Hramba osebnih podatkov bivših zaposlenih

Datum

07.07.2023

Številka

07121-1/2023/917

Kategorije

Delovna razmerja

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da od maja 2018 dalje v skladu s Splošno uredbo shranjujete v personalnih mapah le dokumentacijo, ki je zakonsko potrebna in le za čas, ki je predviden. Iz personalnih map ste umaknili npr. kopije osebnih izkaznic, ob odhodu zaposlenih pa odstranite tudi podatke, ki niso namenjeni hrambi za nedoločen čas. Sprašujete, ali je potrebno urediti personalne mape tudi za nazaj, torej za tiste zaposlene, ki so odšli pred letom 2018?

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP priporoča, da delodajalec po prenehanju delovnega razmerja pregleda personalno mapo delavca ter izloči dokumente, ki predstavljajo listine trajne vrednosti (npr. pogodbe o zaposlitvi, M-obrazci) in jih shrani v arhivski zbirki. Ostale dokumente hrani glede na namen njihove obdelave (npr. dokumente v zvezi s kršitvami pogodbenih ali drugih obveznosti iz delovnega razmerja lahko hrani do izteka zastaralnih rokov s področja obligacijskega ali kaznovalnega prava (5 let)).

IP meni, da mora delodajalec skladno z načelom omejitve hrambe ves čas preverjati, ali je treba dokumente, ki se nanašajo na bivše zaposlene, še vedno hraniti glede na namen njihove obdelave (ali so torej potekli roki hrambe), in sicer tudi v zvezi z dokumentacijo zaposlenih, katerih delovno razmerje je prenehalo pred začetkom veljavnosti Splošne uredbe.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Pojasnjujemo, da je za vsakršno obdelavo osebnih podatkov treba zagotoviti primerno pravno podlago skladno s 6. členom Splošne uredbe. V okviru delovnega razmerja je relevantna tudi določba prvega odstavka 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A, 202/21 – odl. US, 15/22 in 54/22 – ZUPŠ-1, ZDR-1), ki določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Tretji odstavek pa nadalje določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Nadalje opozarjamo na točko (e) prvega odstavka 5. člena Splošne uredbe, ki določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko hranijo daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s prvim odstavkom 89. člena, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki – gre za t.i. načelo omejitve hrambe. Upravljavec lahko torej hrani osebne podatke zgolj do izpolnitve namena njihove hrambe, pri čemer naj upošteva, ali je določen rok hrambe z morebitno področno zakonodajo, ki pride v poštev za konkretno obdelavo. V vsakem primeru pa mora presoditi, ali je treba določene podatke hraniti tudi po izteku prvotnega namena na kateri drugi pravni podlagi, npr. v zvezi z obveznostmi morebitnih zahtev glede hrambe dokumentarnega in arhivskega gradiva ali morebitnih pravnih postopkov.

Več informacij o hrambi osebnih podatkov zaposlenih lahko preberete v smernicah Varstvo osebnih podatkov v delovnih razmerjih, ki so dosegljive na https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih. Kot smo poudarili v smernicah, delodajalec tudi po prenehanju delovnega razmerja nujno razpolaga z določenimi zbirkami osebnih podatkov o bivših delavcih, in sicer z zbirkami osebnih podatkov, ki vsebujejo dokumente in izvirne listine iz 14., 17. in 19. člena Zakona o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06 in 50/23, ZEPDSV) - listine trajne vrednosti. Poleg tega pa lahko delodajalec po prenehanju delovnega razmerja obdeluje tudi druge osebne podatke delavca, ki so v skladu s prvim odstavkom 48. člena ZDR-1 potrebni zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, vendar samo toliko časa, dokler stranki delovnega razmerja lahko uveljavljata svoje pravice. Ko so poravnane vse obveznosti, ki izhajajo iz delovnega razmerja, je namen, zaradi katerega so se delavčevi osebni podatki zbirali, dosežen, zato mora delodajalec zbrisati in prenehati uporabljati vse delavčeve osebne podatke, razen tistih, za katere ZEPDSV ali drug zakon (če gre npr. za arhivsko gradivo) določa, da se hranijo trajno.

IP tako priporoča, da delodajalec po prenehanju delovnega razmerja pregleda personalno mapo delavca ter izloči dokumente, ki predstavljajo listine trajne vrednosti (npr. pogodbe o zaposlitvi, M-obrazci) in jih shrani v arhivski zbirki. Ostale dokumente hrani glede na namen njihove obdelave (npr. dokumente v zvezi s kršitvami pogodbenih ali drugih obveznosti iz delovnega razmerja lahko hrani do izteka zastaralnih rokov s področja obligacijskega ali kaznovalnega prava (5 let)). IP meni, da mora delodajalec skladno z načelom omejitve hrambe ves čas preverjati, ali je treba dokumente, ki se nanašajo na bivše zaposlene, še vedno hraniti glede na namen njihove obdelave (ali so torej potekli roki hrambe), in sicer tudi v zvezi z dokumentacijo zaposlenih, katerih delovno razmerje je prenehalo pred začetkom veljavnosti Splošne uredbe. Skladnost s Splošno uredbo so morali upravljavci z začetkom veljavnosti uredbe zagotoviti za vse obdelave osebnih podatkov (kot obdelava osebnih podatkov šteje tudi npr. njihova hramba). Opozarjamo pa, da Splošna uredba ni prinesla bistvenih sprememb na tem področju. Citirana nacionalna zakonodaja je bila namreč veljavna že pred 25. 5. 2018, prav tako je tudi takrat veljaven Zakon o varstvu osebnih podatkov (ZVOP-1) vseboval določbo o roku hrambe osebnih podatkov (21. člen), ki je določala, da se lahko osebni podatki shranjujejo le toliko časa, dokler je to potrebno za dosego namena, zaradi katerega so se zbirali ali nadalje obdelovali. Po izpolnitvi namena obdelave se osebni podatki zbrišejo, uničijo, blokirajo ali anonimizirajo, če niso na podlagi zakona, ki ureja arhivsko gradivo in arhive, opredeljeni kot arhivsko gradivo, oziroma če zakon za posamezne vrste osebnih podatkov ne določa drugače.

V upanju, da so vam naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo