Posredovanje podatkov o izplačilu plač v zvezi s subsidiarno odgovornostjo pogodbenika

Datum

15.12.2023

Številka

07121-1/2023/1577

Kategorije

Delovna razmerja

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da novi 141.a člen Zakona o delovnih razmerjih (v nadaljevanju ZDR-1) določa subsidiarno odgovornost neposrednega sopogodbenika podizvajalca za terjatve, ki jih imajo delavci iz naslova izplačila plače za delo do podizvajalca kot svojega delodajalca, in sicer na področju gradbene dejavnosti. Sprašujete se, kako lahko subsidiarno odgovorni sopogodbenik ugotovi, ali je oziroma bo nastala njegova odgovornost in svojo izpostavljenost ustrezno zavaruje ali omeji. V praksi bi bila lahko ena od rešitev, da bi moral podizvajalec subsidiarno odgovornemu sopogodbeniku tekom trajanja pogodbenega razmerja periodično pošiljati kopije potrdil o nakazilu plač konkretnim delavcem. Tako bi se zmanjšala negotovost subsidiarno odgovornega sopogodbenika, kajti sicer lahko takšna negotovost traja kar pet let, kot traja zastaralni rok za tovrstne terjatve. Pravno podlago za to vidite denimo v točki (f) prvega odstavka 6. člena Splošne uredbe, alternativno pa v soglasju delavcev – točki (a) prvega odstavka 6. člena.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da je določena izmenjava podatkov in informacij o morebitnih terjatvah v opisanih okoliščinah lahko utemeljena, saj brez določenih podatkov subsidiarno odgovorni pogodbenik ne more učinkovito izvajanje svoje dejavnosti, kar vključuje tudi finančno načrtovanje bodočih (morebitnih) obveznosti. Vendar pa je vprašanje obsega podatkov in periodike njihovega sporočanja močno povezana z uporabo načela sorazmernosti oziroma načela najmanjšega obsega podatkov. To načelo se uporabi skozi celotno analizo obstoja pravne podlage po točki (f) prvega odstavka 6. člena Splošne uredbe – obdelava na podlagi zakonitih interesov upravljavca ali tretje osebe.

Bistvenega pomena je, da upravljavec premisli in zapiše vse faze in elemente tehtanja interesov po točki (f) prvega odstavka 6. člena Splošne uredbe, saj načelo odgovornosti pomeni, da je upravljavec sposoben dokazati zakonitost obdelave osebnih podatkov.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Kot navajate v vašem zaprosilu za mnenje, iz 141.a člena ZDR-1 izhaja subsidiarna odgovornost neposrednega pogodbenika tistega podizvajalca, ki v zvezi z izvajanjem storitev v okviru gradbene dejavnosti ne izplača plače delavcem v skladu z določili ZDR-1. Bolj preprosto – glavni izvajalec odda izvajanje (dela) storitve podizvajalcu, slednji pa ima za opravljanje storitve zaposlene delavce. Če takšen podizvajalec ne izplača svojim delavcem plač v skladu z ZDR-1, namesto njega za izplačilo plač odgovarja pogodbenik, katerega neposredni podizvajalec je delodajalec.

IP meni, da lahko že uvodoma potrdimo, da pravna podlaga v točki (a) prvega odstavka 6. člena ne bo primerna, kajti svobodnost privolitve delavca bi bila v opisanem kontekstu resnično vprašljiva.

Na drugi strani pa bi bilo treba v kontekstu pravne podlage iz točke (f) prvega odstavka 6. člena predhodno in skozi celoten proces preverjanja zakonitosti obdelave ugotoviti, ali in v kakšnih okoliščinah bi bilo sporočanje osebnih podatkov delavcev v povezavi z izplačili njihovih plač subsidiarno odgovornemu pogodbeniku skladno z načelom najmanjšega obsega podatkov (točka (c) prvega odstavka 5. člena Splošne uredbe.

IP sicer meni, da je določena izmenjava podatkov in informacij o morebitnih terjatvah v opisanih okoliščinah lahko utemeljena. Če subsidiarno odgovoren pogodbenik ne bi vedel, da bo v času zastaralnega roka terjatev lahko subsidiarno odgovarjal za zneske neizplačanih plač delodajalca, bi mu to onemogočilo učinkovito izvajanje svoje dejavnosti, kar vključuje tudi finančno načrtovanje bodočih (morebitnih) obveznosti. Popolnoma brez informacij subsidiarno odgovorni pogodbenik po mnenju IP ne more ostati.

Vendar se v konkretnem primeru zastavlja vprašanje, kakšno naj bi bilo poročanje teh podatkov – tako v smislu obsega podatkov kot periodike sporočanja. Gre za vprašanje sorazmernosti obdelave osebnih podatkov oziroma najmanjšega obsega podatkov. Mesečno poročanje o izplačilu plače za vsakega delavca posebej morda ni nujno potrebno za namen, zaradi katerega bi se podatke sporočalo. Prav tako se je treba vprašati, ali in katere osebne podatke delavcev sploh potrebuje subsidiarno odgovorni pogodbenik. Morda sploh ne potrebuje imen in priimkov delavcev, ampak le verodostojne informacije o tem, da so bile plače določenega števila delavcev, za katere velja subsidiarna odgovornost, izplačane. IP sicer konkretno na ta vprašanja ne more odgovoriti v mnenju, služijo pa kot usmeritev pri načrtovanju morebitne obdelave osebnih podatkov.

Poleg samih načel glede obdelave osebnih podatkov, posebej načela najmanjšega obsega podatkov, je treba natančno analizirati vse elemente pravne podlage iz točke (f) prvega odstavka 6. člena. V navedeni določbi je opredeljeno, da je obdelava osebnih podatkov zakonita, če je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Da bi se upravljavec lahko zanašal na pravno podlago iz točke (f) prvega odstavka 6. člena Splošne uredbe, morajo biti torej podani trije kumulativni pogoji:

(1)interes upravljavca ali tretje osebe mora biti zakonit (pri čemer je možno za pomoč pri interpretaciji uporabiti tudi na angleško različico, ki uporablja besedo "legitimen"), takšen interes pa mora biti jasno izražen, resničen in obstoječ ter utemeljen na nacionalnem pravu ali pravnih načelih;

(2)obdelava mora biti nujna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec;

(3)interesi ali temeljne pravice in svoboščine posameznika ne prevladajo nad interesi upravljavca ali tretje osebe. Na tem mestu je potrebno izvesti test tehtanja med interesi upravljavca in interesi ali temeljnimi pravicami in svoboščinami posameznika.

Koristno se je ozreti tudi na uvodno določbo (47) Splošne uredbe, ki govori v tem, da je bi bila v vsakem primeru za ugotovitev obstoja zakonitega interesa potrebna skrbna ocena, tudi glede tega, ali posameznik, na katerega se nanašajo osebni podatki, lahko v času zbiranja osebnih podatkov in v njegovem okviru razumno pričakuje, da se bodo ti obdelali v zadevni namen. Interesi in temeljne pravice posameznika, na katerega se nanašajo osebni podatki, bi zlasti lahko prevladali nad interesi upravljavca podatkov, kadar se osebni podatki obdelujejo v okoliščinah, ko posamezniki, na katere se nanašajo osebni podatki, razumno ne pričakujejo nadaljnje obdelave. […]

Posebej v zvezi z zgoraj izpostavljeno točko 2 (obdelava mora biti nujna za doseganje zakonitega interesa) morate ugotoviti, ali in kakšna obdelava je nujna za doseganje zakonitega interesa. Ali je torej resnično potrebno posredovanje imen in priimkov delavcev? Kako pogosto je "nujno" posredovati osebne podatke?

Glede točke 3 (test tehtanja med interesi, pravicami in svoboščinami posameznika na eni strani in interesi upravljavca ali tretje osebe na drugi strani) je treba izpostaviti, da bi moral upravljavec zelo natančno opraviti to tehtanje in ga tudi pisno zabeležiti, kajti le na tak način je mogoče dokazati obstoj pravne podlage iz točke (f) prvega odstavka 6. člena Splošne uredbe. Navedena obveznost izhaja iz načela odgovornosti upravljavca, zapisanega v drugem odstavku 5. člena Splošne uredbe, ki določa, da je upravljavec odgovoren za skladnost z načeli obdelave (npr. tudi načelom zakonitosti) in je to skladnost tudi zmožen dokazati. Tehtanje med drugim pomeni, da se identificirajo vsa tveganja za interese, pravice in svoboščine posameznika na eni strani, ter interesi upravljavca ali tretje osebe na drugi strani, nato pa se opravi obrazložena ocena, kateri od interesov (in/ali pravic in svoboščin) prevlada in zakaj. Ugotoviti je seveda treba, da so delavci vsekakor zainteresirani za izplačilo plače skladno z določbami ZDR-1 in imajo v zvezi s tem tudi interes glede izvršitve določbe o subsidiarni odgovornosti pogodbenika njihovega delodajalca, če oziroma kadar pride v poštev. Identificirati pa je treba tudi morebitna tveganja in druge interese ter jih, kot navedeno, tudi zapisati in prevlado interesov ena ali druge "strani" tudi pisno utemeljiti.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov