Evidenca osebnih podatkov v službenem telefonu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.10.2022 Številka: 07121-1/2022/1157 Kategorije: --> Kategorije: Delovna razmerja, Informiranje posameznika, Moderne tehnologije, Privolitev, Zavarovanje osebnih podatkov Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede osebnih podatkov v službenem telefonu. Navajate, da ima vsak delavec v svojem telefonu v zavihku glavne aplikacije shranjene svoje podatke o imenu in priimku, rojstnemu datumu, naslovu, telefonski številki, e-mailu, EMŠO in davčni številki, številki bančnega računa, delovni dobi, delovnem mestu, izobrazbi ipd. Delodajalec vam je pojasnil, da gre za vašo osebno evidenco in za možnost spreminjanja, npr. v primeru menjave naslova. Dodajate, da v to niste nikoli privolili, prav tako pa ne gre za podatke, ki bi bili potrebni za vaše nemoteno delo, pri čemer opozarjate, da telefon uporabljajo tudi študentje in potniki za naročila. Menite, da zaradi zlorab (vdorov v telefone) tovrstni podatki ne bi smeli biti hranjeni v telefonu. Prosite za nasvet. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Delodajalec je dolžan pred uvedbo določene rešitve oziroma aplikacije presoditi dopustnost in sorazmernost obdelav osebnih podatkov, ki bodo potekale v tem okviru. Zagotoviti mora ustrezno pravno podlago, delavce informirati o obdelavi, prav tako pa poskrbeti za varnost in spoštovati druga pravila s področja varstva osebnih podatkov. O b r a z l o ž i t e v: IP uvodoma opozarja, da lahko posamezne primere obdelave osebnih podatkov konkretno presoja le v okviru inšpekcijskega ali drugega upravnega postopka. V mnenju pa lahko poda zgolj splošna pojasnila, ne more pa dokončno presojati ustreznosti oziroma zakonitosti konkretnega ravnanja določenega upravljavca. O varstvu osebnih podatkov v delovnih razmerjih je IP pripravil smernice, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih. Smernice podajajo odgovore na najpogosteje zastavljena vprašanja glede varstva osebnih podatkov, s katerimi se srečujejo delavci in delodajalci. Na splošno velja, da je delodajalec dolžan cilj, ki ga zasleduje (čim bolj racionalno izrabo delovnega časa in delovnih sredstev za doseganje poslovnih rezultatov), podpreti s čim manj invazivnimi in represivnimi ukrepi za zasebnost delavcev. IP pojasnjuje, da mora upravljavec (v konkretnem primeru vaš delodajalec) pred uvedbo določene rešitve oziroma aplikacije presoditi dopustnost in sorazmernost obdelav osebnih podatkov, ki bodo potekale v tem okviru. Delodajalec mora imeti za vsako obdelavo osebnih podatkov delavcev zakonito in ustrezno pravno podlago. Te so določene v členu 6 Splošne uredbe o varstvu podatkov (privolitev, pogodba, zakon itn.). Za obdelavo osebnih podatkov v delovnih razmerjih je relevanten predvsem
- člen Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami; v nadaljevanju ZDR-1), skladno s katerim se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Glede privolitve za obdelavo osebnih podatkov delavcev pa IP izpostavlja, da pride zaradi neenakosti moči strank v delovnopravnih razmerjih oziroma zaradi varstva delavca, ki je v razmerju do delodajalca šibkejša stranka, ta pravna podlaga v poštev zgolj izjemoma pod pogojem, da lahko posameznik resnično brez kakršnihkoli posledic za delovno razmerje privolitev odkloni. Delodajalec je dolžan delavcem ne glede na pravno podlago, na temelju katere obdeluje osebne podatke, skladno s členom 13 ter 14 Splošne uredbe o varstvu podatkov na jasen in pregleden način zagotoviti osnovne informacije v zvezi z obdelavo osebnih podatkov, na primer glede namenov obdelave osebnih podatkov, rokov hrambe, uporabnikov oziroma kategorijah uporabnikov osebnih podatkov, o pravicah, ki pripadajo delavcem itd. Delodajalec bi moral delavcem v internih aktih vnaprej predstaviti meje pričakovane zasebnosti pri uporabi delovnih sredstev. Več o tem si lahko preberete na spletni strani https://tiodlocas.si/moram-biti-obvescen/. Prav tako pa mora delodajalec poskrbeti za varnost osebnih podatkov, ki se obdelujejo v okviru določene rešitve oziroma aplikacije. Gre za organizacijske in tehnične ukrepe, ki jih določata Splošna uredba o varstvu podatkov (člen 32) in ZVOP-1 (
- in
- člen). ZVOP-1 v
- členu npr. določa, da upravljavci v internem aktu o zavarovanju oziroma varnosti predpišejo ustrezne postopke in ukrepe ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki zaradi narave njihovega dela lahko obdelujejo določene osebne podatke (ti. dostopne pravice). Dodatne informacije v zvezi z zavarovanjem osebnih podatkov so na voljo na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/zavarovanje-oz-varnost-osebnih-podatkov in v smernicah IP, ki so dostopne na: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/. IP še opozarja, da bi moral delodajalec v primeru zahteve po namestitvi aplikacije na zasebne telefone delavcev pridobiti njihovo privolitev v skladu s
- členom Zakona o elektronskih komunikacijah (Uradni list RS, št. 109/12, 110/13, 40/14 – ZIN-B, 54/14 – odl. US, 81/15, 40/17 in 189/21 – ZDU-1M). Ta v prvem odstavku določa, da je shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljeno samo pod pogojem, da je naročnik ali uporabnik v to privolil potem, ko je bil predhodno jasno in izčrpno obveščen o upravljavcu in namenih obdelave teh podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov. Enako določa novi Zakon o elektronskih komunikacijah (Uradni list RS, št. 130/22; ZEKom-2), ki začne veljati
- 2022, v prvem odstavku
- člena. Privolitev mora biti torej podana kot predpogoj za zakonito namestitev aplikacije na zasebni telefon zaposlenega in za pridobivanje podatkov iz teh njihovih naprav. To pomeni, da morajo imeti zaposleni možnost zavrniti uporabo aplikacije brez posledic za delovno razmerje. O tem je IP že izdal več mnenj, npr. št. 07121-1/2021/686, št. 07121-1/2021/2664, št. 07121-1/2022/427, ki so dostopna na spletni strani https://www.ip-rs.si/mnenja-gdpr/. Več o uporabi službenega telefona pa si lahko preberete npr. v mnenju št. 07121-1/2020/
- IP na podlagi navedenega sklepno izpostavlja, da je delodajalec odgovoren za izbiro rešitev pri uporabi službenega telefona in zakonitost ter sorazmernost obdelav osebnih podatkov, ki se izvajajo v tem okviru. Če na podlagi zgornjih pojasnil menite, da je prišlo do kršitve varstva osebnih podatkov (npr. zaradi neustreznega zavarovanja podatkov), lahko podate prijavo v zvezi z domnevnimi kršitvami pri IP. Uporabite lahko obrazec »Prijava kršitve varstva osebnih podatkov (Obrazec ZIN PRIJAVA)«, ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Več o vložitvi prijave si lahko preberete na povezavi: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlo%C5%BEitev-prijave. Lepo vas pozdravljamo, Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026