Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 19.06.2020
Naslov: Postopek preverjanja kandidatov za delovno mesto
Številka: 07121-1/2020/1096
Vsebina: Delovna razmerja, Pravne podlage, Zakoniti interesi
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da mednarodna skupina družb raziskuje možnost uvedbe posebnega postopka zaposlovanja, ki bi omogočal, da se delavci, ki so bili v preteklosti že zaposleni pri eni izmed družb skupine in ki so v okviru preteklega delovnega razmerja storili določeno kršitev, lahko ponovno zaposlijo pri eni izmed družb skupine le ob predhodno izvedenem postopku posvetovanja. Bistven del postopka posvetovanja je vodenje posebnega seznama zaposlenih, ki so storili kršitev. Ta seznam vodi posebna skupina zaposlenih v eni izmed povezanih družb. Postopek vključitve bivšega delavca na seznam in preverjanje vključenosti kandidatov je urejeno ob strogem upoštevanju načela minimalnega obsega podatkov in transparentnosti. Kriteriji za vključitev na seznam so določno in vnaprej opredeljeni. Dejstvo, da je nek kandidat vključen na seznam, ne pomeni nujno izključitve kandidata iz izbirnega postopka.

 

Zanima vas, ali je opisan postopek mogoče voditi na podlagi legitimnih interesov upravljavca oziroma, če to ni mogoče, na kateri izmed drugih podlag iz 6. člena Splošne uredbe o varstvu osebnih podatkov ob upoštevanju 28. in 48. člena Zakona o delovnih razmerjih.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

Uvodoma pojasnjujemo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Prav tako IP ne more namesto upravljavca izbirati ustrezne pravne podlage za obdelavo, saj je to izključna naloga in odgovornost upravljavca. Zato vam na vaše vprašanje v tem mnenju ne moremo dokončno odgovoriti, temveč v nadaljevanju podajamo zgolj splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo osebnih podatkov.

 

Za vsako obdelavo osebnih podatkov mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe in so za zasebni sektor naslednje:

-      privolitev (točka (a)),

-      sklenitev ali izvajanje pogodbe (točka (b)),

-      zakon oziroma izvajanje javnih nalog (točka (c) oziroma (e)),

-      zakoniti interesi upravljavca, ki prevladajo nad interesi ali temeljnimi pravicami in svoboščinami posameznika (točka (f)).

 

Kot že pojasnjeno, je izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, obveznost upravljavca.

 

Splošno pravno podlago za obdelavo osebnih podatkov v delovnih razmerjih načeloma predstavlja zlasti zakon ali točka b člena 6(1) Splošne uredbe (pri čemer je treba tudi v tem primeru upoštevati določbe zakonov, ki omejujejo pogodbeno svobodo strank v razmerju delodajalec delavec). Tako sme družba v vlogi delodajalca osebne podatke delavca obdelovati primarno v okviru določb Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US in 22/19 – ZPosS; v nadaljevanju ZDR-1) in drugih področnih predpisov. Skladno s prvim odstavkom 48. člena ZDR-1 se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Vrste in vsebina evidenc na področju dela in socialne varnosti pa so določene v Zakonu o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06, v nadaljevanju ZEPDSV).

 

Skladno s tretjim odstavkom 48. člena ZDR-1 se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati, ZEPDSV pa določa, da se evidence, ki jih vodijo delodajalci, začnejo za posameznega delavca voditi z dnem, ko sklene pogodbo o zaposlitvi, prenehajo pa z dnem, ko mu pogodba o zaposlitvi preneha. Dokumenti s podatki o delavcu, za katerega se prenehajo voditi omenjene evidence in izvirne listine, na podlagi katerih se vpisujejo podatki v te evidence, se hranijo kot listine trajne vrednosti.

 

Navedeno pomeni, da delodajalec tudi po prenehanju delovnega razmerja nujno razpolaga z določenimi zbirkami osebnih podatkov o nekdanjih delavcih, in sicer z zbirkami osebnih podatkov, ki vsebujejo dokumente ter izvirne listine iz 14., 17. in 19. člena ZEPDSV (listine trajne vrednosti). Poleg tega pa lahko delodajalec po prenehanju delovnega razmerja obdeluje tudi druge osebne podatke delavca, ki so v skladu s prvim odstavkom 48. člena ZDR-1 potrebni zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, vendar samo toliko časa, dokler stranki delovnega razmerja lahko uveljavljata svoje pravice. Ko so poravnane vse obveznosti, ki izhajajo iz delovnega razmerja, je namen, zaradi katerega so se delavčevi osebni podatki zbirali, dosežen, zato mora delodajalec zbrisati in prenehati uporabljati vse delavčeve osebne podatke, razen tistih, za katere ZEPDSV ali drug zakon (če gre npr. za arhivsko gradivo) določa, da se hranijo trajno.

 

IP izpostavlja, da je pri obdelavi osebnih podatkov v razmerju delavec - delodajalec treba upoštevati in razumeti tako interese delodajalca kot tudi interese delavca. Zaradi izrazite neenakosti moči strank v delovnopravnih razmerjih oziroma zaradi varstva delavca, ki je v razmerju do delodajalca zagotovo šibkejša stranka, pa je zakonodajalec področje obdelave osebnih podatkov v delovnih razmerjih uredil strožje. Kot izhaja iz zgoraj navedenih zakonskih določb, je zakonodajalec omejil nabor delavčevih osebnih podatkov, ki jih lahko delodajalec obdeluje med trajanjem in tudi po prenehanju delovnega razmerja, ter prav tako rok hrambe.

 

Zakoniti interesi upravljavca po točki f) člena 6(1) Splošne uredbe lahko predstavljajo pravno podlago za obdelavo, če ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, pri čemer se upoštevajo razumna pričakovanja posameznikov, na katere se nanašajo osebni podatki, glede na njihovo razmerje do upravljavca (uvodna izjava 47 Splošne uredbe). Iz uvodne izjave 48 Splošne uredbe izhaja, da imajo upravljavci, ki so del povezane družbe ali institucij, povezanih z osrednjim telesom, lahko zakoniti interes za posredovanje osebnih podatkov, s katerimi zakonito razpolagajo, znotraj povezane družbe v notranje upravne namene, vključno z obdelavo osebnih podatkov strank ali zaposlenih. Zato IP opozarja, da je v opisanem primeru najprej dolžan delodajalec oceniti, s katerimi osebnimi podatki sploh lahko zakonito razpolaga po prenehanju delovnega razmerja in ali je torej vzpostavitev evidence, kot jo predlagate sploh zakonita.

 

V naslednji fazi pa je dolžan upravljavec v vsakem konkretnem primeru zakonite interese skrbno oceniti in opraviti test tehtanja med zakonitim interesom upravljavca na eni in posegom v interese oziroma temeljne pravice in svoboščine posameznika na drugi stran. IP je prepričan, da gre pri vodenju seznama zaposlenih, ki so storili kršitev (kot pojasnjujete, gre za storitev ali konkreten in dokumentiran sum storitve določenega vnaprej opredeljenega dejanja), še deset let po prenehanju delovnega razmerja ter posredovanju njihovih osebnih podatkov v okviru skupine povezanih družb v postopku zaposlovanja nedvomno za znaten poseg v temeljne pravice in svoboščine posameznika, predvsem v ustavno zagotovljeno svobodo dela in tudi osebnostne pravice posameznika. Glede na neravnovesje moči v razmerju delodajalec – delavec, razumna pričakovanja delavca ter zgoraj navedene zakonske določbe o obdelavi delavčevih osebnih podatkov in njihovem roku hrambe se IP glede na resnost posega v pravice posameznika sprašuje o utemeljitvi, da interesi delodajalca prevladajo nad interesi oziroma temeljnimi pravicami in svoboščinami posameznika. Ob tem pa IP poudarja, da je ocena zakonitosti vzpostavitve opisane evidence, ocena zakonitih interesov, ustrezno izvedeno tehtanje in dokončna presoja o ustreznosti te oziroma druge pravne podlage za obdelavo podatkov, ki jo opisujete, naloga in odgovornost upravljavca.

 

Več o varstvu osebnih podatkov v delovnih razmerjih si lahko preberete tudi v smernicah IP, ki so dostopne na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih.pdf

 

 

Lep pozdrav,

 

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                               

                                                                                                           informacijska pooblaščenka