Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 05.03.2007
Naslov: Zbiranje delavčevih osebnih podatkov s strani delodajalca
Številka: 0712-23/2007/2
Vsebina: Delovna razmerja, Sindikati, Občutljivi OP
Pravni akt: Mnenje

Spoštovani,

 

prejeli smo vaše elektronsko sporočilo. V njem navajate, da ste javni zavod, zanima pa vas:

1. ali lahko v personalnih mapah hranite izpiske iz rojstnih matičnih knjig zaposlenih in otrok, ki so zavarovani po zaposlenem in fotokopije osebnih dokumentov (pravite, da te listine potrebujete za prijavo na ZZZS), izpisek iz poročne matične knjige (potrebujete ga zaradi spremembe priimkov) in vlogo za zaposlitev z življenjepisom;
2. ali potrebujete pisno privolitev delavcev za zbiranje podatkov o članstvu v sindikatu, ki je organiziran v vašem podjetju;
3. ali se lahko v primeru, da potrebujete pisne privolitve delavcev za hrambo določenih dokumentov v personalni mapi, pisna privolitev glasi: »delavec dovoljuje, da delodajalec obdeluje vse osebne podatke, ki se nahajajo v listinah, ki mu jih je posredoval delavec«, ali morata biti posamezni osebni podatek oz. listina izrecno navedena;
 

 

Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter 2. in 18. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje.

 

Pooblaščenec uvodoma podaja nekaj splošnih pojmov ZVOP-1.

 

Osebni podatek je v skladu z 1. tč. 6. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.

 

Posameznik je v skladu z 2. tč. 6. člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek.

 

Zbirka osebnih podatkov je v skladu z 5. tč. 6. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran  na takšen način, da določi ali omogoči določljivost posameznika.

 

Upravljavec osebnih podatkov je v skladu z 6. tč. 6. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave.

 

Obdelava osebnih podatkov v skladu z 3. tč. 6. člena ZVOP-1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana.

 

Ad.1

V skladu z 38. členom Ustave Republike Slovenije (Ur.l. RS, št. 33/91, 42/97, 60/00 in 69/04) je zagotovljeno varstvo osebnih podatkov ter prepovedana uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja. Ista določba v nadaljevanju določa, da zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon, vsakdo ima pravico seznaniti se z zbranimi osebnimi podatki, ki se nanašajo nanj ter pravico do sodnega varstva ob njihovi zlorabi.

 

Ustavna določba je konkretizirana z ZVOP-1, ki določa pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov (1. člen ZVOP-1).

 

Splošna pravna podlaga za dopustno obdelavo osebnih podatkov je navedena v 1. odstavku 8. člena ZVOP-1 in določa, da se ti podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Naslednji odstavek istega člena določa, da mora biti namen obdelave določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.

 

Pravne podlage za obdelavo osebnih podatkov v javnem sektorju, kamor spada tudi vaš javni zavod, določa 9. člen ZVOP-1. V 1. odst. 9. člena je tako določeno, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom pa se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. 3. odst. 9. člena pa določa, da se ne glede na prvi odstavek tega člena lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.

 

Področna zakona v smislu 1. odst. 8. člena in 1. odst. 9. člena ZVOP-1 sta Zakon o evidencah na področju dela in socialne varnosti (Ur. l. RS, št. 42/2002, v nadaljevanju ZEPDSV) in Zakon o delovnih razmerjih (Ur. l. RS, št. 42/2002 in 79/2006, v nadaljevanju ZDR).

 

ZDR v skladu s 1. odst. 1. čl. ureja delovna razmerja, ki se sklepajo s pogodbo o zaposlitvi med delavcem in delodajalcem. V 46. čl. ZDR pa je urejeno varstvo delavčevih osebnih podatkov. Osebni podatki delavcev se lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Osebne podatke delavcev lahko zbira, obdeluje, uporablja in dostavlja tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti. Osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, se morajo takoj zbrisati in prenehati uporabljati. Sledeč določbam ZDR lahko delodajalec torej osebne podatke obdeluje samo, če ima zato podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.
 

ZEPDSV je zakon, ki določa vrste in vsebino evidenc na področju dela in socialne varnosti. Omenjeni zakon v 12. čl.  taksativno našteva evidence, ki jih lahko delodajalci vodijo na področju dela in socialne varnosti in sicer:
- evidenco o zaposlenih delavcih,
- evidenco o stroških dela,
- evidenco o izrabi delovnega časa in
- evidenco o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu.

 

13. čl. ZEPDSV določa vsebino evidence o zaposlenih delavcih. Tako lahko delodajalci o posameznem delavcu zbirajo naslednje podatke:
- osebno ime,
- datum rojstva, če oseba nima EMŠO,
– kraj rojstva,
– država rojstva, če je kraj rojstva v tujini,
– enotna matična številka občana,
– davčna številka,
– državljanstvo,
– naslov stalnega prebivališča (ulica, hišna številka, kraj, poštna številka, šifra občine, občina, šifra države, država),
– naslov začasnega prebivališča (ulica, hišna številka, kraj, poštna številka, šifra občine, občina, šifra države, država),
– izobrazba,
– ali je delavec invalid,
– kategorija invalidnosti,
– ali je delavec delno upokojen,
– ali delavec opravlja dopolnilno delo pri drugem delodajalcu,
– ime drugega delodajalca (in matična številka), pri katerem delavec opravlja dopolnilno delo.

 

Vsebino evidence o stroških dela, evidence o izrabi delovnega časa in evidence o oblikah reševanja kolektivnih delovnih sporov določajo 16., 18. in 20. člen ZEPDSV. Tudi omenjeni členi ZEPDSV, tako kot zgoraj navedeni 13. člen ZEPDSV, taksativno naštevajo katere osebne podatke delodajalci zbirajo o delavcih pri posamezni od teh evidenc.

 

Kot delodajalec torej lahko obdelujete tiste osebne podatke zaposlenih delavcev, obdelavo katerih in osebne podatke, ki se obdelujejo, določa zgoraj navedeni ZEPDSV ali kateri drug področni zakon, brez podlage v zakonu pa lahko v skladu s 46. členom ZDR obdelujete njihove osebne podatke le v primeru, da je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.
V zvezi s tem Pooblaščenec opozarja na fotokopije osebnih dokumentov, ki jih kot delodajalec zbirate od vaših zaposlenih. Če namreč primerjamo podatke, ki so zajeti v 13. čl. ZEPDSV, s podatki, ki izhajajo iz osebne izkaznice, lahko ugotovimo, da med podatki, ki jih delodajalec lahko zbira od delavcev na podlagi tega člena ni fotografije, kar pomeni, da delodajalec nima zakonske podlage, da bi od zaposlenih  zahteval fotokopijo osebne izkaznice, saj vsebuje tudi osebni podatek (fotografijo) do katerega delodajalec na podlagi  ZEPDSV ni upravičen. Pooblaščenec poudarja, da so osebni dokumenti primarno namenjeni identifikaciji posameznika z vpogledom v dokument. Delodajalec torej potrebne podatke lahko prepiše z osebnega dokumenta, ne sme ga pa fotkopirati.

 

Vendar pa je tudi tukaj potrebno upoštevati zgoraj navedeni 46. čl. ZDR, ki dopušča obdelavo osebnih podatkov brez podlage v zakonu, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. To pomeni, da mora delodajalec natančno obrazložiti oziroma izkazati, zakaj je fotografija delavca potrebna. Če delodajalec ne izkaže, da je fotografija delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, od delavca ne sme zahtevati njegove fotografije.

 

V zvezi s tem velja omeniti tudi Zakon o osebni izkaznici (Ur. l. RS, št. 100/05, uradno prečiščeno besedilo, v nadaljevanju ZOIzk), ki v 1. odst. 3. člena določa, da mora državljan dati na vpogled osebno izkaznico na zahtevo uradne osebe, ki je po zakonu za to pooblaščena. ZOIzk v navedeni določbi postavlja pogoj, kdaj mora posameznik dovoliti vpogled v svojo osebno izkaznico. To je torej možno zgolj takrat, kadar to od njega zahteva uradna oseba, ki je za to pooblaščena z zakonom. V vseh ostalih primerih posameznik ni dolžan svoje osebne izkaznice dajati na vpogled nikomur, razen v primerih, ko bi to določal poseben zakon.

 

Glede na gornje določbe ZOlzk Informacijski pooblaščenec ugotavlja, da le ta posebej ne ureja možnosti oz. dopustnosti uporabe fotokopij osebne izkaznice. Informacijski pooblaščenec zato ocenjuje, da je potrebno osebne podatke, ki so zajeti na osebni izkaznici obravnavati v skladu z ZVOP-1 in z zakoni, ki specialno urejajo posamezno področje, kot je navedeno zgoraj.

 

V vašem dopisu navajate, da obdelujete tudi osebne podatke otrok vaših delavcev. Informacijski Pooblaščenec glede tega opozarja, da med podatki, ki jih ZEPDSV v 13., 16., 18. in 20. členu našteva kot podatke, ki jih o delavcih lahko zbira delodajalec, ni osebnih podatkov otrok delavca, zato lahko pride v poštev le že navedeni 46. člen ZDR, ki delodajalcu omogoča obdelavo osebnih podatkov brez podlage v zakonu, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Kot delodajalec morate zato natančno obrazložiti oziroma izkazati, zakaj otrokove osebne podatke potrebujete. Če ne izkažete, da so osebni podatki otrok delavcev, ki jih zbirate, potrebni zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, potem jih od delavca ne smete zahtevati, delavec pa jih ni dolžan posredovati.

 

Informacijski pooblaščenec ob tem še dodaja, da je največkrat v interesu samega delavca, ki ob uresničevanju pravic, ki mu gredo iz delovnega razmerja, sam prijavi otroka kot davčno olajšavo, na podlagi Zakona o dohodnini (Ur. l. RS, št. 42/2002 in 79/2006), ali pa uveljavlja pravico o zavarovanju otrok kot družinskih članov, na podlagi Zakona o zdravstvenem varstvu in zdravstvenem zavarovanju (Ur. l. RS, št. 117/2006-uradno prečiščeno besedilo). V tem primeru seveda  delavec mora delodajalcu posredovati nekatere osebne podatke otroka, če želi uveljaviti svoje pravice.

 

V zvezi s hranjenjem osebnih podatkov zaposlenih v vašem zavodu pa Pooblaščenec poudarja, da iz 21. čl. ZVOP-1 izhaja, da se osebni podatki lahko shranjujejo le toliko časa, dokler je to potrebno za dosego namena, zaradi katerega so se zbirali ali nadalje obdelovali. Po izpolnitvi namena obdelave se osebni podatki zbrišejo, uničijo, blokirajo ali anonimizirajo, če niso na podlagi zakona, ki ureja arhivsko gradivo in arhive, opredeljeni kot arhivsko gradivo, oziroma če zakon za posamezne vrste osebnih podatkov ne določa drugače.

 

Področni zakon v smislu 21. čl. ZVOP-1 v konkretnem primeru predstavlja zgoraj navedeni 46. členu Zakon o delovnih razmerjih (Uradni list RS, št. 42/2004, v nadaljevanju ZDR), na podlagi katerega se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga takoj zbrisati in prenehati uporabljati.

 

Glede hranjenja listin, na katerih se nahajajo osebni podatki, ki jih obdeluje delodajalec, Informacijski pooblaščenec opozarja na 3. odst. 14. člena ZEPDSV, ki določa, da se izvirne listine, na podlagi katerih se vpisujejo podatki v evidenco o zaposlenih delavcih, hranijo kot listina trajne vrednosti, ki jih mora delodajalec predložiti na zahtevo pristojnega organa. Identične določbe, ki se nanašajo na evidenco o stroških dela in evidenco o izrabi delovnega časa, vsebuje tudi 2. odst. 17. člena in  2. odst. 19. člena. ZEPDSV torej v omenjenih členih daje pravno podlago za hrambo listin, na podlagi katerih se vpisujejo osebni podatki v evidence, ki jih ureja  ZEPDSV. Listine, ki jih omenjate v svojem dopisu, ki vsebujejo osebne podatke, ki se na podlagi zgoraj navedenih določb ZEPDSV vpisujejo v posamezno, s tem zakonom predvideno evidenco, se torej po mnenju Informacijskega pooblaščenca že na podlagi 3. odst. 14. člena, 2. odst. 17. člena in  2. odst. 19. člena ZEPDSV hranijo v personalni mapi zaposlenega. Listine, na katerih se nahajajo osebni podatki, ki jih delodajalec obdeluje na kakšni drugi pravni podlagi, pa se lahko v personalni mapi hranijo toliko časa, dokler obstaja pravna podlaga za obdelavo osebnih podatkov, ki se na takih listinah nahajajo.

 

Ad. 2

Informacijski pooblaščenec pojasnjuje, da so podatki o članstvu v sindikatu v skladu z 19. tč. 6. čl. ZVOP-1, ki določa, da so občutljivi osebni podatki o rasnem, narodnem, ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške, obravnavani kot občutljivi osebni podatki. Takšne podatke ZVOP-1 jasno ločuje od ostalih osebnih podatkov in jim zato priznava tudi poseben, strožji režim varstva.

 

Tako 13. čl. ZVOP-1 posebej določa, da se lahko občutljivi osebni podatki, kamor sodi tudi podatek o članstvu v sindikatu, obdelujejo le:
1. če je posameznik zato podal izrecno osebno privolitev, ki je praviloma pisna, v javnem sektorju pa tudi določena z zakonom;
2. če je obdelava potrebna zaradi izpolnjevanja obveznosti in posebnih pravic upravljavca osebnih podatkov na področju zaposlovanja v skladu z zakonom, ki določa tudi ustrezna jamstva  pravic posameznika;
3. če je obdelava nujno potrebna za varovanje življenja ali telesa posameznika, na katerega se osebni podatki nanašajo, ali druge osebe, kadar posameznik, na katerega se podatki nanašajo, fizično ali poslovno ni sposoben dati svoje privolitve iz prve točke tega člena;
4. če jih za namene zakonitih dejavnosti obdelujejo ustanove, združenja, društva, verske skupnosti, sindikati ali druge nepridobitne organizacije s političnim, filozofskim, verskim ali sindikalnim ciljem, vendar le, če se obdelava nanaša na njihove člane ali posameznike, ki so v zvezi s temi cilji z njimi v rednem stiku, ter če se ti podatki ne posredujejo drugim posameznikom ali osebam javnega in zasebnega sektorja brez pisne privolitve posameznika, na katerega se nanašajo;
5. če je posameznik, na katerega se nanašajo občutljivi osebni podatki, te javno objavil brez očitnega ali izrecnega namena, da omeji namen njihove uporabe;
6. če jih za namene zdravstvenega varstva prebivalstva in posameznikov ter vodenja ali opravljanja zdravstvenih služb obdelujejo zdravstveni delavci in zdravstveni sodelavci v skladu z zakonom;
7. če je to potrebno zaradi uveljavljanja ali nasprotovanja pravnemu zahtevku;
8. če tako določa drug zakon zaradi izvrševanja javnega interesa.

 

V skladu s 13. čl. ZVOP-1 se torej občutljivi osebni podatki lahko obdelujejo samo v osmih, taksativno določenih primerih. Brez privolitve posameznega delavca lahko zbirate in obdelujete podatke o njegovem članstvu v sindikatu  samo, če za tako obdelavo obstaja katera od sedmih drugih, zgoraj naštetih podlag. Vendar pa Pooblaščenec ob tem poudarja, da mora v javnem sektorju, kamor spada tudi vaš javni zavod, poleg izrecne osebne privolitve (ki je praviloma tudi pisna), obstajati tudi izrecna podlaga v zakonu, ki ureja posamezno področje. To pomeni, da lahko podatek o članstvu vašega delavca v sindikatu na podlagi 1. tč. 13. člena ZVOP-1 obdelujete samo, če razpolagate z izrecno, praviloma pisno in v področnem zakonu predvideno osebno privolitvijo posameznega delavca.

 

Ob tem pa Pooblaščenec opozarja na zgoraj citirano 2. tč. 13. člena ZVOP-1, ki bi lahko v vašem primeru lahko prišla v poštev. Skladno s to določbo je namreč treba imeti za obdelavo občutljivih osebnih podatkov izrecno podlago v področnem zakonu, ki pa jo je mogoče podati le v primeru, ko bo obdelava občutljivih osebnih podatkov res nujno potrebna zaradi izpolnjevanja določenih obveznosti in posebnih pravic na področju zaposlovanja, ki jih ne bi bilo mogoče izpolniti z milejšimi sredstvi. Takšen primer je denimo izvedba obračuna sindikalne članarine za delavca, ki ga dejansko ni mogoče izvesti brez podatka o tem, v kateri sindikat je včlanjen posamezni delavec. Kot neposredno zakonsko podlago za obdelavo podatka o članstvu v sindikatu je v tem primeru mogoče šteti tretji odstavek 210. člena Zakona o delovnih razmerjih (v nadaljevanju ZDR), kjer je določeno, da na zahtevo sindikata delodajalec v skladu z aktom sindikata, katerega član je delavec, zagotavlja tehnično izvedbo obračuna in plačevanja sindikalne članarine za delavca.  Če torej člani sindikata ne želijo, da delodajalec izve za njihovo sindikalno pripadnost, potem se bodo morali odločiti za neposredno plačevanje članarine (torej član sindikata sam na transakcijski račun sindikata, katerega član je) in ne posredno preko delodajalca.

 

Ad. 3

ZVOP-1 dovoljuje obdelavo osebnih podatkov na podlagi osebne privolitve posameznika. Osebna privolitev posameznika je v skladu s 14. tč. 6. člena ZVOP-1 prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu; osebna privolitev posameznika je lahko pisna, ustna ali druga ustrezna privolitev posameznika.
 

Kljub temu, da ZVOP-1 dovoljuje tudi ustno ali drugo ustrezno privolitev posameznika, Pooblaščenec upravljavcem predlaga, da naj si povsod tam, kjer je to možno in ne zahteva prevelikih stroškov, skušajo pridobiti predvsem pisno privolitev posameznika, saj bo imela v primeru spora s posameznikom pisna privolitev nedvomno večjo dokazno vrednost kot zgolj ustna privolitev.

 

V skladu s tem je tudi glede v vašem vprašanju navedene dikcije pisne privolitve, ki jo nameravate dati v podpis vašim zaposlenim Pooblaščenec, mnenja, da je že splošnejša dikcija pisne privolitve, ki ne navaja posameznih osebnih podatkov oziroma listin lahko ustrezna (zlasti, ker ZVOP-1 pisne oblike izrecno ne zahteva), če gre za prostovoljno izjavo volje zaposlenega, s katero dovoli, da se njegovi osebni podatki lahko obdelujejo za določen namen in je dana na podlagi informacij, ki ste mu jih kot upravljavec zagotovili. Vendar pa Pooblaščenec tudi na tem mestu priporoča, da v pisni privolitvi, zlasti zaradi lažjega dokazovanja v primeru spora navedete, za obdelavo katerih osebnih podatkov zaposleni daje soglasje.

 

S spoštovanjem,

 

Informacijski pooblaščenec
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka