Zahteva za izbris OP

Datum

07.06.2023

Številka

07121-1/2023/741

Kategorije

Pravica do izbrisa - pozabe, Pravne podlage, Delovna razmerja

Pri Informacijskem pooblaščencu (IP) smo 2. 6. 2023 prejeli vaše zaprosilo za mnenje glede zahteve za izbris vaših osebnih podatkov pri potencialnem delodajalcu. V dopisu navajate, da ste s strani delodajalca, pri katerem ste se prijavili na delovno mesto, 17. 5. 2023 prejeli obvestilo o zaključku razpisa brez izbire kandidata za delovno mesto. Nadalje razlagate, da ste še isti dan dotičnemu delodajalcu poslali zahtevo za izbris osebnih podatkov oziroma vloge za razpisano delovno mesto iz vseh evidenc in seznamov, vendar potrdila o izbrisu do 2. 6. 2023 niste prejeli. Zanima vas, kako je z rokom za izbris podatkov (menite namreč, da je rok za odgovor že potekel, saj je minilo več kot 15 dni), ter dodajate, da gre po vašem mnenju za kršitev varstva osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pravico do izbrisa oziroma pozabe ureja 17. člen Splošne uredbe o varstvu podatkov, in sicer določa, da ima posameznik pravico od upravljavca zahtevati, da brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim.

Glede roka za odgovor IP pojasnjuje, da mora upravljavec posamezniku zagotoviti informacije o ukrepih brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve (ta rok se lahko po potrebi podaljša za največ dva dodatna meseca). V primeru, da upravljavec ne ukrepa na zahtevo, mora najpozneje v enem mesecu po prejemu zahteve posameznika obvestiti o razlogih za neukrepanje ter o možnosti vložitve pritožbe pri nadzornem organu in možnosti uveljavljanja pravnih sredstev.

Obrazložitev

Uvodoma pojasnjujemo, da je IP na področju pravice do pozabe oz. izbrisa osebnih podatkov pritožbeni organ, kar pomeni, da v okviru neobveznega mnenja ne more in ne sme zavzemati konkretnih stališč, ali bi vam v konkretnem primeru pripadala pravica do pozabe oz. izbrisa ali ne. V nadaljevanju vam zato zgolj neformalno svetujemo, na podlagi naše dosedanje prakse na področju.

Pravico do izbrisa oziroma do pozabe ureja 17. člen Splošne uredbe o varstvu podatkov. Ta določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

·osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;

·posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;

·posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);

·osebni podatki so bili obdelani nezakonito;

·osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;

·osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).

Ob tem IP opozarja, da pravica do izbrisa ni neomejena. Posameznik se po tretjem odstavku 17. člena Splošne uredbe ne more sklicevati na pravico do izbrisa, če je obdelava potrebna:

·za uresničevanje pravice do svobode izražanja in obveščanja;

·za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;

·iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);

·za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 9(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali

·za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

V vaši konkretni situaciji pa pridejo v poštev tudi določbe Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s sprem. in dop.; ZDR-1), ki kot področni zakon ureja tudi varstvo osebnih podatkov delavcev in kandidatov. Po 48. členu ZDR-1 se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku istega člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati. Te določbe veljajo tako za osebne podatke delavcev kot tudi za osebne podatke kandidatov.

Pravice neizbranih kandidatov ureja 30. člen ZDR-1, in sicer v tretjem odstavku določa, da je delodajalec dolžan neizbranemu kandidatu na njegovo zahtevo vrniti vse dokumente, ki mu jih je predložil kot dokaz za izpolnjevanje zahtevanih pogojev za opravljanje dela. Če kandidat vrnitve dokumentov ne zahteva, jih je delodajalec dolžan izbrisati, uničiti oziroma anonimizirati, in sicer najkasneje po izteku roka za vložitev pravnega sredstva, če pravno sredstvo ni bilo vloženo. Zaradi uresničevanja pravic neizbranih kandidatov do pritožbe je namreč treba osebne podatke vseh kandidatov, ki so se prijavili na določen razpis oz. javni natečaj, hraniti do poteka pritožbenega roka. To ureja 5. odstavek 200. člena ZDR-1, in sicer določa, da lahko neizbrani kandidat, ki meni, da je bila pri izbiri kršena zakonska prepoved diskriminacije, v roku 30 dni po prejemu obvestila delodajalca zahteva sodno varstvo pred pristojnim delovnim sodiščem.

IP ob tem opozarja, da v primeru zahteve za posredovanje dokumentacije s strani neizbranega kandidata po 30. členu ZDR-1 ni pritožbeni organ. Za nadzor nad izvajanjem ZDR-1 je pristojen Inšpektorat za delo, kamor lahko naslovite pritožbo, če vam potencialni delodajalec ni vrnil dokumentacije (po izteku roka za vložitev pravnega sredstva).

Pri IP lahko vložite pritožbo le, če gre za zahtevo v okviru pravic po določbah Splošne uredbe (členi 15 do 22), kamor spada tudi zahteva za izbris po 17. členu. V tem primeru morate pravico predhodno uveljavljati pri upravljavcu vaših osebnih podatkov (v vašem primeru torej pri potencialnem delodajalcu), če pa vam ta v predpisanem roku ne odgovori ali vašo zahtevo zavrne, lahko pri IP kot pritožbenem organu vložite pritožbo.

IP glede roka za odgovor na zahtevo za izbris po 17. členu Splošne uredbe pojasnjuje, da mora upravljavec po 3. točki 12. člena Splošne uredbe posamezniku zagotoviti informacije o ukrepih, sprejetih na zahtevo v skladu s členi 15 do 22 (pravico do izbrisa ureja člen 17), brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev. Upravljavec obvesti posameznika, na katerega se nanašajo osebni podatki, o vsakem takem podaljšanju v enem mesecu po prejemu zahteve skupaj z razlogi za zamudo.

Nadalje 4. točka 12. člena Splošne uredbe določa, da če upravljavec ne ukrepa na zahtevo, mora najpozneje v enem mesecu po prejemu zahteve posameznika obvestiti o razlogih za neukrepanje ter o možnosti vložitve pritožbe pri nadzornem organu in možnosti uveljavljanja pravnih sredstev.

IP sklepno povzema, da v kolikor upravljavec na zahtevo za seznanitev ali izbris po 17. členu ne odgovori v enomesečnem roku, lahko posameznik pri IP kot pritožbenem organu vloži pritožbo. Pritožba pri IP je mogoča tudi zoper zavrnilni odgovor upravljavca, vložiti pa jo je treba v roku 15 dneh od prejema zavrnilnega odgovora upravljavca. V kolikor pa se odločite uveljavljati pravice neizbranega kandidata po ZDR-1, IP ni pristojen pritožbeni organ, zato vam svetujemo, da se obrnete na Inšpektorat za delo.

V upanju, da smo vam pomagali, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka