Nadzor zaposlenih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.01.2021 Številka: 07121-1/2020/2349 Kategorije:Bančništvo, Delovna razmerja, Pridobivanje OP iz zbirk, Uradni postopki --> Kategorije: Bančništvo, Delovna razmerja, Pridobivanje OP iz zbirk, Uradni postopki Zahvaljujemo se vam za vprašanje glede dopustnega obsega obdelave osebnih podatkov zaposlenih v zvezi z obveznostmi banke v povezavi s članstvom banke v evropskem bančnem sistemu, konkretno v medbančnem poravnalnem sistemu Banke Slovenije TARGET2 ter v mednarodnem združenju SWIFT. Oba, kot navajate, zahtevata različne oblike nadzora, med drugim tudi dodaten nadzor (ang. veting) zaposlenih, ki opravljajo visoko tvegane funkcije z dostopom do omrežja SWIFT ali TARGET
- Med zahtevanimi oblikami preverjanja navajate preverjanje npr. podrobnosti o morebitnih preteklih ali tekočih civilnih ali kazenskih postopkih in finančni obremenjenosti (kreditna sposobnost) ob začetni zaposlitvi; podrobnosti o morebitnih tekočih civilnih ali kazenskih postopkih zoper zaposlenega; potrditev kakršne koli vpletenosti v zunanja podjetja, ki bi lahko povzročila navzkrižje interesov, preverjanje stanja finančne obremenjenosti (kreditne sposobnosti) na vsakih pet let. Konkretno sprašujete o dopustnosti obdelave finančnih podatkov zaposlenega za tovrstne namene, in sicer: ali je dopustno obdelovati podatke pridobljene iz sistema Sisbon za namene izvajanja omenjene kontrole, ob predhodnem soglasju zaposlenega? ali je dopustno obdelovati finančne podatke zaposlenega (ob njegovem predhodnem soglasju) za namene omenjenega preverjanja? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more in ne sme presojati, zato tudi ne smemo presojati dopustnosti konkretnih oblik nadzora nad zaposlenimi in konkretnih s tem povezanih obdelav osebnih podatkov. To pomeni, da vam v mnenju ne moremo podati odgovora na to, ali in v katerih konkretnih primerih so opisane oblike nadzora in obdelav konkretnih osebnih podatkov dopustne, to je namreč vedno odvisno od konkretnih okoliščin. V nadaljevanju vam zato posredujemo splošno mnenje glede podlag za obdelavo osebnih podatkov zaposlenih ter varnosti podatkov in načel, ki jih morate pri tem zasledovati. Ob tem izpostavljamo, da je vedno ključnega pomena (in obveznost upravljavca), da zagotavljate ustrezno transparentnost obdelav osebnih podatkov zaposlenih ter zaposlene ob zbiranju podatkov v skladu s
- členom Splošne uredbe seznanitve z obdelavo. Upoštevati pa morate tudi zahteve glede ustreznih mehanizmov za zagotavljanje ustrezne stopnje varnosti in varovanja podatkov po morebitnem prenosu osebnih podatkov v tretje države in/ali mednarodne organizacije. Za vsako obdelavo osebnih podatkov (tudi osebnih podatkov zaposlenih) je treba imeti ustrezno in zakonito pravno podlago. Te so določene v členu 6
(1)Splošne uredbe in so med drugim naslednje: privolitev, kadar je privolitev dejansko prostovoljna – to v razmerju zaposleni – delodajalec pomeni, da nima odklonitev nobenih negativnih posledic za delovno razmerje (točka (a)), sklenitev ali izvajanje pogodbe (točka (b)), zakon (točka (c)), zakoniti interesi (točka (f)) – v primeru delodajalca je ključna presoja kdaj in ali nad zakonitimi interesi delodajalca prevladajo interesi ali temeljne pravice in svoboščine posameznika (torej zaposlenega), na katerega se nanašajo osebni podatki. Ob tem poudarjamo, da mora delodajalec v skladu z Zakonom o delovnih razmerjih (ZDR-1) varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Osebni podatki delavcev pa se v skladu z 48. členom ZDR-1 lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Za vsak konkretni podatek in konkretno delovno mesto oz. konkretnega zaposlenega morate torej presoditi, za katere osebne podatke in za katere namene v skladu z načelom sorazmernosti obstaja ustrezna pravna podlaga za obdelavo, pri tem se upošteva tudi zakonite in/ali zakonske obveznosti banke kot delodajalca. Privolitev kot pravna podlaga za obdelavo osebnih podatkov v tem primeru najverjetneje ne pride v poštev, saj je iz vašega dopisa razbrati, da naj bi bilo opisano zbiranje in obdelava osebnih podatkov za zaposlene obvezno. Prisilna privolitev, ki je zaposleni ne more zavrniti brez posledic za delovno razmerje pa ni veljavna privolitev. Več o veljavnosti privolitve na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/ . IP je na temo različnih oblik zbiranja osebnih podatkov zaposlenih že izdal številna mnenja in tudi posebne smernice (dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf). Iz teh izhaja, da npr. potrdilo o nekaznovanosti načeloma vsebuje podatke iz kazenske evidence, torej zapade pod člen 10 Splošne uredbe. Navedeni člena določa, da se obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški ali s tem povezanimi varnostnimi ukrepi na podlagi člena 6
(1)Splošne uredbe izvaja le pod nadzorom uradnega organa ali če obdelavo dovoljuje nacionalno pravo ali pravo Evropske unije, ki zagotavlja ustrezne zaščitne ukrepe za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. Kakršni koli celoviti registri kazenskih obsodb se vodijo samo pod nadzorom uradnega organa. Glede na določbe
- člena ZDR-1 je torej treba za konkretni primer presoditi, ali, za katera kazniva dejanja oz. prekrške ali celo civilne spore in na kakšen način lahko o zaposlenih zbirate podatke o nekaznovanosti ali o vpletenosti v civilne postopke. IP poudarja, da je upravljavec osebnih podatkov vseskozi dolžan upoštevati temeljno načelo najmanjšega obsega podatkov, v skladu s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Ob tem je bistveno, da so tudi v ustreznih internih aktih podjetja oz. banke vnaprej jasno opredeljeni pogoji, ki se zahtevajo za določeno delovno mesto in v zvezi s katerimi se od zaposlenih zahteva predložitev določenih potrdil. Glede pridobivanja osebnih podatkov o finančnem stanju in zadolženosti zaposlenih neposredno iz Sistema izmenjave informacij iz Centralnega kreditnega registra (t.i. SISBON), do katerega banke dostopajo za namen ocenjevanja kreditnega tveganja pred sklepanjem kreditnih poslov pa IP pojasnjuje, da gre za sistem, ki v skladu s
- členom Zakona o centralnem kreditnem registru (ZCKR) z upoštevanjem načela sorazmernosti in drugih razpoložljivih informacij omogoča učinkovito ocenjevanje kreditnega tveganja pred sklepanjem kreditnih poslov s fizičnimi osebami in poslovnimi subjekti ter pri njihovem izvrševanju. Nikakor torej ne gre za zbirko osebnih podatkov, ki bi bila namenjena izvajanju nadzora nad zaposlenimi. Uporaba ali pridobivanje podatkov iz sistema v nasprotju z zakonitimi nameni in brez pravne podlage bi bila nezakonita. To izrecno določa tudi ZCKR v
- členu, ki opredeljuje, da lahko člani sistema (v vašem primeru banka) za namene ocenjevanja kreditnega tveganja fizične osebe ali poslovnega subjekta, ki je izrazil interes za sklenitev kreditnega posla ali s katerim so sklenili kreditni posel, dostopajo do vseh podatkov, ki se o tej fizični osebi ali poslovnem subjektu obdelujejo v sistemu izmenjave informacij. Člani sistema in vključeni dajalci kreditov, ki na podlagi ZCKR dostopajo do individualiziranih podatkov v sistemu izmenjave informacij, te podatke v skladu z
- členom ZCKR varujejo kot zaupne in jih ne smejo razkriti drugi osebi ali državnemu organu, razen v obliki povzetka ali v anonimizirani obliki ali če je razkritje podatkov potrebno zaradi naznanitve suma kaznivega dejanja pristojnim organom. Člani sistema in vključeni dajalci kreditov varujejo osebne podatke v skladu z zakonom, ki ureja varstvo osebnih podatkov. Ta prepoved ne velja le: če kreditojemalec ali dajalec zavarovanja, na katerega se nanašajo podatki, izrecno pisno pristane, da se sporočijo zaupni podatki; v drugih primerih, kjer zakon izrecno določa, da lahko določene osebe pridobijo določene zaupne ali osebne podatke, ki se vodijo v sistemu izmenjave informacij, določa pa tudi namen njihove uporabe ter zagotavlja ustrezno varstvo zaupnih podatkov. Nadalje član sistema ali vključeni dajalec kreditov lahko dostopa do podatkov v sistemu izmenjave informacij in uporablja te podatke izključno za namene:
- ocenjevanja kreditne sposobnosti kreditojemalca ter kreditnega tveganja, ki bi s sklenitvijo posameznega kreditnega posla nastalo za tega člana ali vključenega dajalca kreditov ali je nastalo v zvezi z izvajanjem kreditnega posla, in
- reklamacije, izterjave, revizije in posodabljanja podatkov, ki se vključujejo v sistem izmenjave informacij. Prav tako pa ZCKR v
- členu določa, da Banka Slovenije varuje zaupne podatke, ki se zbirajo in obdelujejo v centralnem kreditnem registru, in jih ne sme razkriti drugi osebi ali državnemu organu v obliki in na način, ki omogoča identifikacijo poročevalske enote, kreditodajalca, fizične osebe ali poslovnega subjekta, na katero se podatki nanašajo, razen v primerih in pod pogoji, ki jih določa ta zakon. Ta prepoved ne velja: če posameznik, na katerega se nanašajo individualizirani podatki v centralnem kreditnem registru, izrecno pisno pristane, da se sporočijo posamezni zaupni podatki, in če zakon izrecno določa, da lahko državni organi v zvezi s postopki, ki jih vodijo v skladu z zakonom, ter druge osebe, ki jih zakon izrecno pooblašča, pridobijo določene zaupne podatke ali osebne podatke iz centralnega kreditnega registra, če teh podatkov ni mogoče pridobiti iz drugih uradnih zbirk podatkov. Glede na navedeno IP ne vidi pravne podlage za to, da bi banka sama pridobivala osebne podatke zaposlenih za namene nadzora nad njimi ali celo po lastni presoji neposredno iz sistema SISBON. Obdelava osebnih podatkov brez pravne podlage pa bi pomenila obdelavo podatkov v nasprotju z določbami veljavnih predpisov. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Alenka Jerše, univ. dipl. prav. namestnica informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026