Obdelava OP v javnem sektorju - zakoniti interesi - OP javnih uslužbencev - IPRS

Obdelava OP v javnem sektorju - zakoniti interesi - OP javnih uslužbencev + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.12.2007 Številka: 0712-1062/2007 Kategorije:Delovna razmerja --> Kategorije: Delovna razmerja Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 30.11.2007 prejel vaše e-sporočilo, v katerem nas prosite za mnenje v zvezi z obdelavo osebnih podatkov javnih uslužbencev, katerih plače se financirajo iz proračuna RS, sredstva pa se v primeru upravičenosti povrnejo s strani Evropske komisije (85%). Navajate, da ste kot organ upravljanja za strukturne sklade zadolženi za preverjanje pravilnosti in upravičenosti stroškov, ki so sofinancirani iz evropskih sredstev. V navodilih o izvajanju strukturne in kohezijske politike je natančno navedeno, kaj je upravičen strošek plače in katera dokazila je potrebno priložiti. Kot kontrolna enota v postopku izvajanja kontrole plač in drugih stroškov od organov zahtevate naslednja dokazila: dokumentacijo iz postopka izbire kandidata, prijavo izbranega kandidata, pogodbo o zaposlitvi, fotokopijo delovne knjižice, plačilne liste, obračunske liste, dopustne in bolniške liste, izjave o povračilu stroškov prevoza na delo in z dela, naloge za službena potovanja, sklepe o letnih dopustih ter sklepe, na podlagi katerih so izplačani dodatki, nadurno delo, solidarnostna pomoč. Zanima vas:
3. Ali je sporen vpogled v zgoraj navedene dokumente s strani kontrolne enote?
4. Ali je sporno posredovanje kopij zgornjih dokumentov kontrolni enoti? (po pregledu dokumente arhivirate v zaklenjen arhiv)?
5. Ali se kontrolni enoti lahko omogoči vpogled v osebne mape tistih zaposlenih, katerih plača se sofinancira s strani EU in je torej predmet kontrole (predvsem zaradi hitrejšega izvajanja kontrol in v izogib množičnemu kopiranju in pošiljanju dokumentacije?)
6. Ali je sporno, da se kontrolni enoti posredujejo zgornji dokumenti s polnim imenom in priimkom, ne s kraticami in šiframi?
7. Po opravljeni kontroli se strošek plače vnese v »Seznam preverjenih računov«, kjer so po mesecih poimensko navedeni zaposleni in njihov II. bruto. Seznam se posreduje ministrstvu za finance, nahaja pa se na skupni mreži, tako da ga lahko vidi praktično vsak.
8. Ali je tovrsten vnos podatkov kakorkoli sporen?
9. Ali morate zaposleni, ki izvajate kontrolo plač, in imate vpogled v zgoraj navedeno dokumentacijo, podpisati kakšno izjavo o varovanju podatkov? V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
10. točke prvega odstavka
11. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; ZVOP-1) ter
12. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji:
13. V konkretnem primeru je obdelava osebnih podatkov zaposlenih, katerih plače se povrnejo iz evropskih sredstev, s strani kontrolne enote, ki preverja upravičenost porabe teh sredstev, dovoljena v skladu s četrtim odstavkom
14. čl. ZVOP-
15. Pooblaščenec meni, da gre v konkretnem primeru za obdelavo osebnih podatkov, ki je nujna za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja in da se s to obdelavo ne posega v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Gre namreč za javne uslužbence, katerih plače so javne že na podlagi
16. čl. Zakona o sistemu plač v javnem sektorju. Obenem iz
17. odst.
18. čl. Zakona o dostopu do informacij javnega značaja izhaja, da so informacije, povezane z opravljanjem delovnega razmerja javnega uslužbenca ali če gre za podatke o porabi javnih sredstev, prosto dostopne informacije javnega značaja, ki jih lahko zahteva vsakdo.
19. Glede na navedeno Pooblaščenec meni, da v konkretnem primeru ni sporen vpogled kontrolne enote v osebne podatke, ki jih kontrolna enota potrebuje zaradi izvrševanja svojih zakonitih pristojnosti (enako velja tudi za posredovanje fotokopij). Ob tem pa opozarjamo na načelo sorazmernosti, kar pomeni, da lahko kontrolna enota obdeluje samo tiste osebne podatke, ki jih nujno potrebuje za izvajanje svojih zakonitih pristojnosti. Organi morajo ob vpogledu oz. pri posredovanju fotokopij delavcem kontrolne enote, prekriti vse tiste osebne podatke o zaposlenih (npr. datum rojstva, stalno prebivališče, obremenitve na plači, morebitno članstvo v sindikatu, dodatek na delovno dobo, družinski status in druge osebne okoliščine), ki izhajajo iz teh dokumentov in ki niso nujni za dosego namena obdelave, to je preverjanja pravilnosti in upravičenosti porabe evropskih sredstev.
20. Pooblaščenec tudi opozarja, da ni sprejemljiva praksa, po kateri se zbirka osebnih podatkov nahaja na skupni mreži, do katere ima vsakdo prost dostop.
21. čl. ZVOP-1 namreč določa, da je upravljavec dolžan zagotoviti zavarovanje osebnih podatkov, kamor spada tudi to, da nepooblaščenim osebam, tako nepooblaščenim zaposlenim kot tudi nepooblaščenim zunanjim osebam ali sodelavcem, prepreči dostop do osebnih podatkov. Vendar pa Pooblaščenec pri tem ponovno pripominja, da gre pri plačah v javnem sektorju za informacije javnega značaja, da torej samo dejstvo oz. višina izplačanih plač ne predstavlja varovanega osebnega podatka.
22. ZVOP-1 ne predpisuje, da morajo vsi, ki obdelujejo osebne podatke, podpisati izjave o varovanju osebnih podatkov, določa le dolžnost njihovega varovanja. Dolžnost varovanja tajnosti osebnih podatkov obvezuje vse - funkcionarje, zaposlene in druge posameznike, ki opravljajo dela pri osebah, ki obdelujejo osebne podatke, ta dolžnost pa po prenehanju zaposlitve ne preneha.
23. Na koncu pa Pooblaščenec opozarja še na
24. čl. ZVOP-1, ki določa rok hrambe osebnih podatkov. Osebne podatke, ki jih kontrolna enota pridobi z namenom preverjanja upravičenosti izplačil plač iz sredstev EU, mora kontrolna enota po koncu postopka preverjanja zbrisati, blokirati ali anonimizirati, razen, če zakon za posamezne vrste osebnih podatkov ne določa drugače. O b r a z l o ž i t e v: ZVOP-1 določa pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov. ZVOP-1 v
25. točki
26. člena pravi, da je upravljavec fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Iz
27. tč.
28. odst.
29. čl. ZVOP-1 obenem izhaja, da je uporabnik osebnih podatkov fizična, pravna ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki. Takšna definicija dejansko pomeni, da se za uporabnika osebnih podatkov šteje katerakoli oseba, ki se jih posredujejo ali razkrivajo osebni podatki. Glede na vaš opis dejanskega stanja Pooblaščenec najprej pojasnjuje, da je v konkretnem primeru upravljavec osebnih podatkov organ, pri katerem je posameznik zaposlen, kontrolna enota pa je uporabnik osebnih podatkov. Nadalje gre tudi pojasniti, da
30. člen ZVOP-1 v
31. odst. določa, da mora upravljavec osebnih podatkov proti plačilu stroškov posredovanja, če zakon ne določa drugače, posredovati osebne podatke uporabnikom osebnih podatkov. Glede vprašanja dopustnosti oziroma zakonitosti posredovanja osebnih podatkov uporabnikom s strani upravljavcev osebnih podatkov, pa je treba upoštevati tudi splošne določbe o pravnih podlagah za obdelavo osebnih podatkov iz 8.,
32. in
33. čl. ZVOP-
34. Osebni podatki v javnem sektorju, v katerega sodi tudi Služba Vlade RS za lokalno samouprav in regionalno politiko, se v skladu s prvim odstavkom
35. člena ZVOP-1, lahko obdelujejo samo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Glede na vaše pojasnilo, da je način ugotavljanja upravičenosti in pravilnosti izplačil iz evropskih sredstev določen z Navodili o izvajanju strukturne in kohezijske politike, Pooblaščenec sklepa, da v konkretnem primeru ni podane izrecne zakonske podlage za obdelavo osebnih podatkov. Ne glede na navedeno pa je potrebno upoštevati tudi določbo četrtega odstavka
36. člena ZVOP-1, ki določa, da se ne glede na prvi odstavek tega člena lahko v javnem sektorju obdelujejo tudi tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Pooblaščenec obenem pojasnjuje, da so posamezniki, katerih osebni podatki se obdelujejo v konkretnem primeru, javni uslužbenci, za katere velja
37. čl. Zakona o sistemu plač v javnem sektorju (Ur.l. RS, št. 95/2007, v nadaljevanju ZSPJS), ki pravi, da so plače v javnem sektorju javne, pri čemer so javnosti dostopni podatki o delovnem mestu, nazivu ali funkciji, o osnovnih plačah, o dodatkih ter delu plače za delovno uspešnost, razen dodatka za delovno dobo. Ob navedenem velja opozoriti tudi na določbo
38. odst.
39. čl. Zakona o dostopu do informacij javnega značaja (Ur.l. RS, št. 51/06- uradno prečiščeno besedilo in 117/06 – ZDavP2, v nadaljevanju ZDIJZ), iz katerega izhaja, da podatki o porabi javnih sredstev ali podatki, povezani z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca, predstavljajo prosto dostopne informacije javnega značaja. Izhajajoč iz navedenega Pooblaščenec ugotavlja, da v konkretnem primeru obstaja pravna podlaga za pridobivanje in obdelovanje podatkov o zaposlenih, katerih plače se financirajo iz sredstev EU, s strani kontrolne enote, ki preverja upravičenost teh izplačil. Podatki, ki jih zahtevate od organov z namenom preverjanja upravičenosti porabe sredstev EU namreč služijo nadzoru in transparentni porabi javnih sredstev. Ob tem pa Pooblaščenec opozarja na načelo sorazmernosti (
40. čl. ZVOP-1), ki pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja. Po mnenju Pooblaščenca ste od organov upravičeni zahtevati fotokopije dokumentov, kot tudi vpogled v personalne mape zaposlenih, vendar le v omejenem obsegu. V skladu z načelom sorazmernosti, po katerem morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katerega se zbirajo in nadalje obdelujejo, morajo organi na fotokopijah dokumentov oz. ob vašem vpogledu, v dokumentih prekriti vse tiste osebne podatke o zaposlenih (npr. datum rojstva, stalno prebivališče, obremenitve na plači, dodatek na delovno dobo, družinski status,..), ki niso nujni za dosego namena obdelave, to je za preverjanje pravilnosti in upravičenosti porabe evropskih sredstev. V zvezi z vašim vprašanjem, ali je dopustno shranjevanje zbirk osebnih podatkov na skupni mreži, kjer so dostopne vsakomur, Pooblaščenec opozarja, da je takšno ravnanje v nasprotju s
41. in
42. čl. ZVOP-
43. Upravljavec osebnih podatkov je namreč na podlagi
44. člena ZVOP-1 dolžan zagotoviti zavarovanje osebnih podatkov, kamor spada tudi to, da nepooblaščenim osebam, tako nepooblaščenim zaposlenim kot tudi nepooblaščenim zunanjim osebam ali sodelavcem, prepreči dostop do osebnih podatkov.
45. odstavek
46. člena ZVOP-1 določa, da zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
47. varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
48. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
49. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
50. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
51. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Glede vašega vprašanja, ali morate zaposleni podpisati izjave o varovanju osebnih podatkov Pooblaščenec pojasnjuje, da ZVOP-1 sicer ne predpisuje, da morajo vsi, ki obdelujejo osebne podatke, podpisati izjave o varovanju osebnih podatkov, določa le dolžnost njihovega varovanja. Delodajalec oz. upravljavec zbirk osebnih podatkov si s posredovanjem izjave o varovanju osebnih podatkov zagotovi dokaz, da je vse, ki obdelujejo osebne podatke obvestil oz. seznanil z zakonsko določbo. Na ta način se izogne morebitnim težavam v primeru zlorabe osebnih podatkov. Dolžnost varovanja osebnih podatkov pa ureja
52. točka
53. odstavka
54. člena ZVOP-1, po kateri so funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. Na koncu pa Pooblaščenec opozarja še na
55. člen ZVOP-1, ki določa rok hrambe osebnih podatkov. Ta člen pravi, da se osebni podatki lahko hranijo le toliko časa, dokler je to potrebno za dosego namena, zaradi katerega so se zbirali ali nadalje obdelovali. Osebne podatke, ki jih pridobite z namenom preverjanja upravičenosti porabe evropskih sredstev, morate po koncu postopka preverjanja zbrisati, uničiti, blokirati ali anonimizirati, če niso na podlagi zakona, ki ureja arhivsko gradivo, opredeljeni kot arhivsko gradivo, oziroma če zakon za posamezne vrste osebnih podatkov ne določa drugače. V upanju, da smo odgovorili na vaša vprašanja vas lepo pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., Pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026