Konkretna opredelitev in ustreznost pravne podlage v konkretnem primeru

Datum

21.03.2024

Številka

07121-1/2024/322

Kategorije

Delovna razmerja, Razno, Zakoniti interesi

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem podrobno opisujete vaše razumevanje situacije, ko delodajalec za potrebe organizacije dela in komunikacije z delavcem obdeluje njegovo zasebno telefonsko številko. Dodatno opisujete tudi vaše razumevanje odnosa med obdelovalcem in upravljavcem osebnih podatkov in njunih medsebojnih dolžnosti glede obdelave osebnih podatkov. Glede konkretno izpostavljenih primerov iščete našo pomoč pri iskanju ustrezne pravne podlage za obdelavo osebnih podatkov pri obdelovalcu. Nagibate se k pravni podlagi zakonitih interesov po točki (f) prvega odstavka 6 člena Splošne uredbe.

V dopisu navajate, da ste seznanjeni z našimi mnenji in že izdanimi stališči (izdanimi priročniki, neobvezujočimi mnenji itd.) želite pa, da se izrecno opredelimo do vaših argumentov in razlage v konkretni situaciji. Napotitev na podana mnenja in stališča naj vam ne bi omogočila novih vpogledov, želite našo konkretno opredelitev.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

IP izven konkretnih inšpekcijskih postopkov ne sme in ne more preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP ne nudi storitve pregleda ali vnaprejšnje odobritve različnih rešitev ali obdelav, ki jih izvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi.

Presoja zakonitosti posameznih obdelav oziroma spoštovanje izvajanja zakonodaje s področja varstva osebnih podatkov se opravlja zgolj v postopku inšpekcijskega nadzora.

Obrazložitev

IP uvodoma poudarja, da lahko podaja zgolj nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage (npr. ali je podlaga zakonitih interesov ustrezna za konkretno opisano situacijo) ali namenov oziroma obsega obdelave osebnih podatkov (npr. obdelava zasebne telefonske številke delavca zaradi potrebe po organizaciji dela) v konkretnem primeru.

IP ne nudi storitve pregleda ali vnaprejšnje odobritve različnih rešitev ali obdelav, ki jih izvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretnih primerov, ki ste jih opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.

IP bi tovrstno presojo lahko opravil zgolj v okviru inšpekcijskega nadzora oziroma drugega upravnega postopka in ne okviru zadevnega splošnega mnenja. Razlog za to je med drugim v tem, da ne razpolagamo z vso relevantno dokumentacijo, okoliščinami in pravnimi podlagami konkretnega primera, zaradi česar bi lahko podali povsem napačno stališče. Presoja zakonitosti posameznih obdelav oziroma spoštovanje izvajanja zakonodaje s področja varstva osebnih podatkov se opravlja v postopku inšpekcijskega nadzora, v katerem so zagotovljene tudi vse varovalke in procesne pravice udeležencem postopka. Neobvezna mnenja IP torej niso namenjena presoji zakonitosti posameznih obdelav in ravnanj konkretnih upravljavcev, temveč podaji načelnih in splošnih stališč glede interpretacije določb zakonov, ki se nanašajo na varstvo osebnih podatkov. Ta stališča pa so, kot ugotavljate že sama, glede vaših vprašanj že podrobno opisana v naših že objavljenih mnenjih, smernicah in priročnikih. Mnenja IP lahko preberete na spletni povezavi: https://www.ip-rs.si/mnenja-zvop-2/, ta pa lahko iščete tudi glede na konkretno kategorijo, ki vas podrobnejše zanima (npr. delovna razmerja). Priročniki in smernice IP so na voljo na povezavi: https://www.ip-rs.si/publikacije/priročniki-in-smernice/

V zvezi s pravno podlago zakonitih interesov vas napotujemo, da si preberete zlasti naslednja naša mnenja:

-mnenje št. 07121-1/2023/1140 z dne 13. 9. 2023

-mnenje št. 07121-1/2023/1229 z dne 28. 9. 2023

V povezavi s testom tehtanja kot predpogojem za ustrezno uporabo pravne podlage zakonitih interesov še priporočamo, da si preberete mnenje Delovne skupine iz člena 29 št. 6/2014 o pojmu zakonitih interesov upravljavca podatkov iz člena 7 Direktive 95/46/ES, ki je deloma še vedno uporabno in je dostopno na povezavi https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_sl.pdf.

Ker pa je Splošna uredba okrepila položaj posameznikov, na katere se nanašajo osebni podatki, ter ker je Sodišče EU izdalo več sodb, v katerih je obrazložilo pravno podlago zakonitih interesov, Evropski odbor za varstvo podatkov pripravlja nove smernice, ki bodo navedeno mnenje nadgradile in posodobile. Ko bodo smernice na voljo, jih boste lahko našli na spletni strani Evropskega odbora za varstvo podatkov: https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_sl

IP sklepno poudarja, da je odgovornost za zakonito poslovanje in zagotavljanje skladnosti upravljavca s pravili varstva osebnih podatkov (npr. ustrezna obdelava osebnih podatkov delavcev, ustrezna ureditev razmerij med obdelovalcem in upravljavcem, obdelava osebnih podatkov na ustrezni pravni podlagi itd.) vedno na upravljavcu osebnih podatkov (temu, ki podatke obdeluje), ki mora biti to skladnost zmožen tudi dokazati. Kot že pojasnjeno pa IP izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more in ne sme podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov, kot velja tudi za druge inšpekcijske organe.

Glede na navedeno vas zato napotujemo na našo spletno stran, smernice in ostala gradiva, kjer smo skušali, na več mestih, podjetjem in drugim subjektom, kadar le ti obdelujejo osebne podatke, podati čim bolj enostavne in praktične informacije, ki bi vodile k sprejemu ustreznih ukrepov in takšnemu poslovanju, da bo obdelava osebnih podatkov skladna s predpisi varstva osebnih podatkov.

Z lepimi pozdravi,

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka