Delodajalčevo shranjevanje podatkov na oblak + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 21.12.2021 Številka: 07121-1/2021/2542 Kategorije: --> Kategorije: Delovna razmerja, Pogodbena obdelava podatkov, Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem vas zanima, ali sme delodajalec vaše podatke shranjevati v oblak (OneDrive) brez vaše privolitve. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo IP v okviru neobvezujočega mnenja ne more podati konkretne ocene glede zakonitosti opisane obdelave podatkov s strani delodajalca, temveč lahko konkretno presojo opravi šele v postopku inšpekcijskega nadzora. V nadaljevanju vam bomo podali nekaj splošnih pojasnil glede obveznosti delodajalca v zvezi s hrambo podatkov v oblaku. IP uvodoma tudi ugotavlja, da iz vašega dopisa ne izhaja, za katere podatke gre v konkretnem primeru. Za vsako obdelavo podatkov mora upravljavec (delodajalec) zagotoviti ustrezno pravno podlago. Pravno podlago za obdelavo podatkov v delovnem razmerju predstavlja
- člen Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami; ZDR-1), ki določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku
- člen določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati. Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri čemer pa privolitev v obdelavo praviloma ne predstavlja ustrezne pravne podlage za obdelavo podatkov v delovnih razmerjih, temveč pride v poštev le izjemoma. V zvezi s pravnimi podlagami se IP ne more podrobneje opredeliti, saj ne ve, za katere podatke in za kakšen namen obdelave gre v danem primeru. IP ugotavlja, da je v danem primeru poglavitno vprašanje, ali delodajalec s tem, ko podatke hrani v oblaku, ravna skladno z določbami Splošne uredbe. Predvsem se poraja vprašanje zagotavljanja varnosti osebnih podatkov, pogodbene ureditve obdelave podatkov in skladnosti morebitnih prenosov v tretje države z evropskim pravnim redom. V kolikor delodajalec podatke svojih zaposlenih shranjuje v oblaku, je pri temu dolžan upoštevati nekaj temeljnih obveznosti po Splošni uredbi. Delodajalec kot upravljavec podatkov mora z obdelovalcem podatkov (v danem primeru ponudnikom oblačnih storitev) skleniti pogodbo ali drug pravni akt o pogodbeni obdelavi, ki vsebuje določila glede na določbe člena 28 Splošne uredbe in določa obveznosti obdelovalca do upravljavca. V pogodbi se morata med drugim dogovoriti glede ukrepov, potrebnih za varnost osebnih podatkov. Več o tem na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pogodbena-obdelava/. Ob tem mora upravljavec poskrbeti tudi za ustrezno varnost zbirke osebnih podatkov. Gre za organizacijske in tehnične ukrepe, ki jih določata člen 32 Splošne uredbe in
- in
- člen ZVOP-
- Dodatne informacije v zvezi z zavarovanjem osebnih podatkov so na voljo v smernicah IP, ki so dostopne na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf. Pomembno področje varstva osebnih podatkov so tudi prenosi podatkov v tretje države. Glede na to, da ima družba Microsoft glavni sedež v ZDA, bi v okviru shranjevanja podatkov na njihovem oblaku neverjetneje lahko pripeljalo do prenosa podatkov v tretje države (ob tem velja omeniti, da četudi se podatki hranijo na strežnikih v EU, bi lahko prišlo do prenosa podatkov v primeru, da imajo javni organi tretje države pooblastila za dostop do teh podatkov). Ker ZDA ne sodijo (več) med tretje varne države, za katere bi Evropska komisija sprejela poseben sklep o ustreznosti, mora izvoznik podatkov (v danem primeru delodajalec) pred samim prenosom podatkov zagotoviti ustrezne zaščitne ukrepe, ki zagotavljajo varovanje zasebnosti ter temeljnih pravic in svoboščin posameznikov. V konkretnem primeru bi podlago za prenose najverjetneje lahko predstavljale standardne pogodbene klavzule, ki jih skleneta izvoznik in uvoznik podatkov, pri čemer mora izvoznik podatkov oceniti, ali takšna pogodbena ureditev zadošča oziroma, ali je morda potrebno zagotoviti dopolnilne zaščitne ukrepe, da se podatkom zagotovi enakovredna raven varstva kot je zagotovljena v EU (če to ni mogoče, takšen prenos ni skladen z evropskim pravom). Evropski upravljavci, ki iznašajo osebne podatke, se morajo zavedati, da sami nosijo odgovornost za oceno zakonitosti prenosa in nadaljnje obdelave ter da morajo poskrbeti, da so pri vsakokratnem prenosu osebnih podatkov zajeta in spoštovana vsa načela evropskega varstva osebnih podatkov. Več informacij lahko pridobite v naših smernicah na to temo: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_glede_prenosa_OP_v_tretje_drzave_in_mednarodne_organizacije_po_Splosni_uredbi.pdf. Presoja glede skladnosti obdelave podatkov v okviru oblaka ponudnika oblačnih storitev je prepuščena upravljavcu podatkov, ta mora svojo odločitev sprejeti upoštevajoč vse okoliščine konkretnega primera, hkrati pa mora spoštovati zgoraj predstavljene obveznosti. IP v okviru mnenja ne more komentirati, ali je obdelava podatkov v opisanem primeru zakonita ali ne. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026