Informacijski pooblaščenec (v nadaljevanju: IP) je prejel zaprosilo za mnenje, v katerem prosilec sprašuje: (a) Kako dolgo po odhodu delavca je delodajalec še dolžan hraniti osebne mape zaposlenih; (b) Ali je delodajalec dolžan nekdanjemu zaposlenemu omogočiti izročitev listine iz osebne mape, kljub temu, da zaposleni pri delodajalcu ni več zaposlen ter je delodajalec zaposlenemu pred časom že izročil konkreten dokument, ki pa ga je zaposleni izgubil.
***
Na podlagi informacij IP v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 76. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posreduje neobvezujoče mnenje v zvezi z vprašanjem.
O b r a z l o ž i t e v:
IP uvodoma pojasnjuje, da tako hramba osebnih map zaposlenih kot tudi morebitno posredovanje podatkov oz. dokumentov iz nje nedvomno predstavlja obdelavo osebnih podatkov, za kar se uporabljajo pravila varstva osebnih podatkov. Hkrati pa je hramba kadrovske dokumentacije v prvi vrsti obveznost iz delovnopravnega področja, za kar IP ni pristojen. V zvezi z morebitnimi dodatnimi vprašanji na tem področju se zato prosilec lahko obrne na resorno ministrstvo, pristojno za delo oziroma na Inšpektorat RS za delo.
Glede na to, da je IP v zvezi s hrambo kadrovske dokumentacije že večkrat svoja stališča pojasnjeval v okviru drugih neobvezujočih mnenj, IP predlaga, da si le-ta tudi prebere:
Temeljno načelo varstva osebnih podatkov; načelo omejitve shrambe tako določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Po izpolnitvi namena obdelave se pa osebni podatki morajo zbrisati, uničiti, blokirati ali anonimizirati, če niso na podlagi zakona, ki ureja arhivsko gradivo in arhive, opredeljeni kot arhivsko gradivo, oziroma če zakon za posamezne vrste osebnih podatkov ne določa drugače.
Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A, 202/21 – odl. US, 15/22 in 54/22 – ZUPŠ-1; v nadaljevanju ZDR-1) kot specialni predpis na tem področju v 48. členu določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga (preveriti je torej treba vse predpise, ki bi lahko zahtevali nadaljnjo hrambo podatkov npr. ZVDAGA, računovodske predpise ipd.), takoj zbrisati in prenehati uporabljati. Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06; ZEPDSV) pa določa, da se evidence, ki jih vodijo delodajalci, začnejo za posameznega delavca voditi z dnem, ko sklene pogodbo o zaposlitvi, prenehajo pa z dnem, ko mu pogodba o zaposlitvi preneha. Dokumenti s podatki o delavcu, za katerega se prenehajo voditi omenjene evidence in izvirne listine, na podlagi katerih se vpisujejo podatki v te evidence, pa se hranijo kot listine trajne vrednosti.
Dolžnost vsakega upravljavca torej je, da presodi, ali mora določene podatke tudi po izteku prvotnega namena morda hraniti na kateri drugi pravni podlagi, kot je bila prvotna (npr. v zvezi z obveznostmi morebitnih zahtev glede hrambe dokumentarnega in arhivskega gradiva, morebitnih pravnih postopkov, v zvezi z obveznostmi hrambe po računovodskih predpisih ali glede na obveznosti hrambe dokumentacije iz posameznih projektov ipd.). Delodajalec tako mora po prenehanju delovnega razmerja pregledati personalno mapo delavca ter izločiti dokumente, ki predstavljajo listine trajne vrednosti (npr. pogodbe o zaposlitvi, M-obrazci) in jih shraniti v arhivski zbirki. Ostale dokumente pa delodajalec lahko hrani glede na namen njihove obdelave in sicer le toliko časa, kolikor je potrebno za izpolnitev namena, za katerega so bili osebni podatki zbrani.
V zvezi z dostopom bivšega zaposlenega do svoje listine vsebovane v osebni mapi IP pa še pojasnjuje, da vsi dokumenti iz osebne mape zaposlenega predstavljajo zbirko osebnih podatkov, kjer delodajalec predstavlja upravljavca te zbirke. V skladu s 15. členom Splošne uredbe o varstvu podatkov, ki določa vsebino pravice do seznanitve z lastnini osebnimi podatki in 12. členom Splošne uredbe o varstvu podatkov, ki določa način uresničevanja te pravice, mora delodajalec posamezniku (ne glede na dejstvo, ali je posameznik pri njem zaposlen ali ne) na njegovo zahtevo med drugim omogočiti dostop do podatkov, ki so vsebovani v zbirki osebnih podatkov, ki se nanašajo nanj, ter zagotoviti njihovo kopijo. Zahtevo mora posameznik vložiti pisno ali ustno na zapisnik, delodajalec pa mu mora omogočiti dostop in kopiranje najkasneje v 1 mesecu od prejema zahteve ali ga v istem roku pisno obvestiti o razlogih, zaradi katerih mu tega ne bo omogočil. Če delodajalec ravna drugače, se šteje, da je zahtevo zavrnil, posameznik pa ima možnost vložiti pritožbo pri Informacijskem pooblaščencu. Stroške v zvezi z zahtevo in vpogledom krije delodajalec. Delodajalec je tako dolžan v 1 mesecu vsakemu posamezniku, o katerem obdeluje (tudi hrani) osebne podatke, v primeru njegove zahteve, omogočiti seznanitev z njegovimi osebnimi podatki (npr. vpogled v podatke, pridobitev kopij dokumentov iz personalne mape, pridobitev izpisov podatkov, ki jih o delavcu vodi v e-obliki itd.).
Več informacij o pravici do seznanitve z lastnimi osebnimi podatki pa si lahko prosilec pridobi tudi na spletni strani: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki.
Dodatno IP še svetuje, da si več o varstvu osebnih podatkov v delovnih razmerjih prosilec lahko prebere v smernicah IP Kako so moji podatki varovani v delovnem razmerju oz. v že objavljenih mnenjih IP, ki so dostopna na spletni strani: https://www.ip-rs.si/vop/.
Celotno mnenje je na voljo TUKAJ.