Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 11.03.2019
Naslov: Spominska stena zaposlenih
Številka: 0712-1/2019/563
Vsebina: Delovna razmerja
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje. Navajate, da želite kot javni zavod ob 60 - letnici izdelati spominske stene z imeni in priimki zaposlenih ter s časovnim obdobjem službovanja v vaši enoti, kar bi obiskovalcem dalo vpogled v zgodovino vašega zavoda ter kot zahvala bivšim zaposlenim. Zanima vas, ali je to z vidika varovanja osebnih podatkov dovoljeno. Navajate še, da ste se pri zbiranju podatkov o zaposlenih med leti 1959-1963 obrnili na Zavod Republike Slovenije za pokojninsko in invalidsko zavarovanje (v nadaljevanju: ZPIZ), vendar vam podatkov niso posredovali. Prosite za mnenje, ali zavod v tem primeru pravilno postopa ter kakšen je predlog IP za pridobitev teh informacij.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES, 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; v nadaljevanju: ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP še dodaja in poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

 

Za zakonito obdelavo osebnih podatkov je potrebno imeti pravno podlago, to je npr. soglasje posameznika za točno določen namen obdelave ali pogodba (6. člen Splošne uredbe o varstvu podatkov). Privolitev mora biti po Splošni uredbi o varstvu podatkov dana na način, ki je v skladu s pogoji, ki jih določa (jasna, ustrezno informirana, svobodna privolitev). Prav tako bi bila dopustna objava podatkov, ki morda predstavljajo prosto dostopne informacije javnega značaja.

Uvodoma pojasnjujemo, da IP konkretne presoje o zakonitosti obdelave osebnih podatkov v okviru mnenja ne more podati, o tem lahko presoja zgolj v okviru inšpekcijskega postopka. Vprašanja pravic, obveznosti, načel in ukrepov, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov sistemsko urejata Splošna uredba o varstvu podatkov in ZVOP-1, v kolikor ni v nasprotju z omenjeno uredbo.

Obdelava osebnih podatkov je na podlagi prvega odstavka 6. člena Splošne uredbe zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

  1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
  2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
  3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
  4. obdelava je potrebna za zaščito posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
  5. obdelava je potrebna za opravljanje nalog v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
  6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

Če gre za objavo imen in priimkov še živečih nekdanjih zaposlenih delavcev in za obdelavo ni druge pravne podlage, potem je potrebno pred izdelavo spominske plošče z njihovimi imeni pridobiti privolitev posameznika. Pri tem mora biti privolitev svobodna. Glede na člen 6.1(a) Splošne uredbe o varstvu podatkov je obdelava zakonita pod pogojem, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov. Podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, določa uredba v členu 7. Privolitev mora biti v skladu s Splošno uredbo o varstvu podatkov jasna, konkretna, razumljiva, izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva, prav tako mora biti privolitev dana za vsak namen posebej oz. granulirano. Vsebovati mora tudi ustrezne informacije, da je posameznik obveščen o tem, komu daje podatke, katere in zakaj ter kakšne pravice ima. Iz privolitve mora torej jasno izhajati, za obdelavo katerih osebnih podatkov je podano soglasje, kar pomeni, da je potrebno konkretno določiti, za obdelavo katerih osebnih podatkov in za kakšen namen se daje soglasje. Splošna uredba o varstvu podatkov predpisuje strožje pogoje za privolitev, kot ZVOP-1. Privolitev po Splošni uredbi o varstvu podatkov mora biti razčlenjena po namenih, podana z jasnim pritrdilnim dejanjem (člen 7 in člen 8 ter točka 32 in točka 171 uvodnih določb), posameznik pa mora biti pred podajo privolitve tudi ustrezno informiran (člen 13 in člen 14) v zvezi z obdelavo njegovih osebnih podatkov (namen zbiranja, naziv upravljavca, pooblaščene osebe, čas hrambe, itd.).

 

Glede vašega vprašanja, ali ima ZPIZ pravno podlago za posredovanje podatkov o vaših nekdanjih zaposlenih, omenjamo, da je posredovanje podatkov drugi osebi obdelava osebnih podatkov. IP ni našel pravne podlage niti v Zakonu o pokojninskem in invalidskem zavarovanju (Uradni list RS, št. 96/12 s spremembami) niti v Zakonu o matični evidenci zavarovancev in uživalcev pravic iz pokojninskega in invalidskega zavarovanja (Uradni list RS, št. 111/13 in 97/14), na podlagi katere bi bil ZPIZ upravičen posredovati osebne podatke gasilski reševalni službi.

 

Če so osebni podatki za namen objave pridobljeni iz javnih virov, ki zasledujejo enak namen oziroma namen združljiv z namenom objave, bi to lahko bilo dopustno. IP ob tem opozarja, da ni vsak »javno objavljen« osebni podatek »javen«, ampak je pomemben predvsem namen takšne objave. Obdelava (objava) podatkov, ki so javni, zato ne more pomeniti posega v zasebnost in ne pomenijo (več) varovanih osebnih podatkov. Nasprotno pa to ne velja za vsak (že) objavljen podatek.

 

Eventualno bi morda lahko v opisanem primeru šlo tudi za podatke, ki so že bili predani Arhivu RS, v tem delu pogoje pridobivanja določa Zakon o varstvu dokumentarnega in arhivskega gradiva ter arhivih (ZVDAGA), za njegovo tolmačenje pa je pristojen Arhiv RS, zato svetujemo, da se v tem delu morda za nasvet obrnete nanje. Arhiv RS je kot organ v sestavi Ministrstva Republike Slovenije za kulturo pristojno za mnenja glede dostopnosti in uporabe arhivskega gradiva.

http://www.arhiv.gov.si/si/uporaba_arhivskega_gradiva/

 

Prav tako bi bila objava dopustna, če gre v vašem primeru za objavo prosto dostopnih informacij javnega značaja, kot to ureja Zakon o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – uradno prečiščeno besedilo, s spremembami; v nadaljevanju: ZDIJZ).

 

Nadalje omenjamo še, da Splošna uredba o varstvu podatkov vprašanje urejanja obdelave podatkov umrlih (če gre v vaši zadevi za tak primer) prepušča v ureditev državam članicam, zato v Sloveniji v tem delu do morebitne drugačne ureditve v novem zakonu ostajajo v veljavi določbe ZVOP-1. Varstvo osebnih podatkov umrlih posameznikov ureja ZVOP-1 v 23. členu, ki v prvem odstavku določa, da lahko upravljavec osebnih podatkov podatke o umrlem posamezniku posreduje samo tistim uporabnikom osebnih podatkov, ki so za obdelavo osebnih podatkov pooblaščeni z zakonom. Ne glede na to pa upravljavec osebnih podatkov podatke o umrlem posamezniku posreduje osebi, ki je po zakonu, ki ureja dedovanje, njegov zakoniti dedič prvega ali drugega dednega reda, če za uporabo osebnih podatkov izkaže pravni interes, umrli posameznik pa ni pisno prepovedal posredovanja teh osebnih podatkov. Če zakon ne določa drugače, lahko upravljavec osebnih podatkov te podatke posreduje tudi katerikoli drugi osebi, ki namerava te podatke uporabljati za zgodovinsko, statistično ali znanstveno-raziskovalne namene, če umrli posameznik ni pisno prepovedal posredovanja teh osebnih podatkov. Če umrli posameznik ni podal prepovedi, lahko osebe, ki so po zakonu, ki ureja dedovanje, njegovi zakoniti dediči prvega ali drugega dednega reda, pisno prepovejo posredovanje njegovih podatkov, če zakon ne določa drugače.

 

V primeru, da zgoraj našteti pogoji niso izpolnjeni, osebnih podatkov nekdanjih zaposlenih ne morete pridobiti. Kot že zgoraj rečeno, pa konkretne presoje IP izven inšpekcijskega postopka (npr. vnaprej) ne more opraviti. To je naloga upravljavca osebnih podatkov.

 

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

 

 

Pripravila:

 

 

Urška Črnič, univ. dipl. prav.,

Svetovalka informacijske pooblaščenke

 

 

                                                                                   Mojca Prelesnik, univ. dipl. prav.,

                                                                                   Informacijska pooblaščenka