Vprašanje glede varstva osebnih podatkov in vpeljave aplikacije za spremljanje delovnega časa preko mobilne aplikacije - IPRS

Vprašanje glede varstva osebnih podatkov in vpeljave aplikacije za spremljanje delovnega časa preko mobilne aplikacije + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.11.2019 Številka: 0712-1/2019/2395 Kategorije:Delovna razmerja, Moderne tehnologije, Pravne podlage, Telekomunikacije in pošta, Zavarovanje osebnih podatkov --> Kategorije: Delovna razmerja, Moderne tehnologije, Pravne podlage, Telekomunikacije in pošta, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem navajate, da v vašem podjetju poskusno uvajate program za spremljaje delovnega časa, ki za registracijo uporablja mobilni telefon. Aplikacija zahteva tudi dostop do lokacije telefona. V skladu z navedenim vas zanima ali je to področje v Sloveniji zakonsko urejeno oziroma kako se v takem primer zaščiti zasebnost zaposlenega, saj ta telefon uporablja tudi izven službenega časa. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov oz. Uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP ustreznosti določene programske rešitve v okviru mnenja ne more presojati,. Niti ne more vnaprej potrjevati posameznih rešitve z vidika skladnosti s Splošno uredbo o varstvu podatkov. Presojo o ustreznost namreč lahko izvede le v okviru konkretnega inšpekcijskega postopka. IP pojasnjuje, da uredba v
8. členu določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od pogojev navedenih v
9. členu Uredbe. Področni zakon, ki določa obdelavo osebnih podatkov delavcev je Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US in 22/19 – ZPosS, v nadaljevanju ZDR-1). Ta v
10. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlag, se morajo takoj izbrisati in prenehati uporabljati. Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načeloma pomeni, da je potrebno obdelovati samo toliko osebnih podatkov delavcev, koliko je nujno potrebno za izpolnitev namena v konkretnem primeru. IP pojasnjuje, da mora delodajalec pred uvedbo take aplikacije in uporabo lokacijskih podatkov v okviru aplikacije temeljito presoditi dopustnost in utemeljenost namena, zaradi katerega želi uvesti takšno tehnologijo. Poleg tega mora presoditi tudi njegovo primernost in sorazmernost. Pred uvedbo GPS tehnologij je delodajalec dolžan s sprejetjem notranjega akta delavce seznaniti s tem, da se v okviru aplikacije za določen namen (ki ga opredeli delodajalec) uporablja GPS tehnologijo oziroma lokacijski podatki. Delodajalec je dolžan delavca, ki uporablja aplikacijo seznaniti z aplikacijo, načinom njenega delovanja, namenom njene namestitve ter s primeri in nameni za katere bodo pridobljeni podatki uporabljeni. Ob tem mora poskrbeti tudi za zavarovanje zbirke osebnih podatkov, ki nastane na podlagi uporabe aplikacije. IP nadaljnje pojasnjuje, da ima uporabnik aplikacije tudi možnost izbire ali dovoli aplikaciji dostop do lokacijskih podatkov naprave. V nadaljevanju prikazujemo to možnost v sistemih Android in iOS: iOS: V sistemu iOS odpremo nastavitve, ter nadaljujemo na podmeni »Privacy« in nato »Location Services« Znotraj nastavitev »Location Services« nam iOS omogoča, da posamezni aplikaciji določimo dovoljenja glede dostopa do lokacijskih podatkov. V kolikor ne želite da aplikacija MojeUre pridobiva lokacijske podatke lahko kliknete nanjo in nato izberete možnost »Never« ali možnost »While Using«, ki aplikaciji omogoča dostop do lokacijskih podatkov zgolj takrat ko je ta v uporabi. Zaslonske slike v konkretnem primer so narejene na mobilnem sistemu iOS
11. Android: V sistemu Android odpremo nastavitve, ter nadaljujemo na podmeni »Apps & notifications« in nato kliknemo na aplikacijo, katere nastavitve želimo spreminjati. Znotraj nastavitev določene aplikacije izberemo »Permissions« kjer lahko nato določamo ali ima aplikacija dovoljenje za uporaba lokacijskih podatkov ali ne. V kolikor ne želite da aplikacija MojeUre pridobiva lokacijske podatke ji znotraj tega menija lahko odvzamete dovoljenje za dostop do lokacijskih podatkov. Zaslonske slike v konkretnem primer so narejene na mobilnem sistemu Android
12. IP za konec poudarja še, da glede na navedbe v vašem zaprosilu je verjetno tudi, da gre za obliko obdelave iz Seznama dejanj obdelave osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po
13. odstavku
14. člena Uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf IP je na temo ocene učinkov izdal tudi Smernice o oceni učinkov na varstvo podatkov, ki so dostopne na spletni strani: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Smernice_o_ocenah_ucinka__DPIA__julij2018.pdf Lep pozdrav, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: Tomaž Brodgesell, informatik O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026