. člen uredbe v povezavi s 5. členom.