Posredovanje osebnih podatkov zaposlenih bivšemu direktorju - IPRS

Posredovanje osebnih podatkov zaposlenih bivšemu direktorju + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.02.2022 Številka: 07121-1/2022/156 Kategorije: --> Kategorije: Delovna razmerja, Zakoniti interesi Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da je vaša stranka družba, ki želi od bivšega direktorja zahtevati povračilo škode, ki je nastala, ker bivši direktor v času veljave interventnih zakonov zaradi epidemije od države ni uveljavljal povračila izplačanih nadomestil delavcem na čakanju, čeprav bi na podlagi vsebine interventne zakonodaje vaša stranka bila do tega upravičena. Vaša stranka tako želi na bivšega direktorja nasloviti dopis (izvensodni), v katerem zahteva povračilo nastale škode in ob tem nastalo škodo čim bolj specificirati. Sprašujete, ali lahko vaša stranka bivšemu direktorju v dopisu, ki (še) ni predmet sodnega postopka, posreduje osebne podatke delavcev (ime in priimek ter višina plače), za katere bi moral uveljavljati povračilo nadomestil od države, pa jih ni. Gre torej za podatke, s katerimi je imel bivši direktor v času opravljanja svoje direktorske funkcije za vašo stranko pravico upravljati in je bil z njimi seznanjen. Trenutno pa funkcije direktorja naše stranke ne opravlja več, torej do teh podatkov nima več dostopa. Prosite nas torej za pojasnilo, ali lahko dejstvo, da je bivši direktor s temi podatki delavcev nekoč že razpolagal in z njimi upravljal, predstavlja podlago, da ga lahko obvestite o specifikaciji delavcev, za katere povračilo nadomestil ni bilo uveljavljano, po imenih in priimkih (ter z višino plače), kljub temu, da je njegova direktorska funkcija prenehala. *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Pojasnjujemo, da je za vsakršno obdelavo osebnih podatkov treba zagotoviti primerno pravno podlago skladno s 6. členom Splošne uredbe: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pri tem opozarjamo, da se točka (
7. f)ne uporablja pri za obdelavo s strani javnih organov pri opravljanju njihovih nalog. V okviru delovnega razmerja je relevantna tudi določba prvega odstavka 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A in 202/21 – odl. US, ZDR-1), ki določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Vaše vprašanje se dejansko nanaša na posredovanje osebnih podatkov tretjih oseb. Predlagamo vam, da glede na okoliščine presodite, ali bi lahko pravno podlago za obdelavo osebnih podatkov zaposlenih predstavljal citirani prvi odstavek 48. člena ZDR-1 ali pa npr. zakoniti interesi družbe po točki (
8. f)prvega odstavka 6. člena Splošne uredbe. Zakoniti interesi družbe lahko predstavljajo pravno podlago za obdelavo, če ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, pri čemer se upoštevajo razumna pričakovanja posameznikov, na katere se nanašajo osebni podatki, glede na njihovo razmerje do upravljavca. Upravljavec je torej v vsakem konkretnem primeru dolžan zakonite interese skrbno oceniti in opraviti test tehtanja med zakonitim interesom upravljavca na eni in posegom v interese oziroma temeljne pravice in svoboščine posameznika na drugi strani. Ob tem vam priporočamo, da ob tem upoštevate načelo najmanjšega obsega podatkov, ki je določeno v (
9. c)točki prvega odstavka 5. člena Splošne uredbe, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Upravljavec naj v konkretnem primeru obdeluje zgolj tiste osebne podatke, ki so v danih okoliščinah nujni za dosego cilja. Vsekakor priporočamo razmislek o tem, ali bi bilo v konkretni situaciji bolj primerno posredovanje anonimiziranih ali psevdonimiziranih podatkov (npr. v obliki navedbe števila delovnih mest, zaposlenih, obdobja, skupnega zneska, itd.). Do konkretne situacije bi se lahko IP, kot že rečeno, izjasnil zgolj v konkretnem inšpekcijskem postopku. Predlagamo vam, da na podlagi navedenega sami presodite, ali je posredovanje osebnih podatkov tretjih oseb bivšemu direktorju zakonito oz. nujno na način, ki ste ga opredelili. Ob tem opozarjamo, da obdelavo osebnih podatkov v sodnih postopkih določajo procesni predpisi, za nadzor oz. razlago katerih pa IP ni pristojen, zato vam predlagamo, da se z vprašanji obrnete neposredno na pristojno sodišče. V zvezi z anonimizacijo oziroma psevdonimizacijo osebnih podatkov si lahko več informacij preberete v mnenju št. 07120-1/2021/341 z dne 24.6.2021, glede posredovanja osebnih podatkov odvetniku (v kolikor je za vas relevantno), pa si lahko preberete že izdano mnenje IP št. 0712-1/2019/1119 z dne 13.5.2019, ki je dosegljivo s pomočjo iskalnika mnenj na www.ip-rs.si/vop. V upanju, da so vam naša napotila v pomoč, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
10. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026