Obdelava rezultatov razvojnega projekta s strani članov uprave

Datum

06.03.2026

Številka

07121-1/2026/202

Kategorije

Delovna razmerja, Informiranje posameznika, Pravne podlage, Privolitev

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave rezultatov razvojnega kadrovskega projekta s strani članov uprave družbe. 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Delodajalec lahko osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Privolitev posameznika v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov mora biti podana v skladu z določili 7. člena Splošne uredbe, med drugim mora biti dana z jasnim pritrdilnim dejanjem, kar pomeni, da posameznik prostovoljno, specifično, ozaveščeno in nedvoumno izrazi privolitev v obdelavo osebnih podatkov v zvezi z njim.

IP poudarja, da je treba ločiti med osebnimi podatki, ki se vodijo na podlagi zakona (npr. v Evidenci o zaposlenih delavcih, ki se vodi na podlagi ZEPDSV), osebnimi podatki, katerih obdelava je potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, ter podatki, ki se vodijo na drugi pravni podlagi (v konkretnem primeru privolitvi).

Obdelava oziroma dostop do osebnih podatkov znotraj upravljavca (v konkretnem primeru delodajalca) je načeloma stvar odločitve vodstva ter posledično notranje organizacije upravljavca in ureditve v internih aktih. Če za posamezne zaposlene, izhajajoč iz pogodbe o zaposlitvi, internih navodil, notranje sistemizacije ali drugih internih aktov, izhaja, da za svoje delo v okviru pristojnosti delodajalca neizogibno potrebujejo dostop do določenih osebnih podatkov, potem je dopustno, da se jim ta dostop omogoči in da te svoje dostopne pravice dejansko izvršujejo v okviru svojih delovnih zadolžitev.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij, ocen ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti rešitve, ki ste jo opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.

IP splošno pojasnjuje, da mora upravljavec (v konkretnem primeru delodajalec) pred uvedbo posamezne rešitve presoditi dopustnost in sorazmernost obdelav osebnih podatkov, ki bodo obdelovani v njenem okviru. Vsaka obdelava osebnih podatkov mora potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

IP splošno pojasnjuje, da glede obdelave osebnih podatkov delavcev sicer veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmlS-A, 202/21 - odl. US, 15/22, 54/22 – ZUPŠ-1, 114/23, 136/23 – ZIUZDS, 70/25 – ZUTD-I; v nadaljevanju: ZDR-1) v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje ZDR-1 v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, zakaj je potrebna takšna obdelava osebnih podatkov delavca. Pri tem mora delodajalec v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Delodajalec mora torej paziti tudi na spoštovanje zasebnosti in dostojanstva delavca, odgovornost delodajalca pa narašča z intenzivnostjo posega v zasebnost. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati.

Ob tem IP posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

IP posebej poudarja, da je obdelava delavčevih osebnih podatkov na podlagi njegove osebne privolitve dopustna le izjemoma pod pogojem, da njena zavrnitev nima nikakršnih posledic na delovno razmerje oziroma na delavčev pravni položaj. Osebna privolitev v delovnih razmerjih torej je oziroma naj bo bolj izjema kot pravilo, saj je delodajalec v razmerju do delavca močnejša stranka in so možnosti za zlorabo tega instituta v delovnih razmerjih toliko večje. Tudi smernice Evropskega odbora za varstvo podatkov (EDPB) glede privolitve kot pravne podlage za obdelavo osebnih podatkov v delovnih razmerjih poudarjajo neprostovoljno naravo razmerja delavec - delodajalec, kar ovira veljavnost privolitve. Temeljni kriterij za dopustnost privolitve v delovnih razmerjih je po mnenju EDPB, da podaja ali zavrnitev privolitve za delavce nima nikakršnih negativnih posledic. Pri tem je treba upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, ki so določeni v 7. členu Splošne uredbe. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk ali kakršnakoli nedejavnost tako ne pomeni privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.

Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP:

https://www.ip-rs.si/?id=102

IP poudarja tudi, da je v vsakem primeru treba zagotoviti, da so posamezniki (v konkretnem primeru zaposleni) primerno obveščeni o vseh vidikih obdelave njihovih osebnih podatkov v skladu z določbami 13 (kadar se osebni podatki zbirajo neposredno od njih) oziroma 14. (kadar se osebni podatki zbirajo iz drugih virov) člena Splošne uredbe. To pomeni, da jim mora na jasen in pregleden način zagotoviti osnovne informacije v zvezi z obdelavo njihovih osebnih podatkov, na primer glede namenov, rokov hrambe, uporabnikov oziroma kategorijah uporabnikov, o pravicah, ki jim pripadajo itd. IP je za pomoč upravljavcem pri seznanjanju svojih uporabnikov/strank glede obdelave osebnih podatkov pripravil tudi vzorec obvestila, ki je dostopen na spletni strani IP:

Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe) ;

V skladu s temeljnim načelom zakonitosti, pravičnosti in preglednosti obdelave osebnih podatkov mora upravljavec osebne podatke, ki se obdelujejo na podlagi privolitve posameznika, obdelovati v skladu z informacijami, ki so bile podane posamezniku pred podajo privolitve.

IP poudarja, da je treba ločiti med osebnimi podatki, ki se vodijo na podlagi zakona (npr. v Evidenci o zaposlenih delavcih, ki se vodi na podlagi ZEPDSV), osebnimi podatki, katerih obdelava je potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, ter podatki, ki se vodijo na drugi pravni podlagi (v konkretnem primeru privolitvi). Gre namreč za različne zbirke osebnih podatkov, za katere lahko veljajo tudi različne obveznosti s področja varstva osebnih podatkov. V konkretnem primeru mora zato delodajalec kot upravljavec primarno razjasniti pravne podlage za posamezne obdelave osebnih podatkov ter namene, za katere se posamezni osebni podatki obdelujejo. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno torej vedno na upravljavcu osebnih podatkov. Upravljavec (v konkretnem primeru delodajalec) je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

IP pojasnjuje še, da je obdelava oziroma dostop do osebnih podatkov znotraj upravljavca (v konkretnem primeru delodajalca) načeloma stvar odločitve vodstva ter posledično notranje organizacije upravljavca in ureditve v internih aktih. Upravljavec osebnih podatkov mora pri obdelavi osebnih podatkov upoštevati temeljna načela iz 5. člena Splošne uredbe. V skladu z načelom najmanjšega obsega podatkov iz točke (e) tega člena mora biti obdelava osebnih podatkov (npr. dostopanje zaposlenih do osebnih podatkov) omejena na to, kar je potrebno za namene, za katere se ti podatki obdelujejo. To pomeni, da je pri določanju pravic dostopa treba vzeti v obzir naloge, naravo dela in delovne obveznosti posamičnega zaposlenega. Za posamezno vrsto osebnih podatkov je tako treba pretehtati, kateri izmed zaposlenih se morajo seznaniti s temi podatki glede na namene, za katere se obdelujejo. Če tako za posamezne zaposlene, izhajajoč iz pogodbe o zaposlitvi, internih navodil, notranje sistemizacije ali drugih internih aktov, izhaja, da za svoje delo v okviru pristojnosti delodajalca neizogibno potrebujejo dostop do določenih osebnih podatkov, potem je dopustno, da se jim ta dostop omogoči in da te svoje dostopne pravice dejansko izvršujejo v okviru svojih delovnih zadolžitev. Ob tem pa morajo seveda te podatke uporabljati zgolj za ta namen ter jih ne sme razkrivati oziroma z njimi seznanjati nepooblaščenih oseb. Tako bi se tudi v konkretnem primeru posamezni člani uprave načeloma lahko seznanili z rezultati testiranj, če je to potrebno za izvrševanje njihovih nalog in pooblastil, določenimi z zakonom oziroma  internimi akti družbe.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more presojati ustreznosti posameznih rešitev oziroma ravnanja posameznih zavezancev, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. 

Lepo vas pozdravljamo.

Pripravil

Matej Sironič,

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka