Informacijski pooblaščenec (v nadaljevanju IP) je prejel dopis, v katerem prosilec pojasnjuje, da se je v organizaciji delavec poročil in dobil otroka, zaradi obeh okoliščin pa so mu pripadali dodatni dnevi dopusta oziroma druge odsotnosti z dela. Prosilec je opisal, kakšna dokazila je delavec prinesel na vpogled, in navedel, da so o vpogledu sestavili uradni zaznamek (npr. glede vpogleda v poročni list in izpisek iz matičnega registra o rojstvu). Prosilec sprašuje, ali sta takšna zapisa v uradnih zaznamkih dovolj z vidika čim manjšega obsega zbiranja osebnih podatkov oz. kakšen bi moral vsebovati uradni zaznamek v takih primerih, da se zbiralo čim manj osebnih podatkov.
***********
Na podlagi informacij IP v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posreduje neobvezujoče mnenje v zvezi z vprašanjem.
Delodajalec mora zanesljivo in dokazljivo presoditi, kateri osebni podatki so potrebni za uveljavljanje pravice do odsotnosti z dela. Pfri IP menijp, da je lahko pristop z uradnimi zaznamki o vpogledu v uradno listino eden izmed dobrih načinov za preprečevanje prekomerne obdelave osebnih podatkov. Pri tem pa je treba najti ustrezno ravnovesje med zanesljivostjo dokazovanja razlogov za odsotnost ter sorazmernostjo obdelave osebnih podatkov.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.
Tako ne morejo odgovoriti, ali je zbiranje podatkov, ki jih je prosilec navedel, v skladu z načelo najmanjšega obsega obdelave osebnih podatkov. Podajo pa lahko splošne usmeritve s področja varstva osebnih podatkov.
Področna zakona, ki urejata področje varstva osebnih podatkov v delovnih razmerjih, sta predvsem Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06 in 50/23), v nadaljevanju ZEPDSV) in Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1). ZEPDSV v 12. členu določa vrste evidenc, ki jih morajo voditi delodajalci (evidenca o zaposlenih delavcih, evidenca o stroških dela, evidenca o izrabi delovnega časa, evidenca o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu), v 13., 16., 18. in 20. členu pa njihovo vsebino.
ZDR-1 v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.
Iz navedene določbe ZDR-1 izhaja, da delodajalci ne smejo zbirati katerihkoli osebnih podatkov, ampak le tiste osebne podatke, ki jih potrebujejo za dosego v zakonu določenega namena, tj. uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Določba vključuje načelo najmanjšega obsega podatkov iz člena 5(1)(c) Splošne uredbe, ki ga je treba upoštevati pri vsaki obdelavi osebnih podatkov, in določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Delodajalec lahko obdeluje tiste delavčeve osebne podatke, ki jih določa ZEPDSV in v skladu z 48. členom ZDR-1 tiste osebne podatke, za katere izkaže, da jih potrebuje zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravice in obveznosti obeh, torej delavca in delodajalca.
Delodajalec mora zanesljivo in dokazljivo presoditi, kateri osebni podatki so "potrebni za namene, za katere se obdelujejo", torej za uveljavljanje pravice do odsotnosti z dela. Pri tem ni nepomembno, da je neupravičena odsotnost z dela razlog za odpoved pogodbe o zaposlitvi ali druge sankcije delodajalca. Navedeno utemeljuje določeno (sicer nujno sorazmerno) obdelavo osebnih podatkov, povezanih z razlogom za posamezno odsotnost (konkretno – okoliščino poroke ter okoliščino rojstva otroka je treba zanesljivo dokazati, sama izjava o poroki ali o rojstvu otroka ne bo dovolj).
Menijo, da je pristop z uradnimi zaznamki o vpogledu v uradno listino eden izmed dobrih načinov za preprečevanje prekomerne obdelave osebnih podatkov. Pri tem pa je treba najti ustrezno ravnovesje med zanesljivostjo dokazovanja razlogov za odsotnost ter sorazmernostjo obdelave osebnih podatkov.
Celotno mnenje je na voljo TUKAJ.