Mnenje glede projekta »Učinkovito upravljanje zaposlenih« - IPRS

Mnenje glede projekta »Učinkovito upravljanje zaposlenih« + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 21.12.2016 Številka: 0712-1/2016/2626 Kategorije:Delovna razmerja, Razno, Zbirke osebnih podatkov --> Kategorije: Delovna razmerja, Zbirke osebnih podatkov, Razno Spoštovani,prejeli smo vaše zaprosilo za mnenje glede projekta »Učinkovito upravljanje zaposlenih«. Projekt je v začetni fazi, izvaja ga Ministrstvo za javno upravo, Direktorat za javni sektor, sestavljen pa je iz naslednjih aktivnosti:1. Vzpostavitev informacijskega sistema za upravljanje in razvoj zaposlenih (IS HR-rast), 2. Vzpostavitev kompetenčnega modela in3. Usposabljanje javnih uslužbencev.Na sestanku ste nam kratko predstavili projekt, v zaprosilu za mnenje pa ste pojasnili nekatere podrobnosti načrtovanega projekta »Vzpostavitev IS HR-rast« z opisom podatkov po posameznih procesih, oceno pravne podlage za zbiranje podatkov in navedbo podatkovnih zbirk, ki se bodo povezovale med seboj.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Uvodoma želimo pozdraviti to, da Ministrstvo za javno upravo (MJU) prepoznava pomen pravočasnih in celovitih predhodnih presoj vplivov na zasebnost. Tovrstne predhodne ocene učinkov na varstvo osebnih podatkov, kot jih po novem imenuje, definira in zahteva tudi Splošna Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; uredba[1]), so in bodo eden ključnih ukrepov za zagotovitev ustreznega varstva osebnih podatkov. Njihov namen je predvsem v pravočasnem identificiranju tveganj ter sprejemu primernih ukrepov in varovalk, s katerimi je mogoče tveganja za kršitve varstva osebnih podatkov znižati na sprejemljive ravni. S tega vidika so ocene učinkov na varstvo osebnih podatkov predvsem orodje, ki je v interesu upravljavcev osebnih podatkov, torej tistih, ki zbirajo in obdelujejo osebne podatke kakor tudi njihovih (pogodbenih) obdelovalcev. Zaprosilo za mnenje izkazuje, da ste oceno učinkov deloma že opravili (celovito bi jo lahko izvedli z upoštevanje smernic IP na to temo[2]) - pravočasna in celovita identifikacija tveganj glede pravnih podlag je namreč eden ključnih ciljev pravočasnega razmisleka pred uvedbo novih informacijskih rešitev.IP uvodoma prepoznava namen učinkovitega upravljanja zaposlenih v javnem sektorju kot legitimen. Popolnoma razumljivo je, da je za učinkovito doseganje tega cilja smiselno uporabljati sodobne tehnološke informacijske rešitve in da je določene podatke za to potrebno digitalizirati in povezati. Kot ste sami navedli v opisu nabora osebnih podatkov, ki se bodo obdelovali v okviru sistema IS HR-rast, za vse navedene osebne podatke že obstaja pravna podlaga (različne določbe Zakona o javnih uslužbencih, Zakona o sistemu plač v javnem sektorju ipd.), upoštevati pa je treba, da povezovanje zbirk iz uradnih evidenc in javnih knjig posebej ureja ZVOP-1. Glede na opis zbiranja podatkov za potrebe vzpostavitve IS HR-rast menimo, da vzpostavitev IS HR-Rast na način, kot nam je bil predstavljen, predvideva povezovanje zbirk osebnih podatkov. Kot namreč navajate, bo »sistem IS HR-rast vključeval podatke, ki se v CKEDU že vodijo. Hkrati pa bo vseboval tudi druge podatke. Eden od ciljev sistema IS HR-rast je informacijsko podpreti tudi te podatke. Sistema CKEDU in IS HR-rast skupaj tvorita celoto za evidentiranje in vodenje podatkov o zaposlenih. Med njima bo vzpostavljen spletni servis, ki bo dnevno zagotavljal prenos podatkov med CKEDU in IS HR-rast.« Glede na navedeno gre za povezovanje zbirk osebnih podatkov in je treba upoštevati določbe 84. člena ZVOP-1, pr čemer je ključni pogoj določba 1. odstavka, ki določa, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig je dovoljeno povezovati, če tako določa zakon. IP se strinja, da za obdelavo osebnih podatkov

1. a)v okviru CKEDU ter za
2. b)obdelavo osebnih podatkov, do katere pride pri vodenju letnih razgovorov, spremljanju kariernega razvoja, ciljnem vodenju za spremljanje doseganja merljivih ciljev in kazalnikov, ocenjevanju delovne uspešnosti in določanju kompetenc na delovna mesta ter presojanju/prepoznavanju kompetenc obstajajo pravne podlage, ne vidimo pa zakonske podlage, ki bi dopuščala povezovanje zbirk osebnih podatkov pod
3. a)in pod
4. b)v okviru enotnega informacijskega sistema. Da gre dejansko za povezovanje zbirk osebnih podatkov izhaja iz samega opisa delovanja sistema, prav tako pa iz sklepanja a contrario – če to ne bi bilo povezovanje, ampak le »nadgradnja« obstoječega informacijskega sistema, potem bi ga lahko nadgradili tudi še z drugimi zbirkami osebnih podatkom, ki se zakonito zbirajo. Povezovanje zbirk osebnih podatkov terja posebno zakonsko podlago. Kot smo zapisali v Smernicah o povezovanju zbirk osebnih podatkov v javni upravi[3], so določbe ZVOP-1 glede povezovanja predvidene kot varovalka pred nenadzorovanim povezovanjem uradnih knjig in javnih evidenc, ki lahko znatno razširi dostop do podatkov, omogoči druge namene obdelave in s tem poveča tveganja za posege v človekove pravice – do takšnega povezovanja sme priti le, če za to obstaja (izrecna) pravna podlaga, kar pomeni, da je za to bil dosežen strokovni in politični konsenz in da je predlagano povezovanje prestalo zakonodajni postopek v parlamentu. Centralizacija in/ali povezovanje zbirk osebnih podatkov v javni upravi ima prav gotovo lahko znatne prednosti in sledi legitimnim ciljem, a pogoj za povezovanje je obstoj zakonske podlage za povezovanje. Številne centralizacije in povezovanja zbirk v javnem sektorju, ki smo jim bili priča v zadnjih letih (zlasti primeri kot so eVEM, eSociala, eVŠ in eZdravje) so lahko zaživeli le na ustrezni pravni podlagi, ki je dopustila in omogočila povezovanje za to potrebnih zbirk osebnih podatkov.Na tej točki je treba omeniti tudi to, da Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov), povezovanja zbirk osebnih podatkov posebej ne ureja in na tej točki ni znano, ali bodo določbe glede povezovanja zbirk osebnih podatkov v ZVOP-1 ostale nespremenjene. IP o tem nima informacij, saj je za implementacijo uredbe in potrebnih zakonskih sprememb pristojno Ministrstvo za pravosodje, kateremu pošiljamo mnenje v vednost. Uredba je začela veljati 25. 5. 2016, njene določbe pa se bodo morale neposredno uporabljati v vseh državah članicah v dveh letih po uveljavitvi.S spoštovanjem,Informacijski pooblaščenec: Mojca Prelesnik, univ.dipl.prav., Informacijska pooblaščenka [1] Več informacij: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/[2] https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Presoje_vplivov_na_zasebnost.pdf[3] https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Varstvo_osebnih_podatkov_pri_povezovanju_zbirk_osebnih_podatkov_v_javni_upravi.pdf O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
5. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026