Uporaba aplikacije za spremljenje dela na domu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.04.2020 Številka: 07121-1/2020/523 Kategorije:Delovna razmerja, Moderne tehnologije, Pravne podlage --> Kategorije: Delovna razmerja, Moderne tehnologije, Pravne podlage Na Informacijskega pooblaščenca (v nadaljevanju IP) ste se obrnili z vprašanjem v zvezi zbiranjem osebnih podatkov zaposlenih, ki bi jih delodajalec med trajanjem njihovega dela na domu, zbiral s pomočjo posebne aplikacije. Navedli ste, da želi pravna oseba pripraviti računalniški program, ki bi ga namestila na službene računalnike svojih delavcev lokalno. Namen programa naj bi bilo spremljanje aktivnosti posameznika (delavca) na računalniku. Program bi beležil, do katerih programov je delavec dostopal in koliko časa jih je uporabljal, sočasno pa bi spremljal tudi, koliko časa je zabeležena aktivnost oziroma pasivnost na tem posameznem programu (npr. poseben program strank, v katerem se izvaja delo delavcev programerjev, uporaba službene banke, svetovni splet). Delavci (situacija se ne nanaša izključno na čas epidemije Koronavirusa) naj bi večinoma delali od doma ali pa po terenu in ne na sedežu delodajalca. Na mesečni ravni pa naj bi bili zaposleni dolžni pripraviti poročilo o opravljenem delu, kjer navedejo tudi, kaj so naredili v tistem mesecu in koliko ur so za to porabili. Ta poročila delavcev pa naj bi bila podlaga za zaračunavanje opravljenih storitev strankam pravne osebe - delodajalca. Delavci naj bi delodajalcu večkrat javili, da imajo težavo za nazaj vpisati vse ure, ki so jih za določeno stranko porabili. Zato naj bi delodajalec prišel na idejo, da bi naredili računalniški program, ki beleži delo delavca na lokalnem računalniku za vsakega delavca posebej. To bi bilo orodje, ki bi bilo predvsem v pomoč delavcem za namen priprave mesečnih poročil, saj se je to pri delodajalcu zaradi specifičnega dela (programiranje) izkazalo za veliko težavo. Glede na navedeno vas je zanimalo, ali je takšen program z vidika varstva osebnih podatkov delavcev sploh dopusten in če je, ali lahko beleži, aktivnost in pasivnost v določenem programu (na primer: svetovni splet - z omejitvami iz Priporočil in smernic IP vezanih na beleženje obiska konkretnih spletnih strani, ki ni dopustno). Ali je dovoljeno beležiti dejstvo, da je bil delavec na spletu in čas, ki ga je pri tem porabil ter podrobneje aktiven in neaktiven čas na spletu? Ali velja za vse programe enako ali velja določena omejitev iz smernic in priporočil IP le za svetovni splet? Ali se torej za posebne programe, kjer na primer delajo programerji lahko beleži aktiven in pasiven čas uporabe? Ali mora biti nameščen program le lokalno oziroma ali lahko ima vpogled vanj tudi delodajalec za namen priprave poročila za stranko glede porabljenega časa zanjo? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 57. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/2005 in 51/2007–ZUstS-A) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka iz svoje pristojnosti, ne more podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov oziroma o zakonitosti ali nezakonitosti obdelave osebnih podatkov in odgovorov, ali je konkreten primer skladen s pravili varstva osebnih podatkov ali ne. V zvezi s programsko rešitvijo za spremljanje dela na domu zaposlenih, ki ste jo opisali v vašem vprašanju in ki bi jo želeli vpeljati v vašem podjetju, IP najprej poudarja, da njeno delovanje, glede na namen in naravo, nedvomno zahteva tudi obdelavo osebnih podatkov zaposlenih. Podatki, ki se na ta način zbirali in nadalje obdelovali se nanašajo na določene posameznike in tako ustrezajo definiciji osebnega podatka iz prve točke 4. člena Splošne uredbe, prav tako pa ravnanje delodajalca s temi podatki ustreza definiciji obdelave osebnih podatkov iz druge točke istega člena. Tako kot za vsako drugo obdelavo osebnih podatkov, ki jo v vaši družbi izvajate, morate tudi za opisano zagotoviti zakonito pravno podlago. Te so določene v členu 6 Splošne uredbe. Glede na to, da gre v obravnavanem primeru za obdelavo osebnih podatkov znotraj delovnega razmerja (za obdelavo osebnih podatkov zaposlenih s strani deodajalca) je relevantna tudi določba 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16 in 15/17 – odl. US, v nadaljevanju ZDR-1), ki določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. V navedenih členih so torej na splošno določeni primeri in pogoji, pod katerimi pravni red dopušča poseganje v posameznikovo pravico do varstva osebnih podatkov, upravljavec osebnih podatkov (v vašem primeru delodajalec) pa je tisti, ki mora zagotoviti, da za konkretno obdelavo osebnih podatkov, ki jo želi izvajati, obstaja ena od pravnih podlag iz navedenih določb. Vsaka obdelava osebnih podatkov mora biti hkrati tudi v skladu s temeljnimi načeli obdelave, kot so določeni v členu 5 Splošne uredbe. Osebni podatki morajo biti tako:
- a)obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki („zakonitost, pravičnost in preglednost“);
- b)zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni („omejitev namena“);
- c)ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“);
- d)točni in, kadar je to potrebno, posodobljeni („točnost“);
- e)hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; („omejitev shranjevanja“);
- f)obdelujejo se na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi („celovitost in zaupnost“). IP, kot rečeno, zakonitosti konkretne obdelave osebnih podatkov, ki se izvaja oziroma se namerava izvajati, ne more presojati izven inšpekcijskih postopkov, v katerih predhodno ugotovi vse relevantne okoliščine primera. Glede na navedeno pa IP poudarja, da je delodajalec, ki zaposlene napoti na delo na domu, opravljanje takega dela s strani zaposlenih vsekakor upravičen v določeni meri spremljati in nadzirati in v ta namen, v skladu z določbo 48. člena ZDR-1 tudi obdelovati njihove osebne podatke. Iz vaših navedb izhaja, da bi želeli navedeno programsko rešitev vpeljati tudi zato, ker naj bi bili podatki, ki bi jih zbirala, pomembni in potrebni za pravilno obračunavanje storitev vašim strankam. V zvezi s tem vam IP svetuje, da najprej natančno opredelite zakonite namene, za katere bi želeli s programsko rešitvijo obdelovati podatke o dejavnosti zaposlenih na službenem računalniku med opravljanjem njihovega dela na domu. Nato ugotovite, obdelava katerih osebnih podatkov zaposlenih bi bila za doseganje teh namenov potrebna in na kakšen način, pri tem pa dosledno upoštevate zgoraj omenjeno načelo najmanjšega obsega podatkov in nabor takih podatkov skrčite na tiste osebne podatke zaposlenih, za katere lahko po takšni presoji utemeljeno trdite, da so potrebni, primerni in sorazmerni za spremljanja dela na domu s strani delodajalca in pravilno obračunavanje storitev vašim strankam. To velja tudi glede načina obdelave osebnih podatkov, saj je med različnimi možnostmi in rešitvami vedno potrebno izbrati tisto, ki v najmanjši meri posega v varstvo osebnih podatkov zaposlenih in hkrati zagotavlja primerljivo učinkovito doseganje zasledovanega zakonitega namena. Dokončen odgovor, ali in katere podatke o dejavnostih zaposlenih med opravljanjem dela na domu kot delodajalec s pomočjo take programske rešitve lahko beležite bo torej mogoče podati šele po in na podlagi tako izvedene presoje, pri kateri morate strogo slediti predstavljenim pravnim podlagam in načelom iz Splošne uredbe, saj morate biti kot upravljavec skladnost z njimi, zmožni tudi dokazati. V zvezi s splošnimi stališči IP glede tega vprašanja IP navaja, da je delodajalec vsekakor vedno upravičen do podatkov o delovnih nalogah, ki jih je zaposleni opravil tekom dela na domu in ki so zbrani na način, da mu jih zaposleni posreduje v obliki dnevnih ali tedenskih poročil. Če narava dela in opravljenih storitev zahteva, da delodajalec poleg tega pridobiva še dodatne podatke o opravljanju dela na domu, bi bil delodajalec lahko upravičen tudi do takih podatkov, vendar pa mora tudi v takem primeru izbrati rešitev, ki v najmanjši meri posega v informacijsko zasebnost zaposlenega (npr. zahteva po natančnejšemu poročanju zaposlenega v to pravico posega v manjši meri, kot avtomatizirano spremljanje njegovih dejavnosti z različnimi programskimi rešitvami) in strogo upoštevati načelo najmanjšega obsega podatkov. V Smernicah IP, ki jih omenjate so predstavljeni primeri spremljanja delavčeve dejavnosti na službenem računalniku s strani njegovega delodajalca, za katere zgoraj predstavljenih pogojev ni mogoče izpolniti, saj predstavljajo prevelik poseg v informacijsko zasebnost zaposlenih. Tako bi kakršnokoli avtomatizirano in sistematično zbiranje in nadaljnja obdelava npr. posnetkov (slik) zaslonov službenih računalnikov zaposlenih, iz katerih je razvidna vsebina takega zaslona v določenem trenutku in s tem tudi več njegovih (lahko tudi občutljivih) osebnih podatkov in avtomatično in sistematično zbiranje in nadaljnja obdelava podatkov o obisku spletnih strani, ki jih je posamezni zaposleni izvedel v delovnem času in podobne rešitve, ki jih omogočajo različne aplikacije za nadzor zaposlenih, predstavljali resen in nesorazmeren poseg v informacijsko zasebnost zaposlenih s strani upravljavca in obdelavo njegovih osebnih podatkov, za katero ta nima nobene pravne podlage iz Splošne uredbe ali ZDR-1. Takšna obdelava osebnih podatkov zaposlenih s strani ne bi bila niti primerna, še manj pa potrebna za sicer legitimen namen, ki ga delodajalec zasleduje (spremljanje izvajanja dela na domu), saj ima ta na voljo dovolj drugih sredstev za učinkovit nadzor zaposlenih, s katerimi bi v manjši meri ali pa sploh ne posegel v varstvo osebnih podatkov zaposlenih. Iz vašega vprašanja je razbrati, da z uporabljeno programsko rešitvijo ne bi pridobivali podatkov o vsebini lokalne ali spletne dejavnosti zaposlenega na njegovem službenem računalniku, ampak zgolj podatek o tem kdaj je bil kje dejaven in kdaj ne. IP ocenjuje, da takšno spremljanje dejavnosti zaposlenega sicer ne predstavlja obdelave njegovih osebnih podatkov, ki v nobenem primeru ni dovoljena (kot npr. omenjeno spremljanje vsebine njegove dejavnosti), predstavlja pa kljub temu precejšen poseg v njegovo informacijsko zasebnost, ki ga morate kot delodajalec znati argumentirano utemeljiti, kot je bilo predstavljeno, zlasti tudi zakaj zasledovanih zakonitih namenov ne morete doseči z milejšimi ukrepi. V zvezi s slednjim IP poudarja, da je v vašem primeru tak milejši ukrep že eden od načinov uporabe programske rešitve, ki ga kot možnega omenjate v vašem vprašanju tj. način, ko bi se rešitev uporabljala zgolj kot pomoč zaposlenemu pri beleženju opravljenih nalog in poročanju delodajalcu. Na podlagi vaših navedb gre namreč sklepati, da bi želeni namen lahko v celoti dosegli s takim načinom uporabe programa, saj bi zaposleni z njegovo pomočjo beležil vse potrebne podatke, ki bi jih nato uporabil pri sestavljanju poročil delodajalcu in strankam, pri čemer pa delodajalec do podatkov, zbranih s tem programom sploh ne bi dostopal in jih ne bi obdeloval, saj za to ne bi bilo nobene potrebe. Glede na navedeno IP meni, da uvedba obravnavane programske rešitve na način, da si jo zaposleni namesti lokalno na svoj službeni računalnik in jo uporablja za spremljanje svojega delovnega procesa in kot pripomoček za poročanje delodajalcu in strankam, pri čemer ima do podatkov, ki jih taka programska rešitev zbere dostop samo zaposleni, ki jo uporablja, ne pa tudi delodajalec, s stališča varstva osebnih podatkov ni problematična, saj do obdelave na ta način zbranih podatkov s strani delodajalca v takem primeru sploh ne prihaja. Delodajalec lahko tako zbrane podatke sicer obdeluje posredno, če zaposleni posamezne od njih uporabi v poročilu, vendar pri tem veja opozoriti, da mora delodajalec tudi pri tej obdelavi spoštovati zgoraj predstavljene določbe in paziti, da od delavca ne zahteva posredovanja osebnih podatkov, za obdelavo katerih nima pravne podlage (glej zgoraj). Uporaba programske rešitve na način, da bi delodajalec lahko dostopal in obdeloval podatke o dejavnostih zaposlenih (aktivnosti/pasivnosti na določenem programu in na spletu) pa bi bila dopustna samo ob strogem spoštovanju zgoraj predstavljenih pravil varstva osebnih podatkov in predhodno ugotovljenem obstoju pravne podlage in skladnosti s temeljnimi načeli varstva osebnih podatkov, ki pa ju mora izvesti delodajalec, kot upravljavec osebnih podatkov. IP ocenjuje, da bi bilo, glede na okoliščine, v vašem primeru smiselno izvesti oceno učinkov nove rešitve na varstvo osebnih podatkov iz 35. člena Splošne uredbe. Naš organ je v zvezi s tem že izdelal posebne smernice, namenjene upravljavcem osebnih podatkov, v katerih je ta institut celovito predstavljen in ki jih najdete na naslednji povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Smernice_o_ocenah_ucinka__DPIA__julij2018.pdf Ob navedenem IP opozarja tudi na pomembnost spoštovanja načela preglednosti s strani upravljavcev, zlasti tudi v primerih uvajanja rešitev, kot je vaša. IP namreč v praksi opaža, da je zlasti v primeru delovnih razmerij nespoštovanje tega načela s strani delodajalca pogosto razlog za nesporazume in spore z zaposlenimi. Načelo se nanaša predvsem na odnos med upravljavcem osebnih podatkov in posameznikom, katerega podatki se obdelujejo in je izpeljano v določbah člena 13 in 14 Splošne uredbe. V skladu s slednjim členom morate zaposlenim ob vpeljavi in pričetku uporabe obravnavane programske rešitve zagotoviti vsaj informacije o namenih obdelave njihovih osebnih podatkov, pravni podlagi za njihovo obdelavo, vrstah osebnih podatkov, ki jih obdelujete in uporabnikih teh podatkov. V drugem odstavku člena 14 so določene dodatne informacije, ki jih mora upravljavec zagotoviti posamezniku, če je to potrebno za zagotavljanje poštene in pregledne obdelave. V skladu z navedenim morate torej zaposlenim zagotoviti informacije iz člena 13 in 14 Splošne uredbe, tako glede njihovih podatkov, ki bi jih obdelovali s pomočjo programske rešitve, kakor tudi glede njihovih podatkov, ki vam jih posredujejo sami, preko poročil o delu na domu. V upanju, da ste dobili odgovore na svoje vprašanje, vas lepo pozdravljamo. Pripravil: Blaž Pavšič, univ. dipl. prav. Državni nadzornik za varstvo osebnih podatkov Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026