Posredovanje plačilnih list delavcev tretji osebi s strani direktorja - IPRS

Posredovanje plačilnih list delavcev tretji osebi s strani direktorja + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 21.02.2007 Številka: 0712-210/2007/2 Kategorije:Delovna razmerja --> Kategorije: Delovna razmerja Spoštovani,Informacijskega pooblaščenca (v nadaljevanju: Pooblaščenec) v e-sporočilu prosite za pojasnilo oziroma za odgovor na naslednje vprašanje:v mesecu januarju je direktor pravne osebe, ki vam izvaja računovodstvo in s tem tudi ureja plače, zahteval vaše plačilne liste za mesec december. Ta pravna oseba, s katero ima vaša firma pogodbo, ni želela oziroma ni hotela predati kopij plačilnih listov. Ker tega direktor ni pridobil, je od vsakega zaposlenega na firmi zahteval, da mu posreduje kopijo plačilne liste za mesec december. Ob tem zaposleni niste bili seznanjeni, zakaj se ti plačilni listi potrebujejo, izvedeli ste samo, da bodo posredovani neki drugi pravni osebi, ki naj bi za vašo firmo pripravila pravilnik o sistemizaciji ter pravilnik o plačah. Zaposleni tudi niso bili informirani oziroma seznanjeni, ali lahko ta pravna oseba to izvaja in tudi ne, ali imate pogodbo s to pravno osebo za izvajanje takšnega dela. Zaposlene je zelo motilo, da so morali posredovati oziroma predati svoje plačilne liste. Iz tega razloga Vas zanima ali ima direktor pravico, da posreduje plačilne liste zaposlenih in če ima, v kakšnih primerih?Pooblaščenec je z vidika pristojnosti, ki jih ima po
3. členu Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05), preučil Vašo zadevo in Vam, na podlagi
4. točke prvega odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05; v nadaljevanju: ZVOP-1), posreduje neobvezno pravno mnenje. Varstvo osebnih podatkov je na podlagi Ustave Republike Slovenije človekova pravica in temeljna svoboščina opredeljena v
6. členu, po katerem je prepovedana uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja. Zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon. Ta zakon je ZVOP-
7. Za Vaš primer je treba upoštevati
8. člen ZVOP-1, ki bo v nadaljevanju podrobneje pojasnjen. Besedilo
9. člena ZVOP-1 se glasi: »Upravljavec osebnih podatkov lahko posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
10. člena tega zakona (prvi odstavek). Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
11. člena ZVOP-
12. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
13. člena ZVOP-1 (drugi odstavek). V primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem je dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon (tretji odstavek). V primeru prenehanja pogodbenega obdelovalca se osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov (četrti odstavek).«.Po citirani določbi lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
14. člena tega zakona (prvi odstavek). Ta določba torej upravljavcu osebnih podatkov (Vašemu delodajalcu) omogoča, da posamezna opravila v zvezi z obdelavo osebnih podatkov (izvajanje računovodskih nalog, priprava pravilnika o sistemizaciji in pravilnika o plačah) s pogodbo poveri drugi pravni osebi ali zasebniku, ki osebne podatke obdeluje v imenu in za račun upravljavca (pogodbenemu obdelovalcu – to je pravni osebi, ki za Vas izvaja računovodstvo), pri čemer pa morajo biti izpolnjeni določeni pogoji. Ti pogoji so:
15. pogodbeni obdelovalec (pravna oseba, ki za Vas izvaja računovodstvo) mora biti registriran za opravljanje takšne dejavnosti, to je registriran na primer za obdelavo podatkov (dejavnost pod šifro 72.300 iz uredbe, ki ureja uvedbo in uporabo standardne kvalifikacije dejavnosti). V posameznih specifičnih primerih, ko se pogodbenemu obdelovalcu (pravni osebi, ki za Vas izvaja računovodstvo) poveri na primer samo vodenje računovodstva, obračun plač, izbira kadrov, sklepanje življenjskih zavarovanj ipd., je dovolj, da je pogodbeni obdelovalec v odvisnosti od tega, kakšna opravila bo za upravljavca osebnih podatkov opravljal, registriran na primer za računovodske, knjigovodske in revizijske dejavnosti, davčno svetovanje (šifra 74.120), dejavnost posredovanja in zaposlovanja delovne sile (šifra 74.500), življenjsko zavarovanje (šifra 66.010), ipd.;
16. pogodbeni obdelovalec (pravna oseba, ki za Vas izvaja računovodstvo) mora zagotavljati ustrezne postopke in ukrepe iz
17. člena zakona (gre za organizacijske, tehnične in logično-tehnične postopke ter ukrepe za zavarovanje osebnih podatkov);
18. medsebojne pravice in obveznosti morajo biti urejene v pogodbi, ki mora biti obvezno sklenjena v pisni obliki in mora obvezno vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, upravljavec osebnih podatkov (Vaš delodajalec) pa mora izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov tudi nadzorovati. Če pogodba ni sklenjena v pisni obliki ali pa v pogodbi pogoji in ukrepi za zagotovitev varstva osebnih podatkov in njihovega zavarovanja niso določeni, kakor tudi če v pogodbi ni določb o nadzoru nad pogodbenim obdelovalcem (pravna oseba, ki za Vas izvaja računovodstvo), bi to pomenilo prekršek po
19. točki prvega odstavka
20. člena ZVOP-1, državni nadzornik za varstvo osebnih podatkov pa lahko v takšnem primeru na podlagi
21. točke prvega odstavka
22. člena ZVOP-1 z odločbo prepove nadaljnjo obdelavo osebnih podatkov. Poleg tega lahko v primeru, ko pogodba nima predpisane oblike, pride v poštev tudi določba
23. člena Obligacijskega zakonika (Uradni list RS, št. 81/01), ki določa, da je pogodba, ki ni sklenjena v predpisani obliki, nična, če iz namena predpisa, s katerim je določena oblika, ne izhaja kaj drugega.Poleg navedenih pogojev pa je zelo pomembno tudi zakonsko določilo, po katerem sme pogodbeni obdelovalec (pravna oseba, ki za Vas izvaja računovodstvo) opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov le v okviru naročnikovih pooblastil (pooblastil Vašega delodajalca) in osebnih podatkov ne sme obdelovati za noben drug namen. Pogodbeni obdelovalec (pravna oseba, ki za Vas izvaja računovodstvo) je namreč le nekakšna podaljšana roka upravljavca osebnih podatkov (Vašega delodajalca), zaradi česar bi bila nedopustna vsakršna obdelava osebnih podatkov zunaj naročnikovega pooblastila (pooblastila Vašega delodajalca), zato tudi ni treba, da je posameznik (torej zaposleni pri Vašem delodajalcu) s pogodbeno obdelavo seznanjen. Kot posamezniki pa imate v skladu s
24. členom ZVOP-1 vedno pravico zahtevati, komu in katere osebne podatke je vaš delodajalec poslal (več spodaj).V zvezi s pisno pogodbo med upravljavcem osebnih podatkov (Vašim delodajalcem) in pogodbenim obdelovalcem osebnih podatkov (pravna oseba, ki za Vas izvaja računovodstvo), je treba še opozoriti, da pogodbe, v katerih je določeno zgolj to, da bo izvajalec vse podatke, pridobljene s strani naročnika, varoval v skladu z Zakonom o varstvu osebnih podatkov ali v skladu s kakšnim drugim zakonom oziroma jih bo varoval kot poslovno skrivnost, ne zadostijo zahtevam določb iz 11.,
25. in
26. člena ZVOP-
27. Upoštevajoč navedene določbe mora biti namreč v pogodbah jasno določeno, s kakšnimi postopki in ukrepi mora pogodbeni obdelovalec varovati prostore, kjer se nahajajo nosilci osebnih podatkov, s kakšnimi postopki in ukrepi mora varovati sistemsko programsko in aplikativno programsko opremo, s katero se obdelujejo osebni podatki, s kakšnimi postopki in ukrepi se preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih, s kakšnimi postopki in ukrepi se zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov ter s kakšnimi postopki in ukrepi se omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil. Kljub temu pa se v primerih, ko ima bodisi upravljavec osebnih podatkov, bodisi pogodbeni obdelovalec ustrezne organizacijske, tehnične in logično-tehnične postopke in ukrepe za zavarovanje osebnih podatkov že predpisane v svojem notranjem aktu, lahko namesto ponovnega opisovanja vseh postopkov in ukrepov, v pogodbi zgolj citira takšen akt in navede, da je ta akt sestavni del te pogodbe ter da mora pogodbeni obdelovalec zagotoviti zavarovanje osebnih podatkov v skladu z določbami takšnega akta, ki se ga mora seveda priložiti k pogodbi. V teh primerih je treba poskrbeti, da se s takšnim aktom seznanijo vsi tisti zaposleni pri upravljavcu osebnih podatkov ter pri pogodbenem obdelovalcu, ki odgovarjajo za izvajanje dogovorjenih postopkov in ukrepov, ter tiste osebe, ki zaradi narave svojega dela pri upravljavcu osebnih podatkov oziroma pri pogodbenem obdelovalcu obdelujejo določene osebne podatke. Poleg določitve postopkov in ukrepov za zavarovanje osebnih podatkov mora biti v pogodbi ali aneksu k pogodbi določeno tudi, na kakšen način upravljavec osebnih podatkov (Vaš delodajalec) pri pogodbenem obdelovalcu (pravni oseba, ki za Vas izvaja računovodstvo) nadzoruje izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov, ter katere osebe, ki so zaposlene pri upravljavcu osebnih podatkov (zaposleni pri Vašem delodajalcu), bodo opravljale takšen nadzor. V pogodbi ali aneksu mora biti tudi določeno, katere osebe, ki so zaposlene pri upravljavcu osebnih podatkov (Vašem delodajalcu) oziroma pri pogodbenem obdelovalcu (pravni oseba, ki za Vas izvaja računovodstvo), lahko opravljajo posamezna opravila v zvezi z obdelavo osebnih podatkov, kakšna so njihova pooblastila v zvezi s tem, ter dolžnost varovanja zaupnosti podatkov. Določeno mora biti tudi, da je nadaljnje posredovanje osebnih podatkov, pridobljenih v okviru pogodbene obdelave, tretjim osebam mogoče le z dovoljenjem upravljavca osebnih podatkov (Vašega delodajalca).V praksi so najpogostejši primeri, ko upravljavci osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov poverijo pogodbenim obdelovalcem, primeri, ko se npr. zbirke osebnih podatkov vodijo na informacijskem sistemu, ki je last druge pravne ali fizične osebe, ko manjši delodajalci obračun plač ter druge računovodske storitve poverijo računovodskemu servisu, ko operaterji mobilne telefonije ali zavarovalnice za sklepanje naročniških oziroma zavarovalnih pogodb pooblastijo druge pravne ali fizične osebe, ipd. Prav tako se mora določba
28. člena ZVOP-1 uporabiti tudi v primerih, ko upravljavec osebnih podatkov vzdrževanje strojne, sistemske in aplikativne opreme, ki služi za obdelavo osebnih podatkov, zaupa drugi pravni ali fizični osebi, ter v primerih, ko upravljavec osebnih podatkov drugo pravno ali fizično osebo pooblasti, da zanj izvede kakšno zgodovinsko, statistično ali drugo znanstveno raziskavo, za izvedbo katere je potrebna tudi obdelava zbranih osebnih podatkov. Treba je upoštevati tudi določilo
29. člena ZVOP-1, ki določa, da se lahko osebni podatki zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače. Samo upravljavec osebnih podatkov torej lahko s pogodbo zaupa posamezna opravila v zvezi z obdelavo osebnih podatkov svojemu pogodbenemu partnerju. Pogodbeni partner torej ne more skleniti nadaljnje pogodbe in na drugega prenesti posameznih opravil v zvezi z obdelavo osebnih podatkov ter s tem ustvariti »verige pogodbene obdelave« osebnih podatkov. Bistvenega pomena je, da se ve, kdo je upravljavec osebnih podatkov, in da je posameznik seznanjen s tem, kdo je upravljavec njegovih osebnih podatkov. Upravljavec osebnih podatkov je po
30. točki
31. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov, oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. V Vašem primeru je to Vaš delodajalec in ne pravna oseba, ki za Vašega delodajalca opravlja računovodske naloge. Zato mora biti razmerje med Vašim delodajalcem in pravno osebo, ki za Vašega delodajalca opravlja računovodske naloge, glede obdelave osebnih podatkov (posredovanje plačilnih listov zaposlenih) urejeno v skladu z določili
32. člena ZVOP-1, kar pomeni, da mora biti med njima sklenjena pisna pogodba, izpolnjeni pa bi morali biti tudi vsi drugi pogoji, zlasti ustrezna registracija dejavnosti pogodbenega obdelovalca, ki mora zagotavljati tudi ustrezne postopke zavarovanja osebnih podatkov po
33. členu ZVOP-1, predvsem pa določati obseg pooblastila za posamezna opravila v zvezi z obdelavo. ZVOP-1 tudi izrecno določa (tretji odstavek
34. člena ZVOP-1), kako ravnati v primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem ter v primeru prenehanja pogodbenega obdelovalca (na primer zaradi stečaja). V praksi je namreč že prihajalo do sporov med upravljavcem osebnih podatkov in pogodbenim obdelovalcem, takšnim sporom pa se bo najbrž tudi v prihodnje težko izogniti. V takšnih situacijah je edina sprejemljiva rešitev ta, ki jo je uzakonil ZVOP-1, da se zaradi varstva posameznikov, na katere se osebni podatki nanašajo, osebni podatki, ki jih je obdeloval pogodbeni obdelovalec, takoj vrnejo upravljavcu, morebitne kopije pa se takoj uničijo ali pa, če gre v konkretni zadevi za sum kaznivih dejanj, predajo pristojnim državnim organom (npr. državnemu tožilstvu, policiji, sodišču). Četrti odstavek
35. člena ZVOP-1 določa, da se v primeru prenehanja pogodbene obdelave osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov. Ta določba le še bolj poudarja to, da pogodbeni upravljavec nima nobenih drugih pravic, kot zgolj te, ki jih je nanj prenesel upravljavec osebnih podatkov. Ko je posel zaključen, je končana tudi pravica pogodbenega obdelovalca do hranjenja osebnih podatkov. Da bi se izognili zlorabam osebnih podatkov, mora pogodbeni obdelovalec zbirko takoj vrniti naročniku storitve, upravljavcu zbirke osebnih podatkov. Kdor obdeluje osebne podatke v nasprotju z
36. členom, stori prekrške po
37. točki prvega odstavka
38. člena ZVOP-1 in
39. členu ZVOP-1.Pooblaščenec Vas seznanja tudi s t.im. pravico do informacijske samoodločbe, katere namen je zagotoviti transparentnost obdelave osebnih podatkov zlasti v smislu njihove dobroverne in poštene obdelave. Ta pravica je določena v
40. členu ZVOP-1 po katerem mora upravljavec osebnih podatkov (torej tudi Vaš delodajalec) posamezniku (torej zaposlenemu) na njegovo zahtevo:
41. omogočiti vpogled v katalog zbirke osebnih podatkov;
42. potrditi, ali se podatki v zvezi z njim obdelujejo ali ne, in mu omogočiti vpogled v osebne podatke, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj, ter njihovo prepisovanje ali kopiranje;
43. posredovati izpis osebnih podatkov, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj (ta izpis ne more nadomestiti listine ali potrdila po predpisih o upravnem ali drugem postopku, kar se označi na izpisu (drugi odstavek
44. člena ZVOP-1));
45. posredovati seznam uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen;
46. dati informacijo o virih, na katerih temeljijo zapisi, ki jih o posamezniku vsebuje zbirka osebnih podatkov, in o metodi obdelave;
47. dati informacije o namenu obdelave in vrsti osebnih podatkov, ki se obdelujejo, ter vsa potrebna pojasnila v zvezi s tem;
48. pojasniti tehnične oziroma logično-tehnične postopke odločanja, če izvaja avtomatizirano odločanje z obdelavo osebnih podatkov posameznika. V skladu z določbo
49. člena ZVOP-1 se zahteva iz
50. člena ZVOP-1 vloži pisno ali ustno na zapisnik pri upravljavcu osebnih podatkov (Vašem delodajalcu). Zahteva se lahko vloži enkrat na tri mesece, glede obdelave osebnih podatkov po določbah
51. poglavja VI. dela tega zakona (videonadzor) pa enkrat na mesec. Upravljavec osebnih podatkov (Vaš delodajalec) mora posamezniku omogočiti vpogled, prepis, kopiranje in potrdilo po
52. in
53. točki prvega odstavka
54. člena tega ZVOP-1 najkasneje v 15 dneh od dneva, ko je prejel zahtevo, ali ga v istem roku pisno obvestiti o razlogih, zaradi katerih vpogleda, prepisa, kopiranja ali izdaje potrdila ne bo omogočil. Izpis iz
55. točke, seznam iz
56. točke, informacije iz
57. in
58. točke ter pojasnilo iz
59. točke prvega odstavka
60. člena ZVOP-1 mora upravljavec osebnih podatkov (Vaš delodajalec) posredovati posamezniku v 30 dneh od dneva, ko je prejel zahtevo, ali ga v istem roku pisno obvestiti o razlogih, zaradi katerih mu izpisa, seznama, informacij ali pojasnila ne bo posredoval. Če upravljavec (Vaš delodajalec) ne ravna v skladu z navedenim, se šteje, da je zahteva zavrnjena. Stroške v zvezi z zahtevo in vpogledom iz tega člena krije upravljavec zbirke osebnih podatkov (Vaš delodajalec).Glede na zgoraj navedeno, Pooblaščenec zaključuje, da ima direktor (kot zakoniti zastopnik upravljavca zbirke osebnih podatkov) pravico od pravne osebe, ki vam izvaja računovodstvo (kot pogodbeni obdelovalec) zahtevati Vaše decembrske