Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 08.08.2018
Naslov: Obdelava osebnih podatkov članov sindikata
Številka: 0712-3/2018/1260
Vsebina: Sindikati
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje ter njegovo dopolnitev glede uporabe osebnih podatkov članov sindikata.

 

Navedli ste, da so se do sedaj delavci včlanjevali v sindikat s podpisom pristopne izjave, v kateri ni bilo izrecno navedeno, da s podpisom soglašajo, da se njihovi osebni podatki (ime, priimek, telefon, e-naslov) lahko uporabijo le za potrebe sindikata. Zanima vas, ali mora po Splošni uredbi o varstvu podatkov sindikat vsem članom dati v podpis takšno soglasje?

 

Sprašujete še, ali lahko sindikat pristopno izjavo z osebnimi podatki člana sindikata (ime, priimek, področje dela, telefon, e-naslov) posreduje delodajalcu oziroma računovodstvu za namen mesečnega odtegovanja članarine od osebnega dohodka?

 

Zanima pa vas tudi, ali mora sindikat določiti posebna pravila upravljanja zbirke podatkov, pooblaščene osebe za dostop, ali je priporočljivo spremembe vnesti v statut sindikata, ter ali na novih pristopnih izjavah zadostuje stavek, da s podpisom pristopne izjave član soglaša, da se njegovi osebni podatki uporabijo le za namen delovanja sindikata.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

 

Uvodoma poudarjamo, da lahko IP podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov posameznim upravljavcem osebnih podatkov svetovati, kako napisati statute, pravilnike, obrazce za privolitev, pristopne izjave in podobno. IP namreč ne sme in ne more prevzeti odgovornosti posameznih poslovnih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. Izven posameznega inšpekcijskega ali drugega upravnega postopka IP torej ne sme preverjati primernosti izbrane pravne podlage, niti namenov ali obsega obdelave osebnih podatkov v konkretnem primeru.

 

IP pa glede vaših vprašanj na splošno pojasnjuje naslednje. Za vsako obdelavo osebnih podatkov mora imeti sindikat kot upravljavec ustrezno in zakonito pravno podlago. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden izmed pogojev, določenih v členu 6(1) ali 9(2) Splošne uredbe. Obdelavo posebnih vrst osebnih podatkov, med katere sodi tudi podatek, ki razkriva članstvo v sindikatu, ureja člen 9 Splošne uredbe, po katerem je obdelava takšnih osebnih podatkov dopustna le v primerih, če je izpolnjen kateri od pogojev, ki jih taksativno določa drugi odstavek tega člena. Možne pravne podlage za obdelavo osebnih podatkov članov sindikatov, odvisno od konkretnega namena obdelave, bi bile lahko po Splošni uredbi eventualno vse podlage iz drugega odstavka člena 9.

 

Za obdelavo drugih osebnih podatkov, ki ne predstavljajo posebnih vrst osebnih podatkov, pa bi v poštev prišle pravne podlage po 6. členu Splošne uredbe, na primer naslednje:

- privolitev po točki a člena 6.1,

- izpolnitev zakonske obveznosti, ki velja za upravljavca po točki c člena 6.1 ali

- zakoniti interesi upravljavca po točki f člena 6.1.

 

Splošna uredba v točki d) člena 9(2) določa, da je dopustna obdelava osebnih podatkov, ki jo izvajajo sindikati v okviru svojih zakonitih dejavnosti z ustreznimi zaščitnimi ukrepi pod pogojem, da se obdelava nanaša samo na člane ali nekdanje člane sindikata ali na osebe, ki so v rednem stiku z njim v zvezi z njegovimi nameni, ter da se osebni podatki ne posredujejo zunaj tega telesa brez privolitve posameznikov, na katere se nanašajo osebni podatki. Morajo pa biti posamezniki vedno ustrezno seznanjeni z vsemi informacijami o obdelavi, kot to zahteva člen 13 (kadar se osebni podatki pridobijo od posameznika) oziroma člen 14 (kadar se osebni podatki ne pridobijo od posameznika) Splošne uredbe. IP zato v zvezi z zbiranjem in obdelavo osebnih podatkov članov sindikata v okviru zakonitih dejavnosti sindikata in brez posredovanja zunaj sindikata uvodoma priporoča, da pregledate pristopne izjave, ki so jih člani sindikata podpisali za vstop v sindikat oz. druge interne akte, v katerih je opredeljeno delovanje sindikata in s katerimi so člani ustrezno seznanjeni. Zahtevam Splošne uredbe je namreč z vidika zagotavljanja pravne podlage zadoščeno, če v pristopni izjavi (ali na drug ustrezen način) navedeno, kateri osebni podatki se zbirajo in za katere namene znotraj sindikata in druge informacije iz  člena 13 oziroma 14 Splošne uredbe. Sindikat pa mora poskrbeti tudi za vse druge vidike varstva, kot so zagotavljanja varnosti pri obdelavi, vzpostavitev evidence obdelav ipd. (več o ključnih področjih najdete na naši spletni strani: www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/). Za obdelavo na podlagi točke d) člena 9(2) Splošne uredbe (torej za zgoraj navedene namene) ne potrebujete dodatne privolitve, ampak se presoja zakonitost in veljavnost včlanitve glede na civilnopravne predpise. Vsekakor pa to ne velja za posredovanje izven sindikata npr. delodajalcu.

 

Za druge namene pa morate torej zagotoviti ustrezno drugo pravno podlago, kot navedeno zgoraj. Privolitev posameznika, na katerega se nanašajo osebni podatki, pomeni skladno s točko 11) člena 4 Splošne uredbe vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. Veljavna privolitev mora tako zadostiti štirim zahtevam, in sicer mora biti:

  •  prostovoljna,
  •  specifična,
  •  informirana in
  •  nedvoumna.

 

Glede na navedeno IP meni, da za tiste namene, za katere obdelujete osebne podatke na podlagi privolitve, ki mora biti v primeru obdelave posebnih vrst osebnih izrecna (točka a) člena 9(2)), zgolj podpis pristopne izjave za članstvo v sindikatu, četudi vsebuje tudi navedbo, da delavec »s podpisom soglaša, da se njegovi osebni podatki (ime, priimek, telefon, e-naslov) lahko uporabijo le za potrebe sindikata«, ne more predstavljati veljavne privolitve, saj je takšna izjava premalo določna in zato ne ustreza definiciji privolitve iz točke 11) člena 4 Splošne uredbe. Le pavšalna navedba, da je obdelava teh osebnih podatkov potrebna »za potrebe sindikata« namreč ne zadostuje, saj takšna privolitev ni ne specifična niti informirana. Konkreten, ekspliciten in legitimen namen pa je predpogoj za pridobitev veljavne privolitve. Če obdelava podatkov vključuje več namenov, mora biti privolitev dana za vsak namen posebej.

 

Več o pogojih za veljavno privolitev si lahko preberete na spletni strani IP, ki je dostopna na naslednji povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/.

 

Sindikat lahko pridobiva določene osebne podatke delavcev tudi neposredno od delodajalca. Splošni okvir za posredovanje osebnih podatkov delodajalca sindikatu predstavlja 203. člen Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1), ki določa, da mora delodajalec sindikatu zagotoviti pogoje za hitro in učinkovito opravljanje sindikalnih dejavnosti v skladu s predpisi, s katerimi se varujejo pravice in interesi delavcev. Prav tako pa je v tem okviru delodajalec dolžan sindikatu omogočiti dostop do podatkov, ki so potrebni pri opravljanju sindikalne dejavnosti. Navedena določba ZDR-1 pa ni dovolj določna v smislu določil ZVOP-1, da bi sama zase predstavljala pravno podlago. Navedeno sicer ne pomeni, da v posebej utemeljenih okoliščinah in ob upoštevanju strogega načela sorazmernosti (3. člen ZVOP-1 in člen 5 Splošne uredbe), ne more predstavljati pravne podlage za posredovanje osebnih podatkov članov sindikata. Konkreten obseg osebnih podatkov, do katerih je sindikat upravičen, je torej treba presojati glede na okoliščine posameznega primera (predvsem zakonske določbe glede vloge sindikata v posameznih primerih npr. obveznost posvetovanja v določenih primerih, možnost zastopanja delavca ipd. in določila kolektivnih pogodb).  

 

V zvezi z dopustnostjo posredovanja pristopnih izjav delodajalcu za namen odtegovanja članarine pa IP pojasnjuje naslednje. Obdelavo posebnih vrst osebnih podatkov, med katere sodi tudi podatek, ki razkriva članstvo v sindikatu, ureja člen 9 Splošne uredbe. Obdelava tovrstnega podatka je dopustna le v taksativno določenih primerih, med drugim bodisi na podlagi izrecne privolitve za enega ali več določenih namenov (točka a) člena 9(2)) bodisi če je obdelava potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava ter prava socialne varnosti in socialnega varstva, če to dovoljuje pravo Unije ali pravo države članice ali kolektivna pogodba v skladu s pravom države članice, ki zagotavlja ustrezne zaščitne ukrepe za temeljne pravice in interese posameznika, na katerega se nanašajo osebni podatki (točka b) člena 9(2)).

 

Na podlagi tretjega odstavka 207. člena ZDR-1 zagotavlja delodajalec na zahtevo sindikata v skladu z aktom sindikata, katerega član je delavec, tehnično izvedbo obračuna in plačevanja sindikalne članarine za delavca. Kot je IP zavzel stališče že v mnenjih 0712-1/2011/3708 z dne 6. 1. 2012 in 0712-1/2018/977 z dne 20. 4. 2018, sme delodajalec kot pogodbeni obdelovalec od sindikata kot upravljavca zahtevati le tiste podatke, ki jih potrebuje za izvedbo nakazila članarine (ob pogoju seveda, da je takšen način plačevanja članarine zahteval oz. izbral delavec). Zato IP meni, da delodajalec ni upravičen do avtomatičnega posredovanja pristopnih izjav, ki jih je pridobil sindikat, saj lahko izvedbo obračuna in plačilo sindikalne članarine izvede, ne da bi mu sindikat posredoval celotne pristopne izjave delavcev za članstvo v sindikatu. Bistveno je, da za takšen način plačila in posredovanje tistih osebnih podatkov delodajalcem, ki so nujni za takšen način plačila, izrecno pooblastilo oziroma drugo ustrezno pravno podlago posameznika pridobi sindikat. Vsekakor pa je pomembno tudi, da sindikat in delodajalec skleneta pogodbo o obdelavi osebnih podatkov. Minimalni obseg sestavin takšne pogodbe je določen v členu 28 Splošne uredbe.

 

Poleg tega bi moral sindikat izpolniti vsaj še naslednje splošne obveznosti, ki izhajajo iz vsebine določb Splošne uredbe:

 

-      v statutu, pravilniku ali drugem internem aktu določiti, za kakšen namen se bodo uporabljali osebni podatki članov, kateri osebni podatki se bodo obdelovali ter koliko časa se bo podatke hranilo;

 

-      določiti, kdo bodo odgovorne osebe, ki bodo upravičene do vpogleda v tako obdelane podatke;

 

-      sprejeti ustrezne ukrepe za zavarovanje oz. varnost osebnih podatkov, ki se bodo na obdelovali;

 

-      seznaniti člane sindikata z informacijami, ki so opredeljene v členu 13 oziroma 14 Splošne uredbe.

 

IP je o podobnih vprašanjih že izdal več neobvezujočih mnenj, do katerih lahko dostopate na povezavi: https://www.ip-rs.si/vop/. Svetujemo vam, da pri iskanju mnenj označite vsebinsko področje »Sindikati«.

 

Priporočamo vam tudi, da se seznanite s smernicami IP glede varstva osebnih podatkov v delovnih razmerjih, dostopnih na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih.pdf.

 

Lep pozdrav,

                                                                                                    Mojca Prelesnik, univ. dipl. prav.,                                                

                                                                                                             informacijska pooblaščenka

 

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov