Pravice delodajalca banke do vpogleda v podatke o dolgovih zaposlenih - IPRS

Pravice delodajalca banke do vpogleda v podatke o dolgovih zaposlenih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 08.06.2008 Številka: 0712-530/2008/2 Kategorije:Bančništvo --> Kategorije: Bančništvo Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je prejel vaše elektronsko sporočilo, v katerem nas sprašujete:
3. Ali lahko direktor bančne podružnice pregleduje podatke na osebnih računih zaposlenih z namenom ugotavljanja prezadolženosti oziroma preprečevanja morebitnih zlorab pooblastil zaposlenih.
4. Ali je dopustno ravnanje nadrejenega, ki je preko elektronske pošte o napaki, ki ste jo storili pri delu, seznanil celotno podružnico, z navedbo vaših osebnih podatkov. Kot navajate, se je stranka pritožila direktorici, ki pa je nato z vsebino 'konflikta' (komentirali ste višino priliva glede na želeno višino posojila, brez kakršnih koli podatkov) preko elektronske pošte seznanila celotno podružnico. Menite, da je bila navedba vaših osebnih podatkov nepotrebna in neupravičena. Uvodoma opozarjamo, da je Pooblaščenec z vidika varstva pravic posameznika glede zasebnosti pristojen le za vidik varstva osebnih podatkov v okviru zbirk osebnih podatkov in ne tudi za vse druge vidike pravice do zasebnosti ali zbirke, ki vsebujejo podatke, ki niso osebni podatki. V nadaljevanju vam zato na podlagi vašega dopisa ter na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo; ZVOP-1) ter
7. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem: Ob izpolnjevanju spodaj navedenih pogojev bi direktor podružnice v določenih primerih lahko imel pravno podlago za vpogled v podatke delavca, nikakor pa nima te pravice avtomatično ali zgolj iz radovednosti. V vsakem primeru morata biti izpolnjena oba pogoja, da je torej direktor oseba, ki je v zvezi z izvajanjem določenih svojih pooblastil oseba, ki je pooblaščena za konkretno obdelavo osebnih podatkov, bodisi v zvezi z nadzorom pravilnosti in zakonitosti poslovanja bodisi v zvezi z drugimi vidiki izvajanja uresničevanja pravic in obveznosti iz delovnega razmerja; prav tako pa mora za vsako konkretno obdelavo upoštevajoč načelo sorazmernosti ob teh pogojih obstajati razlog, da je v zvezi s konkretnim primerom in za konkreten namen takšna obdelava primerna in potrebna. Morebitni dostop do navedenih podatkov s strani drugih ('nepooblaščenih') delavcev pa po mnenju Pooblaščenca predstavlja prekomerno obdelavo osebnih podatkov, ki je v nasprotju s samim namenom obdelave osebnih podatkov, kakor tudi z načelom sorazmernosti. Kolikor je mogoče razbrati iz vašega vprašanja, v primeru objave strojene napake posameznega delavca vsem delavcem po elektronski pošti, nikakor ne gre za obdelavo, ki bi bila upravičena in potrebna za namene uresničevanja pravic in obveznosti iz delovnega razmerja. V kolikor gre torej v tem primeru za podatke, ki so del zbirke (npr. osebne mape delavca) in torej deležni varstva po ZVOP-1 (vsak podatek npr. govorice sam po sebi, če ni del zbirke osebnih podatkov, namreč še ni deležen varstva po ZVOP-1), zato takšno ravnanje delodajalca ni bilo upravičeno in predstavlja po mnenju Pooblaščenca prekomerno obdelavo osebnih podatkov, ki je v nasprotju s samim namenom obdelave osebnih podatkov, kakor tudi z načelom sorazmernosti. Ob tem Pooblaščenec za zaključek še dodaja, da ima delavec v vsakem primeru, če meni, da je deležen diskriminacije ali druge oblike nadlegovanja na delovnem mestu, kot ju opredeljuje
8. in 6.a člen ZDR, možnost zahtevati odškodnino po določilih civilnega prava, saj je delodajalec v teh primerih odškodninsko odgovoren. O b r a z l o ž i t e v:
9. Dopustni obseg obdelave osebnih podatkov delavca s strani delodajalca v zvezi z domnevnimi kršitvami Glede na to, da vaš delodajalec, kot banka, sodi v zasebni sektor uvodoma pojasnjujemo, da je pravna podlaga za obdelavo osebnih podatkov v zasebnem sektorju podrobno urejena v
10. členu ZVOP-1, ki v
11. odst. določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika.
12. člen ZVOP-1 določa glede dopustnosti obdelave še dve izjemi. Izjemi sta določeni za osebne podatke posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe (
13. odst.
14. člena ZVOP-1) ali za izpolnjevanje pogodbe in pa za osebne podatke, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki (
15. odst.
16. člena ZVOP-1). Zaradi varstva delavca, ki je v razmerju do delodajalca zagotovo šibkejša stranka, je zakonodajalec delovno pravno področje tako za javni kot zasebni sektor specialno uredil z Zakonom o evidencah na področju dela in socialne varnosti (Ur. l. RS, št. 42/2002; ZEPDSV) in z Zakonom o delovnih razmerjih (Ur. l. RS, št. 42/2002 in 79/2006; ZDR), v katerih je določno opredelil, katere osebne podatke delavcev lahko delodajalec obdeluje in ne dopušča avtonomije strank v smislu, da bi delodajalec lahko od delavca zahteval katere koli osebne podatke, niti, da bi jih obdeloval v nasprotju z namenom njihovega zbiranja. V skladu s
17. členom ZDR tako lahko delodajalec načeloma zbira, obdeluje, uporablja in dostavlja tretjim osebam zgolj tiste osebne podatke delavcev, za katere je to določeno s tem ali drugim zakonom ali za katere je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Osebne podatke delavcev pa lahko zbira, obdeluje, uporablja in dostavlja tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti. Pooblaščenec je zaradi pogostosti vprašanj, ki jih prejemamo na temo delovnih razmerij, pripravil Smernice za varstvo osebnih podatkov v delovnih razmerjih. Zato predlagamo, da si več splošnih informacij o dopustnosti obdelave osebnih podatkov v zvezi z delovnimi razmerji preberete v smernicah, ki so dostopne na spletni strani Pooblaščenca: http://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_za_varstvo_osebnih_podatkov_v_delovnih_razmerjih.pdf Iz vašega vprašanja ni jasno razvidno, za kakšne namene točno naj bi vaš nadrejeni vpogledoval v podatke na osebnih računih zaposlenih. V zvezi s tem sta tako ločeni vprašanji glede pravic delodajalca do vpogleda v osebne račune zaposlenih v zvezi z delovnim razmerjem in ukrepanjem glede morebitnih nepravilnosti pri delovnih postopkih zaposlenih ter dopusten obseg obdelave osebnih podatkov v zvezi s posli, ki jih je delavec sklenil z banko v vlogi stranke banke. Pooblastilo za obdelavo osebnih podatkov za namene uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem se ugotavlja v vsakem posameznem primeru in le delavec, ki je pristojen za posamezne naloge, ki vključujejo tudi obdelavo osebnih podatkov, lahko obdeluje zgolj konkretne podatke, potrebne za izvedbo konkretne naloge in je pri tem vezan na ta točno določen namen. Tako ima le delavec, ki je pooblaščen za izvrševanje izplačil plač, v zvezi s svojimi delovnimi obveznostmi pravico, da obdeluje podatke o plači, ki so potrebni za izvrševanje teh izplačil, in sicer le za namene izvrševanja izplačil (sem sodijo tudi npr. izplačila kredita iz plače, izplačila v zvezi s preživninami, izplačila v zvezi z morebitnimi izvršbami, izplačila sindikalne članarine in podobna plačila, ki se opravljajo neposredno preko delodajalca iz plače delavca). Nima pa te pravice katerikoli predstavnik delodajalca. To nadalje tudi pomeni, da ima zgolj za to pooblaščena oseba v banki v primeru suma kršitev ali zlorab delovnih obveznosti tudi pravico, da v dopustnem okviru obdeluje nujno potrebne osebne podatke v okviru (več o posameznih vidikih tega si preberite v zgoraj omenjenih smernicah Pooblaščenca) pregleda pravilnosti poteka delovnega postopka npr. odobritve kredita. Ta postopek notranjega nadzora oziroma ugotavljanja razlogov za domnevne nepravilnosti v delovnih postopkih je tudi v primeru, ko je delavec v vlogi stranke banke enak kot v postopkih, ko so stranke druge osebe. V zvezi z izvajanjem obveznosti in pravic delavca mora delodajalec v vsakem primeru pravice do s tem povezane obdelave osebnih podatkov izvajati v skladu z načelom sorazmernosti, kot ga določa
18. člen ZVOP-1, ki določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. To upoštevajoč načelo sorazmernosti velja tudi za ugotavljanje potrebnosti 'objave' domnevnih napak. Delodajalec torej nima avtomatične pravice za kakršnekoli druge posege v zasebnost delavca, če pa gre za sum storitve kaznivega dejanja, mora zadevo prepustiti v reševanje pristojnim organom pregona. Ločeno pa je vprašanje, kakšne pravice ima banka (ki je v tem primeru tudi v vlogi delodajalca) do vpogleda v zasebne račune v zvezi s poslovanjem s stranko (ki je v tem primeru tudi v vlogi delavca) npr. v zvezi s preverjanjem kreditne sposobnosti. V teh primerih ima banka glede svojih delavcev kot strank, npr. kreditojemalcev, enake pravice, kot jih ima za druge osebe, ki pri banki najemajo kredite. Zakon o bančništvu (Ur.l. RS, št. 131/2006, v nadaljevanju ZBan-1) v generalni določbi
19. člena zahteva, da mora banka kot zaupne podatke varovati vse podatke, dejstva in okoliščine o posamezni stranki, s katerimi razpolaga, ne glede na način, na katerega je pridobila te podatke. V zvezi s tem
20. odst.
21. člena ZBan-1 določa, da člani organov banke, delničarji banke, delavci banke oziroma druge osebe, ki so jim v zvezi z njihovim delom v banki oziroma pri opravljanju storitev za banko na kakršen koli način dostopni zaupni podatki iz
22. člena tega zakona, teh podatkov ne smejo sporočiti tretjim osebam niti jih sami uporabiti ali omogočiti, da bi jih uporabile tretje osebe. Izjemo od te generalne določbe določa
23. odst
24. člena ZBan-1, ki izrecno opredeljuje, da dolžnost varovanja zaupnih podatkov ne velja:
25. če stranka izrecno pisno pristane, da se sporočijo posamezni zaupni podatki,
26. če te podatke potrebuje Banka Slovenije oziroma drug nadzorni organ za potrebe nadzora, ki ga vodi v okviru svojih pristojnosti,
27. v primerih posredovanja podatkov nadrejenim družbam v zvezi z nadzorom na konsolidirani podlagi v skladu z določbami pododdelka 7.9.
28. ZBan-1 ali v skladu z ZFK,
29. za izmenjavo informacij o boniteti strank med bankami ali znotraj bančne skupine za namen upravljanja s kreditnim tveganjem in
30. v drugih primerih, ki jih določa zakon. Dodatno pravno podlago za obdelavo podatkov o kreditni sposobnosti posameznega komitenta pa imajo banke tudi na temelju
31. odst.
32. člena ZVOP-
33. Glede na avtonomnost sklepanja vseh obligacijsko-pravnih poslov ta določba predvideva, da je sklepanje pravnega posla tudi v interesu posameznika (npr. najem bančnega kredita ipd.), zato je obdelava posameznikovih osebnih podatkov dopustna, seveda če je potrebna in primerna za sklepanje, sklenitev ali izpolnjevanje pravnega posla. Pooblaščenec posebej poudarja, da je kriterij potrebnosti nujno obravnavati restriktivno: merilo je v vsakem konkretnem primeru konkreten (zasledovan) namen pogodbe. Točna določitev in interpretacija pogodbenega namena – npr. upravljanje s kreditnim tveganjem – sta zato odločilni pri uporabi in razlagi te določbe. Tudi v primeru dopustnosti določene obdelave pa lahko podatke obdelujejo zgolj tisti delavci, ki delajo na določenem primeru, to torej ne pomeni, da bi lahko vsi delavci vpogledovali v podatke, ki jih ima banka kot upravljavec. Pooblaščenec zato še opozarja, da mora v vsakem primeru banka glede vseh zbirk osebnih podatkov, ki jih zbira in obdeluje (tako podatkov o delavcih kot tudi podatkov o strankah), zagotoviti striktno izvajanje načela sledljivosti vnosov in vpogledov v osebne podatke (
34. člen ZVOP-1 – notranja sledljivost, kdo od uslužbencev je gledal v podatke ali vnašal podatke v zbirko,
35. člen ZVOP-1 – zunanja sledljivost, komu izven upravljavca zbirke osebnih podatkov so bili podatki posredovani), ter beležiti tudi namen vnosa in vpogleda (npr. pisna zahteva posameznika za kredit z dne …, osebna obravnava pri bančniku z dne …, sam telefonski klic morebitnega prosilca za kredit nikakor ne zadosti zahtevam ZVOP-1, saj bančnik ne more z gotovostjo identificirati posameznika na drugi strani, previdnost svetujemo tudi pri elektronski pošti, kjer bi zahtevam po ZVOP-1 zadostil elektronski podpis). Ob izpolnjevanju spodaj navedenih pogojev bi direktor podružnice v določenih primerih lahko imel pravno podlago za vpogled v podatke delavca, nikakor pa nima te pravice avtomatično ali zgolj iz radovednosti. V vsakem primeru morata biti izpolnjena oba pogoja, da je torej direktor oseba, ki je v zvezi z izvajanjem določenih svojih pooblastil oseba, ki je pooblaščena za konkretno obdelavo osebnih podatkov bodisi v zvezi z nadzorom pravilnosti in zakonitosti poslovanja bodisi v zvezi z drugimi vidiki izvajanja uresničevanja pravic in obveznosti iz delovnega razmerja; prav tako pa mora za vsako konkretno obdelavo upoštevajoč načelo sorazmernosti ob teh pogojih obstajati razlog, da je v zvezi s konkretnim primerom in za konkreten namen takšna obdelava primerna in potrebna. Morebitni dostop do navedenih podatkov s strani drugih ('nepooblaščenih') delavcev pa po mnenju Pooblaščenca predstavlja prekomerno obdelavo osebnih podatkov, ki je v nasprotju s samim namenom obdelave osebnih podatkov, kakor tudi z načelom sorazmernosti. Kolikor je mogoče razbrati iz vašega vprašanja, v drugem primeru objave strojene napake posameznega delavca vsem delavcem po elektronski pošti nikakor ne gre za obdelavo, ki bi bila upravičena in potrebna za namene uresničevanja pravic in obveznosti iz delovnega razmerja. V kolikor gre torej v tem primeru za podatke, ki so del zbirke (npr. osebne mape delavca) in torej deležni varstva po ZVOP-1 (vsak podatek npr. govorice sam po sebi, če ni del zbirke osebnih podatkov, namreč še ni deležen varstva po ZVOP-1), zato takšno ravnanje delodajalca ni bilo upravičeno in predstavlja po mnenju Pooblaščenca prekomerno obdelavo osebnih podatkov, ki je v nasprotju s samim namenom obdelave osebnih podatkov, kakor tudi z načelom sorazmernosti. Ob tem Pooblaščenec za zaključek še dodaja, da ima delavec v vsakem primeru, če meni, da je deležen diskriminacije ali druge oblike nadlegovanja na delovnem mestu, kot ju opredeljuje
36. in
37. a člen ZDR, možnost zahtevati odškodnino po določilih civilnega prava, saj je delodajalec v teh primerih odškodninsko odgovoren. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026