Ime in priimek blagajnika na izdanem računu

Datum

12.02.2024

Številka

07121-1/2024/124

Kategorije

Delovna razmerja, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da opravljate delo v živilski trgovini prek študentskega servisa. Na računu, ki ga izdajate na blagajni, je zabeleženo vaše ime in priimek. Želeli bi, da bi delodajalec odstranil vaše osebne podatke iz računa. Po drugi strani se sprašujete, kako, saj naj bi po vaši navedbi zakon določa, da lahko upravljavci posredujejo osebne podatke javnosti. Drugje ste že zasledili, da piše na računih le ime osebe (brez priimka) ali pa šifra v smislu Blagajnik 1.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec osebnih podatkov (v vašem primeru delodajalec oziroma lastnik živilske trgovine) sme obdelovati le tiste osebne podatke, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Zato mora biti sposoben utemeljiti potrebo, da se osebne podatke zaposlenega natisne na računu in mora znati izkazati, da istega cilja ne bi bilo mogoče doseči s tem, da se na računu natisne manj ali spremenjene osebne podatke (na primer le šifra blagajnika). Od delodajalca lahko te informacije tudi zahtevate z uveljavljanjem pravice do dostopa do osebnih podatkov in informacij o njihovi obdelavi, zahtevate lahko izbris vaših osebnih podatkov, v primeru suma nezakonite obdelave osebnih podatkov pa lahko pri IP vložite tudi prijavo.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

IP je sicer že izdal mnenje na podobno temo (mnenje IP št. 07121-1/2023/563 z dne 25. 4. 2023, dostopno na https://www.ip-rs.si/mnenja-zvop-2/soglasje-delavca-za-tiskanje-lastnoro%C4%8Dnega-podpisa-na-ra%C4%8Dunu-1682419990), vendar je bil delavec v tem mnenju zaposlen s pogodbo o zaposlitvi, ki jo ureja Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, s sprem. in dop.; v nadaljevanju ZDR-1). ZDR-1 pa ureja tudi obdelavo osebnih podatkov znotraj delovnega razmerja, in sicer velja temeljno pravilo, da sme delodajalec obdelovati (torej tudi natisniti na račun in razkriti tretjim osebam) tiste osebne podatke, ki jih potrebuje za uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Tudi za razmerja, ki niso urejena z ZDR-1, velja zelo podobno pravilo, in sicer načelo najmanjšega obsega osebnih podatkov oziroma načelo sorazmernosti (točka (c) prvega odstavka 5. člena Splošne uredbe). Po tem načelu namreč velja, da sme upravljavec osebnih podatkov (v vašem primeru delodajalec oziroma lastnik živilske trgovine) obdelovati le tiste osebne podatke, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Upravljavec osebnih podatkov mora biti sposoben utemeljiti, da je vaše osebne podatke oziroma osebne podatke katerega koli zaposlenega blagajnika resnično treba natisniti na računu. Poleg tega mora znati utemeljiti, zakaj ni dovolj, da bi (če je že potrebno) natisnil manj osebnih podatkov (na primer samo ime, brez priimka) ali celo samo šifro zaposlenega (kot neke vrste psevdonim).

Pri tem bi moral odgovoriti na vprašanje, ali je tiskanje imena in priimka delavca (ali študentke) res potrebno in brez tega ni mogoče doseči istega namena (kot na primer kasnejše ugotavljanje nepravilnosti pri izdaji računa ipd.). Seveda mora upravljavec vnaprej razčistiti, kakšen je sploh namen obdelave, torej namen razkritja imena in priimka zaposlenega na računu.

IP poudarja, da le redki zakoni določajo posredovanje osebnih podatkov javnosti in po našem vedenju noben zakon ne določa, da bi morali biti imena in priimki zaposlenih pri podjetju, ki izdaja račun, navedeni na samem računu.

Od upravljavca osebnih podatkov lahko zahtevate, da vam sporoči namen obdelave, in sicer z uresničevanjem vaše pravice do informacij o obdelavi osebnih podatkov, ki vam jo daje 15. člen Splošne uredbe. Več o tem si lahko preberete na https://tiodlocas.si/kako-uveljavim-svoje-pravice/, obrazec zahteve za uveljavljanje te pravice pa je dostopen na https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ - obrazec "Zahteva za seznanitev z lastnimi osebnimi podatki".

Če ste prepričani, da je navedba vaših osebnih podatkov na računu nezakonita, lahko od delodajalca tudi zahtevate, da vaše osebne podatke izbriše, kar omogoča 17. člen Splošne uredbe (pravica do izbrisa).

Če delodajalec zgoraj navedenih obveznosti ne spoštuje, sami pa sumite, da je obdelava vaših osebnih podatkov nezakonita, lahko pri IP vložite tudi prijavo (obrazec "Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava)".

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov