Privolitev za obdelavo občutljivih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.06.2007 Številka: 0712-528/2007/2 Kategorije:Delovna razmerja, Sindikati --> Kategorije: Delovna razmerja, Sindikati Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
- 2007 prejel vaš dopis, v katerem nas sprašujete, ali je pridobivanje podatkov o zdravstvenem stanju delavca in njegovih družinskih članov ter podatkov o članstvu v sindikatu dovoljeno na način, kot je to razvidno iz okrožnice ______ (v nadaljevanju: banka) in vzorca izjave »privolitev za obdelavo občutljivih osebnih podatkov« (v nadaljevanju: privolitvena izjava)? Iz omenjene okrožnice in privolitvene izjave izhaja, da: - banka poziva svoje zaposlene, da podpišejo privolitveno izjavo, na podlagi katere bodo dovolili obdelavo občutljivih osebnih podatkov v postopkih, ki tečejo na podlagi Zakona o delovnih razmerjih in kolektivnih pogodb - privolitvena izjava se vzpostavlja z namenom izpolnjevanja obveznosti in posebnih pravic upravljavca osebnih podatkov na področju zaposlovanja v skladu z zakonom, ki določa tudi ustrezna jamstva pravic posameznika (npr. pri odmeri dopusta, pri odmeri ustreznega delovnega časa invalidnim delavcem…), - namen obdelave osebnih podatkov je tudi obveščanje članov sindikata o aktivnostih sindikata, - banka opozarja zaposlene, da zaposlenim, ki privolitvene izjave ne bodo podpisali, ne bo mogla odmeriti ustreznega števila dni letnega dopusta ali ustreznega delovnega časa, ki bi jim pripadal iz naslova zdravstvenega stanja delavca in njegovih družinskih članov, - se jedro privolitvene izjave glasi: »soglašam, da banka obdeluje moje občutljive osebne podatke (podatki o zdravstvenem stanju delavca in njihovih družinskih članov ter podatki o članstvu v sindikatu), z namenom urejanja pravic in obveznosti delavcev iz delovnega razmerja«, dodana pa je še klavzula o seznanjenosti z namenom obdelave. Ker lahko avtentično razlago posameznih določb relevantnih predpisov daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 - ZInfP; v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05) posredujemo neobvezno mnenje v zvezi z vašimi vprašanji. Ob tem še dodajamo, da je Pooblaščenec pri svojem delu že obravnaval podobne oziroma primere ter o tem izdal več neobveznih mnenj, zaradi česar vam predlagamo, da se z njimi seznanite na internetni strani Pooblaščenca http://www.ip-rs.si/, kjer lahko s pomočjo iskalnika po mnenjih in odločbah s področja varstva osebnih podatkov poiščete mnenja s področja varstva osebnih podatkov na področju delovnih razmerij in na področju zdravstvenih podatkov. 1 Splošno o pravnih podlagah za obdelavo osebnih podatkov v zasebnem sektorju 1.1 Uvodno Uvodoma je potrebno pojasnilo o relevantni ureditvi v ZVOP-1, kjer v
- členu najdemo naslednje opredelitve pojmov, ki so pomembni za razumevanje vašega primera: - Osebni podatek pomeni katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo, torej posameznika, na glede na obliko, v kateri je izražen. Posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je določljiva, če se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila), ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa; - Občutljivi osebni podatki so podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške; občutljivi osebni podatki so tudi biometrične značilnosti, če je z njihovo uporabo mogoče določiti posameznika v zvezi s kakšno od prej navedenih okoliščin; - Obdelava osebnih podatkov je definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporočanje in podobno; - Zbirka osebnih podatkov je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika; Na podlagi
- člena ZVOP-1, se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Specifičen režim dopustne obdelave občutljivih osebnih podatkov je določen v
- členu, ki podobno kot
- člen, dopušča obdelavo med drugim tudi v primeru: - če je posameznik za to podal izrecno osebno privolitev, ki je praviloma pisna, v javnem sektorju pa tudi določena z zakonom, - če je obdelava potrebna zaradi izpolnjevanja obveznosti in posebnih pravic upravljavca osebnih podatkov na področju zaposlovanja v skladu z zakonom, ki določa tudi ustrezna jamstva pravic posameznika, - če tako določa drug zakon zaradi izvrševanja javnega interesa. Potrebno je opozoriti še na načelo sorazmernosti iz
- člena ZVOP-1, ki zahteva, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. 1.2 Zakonodaja s področja delovnih razmerij in zdravstvenega varstva V konkretnem primeru kot posebni predpisi (leges speciales) v smislu
- in
- člena ZVOP-1 načeloma pridejo v poštev zlasti: • Zakon o delovnih razmerjih (Uradni list RS, št. 42/02; ZDR), ki v
- členu določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem; • Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06; ZEPDSV), ki v
- členu predvideva naslednje evidence, katere vodijo delodajalci: evidenca o zaposlenih delavcih, evidenca o stroških dela, evidenca o izrabi delovnega časa in evidenca o oblikah reševanja kolektivnih delovnih sporov. Glede na določbe
- člena, med podatki, ki se v okviru navedenih evidenc lahko obdelujejo, ni podatkov o »članstvu v sindikatu« in »podatkov o zdravstvenem stanju delavca in njihovih družinskih članov« razen podatkov o tem ali je delavec invalid in za katero stopnjo invalidnosti gre. • Zakon o zdravstveni dejavnosti (Uradni list RS, št. 23/05; ZZdej) in Zakon o zdravniški službi (Uradni list RS, št. 72/06; ZZdrS), ki nimata posebnih določb, ki bi dovoljevale obdelavo (npr. sporočanje delodajalcu) »podatkov o zdravstvenem stanju delavca in njihovih družinskih članov«; • Zakon o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00; ZZdej), ki nima posebnih določb, ki bi dovoljevale obdelavo »podatkov o zdravstvenem stanju delavca in njihovih družinskih članov« in • Zakon o varnosti in zdravju pri delu (Uradni list RS, št. 56/99 in 64/01; ZVZD) ter na njegovi podlagi sprejet Pravilnik o preventivnih zdravstvenih pregledih delavcev (Uradni list RS, št. 87/02). Čeprav gre za zakonsko materijo in je zato predpisovanje obdelave osebnih podatkov v podzakonskem aktu pravnosistemsko neustrezno, iz
- člena omenjenega pravilnika izhaja, da pooblaščeni zdravnik delodajalca obvesti zgolj z oceno o delavčevem izpolnjevanju posebnih zdravstvenih zahtev za določeno delo v delovnem okolju in poimenskim seznamom pregledanih delavcev z oceno izpolnjevanja posebnih zdravstvenih zahtev za določeno delo v delovnem okolju, oceno zdravstvenega stanja skupine pregledanih delavcev, ugotovljene poklicne bolezni, bolezni povezane z delom ali sume na poklicno bolezen. 1.3 O privolitvi kot podlagi za obdelavo osebnih podatkov Nobeden od zgoraj naštetih predpisov ne daje splošne in neomejene podlage za obdelavo občutljivih osebnih podatkov o »članstvu v sindikatu« in »podatkov o zdravstvenem stanju delavca in njihovih družinskih članov« s strani delodajalca – z izjemo nekaterih podatkov v zvezi s preventivnimi zdravstvenimi pregledi in podatkov o dejstvu ter kategoriji invalidnosti. Zato je možnost »obdelave« občutljivih osebnih podatkov, ki presega primeroma navedeni izjemi, omejena zgolj na osebno privolitev delavca. Vendar pa je pri tem potrebno upoštevati več dodatnih vidikov: • Če obstaja izrecna zakonska podlaga za obdelavo osebnih podatkov, potem dodatna, privolitvena izjava ni potrebna. • Pri presoji same privolitve ter pri obdelavi osebnih podatkov na njeni podlagi, je potrebno spoštovanje načela sorazmernosti iz
- člena ZVOP-
- Delodajalec tako lahko zbira zgolj in izključno tiste podatke, ki so potrebni za uresničevanje pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem (zgoraj omenjeni
- člen ZDR). Vse ostale zgolj na podlagi osebne privolitve, zavrnitev privolitve pa ne sme imeti posledic za delavca. •V primeru, da delodajalec na prisilen način (ne glede na obliko oziroma način prisiljevanja) zahteva podpis izjave za obdelavo osebnih podatkov, bi bila dolžnost privolitve t.j. podpisa izjave o posredovanju zdravstvene dokumentacije pojmovno sama s seboj v nasprotju in bi pomenila de facto prisilitev. • Nedopustno je pridobivanje privolitev na prisilen način – v takem primeru zavrnitev podpisa izjave ne sme imeti, kot že zgoraj omenjeno, nobenih posledic za delavca, tudi posledic na področju zakonskih pravic ne, saj že zakonodaja dopušča obdelavo zdravstvenih osebnih podatkov in drugih osebnih podatkov v takšni meri, da je omogočeno uveljavljanje pravic delavcev (oziroma izvrševanje obveznosti delodajalca).
- Obdelava osebnih podatkov o zdravstvenem stanju ter podatkov o članstvu v sindikatu v konkretnem primeru • Pooblaščenec v konkretnem primeru ocenjuje, da je privolitvena izjava vsebinsko povsem neustrezna, saj iz nje ne izhaja, katere vrste obdelave osebnih podatkov in katere osebne podatke je delodajalec imel v mislih. Obdelava (»kaj bo delodajalec s podatki počel in kako jih bo pridobival«) in vrsta osebnih podatkov (»katere osebne podatke ali dokumente bo delodajalec obdeloval«) morata biti v izjavi natančno določena. Pooblaščenec opozarja, da bi izjava v obliki kot je, nudila samo podlago za obdelavo osebnih podatkov, ki jih delodajalec že tako ali tako lahko obdeluje na podlagi zakona, v nobenem primeru pa privolitvena izjava delodajalcu ne bi dajala npr. pravice, da bi od izvajalcev zdravstvenih storitev (t.j. mimo delavca) pridobival občutljive osebne podatke, pa čeprav se mu zdijo »potrebni za izvrševanje pravic in obveznosti«. • Privolitev za obdelavo podatkov zdravstvenem stanju o družinskih članih – t.j. tretjih oseb že pojmovno ni mogoča (privolitev lahko posameznik poda samo zase) in zaradi tega v nobenem primeru ne nudi podlage za obdelavo osebnih podatkov družinskih članov delavca. Delodajalec se z zdravstvenim stanjem družinskih članov delavca lahko seznani samo posredno in še to v zelo omejenem obsegu (npr. v okviru uveljavljanja delavčeve pravice do nadomestila zaradi nege ožjega družinskega člana). • Pooblaščenec ponovno poudarja, da lahko delodajalec omejeno (omejeno zato, ker npr. na potrdilu o upravičeni zadržanosti od dela, ki je standardizirani obrazec, zdravnik delodajalcu zgolj odkljuka eno od kategorij - bolezen, poškodba pri delu, poklicna bolezen, poškodba izven dela, nega…, ki pa ne razkriva celotnega zdravstvenega stanja, temveč je to le napotek delodajalcu za izračun višine nadomestila) obdeluje podatke o zdravstvenem stanju že na podlagi zakona in zato posebna privolitev delavcev ni potrebna. Če je delodajalec imel v mislih obdelavo osebnih podatkov, ki presega zakonsko določeno, pa je to potrebno v izjavi zelo določno opredeliti ter pri tem upoštevati načelo sorazmernosti. Zahteva po »izrecni« privolitvi iz
- člena ZVOP-1 med drugim pomeni tudi to, da mora bi podana privolitev za točno določeno vrsto obdelave in za točno določene osebne podatke, zaradi česar je generalna (pavšalna) privolitev v nasprotju z
- členom ZVOP-1 – to pomeni, da bi bila obdelava osebnih podatkov sklicujoč se na generalno (pavšalno) privolitev, nezakonita. • Obdelava podatkov o članstvu v sindikatu za potrebe »obveščanja članov sindikata o aktivnostih sindikata« je pod pogojem, da ni mišljen sindikat pri delodajalcu, povsem nesmiselna. Ker je s tem tudi v nasprotju z načelom sorazmernosti je takšen namen obdelave nedopusten. Obdelava bi bila dopustna samo v primeru, da so podatki potrebni za npr. poravnavo obveznosti iz naslova plačevanja sindikalne članarine, za kar pa posebna privolitev delavca niti ne bi bila potrebna, bi pa delavec z dejstvom plačevanja članarine preko delodajalca vsekakor moral biti seznanjen (prim.
- člen ZDR in druga točka
- člena ZVOP-1). Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026