Izjema od informacij, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo

Datum

19.05.2025

Številka

07121-1/2025/605

Kategorije

Delovna razmerja, Informiranje posameznika, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje v katerem navajate, da ste od zaposlenega ustno pridobili podatek o predvidenem datumu izpolnitve pogojev za pridobitev pravice do starostne pokojnine (upokojitve). Sedaj pa boste kot delodajalec oddali tudi uradno zahtevo za pridobitev podatkov o datumu izpolnitve pogojev za pridobitev pravice do starostne pokojnine na podlagi tretjega odstavka 114. člena ZDR-1 na Zavod za pokojninsko in invalidsko zavarovanje Slovenije. Zanima vas ali ste dolžni o pridobitvi podatkov iz zbirke Zavoda za pokojninsko in invalidsko zavarovanje Slovenije obvestiti zaposlenega ali gre za izjemo, saj je pravna podlaga za takšno pridobitev podatkov določena v zakonodaji.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Kadar je pridobitev podatkov izrecno določena s pravom držav članice, ki velja za upravljavca in s katerim so določeni ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, upravljavec (delodajalec) zaposlenih ne rabi obveščati o informacijah, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo (14. člen Splošne uredbe o varstvu podatkov). Slednje mora glede na okoliščine konkretnega primera primarno preveriti upravljavec sam.

Obrazložitev:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

Splošna uredba v točki (c) petega odstavka 14. člena določa, da se odstavki od prvega do četrtega ne uporabljajo, kadar in koliko je pridobitev ali razkritje osebnih podatkov izrecno določeno s pravom Unije ali pravom države članice, ki velja za upravljavca in s katerim so določeni ustrezni ukrepi za zaščito zakonitih interesov.

Tretji odstavek 114. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13 s sprememb.) določa, da lahko delodajalec z namenom ugotavljanja izpolnjevanja pogojev iz prvega odstavka tega člena pridobi podatke iz zbirk Zavoda za pokojninsko in invalidsko zavarovanje Slovenije. Prvi odstavek tega člena določa, da delodajalec ne sme delavcu, ki je dopolnil starost 58 let ali delavcu, ki mu do izpolnitve pogojev za starostno upokojitev manjka do pet let pokojninske dobe, brez njegovega pisnega soglasja odpovedati pogodbe o zaposlitvi iz poslovnega razloga, dokler delavec ne izpolni pogojev za pridobitev pravice do starostne pokojnine.

Na podlagi načela odgovornosti je upravljavec odgovoren za skladnost s prvim odstavkom 5. člena Splošne uredbe in mora biti to skladnost tudi zmožen dokazati (drugi odstavek 5. člena Splošne uredbe). Izjema od obveznosti obveščanja posameznika, na katerega se nanašajo osebni podatki, s strani upravljavca, ki je določena v točki (c) petega odstavka 14. člena Splošne uredbe, se brez razlikovanja nanaša na vse osebne podatke, ki jih upravljavec ni pridobil neposredno od posameznika, na katerega se nanašajo osebni podatki, ne glede na to, ali je upravljavec te podatke pridobil od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki, ali pa jih je v okviru opravljanja svojih nalog ustvaril sam (enako na primer tudi Sodišče Evropske unije v zadevi št. C-169/23 z dne 28. novembra 2024).

Tako je upravljavec lahko oproščen obveznosti obveščanja, ki jo običajno ima do posameznika, na katerega se nanašajo osebni podatki, pod pogojem, da ima ta posameznik možnost izvajati nadzor nad svojimi osebnimi podatki in uveljavljati pravice, ki so mu podeljene s Splošno uredbo. Vendar pa mora biti raven varstva posameznika, na katerega se nanašajo osebni podatki, v zvezi z obdelavo njegovih osebnih podatkov vsaj enakovredna ravni iz prvega do četrtega odstavka 14. člena Splošne uredbe. Pri tem je potrebno upoštevati ali nacionalno pravo dovolj natančno opredeljuje različne vrste osebnih podatkov, ki se pridobijo ali razkrijejo, ter osebne podatke, ki jih mora ta upravljavec ustvariti v okviru opravljanja svojih nalog, in ali ta pravica določa, kako ima posameznik, na katerega se nanašajo osebni podatki, dejanski dostop do informacij iz prvega, drugega in četrtega odstavka 14. člena Splošne uredbe.

Glede pogoja ali so določeni ustrezni ukrepi za zaščito zakonitih interesov posameznika glede na konkretni primer pridobitve podatkov iz uradnih evidenc Zavoda za pokojninsko in invalidsko zavarovanje Slovenije tako pojasnjujemo, da nacionalna zakonodaja takšne ukrepe omogoča, pri tem pa opozarjamo, da se mora navedeno skladno z načelom odgovornosti upravljavca preveriti v vsakem konkretnem postopku posebej s strani upravljavca.

Lepo pozdravljeni,

Pripravila

Alenka Antloga, univ. dipl. pravnica državna nadzornica za varstvo podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka