Obdelava OP zaposlenih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.01.2021 Številka: 07121-1/2020/2379 Kategorije:Delovna razmerja --> Kategorije: Delovna razmerja Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede vašega internega pravilnika ter nekaterih drugih vprašanj s področja varstva osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov upravljavcem svetovati, kako organizirati določene procese in v tem okviru obdelovati osebne podatke, niti ne more vnaprej potrjevati posameznih rešitev z vidika skladnosti s predpisi s področja varstva osebnih podatkov. Prav tako IP ne more potrjevati ustreznosti konkretnih besedil posameznih internih aktov in izven posameznega inšpekcijskega postopka ne sme preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Iz navedenih razlogov IP na vaše vprašanje v okviru tega mnenja ne more dokončno odgovoriti oziroma se opredeljevati do določb sprejetega pravilnika, temveč v nadaljevanju podaja zgolj splošna pojasnila. IP splošno pojasnjuje, da Splošna uredba o varstvu podatkov v 6. členu določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev: (
- a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
- b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
- c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
- d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
- e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
- f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Čeprav ZVOP-1 razlikuje med javnim in zasebnim sektorjem, je področje delovnega prava specialno urejeno za oba sektorja v posebnih zakonih, predvsem v Zakonu o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE) in Zakonu o evidencah na področju dela in socialne varnosti (ZEPDSV; Uradni list RS, št. 40/06). Zaradi izrazite neenakosti moči strank v delovnopravnih razmerjih oziroma zaradi varstva delavca, ki je v razmerju do delodajalca zagotovo šibkejša stranka, je zakonodajalec to področje uredil strožje, zaradi česar na tem področju praviloma niti v zasebnem sektorju ne dopušča avtonomije strank v smislu, da bi delodajalec lahko brez podlage v zakonu od delavca zahteval katerekoli osebne podatke ali jih obdeloval na drugi pravni podlagi (npr. privolitev, pogodba, …). Delavec lahko namreč tudi na delovnem mestu utemeljeno pričakuje določeno stopnjo zasebnosti, delodajalec pa mora v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Glede obdelave osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. ZDR-1 v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati. Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, za kaj takšne osebne podatke potrebuje. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati. Ob tem IP izpostavlja, da je obdelava delavčevih osebnih podatkov na podlagi njegove osebne privolitve dopustna le izjemoma pod pogojem, da njena zavrnitev nima nikakršnih posledic na delovno razmerje oziroma na delavčev pravni položaj. Osebna privolitev v delovnih razmerjih torej je oziroma naj bo bolj izjema kot pravilo, saj je delodajalec v razmerju do delavca močnejša stranka in so možnosti za zlorabo tega instituta v delovnih razmerjih toliko večje. Tudi smernice Delovne skupine po členu 29 glede privolitve kot pravne podlage za obdelavo osebnih podatkov v delovnih razmerjih poudarjajo neprostovoljno naravo razmerja delavec - delodajalec, kar ovira veljavnost privolitve. Temeljni kriterij za dopustnost privolitve v delovnih razmerjih je po mnenju Delovne skupine po členu 29, da podaja ali zavrnitev privolitve za zaposlene nima nikakršnih negativnih posledic. Pri presoji mora delodajalec vedno izhajati iz načela najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. Pri izvedbi posameznih postopkov in ukrepov je torej treba vedno upoštevati tudi načelo sorazmernosti in vedno izbrati tisti ukrep, ki najmanj poseže v pravice zaposlenega glede na zasledovani zakoniti cilj. Posameznih ukrepov torej ne bi smeli odrejati, če je mogoče primerljiv učinek doseči z milejšimi ukrepi. Če se na ravni posamezne organizacije (v konkretnem primeru na ravni vaše družbe) določen ukrep opredeli kot nujen, potreben in učinkovit, pa ga je treba izvajati na način, ki najmanj posega v telo in zasebnost posameznika in brez prekomerne obdelave osebnih podatkov. V zvezi z vpogledom in zavarovanjem elektronske pošte zaposlenega IP uvodoma pojasnjuje, da vprašanje nadzora službene elektronske pošte v marsičem presega zgolj vidike varovanja osebnih podatkov. Gre namreč za širše vprašanje posegov v komunikacijsko zasebnost posameznikov oziroma zaposlenih (35. in 37. člen Ustave RS), katerih varstvo je v Sloveniji zagotovljeno v kazenskem pravu v okviru določb o kršitvi tajnosti občil 139. člena Kazenskega zakonika (KZ-1; Uradni list RS, št. 50/12 - UPB, 6/16 - popr., 54/15, 38/16, 27/17, 23/20, 91/20) oziroma v civilnem pravu v okviru določb o zahtevi za prenehanje kršitve osebnostnih pravic 134. člena Obligacijskega zakonika (OZ; Uradni list RS, št. 97/07 - UPB, 64/16 - odl. US, 20/18 - OROZ631) in pripadajočih določb o odškodninski odgovornosti za takšen poseg. Prekomerni poseg v upravičeno pričakovano zasebnost zaposlenih tako torej ne zgolj ogroža zakonitost delodajalčevega konkretnega dejanja (v tem primeru notranje preiskave suma storitve kaznivega dejanja oziroma prevare s strani zaposlenih), ampak delodajalca potencialno izpostavlja tudi odškodninski oziroma kazenski odgovornosti. Ob tem IP poudarja, da zakonodaja RS točno določa, kateri (državni) organi so pristojni za odkrivanje, preiskovanje in pregon kaznivih dejanj. IP ponavlja, da zaposleni tudi na delovnem mestu upravičeno pričakuje določeno stopnjo zasebnosti. Ob tem IP izpostavlja, da mora delodajalec v skladu s 24. in 25. členom ZVOP-1 ter 32. členom Splošne uredbe o varstvu podatkov zagotoviti ustrezne tehnične in organizacijske postopke in ukrepe, s katerimi bo preprečil nepooblaščeno obdelavo, uničenje, izgubo ali spremembo osebnih podatkov. V svojih aktih mora predpisati postopke in ukrepe za zavarovanje osebnih podatkov in določiti osebe, ki so odgovorne za posamezne zbirke osebnih podatkov. Upravljavec (v konkretnem primeru delodajalec) mora torej sorazmerno natančno predpisati postopke in ukrepe, s katerimi bo varoval elektronsko pošto zaposlenih (npr. Pravilnik o varnosti osebnih podatkov ali Pravilnik glede uporabe službene elektronske pošte). Uporaba informacijskih tehnologij na delovnem mestu in pravice delodajalca do nadzora njihove rabe v zakonodaji nista izrecno regulirana. Tako tudi vpogled v elektronsko pošto zaposlenega sam po sebi ni eksplicitno prepovedan, vendar je ob tem vsekakor treba upoštevati predpisane interne postopke in ukrepe za zavarovanje, ki veljajo v vaši organizaciji, katerih pa, kot omenjeno, IP ne more presojati izven inšpekcijskega postopka. Nadalje IP ponovno poudarja, da je varovanje tajnosti komunikacij določeno že z ustavo in se vanjo načeloma lahko posega le na podlagi sodne odredbe. Navedeno je treba upoštevati tudi pri zavarovanju in preiskavi elektronske pošte in ostalih virov podatkov, ki ga opisujete v vašem zaprosilu za mnenje. IP pojasnjuje, da zaseg in preiskavo elektronskih naprav in njihovih nosilcev urejata 219.a oziroma 223.a člen Zakona o kazenskem postopku (ZKP; Uradni list RS, št. 32/12 – UPB, 47/13, 87/14, 8/16 - odl. US, 64/16 - odl. US, 65/16 - odl. US, 66/17 - ORZKP153,154, 22/19, 55/20 - odl. US, 89/20 - odl. US, 191/20 - odl. US). Navedena člena temeljita na odločbi Ustavnega sodišča (št. Up-106/05 z dne 2.10.2008: http://odlocitve.us-rs.si/sl/odlocitev/US28326). Iz navedene odločitve izhaja, da za sam zaseg naprav (v praksi navadno za izdelavo forenzičnih kopij vsebine teh naprav) odredba preiskovalnega sodnika še ni potrebna, je pa potrebna za kasnejšo preiskavo, razen če se pridobi dovoljenja vseh relevantnih deležnikov. Sam zaseg oziroma zapečatenje bi tako lahko bil dopusten v določenih primerih kot utemeljeno manjši poseg v zasebnost kot je to v primeru njihove preiskave. Ob tem IP ponovno poudarja, da zakonodaja RS točno določa, kateri (državni) organi so pristojni za odkrivanje, preiskovanje in pregon kaznivih dejanj. V primeru suma storitve kaznivega dejanja morajo torej navedene posege oziroma ukrepe izvajati organi pregona v skladu z njihovimi zakonskimi pristojnostmi. Glede vpogleda delodajalca v javno dostopni Facebook profil IP pojasnjuje, da omenjeno socialno omrežje svojim uporabnikom oziroma njihovim profilom omogoča različne ravni zasebnosti. V kolikor se je uporabnik (v konkretnem primeru zaposleni) odločil, da bo njegov profil javno dostopen, ne more utemeljeno pričakovati zasebnosti glede informacij, ki se nahajajo na takšnem profilu. Delodajalec, ki zaradi uresničevanja pravic in obveznosti iz delovnega razmerja vpogleda v tak profil zaposlenega, zato po mnenju IP ne krši njegove zasebnosti. Ob tem pa IP opozarja, da ne glede na to, da se določeni osebni podatki, ne glede na to, da so javno dostopni, ne smejo uporabljati za kakršen koli namen, npr. za vzpostavitev nove zbirke osebnih podatkov. Po določbi 16. člena ZVOP-1 se namreč osebni podatki lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s takšnimi nameni, če zakon ne določa drugače. To pomeni, da je za presojo zakonitosti nadaljnje obdelave javno dostopnih osebnih podatkov bistven namen takšne obdelave. IP sklepno povzema, da je za vsako obdelavo osebnih podatkov treba torej najprej zagotoviti ustrezno pravno podlago. Izbor ustrezne pravne podlage za posamezno obdelavo je stvar ocene konkretnih okoliščin, odgovornost za izbiro pa nosi upravljavec. IP sklepno ponovno poudarja, da v sklopu neobvezujočega mnenja ne more presojati konkretnih dejanj obdelav, temveč lahko to stori šele v okviru inšpekcijskega postopka. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026