Pri Informacijskem pooblaščencu (IP) so prejeli zaprosilo za mnenje. Zanima vas, ali lahko podatek o telefonski številki, ki ga pridobite z obrazcem ob zaposlitvi, uporabite za namen upravljanja avtorizacij za dostop do informacijskega okolja, zagotavljanja informacijske varnosti (zaupnosti, celovitosti in razpoložljivosti informacijskih sistemov). Prilagate obrazec in sprašujete o njegovi ustreznosti.
Na podlagi informacij, ki ste jih posredovali, je v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredovano neobvezujoče mnenje IP v zvezi z vprašanjem.
Delavec ni dolžan dati na razpolago svojih sredstev za to, da lahko delodajalec izpolnjuje svoje dolžnosti. Če delavec svojih sredstev (npr. zasebne telefonske številke) ne želi dati na razpolago delodajalcu, to ne sme vplivati na njegovo delovno razmerje. Če bi v konkretnem primeru delodajalec odločil, da je uporaba telefonske nujno potrebna zaradi opravljanja njegovih nalog, bi mu moral zagotoviti temu primerna delovna sredstva (npr. službeni telefon). Delavec pa lahko da na voljo tudi svoja delovna sredstva, če v to privoli oziroma se tako dogovorita s pogodbo o zaposlitvi, po dogovoru tudi s primerno odmero uporabnine.
O b r a z l o ž i t e v:
Uvodoma IP poudarja, da izven nadzornega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v mnenju ne more potrjevati ustreznosti konkretnih obrazcev, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava osebnih podatkov zakonita. Zato IP na vaše vprašanje v tem mnenju ne more dokončno odgovoriti, temveč v nadaljevanju podaja splošna pojasnila in pravna izhodišča.
Upravljavec mora imeti za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe (privolitev, izvajanje pogodbe, zakonska obveznost itn.). IP pojasnjuje, da je privolitev le ena od pravnih podlag za obdelavo osebnih podatkov. To pomeni, da če upravljavec osebne podatke obdeluje na drugi (denimo zakonski) pravni podlagi, za takšno obdelavo osebnih podatkov privolitev ni dolžan pridobivati.
Splošno pravno podlago za obdelavo osebnih podatkov v delovnih razmerjih predstavlja zakon, in sicer sme podjetje osebne podatke v vlogi delodajalca obdelovati primarno v okviru določb Zakona o delovnih razmerjih (Uradni list RS, št. 21/13s spremembami in dopolnitvami; v nadaljevanju ZDR-1). Skladno s prvim odstavkom 48. člena ZDR-1 se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Vrste in vsebina evidenc na področju dela in socialne varnosti pa so določene v Zakonu o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06).
V delovnih razmerjih privolitev kot pravna podlaga za obdelavo osebnih podatkov praviloma ne pride v poštev, saj med zaposlenim in delodajalcem obstaja razmerje podrejenosti – nadrejenosti, kjer se privolitev lahko šteje za prisiljeno. Prisiljena privolitev pa ni veljavna. Da bi se štelo, da telefonska številka posameznika predstavlja obveznost iz delovnega razmerja, bi morala takšna zahteva izhajati iz internega akta delodajalca ali pogodbe o zaposlitvi. IP opozarja, da delavec ni dolžan dati na razpolago svojih sredstev za to, da lahko delodajalec izpolnjuje svoje dolžnosti, delavec pa svoja sredstva sicer lahko da na razpolago delodajalcu, če to sam želi. Če delavec svojih sredstev (npr. zasebne telefonske številke) ne želi dati na razpolago delodajalcu, to nikakor ne sme vplivati na njegovo delovno razmerje. Če bi v konkretnem primeru delodajalec odločil, da je uporaba telefonske nujno potrebna zaradi opravljanja njegovih nalog, bi mu moral zagotoviti temu primerna delovna sredstva (npr. službeni telefon). IP meni, da lahko delavec da na voljo tudi svoja delovna sredstva, če v to privoli oziroma se tako dogovorita s pogodbo o zaposlitvi (točka (b) prvega odstavka 6. člena Splošne uredbe), po dogovoru tudi s primerno odmero uporabnine.
Ob tem pa IP še izpostavlja, da mora delodajalec delavca skladno s 13. členom Splošne uredbe obvestiti o informacijah o obdelavi osebnih podatkov, med drugim o tem, kdo obdeluje osebne podatke, zakaj jih obdeluje (konkretno opredeljen namen, na primer potrditev identitete klicatelja v postopku ponastavitve gesla), komu osebne podatke posreduje, koliko časa se bodo osebni podatki hranili itd.
Glede na obrazloženo obrazec v trenutni obliki najverjetneje ni ustrezen, kot že izpostavljeno, pa IP tega v okviru mnenja ne more presojati. Odgovornost za zakonito obdelavo osebnih podatkov je namreč na upravljavcu, ki mora biti zakonitost obdelave tudi zmožen dokazati.
O varstvu osebnih podatkov v delovnih razmerjih je IP pripravil smernice, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih. Smernice podajajo odgovore na najpogosteje zastavljena vprašanja glede varstva osebnih podatkov, s katerimi se srečujejo delavci in delodajalci. Odgovor na vprašanje, ali lahko delodajalec zbira delavčevo zasebno telefonsko številko, je vsebovan v točki 1.1.
Lepo vas pozdravljamo,
Pripravila:
Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov
Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka