Dostop z identifikacijskimi karticami

Datum

16.03.2026

Številka

07121-1/2026/242

Kategorije

Delovna razmerja, Fotografije kot OP, Pravne podlage, Zakoniti interesi

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede dostopa do gradbišča z identifikacijskimi karticami.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven nadzornih ali drugih upravnih postopkov presojati konkretnih obdelav osebnih podatkov.

Delodajalec lahko osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Za identifikacijo delavcev, ki so v delovnem razmerju in delavcev, ki jih k vam napotijo pogodbeni partnerji, je potrebna ustrezna pravna podlaga.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP zato ne more konkretno odgovarjati na vprašanja iz vašega zaprosila za mnenje, ampak v nadaljevanju podaja splošna pojasnila.

Kot je IP že pojasnil v mnenju št. 07121-1/2024/881, delodajalec lahko osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Fotografija delavca na identifikacijski kartici načeloma za prej navedeno ni potrebna, razen če določeno delovno področje oziroma proces zaradi svoje specifičnosti za varno in zanesljivo izvedbo delovnih nalog terja identifikacijo delavcev (več o tem si lahko preberete v mnenju št. 0712-1/2014/2719). Pri tem velja opozoriti, da je treba, če gre v primeru fotografij za obdelavo biometričnih osebnih podatkov, upoštevati omejitve in obveznosti po 81. in 83. členu ZVOP-2 (več o tem si lahko preberete na: Ureditev biometrijskih ukrepov po ZVOP-2), med katere med drugim v zasebnem sektorju sodi tudi prijava biometrijskih ukrepov IP in možnost njihovega izvajanja šele po prejemu pozitivne odločbe IP.

IP poudarja (to izhaja tudi iz navedenih mnenj), da je za identifikacijo delavcev, ki so v delovnem razmerju in delavcev, ki jih k vam napotijo pogodbeni partnerji, potrebna ustrezna pravna podlaga - npr. 48. člen Zakona o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmlS-A, 202/21 - odl. US, 15/22, 54/22 – ZUPŠ-1, 114/23, 136/23 – ZIUZDS, 70/25 – ZUTD-I). Izbor ustrezne pravne podlage je odgovornost upravljavca.

V zvezi z zagotavljanjem ustrezne pravne podlage za obdelavo osebnih podatkov na podlagi zakonitih interesov je posebej pomembno, da upravljavec - preden pride do obdelave osebnih podatkov posameznikov - na podlagi okoliščin posameznega primera obdelave osebnih podatkov izvede t.i. predhodni test tehtanja, s katerim oceni, ali so izpolnjeni pogoji za uporabo zakonitega interesa kot ustrezne pravne podlage. S takšnim testom, ki mora biti zaradi namenov dokazovanja v pisni obliki, upravljavec znotraj svojih procesov presoja, ali so nameni, za katere si prizadeva, zakoniti, ali je obdelava podatkov primerna in nujna za doseganje teh namenov ter ali obstaja ravnovesje med zasledovanim ciljem na eni strani in posegom v pravice in svoboščine posameznikov na drugi. Za uporabo pravne podlage iz točke (f) prvega odstavka 6. člena Splošne uredbe morajo biti torej podani trije kumulativni pogoji:

-interes upravljavca mora biti zakonit oz. legitimen (torej upravičen, sprejemljiv, osnovan na zakonu), takšen interes pa mora biti jasno izražen, resničen in obstoječ ter utemeljen na nacionalnem pravu ali pravnih načelih;

-obdelava mora biti nujna in potrebna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec (ali omenjena obdelava v čim manjši meri vpliva na oz. ogroža pravico posameznikov do varstva osebnih podatkov). Taka obdelava je nujna, če ni nobenega drugega ukrepa, ki bi isti cilj dosegel z manjšim vplivom na pravico do varstva osebnih podatkov;

-interesi ali temeljne pravice in svoboščine posameznika ne prevladajo nad interesi upravljavca. Na tem mestu je potrebno izvesti test tehtanja med interesi upravljavca in interesi ali temeljnimi pravicami in svoboščinami posameznika (v tem kontekstu potrebno pretehtati tudi okvir razumnih pričakovanj posameznikov). Pri tehtanju prevladujočih interesov (v povezavi z oceno tveganja) je treba absolutno upoštevati tudi načelo transparentnosti (ali so bile posameznikom podane ustrezne informacije, da je lahko razumno pričakoval posledice obdelave) in sorazmernosti (npr. ali so bili sprejeti ustrezni zaščitni ukrepi).

IP sklepno povzema, da je za vsako obdelavo osebnih podatkov treba torej najprej zagotoviti ustrezno pravno podlago. Izbor ustrezne pravne podlage za posamezno obdelavo je stvar ocene konkretnih okoliščin, odgovornost za izbiro pa nosi upravljavec. Prav tako mora upravljavec poskrbeti za ustrezno zavarovanje osebnih podatkov v skladu s 24. in 32. členom Splošne uredbe in jih obdelovati v skladu s temeljnimi načeli varstva osebnih podatkov.

Glede na vsebino zastavljenega vprašanja vas IP dodatno napotuje tudi na Smernice glede biometrije po ZVOP-2 in smernice Varstvo osebnih podatkov v delovnih razmerjih.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka