Informacijski pooblaščenec Republika Slovenija
SLO | ENG

Iskalnik po odločbah in mnenjih GDPR

+ -
Datum: 24.06.2019
Naslov: Posredovanje podatkov delavcev bosanskemu Zavodu za zaposlovanje
Številka: 0712-1/2019/1530
Vsebina: Delovna razmerja, Posredovanje OP med upravljavci
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše elektronsko sporočilo, v katerem IP pošiljate vprašanje, ali je slovensko podjetje dolžno slediti zahtevi za posredovanje osebnih podatkov, ki jo je prejelo s strani bosanskega zavoda za zaposlovanje v zvezi s podatki določene osebe ter ali s tem slovensko podjetje lahko krši pravila varstva osebnih podatkov.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 - v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 - v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora ali upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

 

Uvodoma pojasnjujemo, da tudi v primeru delavcev z državljanstvom tretjih držav, kot je razbrati iz vašega sporočila, gre verjetno za bosanske državljane, velja ureditev Splošne uredbe. Namreč veljavnost Splošne uredbe ni vezana na državljanstvo posameznikov, temveč na ustanovitev upravljavca ali obdelovalca podatkov. V skladu s členom 3 se uredba uporablja za obdelavo osebnih podatkov v okviru dejavnosti ustanovitve upravljavca ali obdelovalca v EU. Kot izhaja iz vašega sporočila, bi podatke posredovalo slovensko podjetje, zato je pri obdelavi osebnih podatkov konkretnih delavcev potrebno spoštovati pravila, ki jih določa Splošna uredba.

 

V nadaljevanju pa je pomembno ugotoviti na kakšen način in pod katerimi pogoji je dovoljeno osebne podatke delavcev prenašati iz Slovenije v tretje države, kamor sodi tudi Bosna in Hercegovina. Na podlagi vašega sporočila IP namreč sklepa, da gre za prenos osebnih podatkov v Bosno in Hercegovino, in sicer Agenciji za delo in zaposlovanje Bosne in Hercegovine.

Za zakonito posredovanje osebnih podatkov upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi morata biti izpolnjena dva pogoja, in sicer:

  1. Za posredovanje oz. dajanje osebnih podatkov na razpolago upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi mora obstajati katera izmed pravnih podlag, ki so določene v 6. ter 9. členu Splošne uredbe;
  2. Ob izpolnjenem prvem pogoju je posredovanje osebnih podatkov upravljavcu ali pogodbenemu obdelovalcu v tretji državi dopustno pod pogoji, ki jih ureja V. poglavje Splošne uredbe, in sicer:
  • če Evropska komisija izda odločbo, da država, ozemlje, določen sektor v državi ali mednarodna organizacija, v katero se prenašajo, zagotavlja ustrezno raven varstva osebnih podatkov;
  • če izvoznik podatkov zagotovi ustrezne zaščitne ukrepe v skladu s členom 46 Splošne uredbe ter posameznikom zagotovi izvršljive pravice in učinkovita pravna sredstva;
  • če gre za posebne primere, ki so natančno določeni v členu 48 in 49 Splošne uredbe, v katerih so mogoča odstopanja.

V obravnavanem primeru gre za vprašanje izpolnjevanja prvega od zahtevanih pogojev za iznos osebnih podatkov v tretjo državo. Ker iz vašega elektronskega sporočila ni razvidno, kakšna so razmerja zadevnega slovenskega podjetja z Agencijo za delo in zaposlovanje Bosne in Hercegovine, tako tudi ni jasno kakšne bi bile lahko obveznosti podjetja nasproti navedenemu tujemu organu, vam podajamo naš odgovor zgolj informativno in na splošno.

Obdelava osebnih podatkov je na podlagi prvega odstavka 6. člena Splošne uredbe zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

  1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
  2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
  3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
  4. obdelava je potrebna za zaščito posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
  5. obdelava je potrebna za opravljanje nalog v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
  6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok (ta točka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog).

V svojem sporočilu se sklicujete na Sporazumom med Vlado Republike Slovenije in Svetom ministrov Bosne in Hercegovine o zaposlovanju državljanov Bosne in Hercegovine v Republiki Sloveniji in Protokola o izvajanju Sporazuma med Vlado Republike Slovenije in Svetom ministrov Bosne in Hercegovine o zaposlovanju državljanov Bosne in Hercegovine v Republiki Sloveniji (Ur. l. RS, št. 92/12, št. 29/17, v nadaljevanju Sporazum), v skladu s katerim pristojni nosilec države zaposlitve in pristojni nosilec države izvora vodita evidence o delavcih migrantih in si medsebojno v ta namen tudi posredujeta določene podatke. Pravno podlago za posredovanje osebnih podatkov delavca migranta s strani delodajalca nosilcu države izvora pa bi lahko predstavljala (f) točka prvega odstavka 6. člena Splošne uredbe v zvezi z navedenim Sporazumom (če bi posredovanje podatkov zahteval sam Sporazum pa (c) točka prvega odstavka 6. člena Splošne uredbe). Pri tem IP opozarja, da iz podanih okoliščin primera ni razvidno, za kakšno vrsto zaposlitve oziroma za kakšen način izbire delavca migranta gre. Prav tako pa IP tudi ni pristojen za razlago določb navedenega Sporazuma, še posebej ne za razlago obveznosti, ki jih imajo slovenski delodajalci glede na Sporazum. Za razlago določb Sporazuma je v Republiki Sloveniji pristojno Ministrstvo za delo, družino in socialne zadeve.

Ob predpostavki, da je pogoj pravne podlage za obdelavo podatkov izpolnjen, vam glede drugega od zahtevanih pogojev pojasnjujemo, da sklep o ustrezni ravni varstva osebnih podatkov za Bosno in Hercegovino ni bil sprejet, zato bi po mnenju IP podlago za prenos podatkov v tretje države lahko predstavljali ustrezni zaščitni ukrepi. Splošne pogodbene klavzule, ki jih je pripravila Evropska komisija, so eden izmed ustreznih zaščitnih ukrepov, ki so najpogosteje uporabljeni in za katere ni potrebno pridobiti posebnega dovoljenja IP. Izbira mehanizma za prenos je lahko odvisna tudi od tega komu se prenaša osebne podatke. 

Za podrobnejše informacije o prenosih podatkov v tretje države in informacije glede primerov v katerih je potrebno pridobiti posebno dovoljenje IP vas napotujemo na našo spletno stran in na smernice, ki jih je pripravil IP na to temo:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_glede_prenosa_OP_v_tretje_drzave_in_mednarodne_organizacije_po_Splosni_uredbi.pdf.

 

 

V upanju, da vam bo naš odgovor v pomoč, vas lepo pozdravljamo.

 

 

Pripravila:
Manja Resman, univ. dipl. prav.

svetovalka IP

   

 

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka