Varstvo osebnih podatkov zagotavlja že Ustava RS, ki v 38. členu določa, da je zagotovljeno varstvo osebnih podatkov. Prepovedana je uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja. Zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon. Vsakdo ima pravico seznaniti se z zbranimi osebnimi podatki, ki se nanašajo nanj, in pravico do sodnega varstva ob njihovi zlorabi.

Konkretizacijo navedene ustavne določbe, še zlasti določbo navedenega člena ustave, da zbiranje, obdelovanje, namen uporabe in varstvo osebnih podatkov določa poseben zakon, ureja Zakon o varstvu osebnih podatkov.[1] V okviru te sistemske zakonske ureditve varovanja osebnih podatkov velja še posebej izpostaviti dvoje načel tega zakona, ki predstavljata eno temeljnih usmeritev ravnanja na tem področju, in sicer:

• načelo sorazmernosti, ki določa, da morajo osebni podatki, ki se jih obdeluje, biti ustrezni in po obsegu primerni glede na namene, za katere se jih zbira in nadalje obdeluje,[2] ter
• načelo namena zbiranja in nadaljnje obdelave podatkov, ki zahteva, da se osebne podatke lahko zbira le za določene in zakonite namene ter se jih ne sme nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače.[3]

Sicer pa posamezne določbe o varstvu osebnih podatkov na posameznih področjih urejanja vsebujejo številni zakoni, pri čemer je treba upoštevati, da s podzakonskimi akti tega področja ni mogoče urejati.

Še posebej občutljivo je področje varovanja osebnih podatkov v delovnih razmerjih, pri čemer temeljno določbo vsebuje že ZDR-1, ki v 48. členu določa osnovna pravila varovanja delavčevih osebnih podatkov. Tako določa, da:

• se osebne podatke delavcev lahko zbira, obdeluje, uporablja in dostavlja tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem;
• osebne podatke delavcev lahko zbira, obdeluje, uporablja in dostavlja tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti;
• se mora osebne podatke delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati;

Določbe ZDR-1, ki se nanašajo na varovanje delavčevih osebnih podatkov, se uporablja tudi za osebne podatke kandidatov za zaposlitev.[4]

V delovnem razmerju je področje varstva osebnih podatkov zaposlenih aktualno v okviru različnih aktivnosti delodajalca oziroma ob različnih situacijah, in sicer pri vodenju postopkov zaposlitve, vodenju različnih evidenc zaposlenih, pri obračunu plač zaposlenih, njihovem socialnem stanju, ki vpliva na pravice zaposlenega iz delovnega razmerja, npr. pravica do letnega dopusta itd. Pri vprašanju ustreznega varovanja osebnih podatkov zaposlenih in sprejemanju ustreznih notranjih aktov in ukrepov za ustrezno varovanje osebnih podatkov zaposlenih gre tako za vprašanje ustreznega varovanja osebnih podatkov zaposlenih, ki jih zaposleni sporoči v fazi zaposlitve, kot tudi tistih, ki nastanejo med trajanjem delovnega razmerja, pa tudi za vprašanje ustreznega varovanja osebnih podatkov zaposlenih v odnosu do medijev.

Delodajalec je tako dolžan ustrezno varovati osebne podatke, ki jih kandidati za zaposlitev navedejo v svoji vlogi za zaposlitev ali jih sporočijo med vodenjem zaposlitvenega postopka.

Po opravljeni zaposlitvi pa se varstvo osebnih podatkov zaposlenih najpogosteje pojavlja v okviru zbiranja in obdelovanja osebnih podatkov v različnih evidencah, ki jih vodijo delodajalci. V zvezi s tem je treba poudariti naslednje temeljno načelo sistemske ureditve varstva osebnih podatkov, in sicer, da se evidence, ki vsebujejo osebne podatke, lahko vzpostavi samo na podlagi zakona, torej da je njihova ustanovitev določena z zakonom; podzakonski akt ni zadostna pravna podlaga, kar še posebej velja v javnem sektorju, kjer tudi osebna privolitev posameznika za obdelavo določenih osebnih podatkov, ki je zadostna pravna podlaga v zasebnem sektorju, v javnem sektorju to ni. 9. člen Zakona o varstvu osebnih podatkov namreč posebej ureja pravne podlage za obdelovanje osebnih podatkov v javnem sektorju in določa, da se v javnem sektorju osebne podatke lahko obdeluje, če obdelavo osebnih podatkov in osebne podatke, ki se jih obdeluje, določa zakon. Z zakonom se lahko določi, da se določene osebne podatke obdeluje le na podlagi osebne privolitve posameznika. Ne glede na navedeno, torej na zahtevo po ustrezni zakonski pravni podlagi, pa se lahko v javnem sektorju obdeluje osebne podatke posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.

Nosilci javnih pooblastil lahko obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil. Zbirke osebnih podatkov, ki nastanejo na tej podlagi, morajo biti ločene od zbirk osebnih podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil.

Ne glede na zahtevo po zakonski podlagi za vodenje osebnih podatkov v javnem sektorju se lahko v javnemu sektorju izjemoma obdeluje tiste osebne podatke, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.[5]

Evidence, ki jih vodijo delodajalci o svojih zaposlenih, določa Zakon o evidencah na področju dela in socialne varnosti.[6] Evidence, ki jih na podlagi 6. člena tega zakona vodijo delodajalci, so:

• evidenca o zaposlenih delavcih,
• evidenca o stroških dela,
• evidenca o izrabi delovnega časa,
• evidenca o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu.

Prva navedena evidenca dejansko pomeni kadrovsko evidenco, ki jo mora voditi o svojih zaposlenih delodajalec, pri čemer ima posebne določbe o kadrovski evidenci tudi ZJU v 20. členu, centralna kadrovska evidenca organov državne uprave pa je urejena v 46. do 51. členu.

V zvezi z vzpostavitvijo zbirke podatkov, ki vsebujejo tudi osebne podatke, morajo delodajalci biti pozorni, da vzpostavijo zakonito stanje na tem področju od vzpostavitve evidence do prenehanja vodenja evidence, in sicer morajo:

• preveriti obstoj ustrezne zakonske pravne podlage za vzpostavitev evidence,
• vzpostaviti evidence v skladu s pravno podlago, zlasti katere osebne podatke se v skladu s pravno podlago obdeluje v tej evidenci, namen obdelave osebnih podatkov v tej evidenci in čas hranjenja podatkov,
• zagotoviti ustrezno zavarovanje teh podatkov v smislu onemogočanja nepooblaščenim osebam dostop do osebnih podatkov zaposlenih,[7]
• zagotoviti točnost in ažurnost podatkov,
• zagotoviti sledljivost posredovanja osebnih podatkov iz evidence,
• zagotoviti posameznemu zaposlenemu pravico, da se seznani s podatki, ki jih o njem vodi v evidenci osebnih podatkov,
• vzpostaviti katalog zbirke osebnih podatkov za vsako evidenco oziroma zbirko osebnih podatkov,[8]
• posredovati podatke iz kataloga zbirke osebnih podatkov v register zbirk osebnih podatkov, ki jih vodi državni nadzorni organ za varstvo osebnih podatkov,[9]
• sprejeti poseben notranji akt o varstvu osebnih podatkov ter določiti osebe, odgovorne za vsako posamezno zbirko osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.[10]

Za vsako evidenco oziroma zbirko osebnih podatkov, ki jo vodi posamezen delodajalec, mora torej , kot upravljavec posamezne zbirke osebnih podatkov, vzpostaviti katalog zbirke osebnih podatkov s podatki, kot jih določa 26. člen Zakona o varstvu osebnih podatkov, in sicer:

1. naziv zbirke osebnih podatkov;
2. podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko);
3. pravno podlago za obdelavo osebnih podatkov;
4. kategorije posameznikov, na katere se nanašajo osebni podatki;
5. vrste osebnih podatkov v zbirki osebnih podatkov;
6. namen obdelave;
7. rok hrambe osebnih podatkov;
8. omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev;
9. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov;
10. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa;
11. splošen opis zavarovanja osebnih podatkov;
12. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig;
13. podatke o zastopniku iz tretjega odstavka 5. člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko).

Upravljavec osebnih podatkov mora skrbeti za točnost in ažurnost vsebine kataloga.

V zvezi z varstvom osebnih podatkov zaposlenih je aktualno tudi vprašanje javnosti podatkov o zaposlenih v javnem sektorju. Glede tega vprašanja je izrecna pravna določba v Zakonu o sistemu plač v javnem sektorju glede javnosti plač zaposlenih v javnem sektorju, ki v 38. členu določa, da so plače v javnem sektorju javne, pri čemer so javnosti dostopni podatki o delovnem mestu, nazivu ali funkciji, o osnovnih plačah, o dodatkih ter delu plače za delovno uspešnost, razen dodatka za delovno dobo. Določbe o javnosti plač ne veljajo za podatke o plačah javnih uslužbencev v obveščevalnih in varnostnih službah.

Ne glede na navedeno so javnosti po postopku, ki ga ureja Zakon o dostopu do informacij javnega značaja,[11] dostopni individualni podatki o znesku celotne bruto plače vsakega javnega uslužbenca in vsakega funkcionarja brez zmanjšanja za morebitne odbitke iz naslova izvršbe, kreditov ali drugih osebnih obveznosti.

Pri odgovoru na vprašanje, katere druge podatke javnih uslužbencev, poleg podatka o plači javnega uslužbenca, je dopustno javno objaviti oziroma objaviti v medijih, je treba upoštevati določbe 6. člena Zakona o dostopu do informacije javnega značaja, ki določa izjeme, kdaj se dostop do informacij javnega značaja zavrne in kdaj izjemoma tudi dovoli. Tako organ prosilcu zavrne dostop do zahtevane informacije, če se zahteva nanaša na:

1. podatek, ki je na podlagi zakona, ki ureja tajne podatke, opredeljen kot tajen;
2. podatek, ki je opredeljen kot poslovna skrivnost v skladu z zakonom, ki ureja gospodarske družbe;
3. osebni podatek, katerega razkritje bi pomenilo kršitev varstva osebnih podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov;
4. podatek, katerega razkritje bi pomenilo kršitev zaupnosti individualnih podatkov o poročevalskih enotah skladno z zakonom, ki ureja dejavnost državne statistike;
5. podatek, katerega razkritje bi pomenilo kršitev zaupnosti davčnega postopka ali davčne tajnosti, skladno z zakonom, ki ureja davčni postopek;
6. podatek, ki je bil pridobljen ali sestavljen zaradi kazenskega pregona ali v zvezi z njim ali postopka s prekrški in bi njegovo razkritje škodovalo njegovi izvedbi;
7. podatek, ki je bil pridobljen ali sestavljen zaradi upravnega postopka in bi njegovo razkritje škodovalo njegovi izvedbi;
8. podatek, ki je bil pridobljen ali sestavljen zaradi pravdnega, nepravdnega ali drugega sodnega postopka in bi njegovo razkritje škodovalo njegovi izvedbi;
9. podatek iz dokumenta, ki je v postopku izdelave in je še predmet posvetovanja v organu, njegovo razkritje pa bi povzročilo napačno razumevanje njegove vsebine;
10. podatek o naravni oziroma kulturni vrednoti, ki v skladu z zakonom, ki ureja ohranjanje naravne ali kulturne dediščine, ni dostopen javnosti zaradi varovanja naravne oziroma kulturne vrednote;
11. podatek iz dokumenta, ki je bil sestavljen v zvezi z notranjim delovanjem oziroma dejavnostjo organov in bi njegovo razkritje povzročilo motnje pri delovanju oziroma dejavnosti organa.

Ne glede na navedeno se dostop do zahtevane informacije dovoli, če je javni interes glede razkritja močnejši od javnega interesa ali interesa drugih oseb za omejitev dostopa do zahtevane informacije, razen v naslednjih primerih: [12]

• za podatke, ki so v skladu z zakonom, ki ureja tajne podatke, označeni z najvišjima dvema stopnjama tajnosti;
• za podatke, ki vsebujejo ali so pripravljeni na podlagi tajnih podatkov tuje države ali mednarodne organizacije, s katero ima Republika Slovenija sklenjeno mednarodno pogodbo v zvezi z izmenjavo ali posredovanjem tajnih podatkov;
• za podatke, ki vsebujejo davčne podatke ali so pripravljeni na podlagi davčnih podatkov, ki jih organom v Republiki Sloveniji posreduje organ tuje države;
• za podatke, katerih razkritje bi pomenilo kršitev zaupnosti individualnih podatkov o poročevalskih enotah skladno z zakonom, ki ureja dejavnost državne statistike;
• za podatke, katerih razkritje bi pomenilo kršitev zaupnosti davčnega postopka ali davčne tajnosti, skladno z zakonom, ki ureja davčni postopek, razen če je davčni postopek že pravnomočno končan oziroma je zavezanec za davek obveznost ugotovil v obračunu davka in ga ni plačal v predpisanem roku.

Ne glede na zgoraj navedene določbe 6. člena Zakona o dostopu do informacij javnega značaja, na podlagi katerih organ prosilcu zavrne dostop do zahtevane informacije, se dostop do zahtevane informacije dovoli:

• če gre za podatke o porabi javnih sredstev ali podatke, povezane z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca, razen v primeru:
• podatka, ki je na podlagi zakona, ki ureja tajne podatke, opredeljen kot tajen,
• podatka, katerega razkritje bi pomenilo kršitev zaupnosti davčnega postopka ali davčne tajnosti, skladno z zakonom, ki ureja davčni postopek; 
• podatka, ki je bil pridobljen ali sestavljen zaradi kazenskega pregona ali v zvezi z njim ali postopka s prekrški in bi njegovo razkritje škodovalo njegovi izvedbi;
• podatka, ki je bil pridobljen ali sestavljen zaradi upravnega postopka in bi njegovo razkritje škodovalo njegovi izvedbi in
• podatka, ki je bil pridobljen ali sestavljen zaradi pravdnega, nepravdnega ali drugega sodnega postopka in bi njegovo razkritje škodovalo njegovi izvedbi,
• v primerih, ko zakon, ki ureja javne finance ali zakon, ki ureja javna naročila, določata drugače;
• če gre za podatke glede emisij v okolje, odpadkov, nevarnih snovi v obratu ali podatke iz varnostnega poročila in druge podatke, za katere tako določa zakon, ki ureja varstvo okolja.

Glede dostopa do osebnih podatkov javnih uslužbencev Zakon o dostopu do informacij javnega značaja temelji na doktrini, za katero se je že izreklo tudi Ustavno sodišče RS v odločbi U-I -25/95, da imajo javni uslužbenci kot osebe, zaposlene v javnem sektorju, bistveno zmanjšano pričakovanje zasebnosti zaradi načela odprtosti, ki terja transparentno delovanje organa s ciljem čim večje udeležbe državljanov pri izvajanju oblasti. Tako javni uslužbenec ne more pričakovati zasebnosti glede svojega imena, naziva, položaja, plače, službenega naslova in tistih delov iz svoje prijave na delovno mesto, ki izkazuje njegove kvalifikacije za to delovno mesto. Vendar pa je treba pred posredovanjem javnosti vedno predhodno preveriti, kateri podatki javnih uslužbencev so res neposredno povezani z delovnim razmerjem javnega uslužbenca in so kot takšni dostopni javnosti kot informacija javnega značaja. Pri posredovanju medijem ali prosilcu kot informacijo javnega značaja je namreč treba prekriti na dokumentih vse podatke javnih uslužbencev, ki niso v povezavi z delovnim razmerjem javnega uslužbenca, npr. EMŠO, stalno prebivališče, datum in kraj rojstva, ime staršev, imena otrok, povprečna ocena v času študija itd.