Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem sprašujete, ali lahko delodajalec - računovodska služba zahteva poleg računa za letalsko karto tudi boarding pass (sl. vstopni kupon). Sami dvomite v takšno zahtevo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Delodajalec mora biti vselej sposoben izkazati, da osebne podatke, ki jih obdeluje, potrebuje zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. IP meni, da se takšna zahteva ne zdi nerazumna, če je usmerjena v izpolnjevanje davčnih, računovodskih ter drugih predpisov, ki jim morata zadostiti delavec in delodajalec v zvezi s službeno potjo delavca. Če želite konkretnejše informacije, se lahko z zahtevo po 15. členu Splošne uredbe obrnete na vašega delodajalca. Če na vašo zahtevo ne odgovori v roku enega meseca ali vašo zahtevo pisno zavrne, se lahko obrnete na IP zaradi morebitne kršitve 15. člena Splošne uredbe.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

• privolitev (točka a)),
• sklenitev ali izvajanje pogodbe (točka b)),
• zakonska obveznost (točka c)),
• zaščita življenjskih interesov posameznika (točka d)),
• izvajanje javne naloge (točka e) v zvezi s četrtim odstavkom 6. člena ZVOP-2),
• zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika (točka f)).

Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov.

Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1) v prvem odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Iz navedene določbe ZDR-1 izhaja, da delodajalci ne smejo zbirati katerihkoli osebnih podatkov, ampak le tiste osebne podatke, ki jih potrebujejo za dosego v zakonu določenega namena, tj. uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Določba vključuje načelo najmanjšega obsega podatkov iz člena 5(1)(c) Splošne uredbe, ki ga je treba upoštevati pri vsaki obdelavi osebnih podatkov, in določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

IP meni, da zahteva delodajalca za predložitev vstopnih kuponov (ang. boarding pass) načeloma ni nerazumna, saj delodajalec lahko oziroma celo mora preverjati upravičenost stroškov službene poti, na katero je delavca napotil. Delodajalec lahko torej zahteva predložitev vstopnega kupona, če je takšna zahteva usmerjena v izpolnjevanje davčnih, računovodskih ter drugih predpisov, ki jim morata zadostiti delavec in delodajalec v zvezi s službeno potjo delavca. V kolikor pa bi šlo za obdelavo teh podatkov za druge namene ali v zvezi z zasebnimi potovanji, pa bila presoja odvisna od relevantnih okoliščin in obstoja pravne podlage.

Če pa želite konkretnejše informacije o obdelavi osebnih podatkov s strani delodajalca, vam svetujemo, da uveljavite svoje pravice po 15. členu Splošne uredbe in od delodajalca zahtevate informacijo o tem, s kakšnim namenom bo obdeloval vaše osebne podatke na t.i. vstopnem kuponu.

Prvi odstavek 15. člena Splošne uredbe določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in informacije: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; informacije o virih idr. Več informacij o pravici do seznanitve z lastnimi osebnimi podatki in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/ oz. v naših že objavljenih mnenjih (npr. mnenje IP št. 07121-1/2022/628 z dne 8. 6. 2022).

Upravljavec osebnih podatkov ima nato dolžnost, da vam zahtevane osebne podatke in informacije o obdelavi osebnih podatkov zagotovi brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve, ali pa vas obvesti o razlogih za neukrepanje ter o možnosti vložitve pritožbe pri nadzornem organu in možnosti uveljavljanja pravnih sredstev. Zoper odločitev oziroma molk upravljavca lahko vložite pritožbo oziroma prijavo pri IP.

Nadalje pa vas lahko usmerimo tudi na Smernice IP o varstvu osebnih podatkov v delovnih razmerjih: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih.

Za zaključek lahko navedemo, da mora biti delodajalec sposoben izkazati, da osebne podatke, ki jih obdeluje, potrebuje zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. 

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

 

Mojca Prelesnik, univ.dipl.prav.,                                                 
informacijska pooblaščenka

Pripravila:                                                                                                                                
mag. Polona Merc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov

Vir: Informacijski pooblaščenec >>