Registracija delovnega časa in dnevnik obdelav

Datum

28.09.2023

Številka

07121-1/2023/1225

Kategorije

Delovna razmerja

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem nas prosite za nasvet v povezavi z registracijo delovnega časa. Zanima vas, ali ste dolžni glede registracije delovnega časa voditi evidenco sledljivosti v smislu dnevnika obdelav po 22. členu ZVOP-2. Pojasnjujete, da se v vašem podjetju osebje ob prihodu in odhodu na delo prijavi na registratorju, preko katerega kot delodajalec vidite delovni čas. Referent v podjetju, ki ureja delovne ure ima dostop oz. vpogled do prijav in odjav, v katerih vidi ime in priimek delavca, ki se je prijavil ter njegov čas odhoda in prihoda. Zanima vas torej, ali je v tem primeru potrebno za takšno dejanje voditi dnevnik po 22. členu ZVOP-a in sledljivost sprememb.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Dnevnik obdelav ste v opisanem primeru dolžni voditi, če gre za redno in sistematično spremljanje posameznikov. IP vam sicer ne more z gotovostjo v mnenju zagotoviti, ali ste dolžni ali niste dolžni voditi dnevnika obdelav za registracijo delovnega časa, vendar vam to vsekakor svetujemo. V nasprotnem primeru je dokazovanje zakonitosti obdelave osebnih podatkov, ki ste jo v vsakem primeru dolžni zagotoviti, zelo otežena.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Prvi odstavek 22. člena ZVOP-2 opredeljuje, kdaj nastopi obveznost vodenja dnevnika obdelav, in sicer, »kadar se v avtomatiziranih sistemih obdelave osebnih podatkov izvajajo obsežne obdelave posebnih vrst osebnih podatkov, ali kadar gre za redno in sistematično spremljanje posameznikov, ali kadar je z oceno učinka ugotovljeno tveganje, ki ga je mogoče učinkovito upravljati z vodenjem dnevnika obdelave, ali če tako določa zakon.«

V vašem primeru bi obveznost vodenja dnevnika obdelav nastopila predvsem, če bi bilo registracijo delovnega časa razumeti v smislu »rednega in sistematičnega spremljanja posameznikov«. Praksa na tem področju, zaradi katere bi bilo mogoče z gotovostjo trditi, da gre pri registraciji delovnega časa za redno in sistematično spremljanje posameznikov, še ni razvita oziroma ustaljena, zato vam dokončnega odgovora ne moremo podati. Prav tako v mnenju ne bi mogli z gotovostjo trditi, kakšne so vaše konkreten obveznosti v opisanem primeru, saj IP v mnenju ne more komentirati posameznih obdelav osebnih podatkov.

Evidenca izrabe delovnega časa se sicer vodi v skladu z Zakonom o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06 in 50/23; v nadaljevanju ZEPDSV). Ta v 19. členu določa, da se evidenca o izrabi delovnega časa začne za posameznega delavca voditi z dnem, ko sklene pogodbo o zaposlitvi, preneha pa z dnem, ko mu preneha pogodba o zaposlitvi. 18. člen omenjenega zakona pa določa vsebino omenjene evidence, in sicer delodajalec »dnevno« vpisuje v evidenco o izrabi delovnega časa za posameznega delavca točno določene podatke. Pri vsebini evidence o izrabi delovnega časa želimo opozoriti na spremembo 18. člena ZEPDSV, ki je opredelila širši nabor podatkov, ki jih obvezno vodi delodajalec, kar vam svetujemo, da si ogledate in ustrezno upoštevate. Novela zakona, ki je prinesla to spremembo, je že začela veljati, uporabljati pa se začne v začetku novembra 2023.

Ne glede na to, da vam ne moremo konkretno odgovoriti na vaše vprašanje, IP meni, da imajo sodobni registratorji delovnega časa ter njihovi zaledni sistemi že samodejno na voljo t.i. revizijsko sled, v kateri se beležijo vpogledi in spremembe podatkov. Dnevnik obdelav v smislu 22. člena ZVOP-2 mora sicer vsebovati podatke o naslednjih dejanjih obdelave osebnih podatkov:

1.zbiranje;

2.spreminjanje;

3.vpogled;

4.razkritje, vključno s prenosi;

5.izbris;

6.druga dejanja obdelave, ki jih določa zakon.

Za zgoraj našteta dejanja obdelave, mora dnevnik obdelav vsebovati: vrsto dejanja obdelave, datum in čas obdelave, identifikacijo osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov, da je mogoče naknadno ugotoviti točno identiteto teh oseb. Dodatne vsebine dnevnika obdelave lahko določi upravljavec ob upoštevanju ocene učinka.

IP svetuje, da v vsakem primeru za elektronsko registracijo delovnega časa vzpostavite dnevnik obdelav v smislu 22. člena ZVOP-2.

Pojasnjujemo še, da je namen vodenja dnevnikov obdelave predvsem o tem, da se zagotavlja notranjo sledljivost obdelav osebnih podatkov, ki omogočajo kasnejšo analizo v primeru ugotavljanja zakonitosti obdelave, zagotavljanje celovitosti in varnosti podatkov ter za odpravljanje napak v delovanju informacijskega sistema (tako na primer tudi zakonodajalec pri obrazložitvi člena o vodenju dnevnikov obdelav). Da bi bili torej zmožni dokazati zakonitost obdelave osebnih podatkov, kar ste po določbah Splošne uredbe in ZVOP-2 vsekakor dolžni, je dnevnik obdelav ključno orodje, ki omogoča in olajša takšno dokazovanje.

Obenem pojasnjujemo, da je »dnevnik obdelav« ločen od obveznosti vodenja »evidence dejavnosti obdelave« iz 30. člena Splošne uredbe o varstvu podatkov, ki je obvezen dokument, ki ga morajo voditi upravljavci osebnih podatkov, z namenom da dokažejo svojo skladnost s predpisi na področju varstva osebnih podatkov. Evidenca dejavnosti obdelav tako vsebuje informacije o upravljavcu in pooblaščeni osebi za varstvo osebnih podatkov; namenih obdelave osebnih podatkov; opisu kategorij posameznikov, na katere se osebni podatki nanašajo; vrstah osebnih podatkov; kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebnih podatkov; rokih; splošnem opisu tehničnih in organizacijskih varnostnih ukrepov in druge informacije, ki jih zahteva 1. odstavek 30. člena Splošne uredbe.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov