Psihometrična testiranja delodajalca - IPRS

Psihometrična testiranja delodajalca + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.11.2007 Številka: 0712-854/2007/2 Kategorije:Delovna razmerja --> Kategorije: Delovna razmerja Spoštovani, prejeli smo vaše elektronsko sporočilo. V njem nas sprašujete, ali delodajalec lahko izvaja psihometrična testiranja zaposlenih delavcev, brez pojasnil, kdo bo uporabljal/hranil te podatke. Zanima vas tudi, ali slike zaposlenih tudi sodijo med osebne podatke in ali jih delodajalec lahko poljubno uporablja. Dodajate še, da se vaše prvo vprašanje nanaša na zasebni sektor, pri drugem vprašanju pa vas zanima ureditev tako v javnem kot v zasebnem sektorju. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; ZVOP-1) ter
5. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji:
6. Delodajalec v času trajanja delovnega razmerja lahko izvaja psihometrična testiranja zaposlenih samo, če gre za ugotavljanje osebnostnih lastnosti, katerih poznavanje s strani delodajalca je relevantno in nujno z vidika uresničevanja pravic in obveznosti iz delovnega razmerja.
7. Delodajalec mora zaposlenega pri izvajanju psihometričnega testiranja obveščati o dejstvih v zvezi z obdelavo njegovih osebnih podatkov, tudi o uporabnikih njegovih osebnih podatkov. Zaposleni lahko vedno uveljavlja svojo ustavno pravico do seznanitve z lastnimi osebnimi podatki, katerih upravljavec je delodajalec.
8. Delodajalec lahko fotografije zaposlenih zbira in nadalje obdeluje, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Na podlagi osebne privolitve zaposlenega lahko fotografije zbira in nadalje obdeluje samo, če niso vezani na uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Fotografij delodajalec ne more poljubno uporabljati, ampak jih lahko uporablja zgolj v namene uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem oziroma za tiste namene, za katere je bila dana delavčeva osebna privolitev. O b r a z l o ž i t e v: Osebni podatek je v skladu s
9. tč.
10. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Posameznik je v skladu s
11. tč.
12. člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek; fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Zbirka osebnih podatkov je v skladu s
13. tč.
14. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Upravljavec osebnih podatkov je v skladu s
15. tč.
16. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Skladno z
17. čl. ZVOP-1 se lahko osebni podatki obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Namen obdelave osebnih podatkov mora biti določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.
18. člen ZVOP-1 določa pravne podlage za obdelavo osebnih podatkov v javnem sektorju. V skladu s tem členom se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Nosilci javnih pooblastil lahko obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, če ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil. Ne glede na prvi odstavek obravnavanega člena pa se lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Ne glede na prvi odstavek tega člena se lahko v javnem sektorju izjemoma obdelujejo tudi tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Pravna podlaga za obdelavo osebnih podatkov za zasebni sektor je podana v
19. čl. ZVOP-1, ki določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Izjemi sta določeni še za osebne podatke posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe in pa za osebne podatke, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Zakonsko podlago v smislu
20. odst.
21. člena ZVOP-1 v obravnavanem primeru predstavljata Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06, v nadaljevanju ZEPDSV) in Zakon o delovnih razmerjih (Uradni list RS, št. 42/02, 79/2006, 46/2007; v nadaljevanju ZDR). ZEPDSV izrecno določa, vrste in vsebino evidenc na področju dela in socialne varnosti, način zbiranja podatkov, način vodenja in povezovanja evidenc, način posredovanja podatkov za potrebe državnih organov, lokalnih skupnosti in nosilcev javnih pooblastil ter ostalih uporabnikov, ki te podatke potrebujejo za opravljanje zakonsko določenih nalog oziroma za vodenje zbirk podatkov o posameznikih ali posameznicah ter za namene izvajanja statističnih, socialno ekonomskih in drugih raziskovanj, ki imajo zakonsko podlago. Tako so evidence, ki jih morajo delodajalci voditi v skladu ZEPDSV, izrecno določene v
22. čl. tega zakona,
23. čl. pa določa še njihovo vsebino. ZDR pa v
24. odst.
25. členu določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Iz navedene določbe ZDR tako izhaja, da delodajalec lahko zbira le tiste podatke zaposlenih, ki so določeni s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Zakonodajalec je torej v ZEPDSV določil tako obdelavo, kot tudi osebne podatke, ki jih obdelujejo delodajalci oziroma, ki so potrebni za uresničevanje pravic in obveznosti iz delovnega razmerja. Zaradi specifičnosti posameznega delovnega razmerja pa lahko delodajalec v skladu z
26. odst.
27. člena obdeluje tudi osebne podatke zaposlenega, ki jih ne določa ZEPDSV, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec torej lahko obdeluje tiste osebne podatke zaposlenih, ki jih našteva ZEPDSV, za obdelavo vsakega drugega osebnega podatka zaposlenega, pa mora delodajalec izkazati, potrebnosti njegove obdelave za uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.
28. Dopustnost psihometričnega testiranja zaposlenih s strani delodajalca Informacijski pooblaščenec poudarja, da je delovno razmerje pravno razmerje, ki je še posebej občutljivo z vidika varstva osebnih podatkov, saj je delavec v ekonomsko in pravno od delodajalca odvisnem položaju in, da je zato treba določbo
29. odst.
30. člena ZDR razlagati restriktivno. Restriktivno razlago pogoja iz te določbe »da je to potrebno« pomeni, da mora biti vsak osebni podatek, ki ga delodajalec namerava obdelovati relevanten in nujen z vidika uresničevanja pravic in obveznosti iz delovnega razmerja, poleg teh dveh kriterijev pa je pri presoji dopustnosti obdelave osebnih podatkov zaposlenih potrebno upoštevati tudi dodatni kriterij utemeljenega namena. Pri psihometričnem testiranju gre za ugotavljanje določenih osebnostnih lastnosti posameznika, s pomočjo izpolnjevanja različnih vprašalnikov, ki so sestavljeni v skladu s pravili psihološke stroke. Osebnostne lastnosti posameznika, ki je zaposlen na določenem delovnem mestu so brez dvoma pomembne (na nekaterih delovnih mestih celo odločilne) za opravljanje del in nalog tega delovnega mesta, zato ZDR v
31. odst.
32. člena določa, da lahko delodajalec že pri sklepanju pogodbe o zaposlitvi preizkusi znanja oziroma sposobnosti kandidatov za opravljanje dela na delovnem mestu, za katerega se sklepa pogodba o zaposlitvi. Delodajalec lahko na tej podlagi, za tako testiranje strokovno usposobljenemu psihologu oziroma instituciji naroči, da izvede testiranje, ki naj pokaže, kateri od kandidatov ima lastnosti, ki so za delo na določenem delovnem mestu zaželene (npr. komunikativnost, sposobnost za delo v skupini, vodstvene sposobnosti itd.), pri čemer pa lahko delodajalec od izvajalca takega psihometričnega testiranja dobi zgolj podatek o tem, ali kandidat glede zaželenih lastnosti zahtevam za delovno mesto ustreza ali ne. Takšno psihometrično testiranje zaposlenih pa lahko delodajalec izvede tudi v času trajanja delovnega razmerja, vendar samo v primeru, ko je takšno ugotavljanje lastnosti zaposlenih potrebno za uresničevanje pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem t.j., ko gre za lastnosti, katerih poznavanje s strani delodajalca je relevantno in nujno z vidika uresničevanja pravic in obveznosti iz delovnega razmerja oziroma za učinkovito organiziranje delovnega procesa.
33. Obveščanje zaposlenih o obdelavi osebnih podatkov in o uporabnikih osebnih podatkov Obveščanje posameznika o obdelavi njegovih osebnih podatkov je urejeno v
34. členu ZVOP-1, ki razlikuje med situacijo, ko se osebni podatki zbirajo neposredno od posameznika, na katerega se nanašajo in situacijo, ko so osebni podatki zbrani iz drugih virov. V prvem primeru mora upravljavec osebnih podatkov posamezniku sporočiti naslednje informacije, če posameznik z njimi še ni seznanjen: - podatke o upravljavcu osebnih podatkov in njegovem morebitnem zastopniku, in sicer: osebno ime, naziv oziroma firmo in naslov oziroma sedež; - namen obdelave osebnih podatkov posameznika. Če je glede na posebne okoliščine zbiranja osebnih podatkov potrebno, da se zagotovi zakonita in poštena obdelava osebnih podatkov, ki so bili zbrani neposredno od posameznika, mora upravljavec posamezniku sporočiti tudi dodatne informacije, če ta z njimi še ni seznanjen, zlasti: - navedbo uporabnika ali vrste uporabnikov njegovih osebnih podatkov, - navedbo, ali je zbiranje osebnih podatkov obvezno ali prostovoljno, ter možne posledice, če ne bo prostovoljno podal podatkov, - informacijo o pravici do vpogleda, prepisa, kopiranja, dopolnitve, popravka, blokiranja in izbrisa osebnih podatkov, ki se nanašajo nanj. Delodajalec mora torej zaposlenemu v primeru, ko se osebni podatki pridobivajo neposredno od njega, za kar gre tudi pri psihometričnem testiranju, sporočiti podatke o upravljavcu osebnih podatkov in o namenu take obdelave. Predpogoj vsake dobroverne obdelave osebnih podatkov je namreč prav v tem, da se posamezniku zagotovi možnost izvedeti za obstoj obdelave njegovih osebnih podatkov ter da se ga pravilno in izčrpno informira o namenu zbiranja. ZVOP-1 ne definira izrecno, katere so »posebne okoliščine zbiranja osebnih podatkov, da se zagotovi zakonita in poštena obdelava osebnih podatkov posameznika«, zaradi katerih je treba posamezniku v primeru neposrednega zbiranja osebnih podatkov sporočiti tudi dodatne informacije v zvezi z zbiranjem osebnih podatkov, prav tako pa iz določb
35. člena ZVOP-1 tudi ni jasno razvidno, na kakšen način je posamezniku treba zagotoviti predpisane informacije. Ob upoštevanju dejstva, da je temeljito informiranje posameznika predpogoj za pošteno in zakonito obdelavo osebnih podatkov, je posamezniku, ki to zahteva, vedno treba dati vse informacije, ki jih predpisuje
36. člen ZVOP-
37. Dajanje popolnih informacij po drugem odstavku te določbe pa je še zlasti potrebno v primeru, ko se osebni podatki obdelujejo na podlagi osebne privolitve posameznika ali na podlagi pogodbenega razmerja ter bodo njegovi osebni podatki na tej podlagi posredovani tudi drugim uporabnikom osebnih podatkov, poleg tega pa tudi takrat, ko bo posameznik v primeru, če ne bo prostovoljno posredoval določenih svojih osebnih podatkov, zaradi tega lahko trpel določene posledice. Iz naštetih primerov je razvidno, da je tudi pri presoji, ali so podane posebne okoliščine zbiranja podatkov, treba pri obdelavi osebnih podatkov upoštevati načelo poštenosti in dobre vere. Na podlagi povedanega Informacijski pooblaščenec zaključuje, da mora tudi delodajalec, ko izvaja psihometrična testiranja zaposlenih, te vedno obveščati o dejstvu in namenu obdelave njihovih osebnih podatkov, v primeru, da njihove osebne podatke posreduje uporabnikom osebnih podatkov, pa tudi zaposlene seznaniti tudi s tem ter jih obvestiti, kateremu uporabniku so bili njihovi osebni podatki posredovani. V zvezi s tem je pomembno dodati, da gre pri obdelavi osebnih podatkov v delovnem razmerju, zlasti zaradi šibkejšega položaja delavca (posameznika) nasproti delodajalcu (upravljavcu osebnih podatkov), v večini primerov za položaj, ki ustreza pojmu »posebne okoliščine zbiranja osebnih podatkov«, in da mora zato delodajalec delavcu nuditi tudi informacije, posredovanje katerih
38. člen predvideva o obstoju takih »posebnih okoliščin«, t.j. širši obseg informacij. Poleg pravice posameznika do obveščenosti o obdelavi njegovih osebnih podatkov, pa lahko v primeru, ki ga opisujete, predstavlja zaposlenemu delavcu pravno podlago za pridobitev želenih informacij v zvezi z obdelavo njegovih osebnih podatkov, tudi pravica posameznika do seznanitve z lastnimi osebnimi podatki. Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v
39. odstavku
40. člena Ustave RS, ki določa, da ima vsakdo pravico seznaniti se z zbranimi osebnimi podatki, ki se nanašajo nanj, in pravico do sodnega varstva ob njihovi zlorabi. Ta pravica posameznika je konkretizirana v določbi
41. čl. ZVOP-1, ki je obenem izraz pravice do informacijske samoodločbe, katere namen je zagotoviti transparentnost obdelave osebnih podatkov, s tem pa dobrovernost in pošteno obdelavo osebnih podatkov. Postopek seznanitve posameznika z lastnimi osebnimi podatki ureja
42. člen ZVOP-
43. V okviru te pravice je upravljavec osebnih podatkov v prvi vrsti dolžan posamezniku omogočiti vpogled v katalog zbirke osebnih podatkov (
44. točka
45. odstavka
46. člena ZVOP-1). Posameznik, na katerega se osebni podatki nanašajo, ima pravico v te podatke vpogledati, jih prepisati ali kopirati. Upravljavec osebnih podatkov je dolžan tudi potrditi, ali se podatki v zvezi s posameznikom obdelujejo ali ne (
47. točka
48. odstavka
49. člena ZVOP-1). Pri tem je dolžan upravljavec posamezniku posredovati tudi seznam uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen (
50. točka
51. odstavka
52. člena ZVOP-1). Prav tako je upravljavec osebnih podatkov posamezniku dolžan dati informacije o namenu obdelave in o vrsti osebnih podatkov, ki se obdelujejo, ter vsa potrebna pojasnila v zvezi s tem (
53. točka
54. odstavka
55. člena ZVOP-1). Iz
56. člen ZVOP-1 obenem izhaja, da postopek seznanitve temelji na zahtevi posameznika, pri čemer je upravljavec vezan na to zahtevo in mora posamezniku omogočiti takšno vrsto seznanitve z lastnimi osebnimi podatki, kot jo ta zahteva. Prav v omenjeni zahtevi, pa je razlika med zgoraj opisanim obveščanjem posameznika o obdelavi osebnih podatkov in pravico posameznika do seznanitve, ki je urejena v določbi
57. člena. Razlika je v tem, da mora za seznanitev posameznik postaviti ustrezno zahtevo, medtem ko je obveščanje posameznika ob zbiranju osebnih podatkov neposredno od njega ali od tretjih dolžnost upravljavca osebnih podatkov in pravica posameznika, ki je ni dolžan posebej uveljavljati. Zato je upravljavec po
58. členu ZVOP-1 obvezan posameznika obvestiti avtomatično, ne da bi bil vezan na zahtevo posameznika, seznanitev posameznika z njegovimi lastnimi osebnimi podatki pa je njegova pravica, ki jo lahko posameznik uveljavlja po svoji volji in je zato vezana na zahtevo posameznika. Posameznik mora v taki zahtevi natančno opredeliti, kakšno vrsto seznanitve zahteva, pri čemer ima na razpolago tiste vrste seznanitev, ki so navedene v
59. odstavku
60. člena ZVOP-
61. V določbah
62. in
63. odstavka
64. člena ZVOP-1 so določeni roki, v katerih mora upravljavec ugoditi zahtevi posameznika za seznanitev z lastnimi osebnimi podatki. Roki so odvisni od zahteve posameznika oziroma od pravice, ki jo ta uveljavlja. Tako je določeno, da mora upravljavec osebnih podatkov posamezniku omogočiti vpogled, prepis, kopiranje in potrdilo po
65. in
66. točki prvega odstavka
67. člena ZVOP-1 najkasneje v 15 dneh od dneva, ko je prejel zahtevo, informacije iz ostalih točk
68. člena pa v 30 dneh od dneva, ko je prejel zahtevo. ZVOP-1 obenem določa, da mora upravljavec, če v zgoraj navedenih rokih ne bo omogočil vpogleda, prepisa, kopiranja ali izdaje potrdila, izpisa, seznama, informacij ali pojasnila iz
69. do
70. točke
71. odstavka
72. člena, posameznika v istem roku pisno obvestiti o razlogih za svoje ravnanje. V primeru, če upravljavec v predpisanem roku ne ugodi zahtevi posameznika, niti mu pisno ne pojasni, zakaj mu tega ne bo omogočil, se, na podlagi
73. odstavka
74. člena ZVOP-1 šteje, da je zahtevo posameznika zavrnil. V tem primeru ima posameznik, na podlagi
75. tč.
76. odst.
77. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP), pravico do pritožbe Informacijskemu pooblaščencu. Pritožba, določena v
78. členu ZInfP, vsebuje dve vrsti pritožbe. V prvi vrsti gre za pritožbo, ki je usmerjena zoper pisno obvestilo upravljavca osebnih podatkov o razlogih, zaradi katerih posamezniku ni omogočil vpogleda, prepisa, kopiranja, izdaje potrdila, izpisa, seznama, informacij in pojasnila iz
79. odstavku
80. člena ZVOP-
81. V drugi vrsti pa gre za pritožbo, ki je usmerjena zoper molk upravljavca osebnih podatkov. Iz povedanega izhaja, da mora delodajalec v skladu z določbami
82. člena o nekaterih informacijah v zvezi z obdelavo osebnih podatkov zaposlenega (tudi o uporabnikih osebnih podatkov) obveščati sam od sebe, torej tudi, če zaposleni teh podatkov izrecno ne zahteva. Do podatka o uporabnikih njegovih osebnih podatkov (in do drugih informacij naštetih v
83. členu) pa lahko zaposleni pride tudi na podlagi svoje pravice do seznanitve z lastnimi osebnimi podatki, ki ji nasproti stoji dolžnost delodajalca, da delavca, na podlagi njegove zahteve, z naštetimi informacijami seznani.
84. Fotografije zaposlenih V zvezi z delodajalčevo obdelavo fotografij zaposlenih, velja vse, kar je Informacijski pooblaščenec zgoraj navedel v zvezi z dopustnostjo obdelave osebnih podatkov delavca s strani delodajalca. V skladu s
85. odst.
86. člena ZDR lahko delodajalec pridobiva in nadalje obdeluje fotografije zaposlenih samo, če je to določeno z zakonom ali, če sta zbiranje in nadaljnja obdelava fotografij potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem (npr. poklic fotomodela). Če delodajalec torej ne izkaže, da so osebni podatki potrebni zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih od delavca ne sme zahtevati. Lahko pa delodajalec, v skladu z
87. odst.
88. člena ZVOP-1 in
89. odst.
90. člena ZVOP-1, tako v javnem kot v zasebnem sektorju zbira in nadalje obdeluje fotografije zaposlenega na podlagi njegove osebne privolitve, vendar Informacijski pooblaščenec ob tem opozarja, da je obdelava fotografije zaposlenega na podlagi njegove osebne privolitve dopustna le v primerih, ki niso vezani na uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. V takem primeru posredovanje fotografije zaposlenega delodajalcu ni potrebno za izvrševanje pogodbe o zaposlitvi, ampak se fotografije zbirajo in nadalje obdelujejo v nek drug namen, za takšno obdelavo pa sta zainteresirana tako delodajalec kot zaposleni delavec (npr. objava fotografije zaposlenega v internem glasilu delodajalca ob nekem jubileju, odhodu v pokoj, itd.). Ker gre za obdelavo osebnih podatkov zaposlenega, ki ni potrebno za uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, ampak gre za obdelavo osebnih podatkov ob oziroma mimo delovnega razmerja, tudi položaj zaposlenega kot šibkejše stranke delovnega razmerja tukaj ni tako izrazit, zato je v takih primerih potrebno dopustiti večjo avtonomijo strank pri obdelavi osebnih podatkov. Kljub temu pa Informacijski pooblaščenec poudarja, da mora biti osebna privolitev zaposlenega v posredovanje in nadaljnjo obdelavo svoje fotografije vedno prostovoljna izjava volje posameznika, dana na podlagi informacij, ki mu jih mora v skladu z
91. členom ZVOP-1 zagotoviti delodajalec in ne posledica pritiskov s strani delodajalca. Zavrnitev soglasja oziroma neposredovanje fotografije v tem primeru zato ne sme imeti nikakršnih posledic za delovno razmerje. V zvezi z vašim vprašanjem ali lahko delodajalec fotografije zaposlenih poljubno uporablja, pa Informacijski pooblaščenec opozarja na temeljno načelo varstva osebnih podatkov t.j. načelo namembnosti ali načelo namenskosti, ki ga ureja
92. člen ZVOP-
93. Ta določa, da se osebni podatki lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače. Za pravilno razumevanje te določbe je treba izhajati iz določbe
94. člena ZVOP-1, po kateri mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave osebnih podatkov na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Če bi delodajalcu zbiranje in obdelavo fotografij zaposlenih dovoljeval nek zakon, bi ta zakon moral določati tudi namene, za katere bi delodajalec lahko te fotografije uporabljal oziroma nadalje obdeloval. V primeru, da delodajalec fotografije zaposlenih obdeluje, ker sta zbiranje in nadaljnja obdelava fotografij potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih delodajalec lahko uporablja zgolj v namene uresničevanja teh pravic in obveznosti. Za vsak posamezen namen uporabe oziroma obdelave fotografije mora izkazati relevantnost in nujnost take obdelave z vidika uresničevanja pravic in obveznosti iz delovnega razmerja. Če pa delodajalec zbira in nadalje obdeluje fotografije zaposlenih na podlagi njihove osebne privolitve, pa jih lahko obdeluje zgolj za namene, za katere je bila dana delavčeva osebna privolitev. Vsakršna obdelava osebnih podatkov, ki je v nasprotju z nameni, ki so določeni v zakonu ali razvidni iz osebne privolitve posameznika, pomeni kršitev določb
95. člena ZVOP-
96. Informacijski pooblaščenec v zvezi s povedanim na koncu še enkrat opozarja na dolžnost delodajalca, ki mu jo kot upravljavcu osebnih podatkov nalaga
97. člen ZVOP-1 in na podlagi katere mora zaposlenega vedno, tudi če ta tega ne zahteva, obvesti tudi o vseh namenih obdelave njegovih osebnih podatkov, v vašem primeru fotografij zaposlenih. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026