Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 11.01.2019
Naslov: Obdelava OP zaposlenih za obračun in nakazilo članarine sindikatu
Številka: 0712-3/2018/2781
Vsebina: Delovna razmerja, Sindikati
Pravni akt: Mnenje

Prejeli smo vašo prošnjo za stališča in sestanek glede vprašanj obdelave osebnih podatkov v zvezi z obračunavanjem, nakazovanjem in plačevanjem sindikalne članarine glede na določbe Splošne uredbe o varstvu podatkov. Tematika je aktualna za vse sindikate, zato vam glede izpostavljenih vprašanj pošiljamo pisno mnenje, ki ga bomo hkrati objavili na spletu, saj ocenjujemo, da je v tem primeru to najbolj učinkovit in korekten način za podajo pojasnil.

 

Na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) uvodoma poudarjamo, da lahko IP podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov posameznim upravljavcem osebnih podatkov svetovati, kako napisati statute, pravilnike, obrazce za privolitev, pristopne izjave in podobno. IP namreč ne sme in ne more prevzeti odgovornosti posameznih poslovnih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. Izven posameznega inšpekcijskega ali drugega upravnega postopka IP torej ne sme preverjati primernosti izbrane pravne podlage, niti namenov ali obsega obdelave osebnih podatkov v konkretnem primeru.

 

Za vsako obdelavo osebnih podatkov mora imeti sindikat kot upravljavec ustrezno in zakonito pravno podlago. Ta je seveda odvisna od namena obdelave. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden izmed pogojev, določenih v členu 6(1) ali 9(2) Splošne uredbe. Obdelavo posebnih vrst osebnih podatkov, med katere sodi tudi podatek, ki razkriva članstvo v sindikatu, ureja člen 9 Splošne uredbe, po katerem je obdelava takšnih osebnih podatkov dopustna le v primerih, če je izpolnjen kateri od pogojev, ki jih taksativno določa drugi odstavek tega člena. Možne pravne podlage za obdelavo osebnih podatkov članov sindikatov, odvisno od konkretnega namena obdelave, bi bile lahko po Splošni uredbi eventualno vse podlage iz drugega odstavka člena 9.

 

Za obdelavo drugih osebnih podatkov, ki ne predstavljajo posebnih vrst osebnih podatkov, pa bi v poštev prišle zlasti pravne podlage po 6. členu Splošne uredbe, na primer naslednje:

- privolitev po točki a člena 6(1),

- izpolnitev zakonske obveznosti, ki velja za upravljavca po točki c člena 6(1) ali

- zakoniti interesi upravljavca po točki f člena 6(1).

 

Obdelava osebnih podatkov članov sindikata znotraj sindikata

Splošna uredba v točki d) člena 9(2) določa, da je dopustna obdelava osebnih podatkov, ki jo izvajajo sindikati v okviru svojih zakonitih dejavnosti z ustreznimi zaščitnimi ukrepi pod pogojem, da se obdelava nanaša samo na člane ali nekdanje člane sindikata ali na osebe, ki so v rednem stiku z njim v zvezi z njegovimi nameni, ter da se osebni podatki ne posredujejo zunaj tega telesa brez privolitve posameznikov, na katere se nanašajo osebni podatki. Morajo pa biti posamezniki vedno ustrezno seznanjeni z vsemi informacijami o obdelavi, kot to zahteva člen 13 (kadar se osebni podatki pridobijo od posameznika) oziroma člen 14 (kadar se osebni podatki ne pridobijo od posameznika) Splošne uredbe.

 

IP je zato v zvezi z zbiranjem in obdelavo osebnih podatkov članov sindikata v okviru zakonitih dejavnosti sindikata in brez posredovanja zunaj sindikata v svojih mnenjih že priporočil, da se pregledajo pristopne izjave, ki so jih člani sindikata podpisali za vstop v sindikat oz. drugi interni akti, v katerih je opredeljeno delovanje sindikata in s katerimi so člani ustrezno seznanjeni. Zahtevam Splošne uredbe je namreč z vidika zagotavljanja pravne podlage zadoščeno, če v pristopni izjavi (ali na drug ustrezen način) navedeno, kateri osebni podatki se zbirajo in za katere namene znotraj sindikata in druge informacije iz  člena 13 oziroma 14 Splošne uredbe. Vzorec takšnega obvestila je na voljo tudi na naši spletni strani: www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

 

Za obdelavo na podlagi točke d) člena 9(2) Splošne uredbe (torej za zgoraj navedene namene) ni potrebno pridobivati dodatne privolitve, ampak se presoja zakonitost in veljavnost včlanitve glede na civilnopravne predpise. Vsekakor pa to ne velja za posredovanje izven sindikata npr. delodajalcu.

 

Obdelava osebnih podatkov članov sindikata na podlagi privolitve

Za druge namene pa mora sindikat zagotoviti ustrezno drugo pravno podlago, kot navedeno zgoraj. Privolitev posameznika, na katerega se nanašajo osebni podatki, pomeni skladno s točko 11) člena 4 Splošne uredbe vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. Veljavna privolitev mora tako zadostiti štirim zahtevam, in sicer mora biti:

  • prostovoljna,
  • specifična,
  • informirana in
  • nedvoumna.

 

Glede na navedeno IP meni, da za tiste namene, za katere sindikat obdeluje osebne podatke na podlagi privolitve, ki mora biti v primeru obdelave posebnih vrst osebnih podatkov izrecna (točka a) člena 9(2)), zgolj npr. podpis splošne pristopne izjave za članstvo v sindikatu s pavšalno navedbo, da je obdelava teh osebnih podatkov potrebna »za potrebe sindikata« ne zadostuje, saj takšna privolitev ni ne specifična niti informirana. Konkreten, ekspliciten in legitimen namen pa je predpogoj za pridobitev veljavne privolitve. Če obdelava podatkov vključuje več namenov, mora biti privolitev dana za vsak namen posebej.

 

Več o pogojih za veljavno privolitev je na voljo na spletni strani IP, ki je dostopna na naslednji povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/.

 

Pridobivanje osebnih podatkov od delodajalca

Sindikat lahko pridobiva določene osebne podatke delavcev tudi neposredno od delodajalca. Splošni okvir za posredovanje osebnih podatkov delodajalca sindikatu predstavlja 203. člen Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1), ki določa, da mora delodajalec sindikatu zagotoviti pogoje za hitro in učinkovito opravljanje sindikalnih dejavnosti v skladu s predpisi, s katerimi se varujejo pravice in interesi delavcev. Prav tako pa je v tem okviru delodajalec dolžan sindikatu omogočiti dostop do podatkov, ki so potrebni pri opravljanju sindikalne dejavnosti. Navedena določba ZDR-1 pa ni dovolj določna v smislu določil ZVOP-1, da bi sama zase predstavljala pravno podlago. Navedeno sicer ne pomeni, da v posebej utemeljenih okoliščinah in ob upoštevanju strogega načela sorazmernosti (3. člen ZVOP-1 in člen 5 Splošne uredbe), ne more predstavljati pravne podlage za posredovanje osebnih podatkov članov sindikata. Konkreten obseg osebnih podatkov, do katerih je sindikat upravičen, je torej treba presojati glede na okoliščine posameznega primera (predvsem zakonske določbe glede vloge sindikata v posameznih primerih npr. obveznost posvetovanja v določenih primerih, možnost zastopanja delavca ipd. in določila kolektivnih pogodb). 

 

Obdelava osebnih podatkov za namen plačevanja članarine

V zvezi z dopustnostjo obdelav osebnih podatkov za namen odtegovanja članarine pa IP pojasnjuje naslednje. Kot že navedeno, je obdelava tovrstnega podatka dopustna le v taksativno določenih primerih, med drugim bodisi na podlagi izrecne privolitve za enega ali več določenih namenov (točka a) člena 9(2)) bodisi če je obdelava potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava ter prava socialne varnosti in socialnega varstva, če to dovoljuje pravo Unije ali pravo države članice ali kolektivna pogodba v skladu s pravom države članice, ki zagotavlja ustrezne zaščitne ukrepe za temeljne pravice in interese posameznika, na katerega se nanašajo osebni podatki (točka b) člena 9(2)).

 

Na podlagi tretjega odstavka 207. člena ZDR-1 zagotavlja delodajalec na zahtevo sindikata v skladu z aktom sindikata, katerega član je delavec, tehnično izvedbo obračuna in plačevanja sindikalne članarine za delavca. Delavec lahko plačuje sindikalno članarino na dva načina, in sicer tako, da jo plačuje sindikatu neposredno sam ali pa tako, da tehnično izvedbo obračuna in plačevanja sindikalne članarine zagotavlja delodajalec. Če se delavec odloči za slednjega, plačila dejansko ni mogoče izvesti brez podatka o tem, v kateri sindikat je delavec včlanjen. To se na podlagi odločitve delavca uredi na zahtevo sindikata, katerega član je delavec, skladno s tretjim odstavkom 207. člena ZDR-1 in v skladu z aktom sindikata. To pomeni, da delodajalec ni upravljavec zbirke osebnih podatkov v zvezi z nakazili sindikalne članarine, ampak zgolj »uporabnik« teh podatkov na podlagi pooblastila delavca v skladu z 9. točko 4. člena Splošne uredbe (pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne).

 

Iz navedenega izhaja, da je sindikat kot upravljavec zbirke tisti, ki mora ob včlanitvi oziroma tudi kasneje, če pride do spremembe, pridobiti ustrezne osebne privolitve oz. pooblastila svojih članov za izvajanje plačila članarine preko delodajalca. Potem posameznim delodajalcem, kjer so zaposleni člani sindikata, ki želijo plačevati članarino preko delodajalca posreduje potrebne podatke. To pomeni, da delodajalec nima pravne podlage, da bi od delavcev zahteval podatek o tem, ali so včlanjeni v sindikat, v katerega, in tudi ne za druge namene pridobivati teh podatkov, saj lahko obdeluje le tiste osebne podatke, ki jih dobi od sindikata in za konkretne namene (torej nakazilo članarine).

 

Kot je IP v svojih mnenjih, ki ostajajo v tem delu aktualna, že pojasnil, sme delodajalec od sindikata kot upravljavca zahtevati le tiste podatke, ki jih potrebuje za izvedbo nakazila članarine (ob pogoju seveda, da je takšen način plačevanja članarine zahteval oz. izbral delavec). Zato IP meni, da delodajalec ni upravičen do avtomatičnega posredovanja pristopnih izjav, ki jih je pridobil sindikat, saj lahko izvedbo obračuna in plačilo sindikalne članarine izvede, ne da bi mu sindikat posredoval celotne pristopne izjave delavcev za članstvo v sindikatu. Bistveno je, da za takšen način plačila in posredovanje tistih osebnih podatkov delodajalcem, ki so nujni za takšen način plačila, izrecno pooblastilo oziroma drugo ustrezno pravno podlago posameznika pridobi sindikat.

 

Druge obveznosti sindikata v zvezi z varstvom osebnih podatkov

Poleg tega bi moral sindikat izpolniti vsaj še naslednje splošne obveznosti, ki izhajajo iz vsebine določb Splošne uredbe:

-           v statutu, pravilniku ali drugem internem aktu določiti, za kakšen namen se bodo uporabljali osebni podatki članov, kateri osebni podatki se bodo obdelovali ter koliko časa se bo podatke hranilo;

-           določiti, kdo bodo odgovorne osebe, ki bodo upravičene do vpogleda v tako obdelane podatke;

-           sprejeti ustrezne ukrepe za zavarovanje oz. varnost osebnih podatkov, ki se bodo na obdelovali;

-           seznaniti člane sindikata z informacijami, ki so opredeljene v členu 13 oziroma 14 Splošne uredbe.

 

Prav tako mora sindikat poskrbeti za klasične druge vidike varstva osebnih podatkov, ki veljajo za vse upravljavce, kot so zagotavljanja varnosti pri obdelavi, vzpostavitev evidence obdelav, skleniti ustrezne pogodbe o pogodbeni obdelavi v primeru najema pogodbenih obdelovalcev, razmisliti o imenovanju pooblaščene osebe za varstvo podatkov (več www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pooblascena-oseba-za-varstvo-podatkov/) ipd.

 

Več o ključnih področjih najdete na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/). Več uporabnih nasvetov za manjše upravljavce pa tudi na naši spletni strani: https://upravljavec.si/ .

 

Lepo vas pozdravljamo,

 

 

Pripravila:

Alenka Jerše, univ. dipl. prav.

namestnica informacijske pooblaščenke

 

 

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka