Obdelava podatkov v okviru souporabe vozila + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 28.02.2022 Številka: 07121-1/2022/218 Kategorije: --> Kategorije: Anonimizacija/psevdonimizacija, Delovna razmerja, Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem vas zanima, ali je podpisana izjava o souporabi električnega obvestila, iz katere izhaja, da posameznik pri souporabi vozila ne pričakuje zasebnosti glede operativnih sistemov in da dovoljuje da se zbirajo podatki o gibanju vozila ter da se GPS podatki v anonimizirani obliki uporabljajo za poslovne in raziskovalne namene, v skladu z zakonodajo. Zanima vas tudi, ali je privolitev delavca v obdelavo podatkov v okviru souporabe vozila ustrezna pravna podlaga. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da se v okviru neobvezujočega mnenja ne more konkretno opredeliti glede vaših vprašanj, temveč lahko to stori šele v postopku inšpekcijskega nadzora oziroma v drugem upravnem postopku. V nadaljevanju vam zato podajamo nekaj izhodišč in pojasnil, ki vam bodo v pomoč pri zagotavljanju skladnosti. Iz vašega dopisa ne izhaja, kdo naj bi v danem primeru predstavljal upravljavca osebnih podatkov – delodajalec ali druga družba (npr. ponudnik vozil). V zvezi z obdelavo osebnih podatkov v okviru povezanih vozil s strani ponudnikov vozil je IP napisal mnenje, ki je dostopno na strani: - Varstvo osebnih podatkov pri povezanih vozilih, 07121-1/2022/167, z dne
- 2022: https://www.ip-rs.si/mnenja-gdpr/varstvo-osebnih-podatkov-pri-povezanih-vozilih-
- IP na začetku pojasnjuje, da je za vsako obdelavo osebnih podatkov treba zagotoviti ustrezno pravno podlago iz člena 6
(1)Splošne uredbe ne glede na to, kdo je upravljavec osebnih podatkov. Nadalje IP pojasnjuje, da je uporaba sledilnih naprav s strani delodajalcev, kot so naprave v vozilih, sporna zaradi posega v pravice zaposlenih in možnosti neupravičenega in nesorazmernega sledenja zaposlenim s strani delodajalca, in sicer predvsem na podlagi osebnih podatkov o njihovih lokacijah. Takšno sledenje je lahko sorazmerno le takrat, »kadar istega namena, zaradi katerega se uvede sledenje, ni mogoče doseči z milejšimi ukrepi, ki ne posegajo v zasebnost, svobodo gibanja in dostojanstvo delavcev«. V zvezi z GPS sledenjem službenih vozil vas napotujemo na mnenje, kjer je IP podrobno pojasnil glede zakonitosti takšne obdelave podatkov: - GPS sledenje službenih vozil, št. 07121-1/2021/1353, z dne 2. 8. 2021: https://www.ip-rs.si/mnenja-gdpr/gps-sledenje-slu%C5%BEbenih-vozil. Za vsako obdelavo osebnih podatkov je potrebno zagotoviti ustrezno pravno podlago, kakor to nalaga člen 6
(1)Splošne uredbe. V zvezi z pravnimi podlagami za obdelavo osebnih podatkov v delovnem razmerju pa vas IP napotuje na določbe Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami; v nadaljevanju: ZDR-1), ki v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec mora ob obdelavi osebnih podatkov presoditi, ali gre za aktivnosti, ki so povezane z uresničevanjem pravic in obveznosti iz delovnega razmerja, oz. v zvezi z delovnim razmerjem. V nasprotnem je treba zagotoviti primerno pravno podlago, npr. privolitev zaposlenega skladno s točko (
- a)prvega odstavka 6. člena Splošne uredbe. Ob tem pa IP opozarja, da je privolitev kot pravna podlaga ustrezna le, če lahko delavec privolitev brez posledic za delovno razmerje odkloni. Zavrnitev privolitve namreč nikakor ne sme imeti negativnih posledic za delovno razmerje. Zato je privolitev kot pravna podlaga za obdelavo osebnih podatkov v delovnih razmerjih uporabljiva le izjemoma, saj je delodajalec v razmerju do delavca močnejša stranka. Seveda je v skladu z načelom odgovornosti dolžnost upravljavca, da je sposoben izkazati skladnost s Splošno uredbo. Nadalje IP pojasnjuje, da neselektivno sledenje delavcev s pomočjo GPS naprav ne dosega standarda »potrebnosti zaradi uresničevanja pravic in obveznosti iz delovnega razmerja«, kar pomeni, da zakonska podlaga za takšno obdelavo osebnih podatkov ne obstaja. Privolitev zaposlenega, kot pravno podlago za izvajanje tega ukrepa bo delodajalec v praksi zelo težko izkazal, saj je v razmerju neenakih moči malo verjetno, da bo osebna privolitev zaposlenega, s katero bo delodajalcu dovolil obdelavo njegovih lokacijskih podatkov, prostovoljna in svobodna. IP je pripravil posebne smernice z naslovom »Uporaba GPS sledilnih naprav in varstvo osebnih podatkov«, ki so dostopne na spletni strani, pri čemer bo za vas predvsem relevantno poglavje na temo sledenja zaposlenim od strani 11 dalje: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/uporaba-gps-sledilnih-naprav-in-varstvo-osebnih-podatkov. Glede anonimizacije podatkov IP pojasnjuje, da je tudi za takšno obdelavo treba imeti ustrezno pravno podlago. Pravno podlago lahko predstavlja prvi odstavek 17. člen ZVOP-1, ki dopušča nadaljnjo uporabo osebnih podatkov v statistične, zgodovinske in znanstveno-raziskovalne namene, in sicer v anonimizirani obliki, če zakon ne določa drugače ali če posameznik, na katerega se nanašajo osebni podatki, ni predhodno podal pisne privolitve, da se lahko obdelujejo brez anonimiziranja. Podobno je urejeno v (
- b)točki prvega odstavka 5. člena Splošne uredbe (načelo omejitve namena), ki določa, da morajo biti vsi osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinsko-raziskovalne namene ali statistične namene v skladu s členom 89
(1)pa ne velja za nezdružljivo s prvotnimi nameni. Domneva združljivosti torej velja le pod pogojem, da se pri takšni nadaljnji obdelavi upoštevajo ustrezni zaščitni ukrepi za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, kot jih zahteva člen 89
(1)Splošne uredbe (npr. anonimizacija). Pomembno je ločiti med pojmoma anonimizacija in psevdonimizacija, namreč psevdonimizirani podatki še naprej predstavljajo osebne podatke. Za podrobnejša pojasnila o anonimizaciji vas napotujemo na mnenje: - Obdelava osebnih podatkov v znanstveno-raziskovalne namene, št. 07120-1/2021/235, z dne
- 2021: https://www.ip-rs.si/mnenja-gdpr/obdelava-osebnih-podatkov-v-znanstveno-raziskovalne-namene. IP na koncu še pojasnjuje, da klavzule, s katerimi naj bi se posameznik povsem odpovedal zasebnosti v zvezi z operacijskimi sistemi, po mnenju IP niso skladne z veljavno zakonodajo varstva osebnih podatkov. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026