Seznanitev z vašimi osebnimi podatki s strani sodelavcev oz. javnosti

Datum

5.12.2024

Številka

07121-1/2024/1503

Kategorije

Delovna razmerja, Pravica do seznanitve z lastnimi osebnimi podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da ste se pri svojem delodajalcu prijavili na razpisano delovno mesto, vendar zaradi osebnih odnosov s strani vodstva niste bili povabljeni niti na razgovor. Zanima vas, ali je dovoljeno, da so vaši podatki o kandidaturi za to delovno mesto prišli v javnost (kljub temu, da nobenemu niste povedali o kandidaturi, so bili o vaši prijavi vsi obveščeni)?

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Če gre v vašem primeru za seznanitev z vašimi podatki s strani sodelavcev, vam pojasnjujemo, da mora delodajalec kot upravljavec pri obdelavi osebnih podatkov določiti, s katerimi podatki se lahko posamezni zaposleni seznanijo v okviru izvajanja svojih delovnih nalog. Z osebnimi podatki se lahko seznanijo zgolj tisti, ki to nujno potrebujejo za izvajanje svojih nalog.

Posameznik lahko skladno s Splošno uredbo sam uveljavlja pravico do seznanitve (dostopa) pri upravljavcu, ki obdeluje njegove osebne podatke (npr. kot v vašem primeru, pri delodajalcu). V okviru pravice do seznanitve se lahko posameznik seznani s tem, kdo so uporabniki oz. kategorije uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah. Zaposleni pri upravljavcu načeloma ne štejejo med uporabnike, glede katerih lahko posameznik prejme informacije o obdelavi podatkov, razen v izjemnih primerih, in sicer če je zaposleni deloval izven okvira vodstva in navodil delodajalca ali če so informacije o identiteti zaposlenega nujne za učinkovito uveljavljanje pravic posameznika.

Obrazložitev

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V okviru nezavezujočega mnenja vam lahko podamo zgolj splošna pojasnila in priporočila. IP pa ni pristojen podati mnenja v zvezi z drugimi morebitnimi kršitvami, npr. kršitvami, ki se nanašajo na področje delovnega prava. Prav tako ni povsem jasno, kdo bi se naj seznanil z vašimi osebnimi podatki, vaši sodelavci ali gre dejansko za tretje osebe. Pojasnjujemo vam, da mora delodajalec kot upravljavec pri obdelavi osebnih podatkov določiti, s katerimi podatki se lahko posamezni zaposleni seznanijo v okviru izvajanja svojih delovnih nalog. Z osebnimi podatki se lahko seznanijo zgolj tisti, ki to nujno potrebujejo za izvajanje svojih nalog. Vsak zaposleni pa je dolžan podatke varovati in jih ne sme obdelovati za noben drug namen (npr. nezakonito posredovati tretjim osebam). Več o tem lahko preberete v že izdanem mnenju št. 07121-1/2024/115 z dne 1. 2. 2024.

Nadalje pojasnjujemo, da lahko pri vašem delodajalcu uveljavljate pravico do seznanitve z lastnimi osebnimi podatki skladno s Splošno uredbo, ki je opredeljena v 15. členu Splošne uredbe.

Prvi odstavek 15. člena Splošne uredbe tako določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov ter naslednje informacije:

-namene obdelave;

-vrste zadevnih osebnih podatkov;

-uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;

-kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

-obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;

-pravico do vložitve pritožbe pri nadzornem organu;

-kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;

-obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz prvega in četrtega odstavka 22. člena, ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Skladno s tretjim odstavkom 15. člena Splošne uredbe mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotoviti tudi kopijo osebnih podatkov, ki jih obdeluje.

V konkretni zadevi lahko torej med drugim zahtevate informacijo, katerim uporabnikom ali kategorijam uporabnika, so bili ali jim bodo razkriti vaši osebni podatki. Kot smo že večkrat izpostavili v mnenjih, se zaposleni pri upravljavcu načeloma ne štejejo med uporabnike, glede katerih lahko posameznik prejme informacije o obdelavi podatkov. IP dodatno opozarja, da bi se posameznik lahko izjemoma seznanil z identiteto zaposlenih, če bi v konkretnem primeru zaposleni deloval izven okvira vodstva in navodil delodajalca (če bi torej prekoračil njegova navodila in s tem dejansko postal zunanji uporabnik), oz. če bi bile informacije o identiteti zaposlenih nujne za učinkovito uveljavljanje pravic posameznika (zlasti za preverjanje zakonitosti) in hkrati podaja teh informacij ne bi negativno vplivala na pravice in svoboščine zaposlenih. Navedeno mora upravljavec ugotavljati v konkretni situaciji glede na vse okoliščine.

Obrazec, ki ga lahko uporabite pri uveljavljanju svoje pravice je dostopen na https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ (Zahteva za seznanitev z lastnimi osebnimi podatki - obrazec SLOP). V kolikor bi bila vaša zahteva za seznanitev z lastnimi osebnimi podatki zavrnjena ali upravljavec nanjo ne bi odgovoril v enomesečnem roku, lahko pri IP podate pritožbo.[1]

Če boste na podlagi prejetih informacij s strani upravljavca ugotovili, da gre za nezakonito obdelavo vaših osebnih podatkov, lahko pri IP podate prijavo. Pri tem si lahko pomagate tudi z obrazcem "Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava)", ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo

[1]Več informacij o pravici do seznanitve z lastnimi osebnimi podatki in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/.