Sledljivost pri ročno vodenih zbirkah + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.05.2007 Številka: 0712-446/2007/2 Kategorije:Delovna razmerja --> Kategorije: Delovna razmerja Spoštovani, Dne 25.04.2007 je Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) preko elektronske pošte prejel vaše vprašanje v zvezi z varstvom osebnih podatkov. V navedeni elektronski pošti nas sprašujete sledeče:- Ali predstavlja sporočanje podatkov o številu dni letnega dopusta uslužbencem _____ z obvestilom (število dni LD je določeno po različnih kriterijih) in uporaba teh podatkov v kadrovski službi, obdelovanje osebnih podatkov? - Ali predstavljajo podatki o prihodu na delo in odhodu z dela, o delu preko polnega delovnega časa, o odsotnosti z dela (vrsta odsotnosti in razlog) in podatki o izobraževanju uslužbencev (trajanje izobraževanja, vrsta izobraževanja, uspešnost na izpitih, …. ) osebne podatke oziroma ali njihova uporaba pomeni obdelovanje osebnih podatkov? Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje.Pooblaščenec uvodoma za lažje razumevanje pojasnjuje nekaj pojmov, kot jih v
- členu opredeljuje ZVOP-1:Osebni podatek pomeni katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo, torej posameznika, na glede na obliko, v kateri je izražen. Posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je določljiva, če se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila), ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa.Obdelava osebnih podatkov pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave).Na podlagi navedenega Pooblaščenec navaja, da so podatki o številu dni letnega dopusta, o prihodu na delo in odhodu z dela, o delu prek polnega delovnega časa, o odsotnosti z dela (vrsta odsotnosti in razlog), podatki o izobraževanju uslužbencev itd. nedvomno osebni podatki. Ker gre za osebne podatke, ki se nanašajo na področje dela, Pooblaščenec navaja, da je zakonodajalec delovnopravno področje glede obdelave osebnih podatkov uredil z Zakonom o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06, v nadaljevanju ZEPDSV) in z Zakonom o delovnih razmerjih (Uradni list RS, št. 42/02 in 79/06-ZZZPB-F, v nadaljevanju ZDR), v katerih je določno opredelil, katere osebne podatke delavcev lahko delodajalec obdeluje, namen obdelave le-teh ter rok hrambe. V
- členu ZDR je urejeno varstvo delavčevih osebnih podatkov. Osebni podatki delavcev se lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Osebne podatke delavcev lahko zbira, obdeluje, uporablja in dostavlja tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti. Osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, se morajo takoj zbrisati in prenehati uporabljati. Določbe prejšnjih odstavkov se uporabljajo tudi za osebne podatke kandidatov.Navedeno pomeni, da lahko delodajalec osebne podatke zbira, obdeluje, uporablja in dostavlja tretjim osebam, samo, če ima zato podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.ZEPDSV v
- členu eksplicitno določa, da delodajalci v skladu s tem zakonom vodijo 4 evidence, in sicer - evidenco o zaposlenih delavcih, - evidenco o stroških dela, - evidenco o izrabi delovnega časa in - evidenco o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu.Nadalje pa ZEPDSV v členih 13., 16.,
- in
- določa, katere osebne podatke lahko delodajalec zbira in nadalje obdeluje v okviru posamezne evidence. Ker se vaša vprašanja nanašajo predvsem na delovni čas, Pooblaščenec navaja določbo
- člena ZEPDSV, na podlagi katere lahko delodajalec v evidenco o izrabi delovnega časa za posameznega delavca dnevno vpisuje naslednje podatke: - podatke o številu ur, - skupno število opravljenih delovnih ur s polnim delovnim časom in s krajšim delovnim časom od polnega z oznako vrste opravljenega delovnega časa, - opravljene ure v času nadurnega dela, - neopravljene ure, za katere se prejema nadomestilo plače iz sredstev delodajalca, z oznako vrste nadomestila, - neopravljene ure, za katere se prejema nadomestilo plače v breme drugih organizacij ali delodajalcev in organov z oznako vrste nadomestila, - neopravljene ure, za katere se ne prejema nadomestilo plače, - število ur pri delih na delovnem mestu, za katera se šteje zavarovalna doba s povečanjem, oziroma na katerih je obvezno dodatno pokojninsko zavarovanje, z oznako. Pooblaščenec navaja, da ima delodajalec na podlagi ZEPDSV pravico zbirati osebne podatke o delavcu, kot je podatek o številu dni letnega dopusta, o prihodu na delo in odhodu z dela, o delu prek polnega delovnega časa, o odsotnosti z dela (vrsta odsotnosti in razlog), itd.., saj lahko na podlagi teh podatkov pridobi podatek o izrabi delovnega časa, na podlagi katerega lahko nato tudi obračuna plačo posameznika.Ker pa, kot je bilo pojasnjeno na podlagi telefonskega pogovora, te podatke vodite ročno, saj se delavec ob prihodu na delo in odhodu z dela vpiše in podpiše pri vratarju oziroma pri receptorju in se nato ti podatki posredujejo kadrovski službi, vas zanima ali gre torej tudi v tem primeru za obdelavo osebnih podatkov in kako potem zagotoviti sledljivost. Kot že navedeno, je lahko obdelava osebnih podatkov tudi ročna. Prav tako pa so navedeni ročno obdelani osebni podatki del zbirke osebnih podatkov oziroma so namenjeni vključitvi v zbirko osebnih podatkov, tj. evidenco o izrabi delovnega časa.Prvi odstavek
- člena ZVOP-1 določa, da zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.V
- točki prvega odstavka
- člena ZVOP-1 je torej določeno načelo sledljivosti, ki določa, da mora biti sledljivost zagotovljena tudi za vnos osebnih podatkov v zbirko osebnih podatkov, uporabo osebnih podatkov ter druge vrste obdelave osebnih podatkov in ne zgolj za posredovanje. Načelo sledljivosti je torej izjemnega pomena za odkrivanje nepooblaščenih vstopov v zbirke osebnih podatkov. Zagotavljanje sledljivosti vpogledov v zbirko osebnih podatkov je torej v pristojnosti upravljavca zbirke in način, na kakšen bo to načelo uresničeval, je odvisen od načina, na katerega bo vodil zbirko osebnih podatkov. V kolikor se zbirke osebnih podatkov vodijo elektronsko, je zagotavljanje sledljivosti dokaj preprosto, saj računalniški programi omogočajo, da se vsak vpogled v zbirko oziroma tudi v konkretne osebne podatke zabeleži na strežniku. Težave pa predstavlja zagotavljanje sledljivosti pri ročno vodenih zbirkah osebnih podatkov. Takšne zbirke je zato potrebno hraniti na primeren način (jih zaklepati v omare, posebne sobe, itd.) ter v pravilniku ali drugem ustreznem aktu, ki ga kot obveznega določa drugi odstavek
- člena ZVOP-1, točno določiti osebe, ki imajo pravico dostopa do osebnih podatkov. Upravljavci osebnih podatkov morajo v svojih internih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov ter določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.Pooblaščenec predvideva, da se evidenca o izrabi delovnega časa vodi delno ročno in delno elektronsko. Glede na navedeno, da se delavci od vsakokratnem prihodu na delo in odhodu z dela zglasijo pri vratarju ali na recepciji, kjer se na papir zabeleži imeni in priimek, datum in ura prihoda ali odhoda ter podpis, je dolžnost delodajalca, da ustrezno zavaruje osebne podatke zaposlenih pred nepooblaščenim dostopom do njihovih osebnih podatkov. V obravnavanem primeru to pomeni, da mora delodajalec zagotoviti, da ni mogoča seznanitev delavca z osebnimi podatki drugih delavcev, ki so vpisani na tem papirju ali seznamu. Prav tako pa mora delodajalec v internem aktu določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke (npr. vratar ali receptor).Pooblaščenec zaključuje, da so podatki, ki jih navajate v vprašanju, osebni podatki ter tudi njihova uporaba pomeni obdelavo osebnih podatkov, in jih je zato potrebno obdelovati v skladu z določili ZVOP-
- S spoštovanjem,Informacijski pooblaščenec:Nataša Pirc Musar, univ. dipl. prav.,pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026