Obdelava osebnih podatkov v delovnem razmerju - IPRS

Obdelava osebnih podatkov v delovnem razmerju + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.02.2022 Številka: 07121-1/2022/213 Kategorije: --> Kategorije: Delovna razmerja, Pravne podlage Informacijski pooblaščenec (v nadaljevanju IP) je prejel vašo prijavo suma kršitev in vprašanja. Navajate, da se v organizaciji pojavljajo naslednje prakse: Pogodbe o zaposlitvi med drugim vključujejo več osebnih podatkov, npr. naziv izobrazbe, EMŠO, davčno številko ipd. Takšni podatki se vam ne zdijo nujno potrebni in tudi niso izrecno navedeni med obveznimi sestavinami pogodbe o zaposlitvi. Nekateri dokumenti se s strani pristojnih posredujejo zunanjemu izvajalcu, npr. zdravniška spričevala se posredujejo zunanjemu izvajalcu s področja varstva pri delu, vendar pa se je izkazalo, da zunanji izvajalec za izvajanje svojih pogodbenih obveznosti ne potrebuje vseh podatkov, ki jih spričevalo vsebuje, temveč le nekatere. Dokumentacija o zaposlenih, kot so pogodbe o zaposlitvi, zdravniška spričevala ipd., se med drugim shranjuje na skupnem disku, do njega pa ima dostop več zaposlenih. Zanima vas, ali je to ustrezno oz. ali glede dodeljevanja dostopa obstajajo kakšna pravila. Na intranetu so vsem zaposlenim dostopni različni podatki o zaposlenih, npr. prisotnosti/odsotnosti, razlog odsotnosti ipd. Zanima vas, kako je z zakonsko skladnostjo te prakse. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP uvodoma opozarja, da lahko posamezne primere obdelave osebnih podatkov konkretno presoja le v okviru inšpekcijskega ali drugega upravnega postopka. V mnenju pa lahko poda zgolj splošna pojasnila, ne more pa dokončno presojati ustreznosti oziroma zakonitosti konkretnega ravnanja določenega upravljavca. O varstvu osebnih podatkov v delovnih razmerjih je IP pripravil smernice, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih. Smernice podajajo odgovore na najpogosteje zastavljena vprašanja glede varstva osebnih podatkov, s katerimi se srečujejo delavci in delodajalci. Prav tako je IP na podobna vprašanja s področja obdelave osebnih podatkov v delovnih razmerjih že odgovarjal in o tem izdal številna neobvezna mnenja, s katerimi se lahko seznanite na povezavi: https://www.ip-rs.si/mnenja-gdpr/ (kategorija »Delovna razmerja«). V zvezi z vašimi vprašanji IP najprej pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Te so določene v členu 6 Splošne uredbe (privolitev, pogodba, zakon itn.). Več o pravnih podlagah si lahko preberete na povezavi: https://upravljavec.si/kako-uporabljate-te-podatke/kratko-o-pravnih-podlagah/. Področna zakona, ki urejata varstvo osebnih podatkov v delovnih razmerjih, sta predvsem Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06, v nadaljevanju ZEPDSV) in Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1). ZEPDSV v 12. členu določa vrste evidenc, ki jih morajo voditi delodajalci (evidenca o zaposlenih delavcih, evidenca o stroških dela, evidenca o izrabi delovnega časa, evidenca o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu), v 13., 16., 18. in 20. členu pa njihovo vsebino. 13. člen ZEPDSV na primer določa širok nabor podatkov, ki jih mora delodajalec o zaposlenem obvezno voditi:

1. a)podatki o delavcu: - osebno ime, - datum rojstva, če oseba nima EMŠO, - kraj rojstva, - država rojstva, če je kraj rojstva v tujini, - enotna matična številka občana, - davčna številka, - državljanstvo, - naslov stalnega prebivališča (ulica, hišna številka, kraj, poštna številka, šifra občine, občina, šifra države, država), - naslov začasnega prebivališča (ulica, hišna številka, kraj, poštna številka, šifra občine, občina, šifra države, država), - izobrazba, - ali je delavec invalid, - kategorija invalidnosti, - ali je delavec delno upokojen, - ali delavec opravlja dopolnilno delo pri drugem delodajalcu, - ime drugega delodajalca (in matična številka), pri katerem delavec opravlja dopolnilno delo, - naslov drugega delodajalca, pri katerem delavec opravlja dopolnilno delo (ulica, hišna številka, poštna številka, kraj);
2. b)podatki o delovnem dovoljenju delavca (tujci): - vrsta delovnega dovoljenja, - datum izdaje delovnega dovoljenja, - datum izteka delovnega dovoljenja, - številka delovnega dovoljenja, - organ, ki je izdal delovno dovoljenje;
3. c)podatki o sklenjeni pogodbi o zaposlitvi: - datum sklenitve pogodbe o zaposlitvi, - datum nastopa dela, - vrsta sklenjene pogodbe o zaposlitvi, - razlog za sklenitev pogodbe o zaposlitvi za določen čas, - poklic, ki ga opravlja delavec, - strokovna usposobljenost, potrebna za opravljanje del in nalog delovnega mesta, za katero je delavec sklenil pogodbo o zaposlitvi, - naziv delovnega mesta oziroma podatki o vrsti dela, za katerega je delavec sklenil pogodbo o zaposlitvi, - število ur tedenskega rednega delovnega časa, - razporeditev delovnega časa, - kraj, kjer delavec opravlja delo, - ali pogodba o zaposlitvi delavca vsebuje konkurenčno klavzulo; č) podatki o prenehanju pogodbe o zaposlitvi: - datum prenehanja pogodbe o zaposlitvi, - način prenehanja pogodbe o zaposlitvi. ZDR-1 pa v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec torej lahko oziroma mora zbirati tiste osebne podatke delavca, ki jih določa zakon (ZEPDSV, ZDR-1 ali drug področni zakon). Iz 13. člena ZEPDSV izhaja, da je delodajalec dolžan med drugim voditi tako podatek o nazivu izobrazbe delavca kot tudi EMŠO in davčno številko delavca, in sicer ne glede na to, da tovrstni podatki niso izrecno navedeni v 31. členu ZDR-1, ki predpisuje sestavine pogodbe o zaposlitvi. Glede posredovanja določenih dokumentov zunanjemu izvajalcu IP pojasnjuje, da lahko delodajalec posreduje le tiste osebne podatke delavcev, ki so potrebni za izpolnjevanje pogodbenih obveznosti. Do katerih osebnih podatkov je upravičen zunanji izvajalec s področja varstva pri delu v konkretnem primeru, pa IP v mnenju ne more presojati. Prav tako vam IP v mnenju ne more dokončno odgovoriti na vprašanje, komu znotraj delodajalca so lahko dostopni osebni podatki delavcev. V zvezi s tem je treba upoštevati določbo še veljavnega drugega odstavka 25. člena ZVOP-1, skladno s katero je upravljavec osebnih podatkov dolžan v svojih internih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov ter določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Bistveno je torej, da lahko znotraj delodajalca z osebnimi podatki zaposlenih praviloma razpolagajo le za to določene oziroma pooblaščene osebe v okviru svojih pristojnosti. IP nadalje pojasnjuje, da mora delodajalec glede na konkretne okoliščine in potrebe delovnega procesa presoditi, ali je objava določenih osebnih podatkov delavcev na intranetu potrebna in sorazmerna glede na zakonit cilj. Delodajalec lahko torej delavce znotraj posamezne organizacijske enote seznanja z razporedi dela, iz katerih je razvidno osebno ime delavca in njegova zadolžitev, s predvideno ali nepredvideno odsotnostjo posameznega delavca in v določenih primerih tudi z razlogom za odsotnost (npr. službena pot, dopust, daljša druga odsotnosti), če je takšno obveščanje potrebno ter povezano z delom, ki ga delavec opravlja, in z dolžnostjo delodajalca, da delavcem zagotovi pravico do obveščenosti. Če pa delodajalec presodi, da navedeni pogoji niso izpolnjeni, lahko objavi osebne podatke tudi na podlagi privolitve delavcev (člen 6