Uporaba fotografij zaposlenih na identifikacijskih karticah

Datum

21.03.2023

Številka

07121-1/2023/386

Kategorije

Delovna razmerja, Fotografije kot OP, Privolitev, Zakoniti interesi

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje v zvezi z obdelavo fotografij zaposlenih in pogodbenikov zaradi njihove identifikacije. Upravljavec je vaša stranka, ki se ukvarja z igralniško dejavnostjo in ima v svojih internih aktih določeno, da zaposleni in osebe, ki opravljajo delo na podlagi civilne pogodbe, uporabljajo identifikacijske kartice, ki med drugimi vsebujejo tudi fotografijo zaposlenih oseb ter pogodbenikov. Kartice so namenjene predvsem za identifikacijo, ki je potrebna pri prehodih med enotami, za beleženje delovnega časa, za identifikacijo pri koriščenju malice, identifikacijo delavcev v igralništvu itd. Pojasnjujete, da je za vključitev fotografij na kartice zaposlenih v igralništvu, ki imajo licenco, pravna podlaga v Pravilniku o licencah za delo v dejavnosti prirejanja posebnih iger na srečo (Uradni list RS, št. 45/02, 77/02 in 109/12) in nas sprašujete glede zaposlenih, ki licence nimajo in drugih oseb, ki delo opravljajo na podlagi civilne pogodbe. Izpostavljate tudi, da je vključitev fotografije na karticah neprimerno manjši poseg v osebne podatke, kot vsakokratni pregled identifikacijskega dokumenta posameznika.

Sprašujete, ali je primerna podlaga za obdelavo fotografij zaposlenih 48. člen Zakona o delovnih razmerjih ter ali se fotografije drugih pogodbenikov (ter potencialno tudi zaposlenih) (kjer je to potrebno zaradi izvajanja nemotenega delovnega procesa) lahko vključijo na kartice na podlagi zakonitega interesa, saj je za vašo stranko nujno, da v določenih primerih (npr. prehodih med oddelki) zaradi varnosti preveri identifikacijo posameznikov. Opravili bi test sorazmernosti, v zvezi s katerim ste nam poslali kratek povzetek.

V primeru, da nobena od zgoraj navedenih podlag za obdelavo fotografij ni primerna, nas prosite za mnenje o tem, katera podlaga bi bila za obdelavo fotografij za namene, opredeljene zgoraj, najbolj primerna.

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da fotografija delavca na registracijski kartici delovnega časa načeloma ni potrebna za uresničevanje pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Le za nekatera delovna mesta je pod določenimi pogoji mogoč odstop od tega stališča npr., če določeno delovno področje oziroma proces zaradi svoje specifičnosti za varno in zanesljivo izvedbo delovnih nalog terja identifikacijo delavcev, za obdelavo osebnih podatkov v delovni proces vključenih subjektov. V ostalih primerih IP poudarja, da lahko fotografijo delavca načeloma natisnete na registracijsko kartico delovnega časa le na podlagi njegove privolitve.

Za osebe, ki sodelujejo z upravljavcem na podlagi pogodbe, bi lahko pravno podlago predstavljala sklenjena pogodba, eventualno zakoniti interesi če in v obsegu, v katerem so za to izpolnjeni pogoji ali pa privolitev posameznika. Končna presoja je na upravljavcu, IP bi se do konkretnega vprašanja lahko opredelil zgolj v inšpekcijskem postopku.

Obrazložitev

Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Pojasnjujemo, da mora za zakonito obdelavo osebnih podatkov obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe, npr.:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem opozarjamo, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

a) registracijske kartice s fotografijo zaposlenih oseb

V okviru delovnega razmerja je relevantna tudi določba prvega odstavka 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A, 202/21 – odl. US, 15/22 in 54/22 – ZUPŠ-1, ZDR-1), ki določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec mora glede na okoliščine natančno opredeliti, ali je objava določenih osebnih podatkov posameznega delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja. Upoštevati mora tudi t.i. načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

IP vam dokončnega odgovora v okviru nezavezujočega mnenja v zvezi z vašim vprašanjem ne more podati, zato vam podajamo nekaj usmeritev. Do podanega vprašanja bi se lahko dokončno opredelili zgolj v inšpekcijskem postopku. Na podobno vprašanje, kot je vaše, je IP v preteklosti že odgovarjal, recimo v mnenju št. 07121-1/2022/999 z dne 20. 9. 2022 (mnenja so dosegljiva s pomočjo iskalnika na www.ip-rs.si/vop). V mnenju smo poudarili, da fotografija delavca na registracijski kartici delovnega časa načeloma ni potrebna za uresničevanje pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Le za nekatera delovna mesta je pod določenimi pogoji mogoč odstop od tega stališča - tako smo npr. v mnenju št. 0712-1/2024/2719 izpostavili, da v primeru, če določeno delovno področje oziroma proces zaradi svoje specifičnosti za varno in zanesljivo izvedbo delovnih nalog terja identifikacijo delavcev, za obdelavo osebnih podatkov v delovni proces vključenih subjektov obstaja pravna podlaga po 48. členu ZDR-1. Ob tem je seveda treba upoštevati zgoraj citirano načelo najmanjšega obsega podatkov. V ostalih primerih IP poudarja, da lahko fotografijo delavca načeloma natisnete na registracijsko kartico delovnega časa le na podlagi njegove privolitve skladno s točko (a) prvega odstavka 6. člena Splošne uredbe.

Več o privolitvi in njenih obveznih sestavinah lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/. Ob tem opozarjamo, da je privolitev delavca oziroma zaposlenega kot pravna podlaga v delovnih razmerjih uporabljiva le izjemoma, saj je prostovoljnost podane privolitve lahko vprašljiva glede na to, da je delavec v delovnem razmerju praviloma šibkejša stranka. Če torej okoliščine delovnega razmerja ne terjajo objave fotografije oz. posnetka zaposlenega, se ga v to ne sme prisiliti, delavec pa pri tem ne sme trpeti nikakršnih škodljivih posledic za delovno razmerje, če privolitve ne poda.

Preden posamezniki izpolnijo obrazec s privolitvijo, morajo biti tudi podrobno informirani o obdelavi osebnih podatkov, kot to določa 13. člen Splošne uredbe. Tako morajo npr. prejeti informacije o namenih ter pravni podlagi za obdelavo osebnih podatkov; uporabnikih osebnih podatkov; obdobju hrambe osebnih podatkov; pravicah posameznika, itd. Več informacij glede obveščanja posameznikov je dostopnih na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov.

b) registracijske kartice s fotografijo oseb, ki opravljajo delo na podlagi civilne pogodbe

Izbor primerne pravne podlage za obdelavo osebnih podatkov je odgovornost upravljavca samega, na splošno pa pojasnjujemo, da bi v tem primeru pravno podlago lahko predstavljala sklenjena pogodba (točka (b) prvega odstavka 6. člena Splošne uredbe), eventualno zakoniti interesi (točka (f) prvega odstavka prvega člena Splošne uredbe) ali pa privolitev posameznika (točka (a) prvega odstavka 6. člena Splošne uredbe). Namreč, kot je navedeno zgoraj, je obdelava osebnih podatkov dopustna, kadar je obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe. Kot smo poudarili v mnenju št. 07121-1/2021/684 z dne 9. 4. 2021, je ta pravna podlaga ustrezna le, če je obdelava določenih osebnih podatkov objektivno potrebna za namen, ki je sestavni del pogodbene storitve. To pa ni preprosto ocena, kaj je dovoljeno na podlagi pogodbenih določb oziroma kaj je v njih zapisano. Upravljavec mora biti sposoben dokazati, da ne more izpolniti pogodbe, če ne pride do določene vrste obdelav osebnih podatkov. Pogodba torej ne more umetno razširiti kategorij osebnih podatkov ali vrste postopkov obdelave, ki jih upravljavec potrebuje za izvršitev pogodbe.

Na zakonite interese se lahko upravljavec sklicuje pod pogojem in v obsegu, če je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec, ali tretja oseba in če nad takimi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika. Vsekakor mora upravljavec pri določanju obsega obdelave osebnih podatkov upoštevati tudi zgoraj citirano načelo najmanjšega obsega podatkov. Dodatno pojasnjujemo, da mora biti zakoniti interes dejanski in prisoten v času obdelave (torej ne hipotetičen) ter jasno in natančno opredeljen. Nujnost obdelave zahteva povezavo med zakonitim interesom in se je ne sme razlagati preširoko. Prav tako je treba preučiti obstoj realnih in manj invazivnih alternativ, prav tako mora potrebnost obdelave zaradi zakonitih interesov tolmačiti v povezavi z legitimnimi interesi upravljavca in ne posameznika.

Ob tehtanju interesov mora upravljavec opraviti oceno tveganja vdora v pravice posameznikov (oceniti mora verjetnost nastanka in resnost posledic oz. intenzivnost posega v pravice in svoboščine npr. glede na: vrste osebnih podatkov, obseg obdelave, število posameznikov, okoliščine obdelave, dejanska pričakovanja posameznikov, obstoj alternativnih ukrepov za dosego namena ter tudi razumna pričakovanja posameznikov). Upoštevati je treba tudi načelo transparentnosti (ali so bile posameznikom podane ustrezne informacije, da je lahko razumno pričakoval posledice obdelave).

Kot namen navajate identifikacijo posameznikov pri prehodu med enotami, koriščenju malice, identifikacijo posameznikov, ki opravljajo delo v igralništvu, predvsem pa lažjo opravo identifikacije. Navajate, da gre pri tem za nesorazmeren trud osebe, ki izvaja identifikacijo in bi uporaba fotografije predstavljala manj invaziven poseg v pravice posameznika, kot če bi pooblaščena oseba vpogledovala v osebne dokumente. V zvezi lažjo opravo identifikacije izpostavljamo določbo prvega odstavka 94. člena ZVOP-2, ki določa da sme upravljavec za namen identifikacije posameznika ali za namen zagotavljanja točnosti in posodobljenosti osebnih podatkov vpogledati v njegove uradne identifikacijske dokumente. Pravica do vpogleda v identifikacijske dokumente obstaja že na podlagi ZVOP-2, kar pomeni da takšen vpogled sam po sebi ne more predstavljati invazivnega posega v pravice posameznikov. Predlagamo, da preučite, katera delovna mesta so zaradi narave dela taka, da je npr. zaradi varnostnih razlogov pri določenih prehodih nujno potrebna identifikacija oseb na način, da se na kartici uporabi tudi fotografija posameznika. Priporočamo tudi, da upoštevate vse izpostavljene vidike in konkretne okoliščine, npr. da ocenite, ali zadošča že samo imetništvo kartice, da oseba, ki opravlja preverjanje zaposlenih in pogodbenikov, osebe verjetno že pozna in ji ne bo treba vsakič opravljati identifikacije posameznikov, itd. V primeru, da je bistvo zakonitega interesa v dejstvu, da je postopek pregleda lažji za posameznika vam predlagamo, da pridobite posameznikovo privolitev in pri tem upoštevate zgoraj podana napotila.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo