Praktični napotki vezani na varstvo osebnih podatkov pri zaposlovanju delavca
V praksi se je pojavila potreba po pripravi smernic o varstvu osebnih podatkov (v nadaljevanju: OP) v delovnih razmerjih. Zakonske določbe, ki se nanašajo na varstvo OP v tovrstnih razmerjih, so poleg običajnih zahtev za varstvo OP še toliko bolj pomembne, saj je delavec v razmerju do delodajalca šibkejša stranka in potrebuje določeno mero zaščite, zato je to področje specialno urejeno tudi v drugih zakonih.
S tem namenom je Informacijski pooblaščenec (v nadaljevanju: Pooblaščenec) podal skupne praktične napotke za upravljavce zbirk osebnih podatkov (OP) na jasen, razumljiv in uporaben način in s tem odgovoriti na najpogosteje zastavljena vprašanja s področja varstva osebnih podatkov, s katerimi se srečujejo posamezni upravljavci zbirk OP. S pomočjo smernic naj bi upravljavci dobili priporočila, kako naj v praksi zadostijo zahtevam Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo; v nadaljevanju ZVOP-1-UPB1).
V nadaljevanju vam predstavljamo nekaj praktičnih napotkov vezanih na zaposlovanje delavcev.
1. Vprašanje: Ali kandidat za zaposlitev lahko vpogleda v rezultate svojih testov, ki jih je opravljal v postopku selekcije med prijavljenimi kandidati?
Odgovor: Rezultati testov, pridobljeni v okviru razpisa, ki jih je naredil delodajalec v okviru izbirnega postopka, predstavljajo zbirko osebnih podatkov, ki se nanaša na posameznega kandidata za zaposlitev, delodajalec, ki to zbirko vodi, pa predstavlja upravljavca osebnih podatkov v smislu 6. točke prvega odstavka 6. člena ZVOP-1-UPB1. Po 30. členu ZVOP-1-UPB1 ima kandidat za zaposlitev pravico do vpogleda v rezultate testa pri delodajalcu, pri katerem je opravljal test, in sicer na način in po postopku iz 31. člena ZVOP-1-UPB1.
V skladu s 30. členom ZVOP-1-UPB1 mora delodajalec kot upravljavec osebnih podatkov kandidatu za zaposlitev na njegovo zahtevo:
-
omogočiti vpogled v katalog zbirke osebnih podatkov;
-
potrditi, ali se podatki v zvezi z njim obdelujejo ali ne, in mu omogočiti vpogled v osebne podatke, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj, ter njihovo prepisovanje ali kopiranje;
-
posredovati izpis osebnih podatkov, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj;
-
posredovati seznam uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen;
-
dati informacijo o virih, na katerih temeljijo zapisi, ki jih o posamezniku vsebuje zbirka osebnih podatkov, in o metodi obdelave;
-
dati informacije o namenu obdelave in vrsti osebnih podatkov, ki se obdelujejo, ter vsa potrebna pojasnila v zvezi s tem;
-
pojasniti tehnične oziroma logično-tehnične postopke odločanja, če izvaja avtomatizirano odločanje z obdelavo osebnih podatkov posameznika.
Zahtevo iz 30. člena ZVOP-1-UPB1 mora posameznik, kot določa 31. člen ZVOP- 1-UPB1, vložiti pisno ali ustno na zapisnik pri upravljavcu osebnih podatkov. Zahteva se lahko vloži enkrat na tri mesece. Upravljavec osebnih podatkov pa mora posamezniku omogočiti vpogled, prepis in kopiranje najkasneje v 15 dneh od dneva, ko je prejel zahtevo, ali ga v istem roku pisno obvestiti o razlogih, zaradi katerih vpogleda, prepisa ali kopiranja ne bo omogočil. Če upravljavec ne ravna v skladu s tem, se šteje, da je zahteva zavrnjena. Stroške v zvezi z zahtevo in vpogledom iz tega člena krije upravljavec zbirke osebnih podatkov.
2. Vprašanje: Kaj se zgodi z dokumenti, ki jih je delodajalcu posredoval neizbrani kandidat v okviru prijave na razpisano delovno mesto?
Odgovor: Mape kandidatov z osebnimi podatki, pridobljenimi v okviru razpisa, ki jih naredi delodajalec v okviru izbirnega postopka, predstavljajo zbirko OP, ki se nanaša na posameznika. Delodajalec, ki to zbirko vodi, predstavlja upravljavca OP v smislu 6. točke prvega odstavka 6. člena ZVOP-1-UPB1. Upravljavec OP je v skladu z ZVOP-1-UPB1 odgovoren za zbirko podatkov o kandidatih na razpisu, in sicer za točnost in ažurnost vodenih OP ter tudi za njeno ustrezno zavarovanje ter izbris, uničenje, blokiranje ali anonimiziranje OP po izpolnitvi namena obdelave.
ZVOP-1-UPB1 opredeljuje rok hrambe OP v 21. členu in od upravljavca zbirk OP (npr. od delodajalca, ki je objavil razpis) zahteva, da OP shranjuje le toliko časa, dokler je to potrebno za dosego namena, zaradi katerega so se zbirali ali nadalje obdelovali. Po izpolnitvi namena obdelave mora OP zbrisati, uničiti, blokirati ali anonimizirati, če niso na podlagi zakona, ki ureja arhivsko gradivo in arhive, opredeljeni kot arhivsko gradivo oz., če zakon za posamezne vrste OP ne določa drugače.
Tudi tretji odstavek 46. člena ZDR, ki se uporablja tudi za kandidate za zaposlitev, določa, da se morajo OP delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati. Po zaključku izbirnega postopka in izbiri kandidata na razpisano delovno mesto delodajalec OP kandidatov za zaposlitev ne potrebuje več zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, kot to določa 46. člen ZDR, zato za obdelavo teh podatkov nima več zakonske podlage in je te podatke dolžan uničiti.
Pravice neizbranega kandidata pa so podrobneje urejene v 28. členu ZDR, na podlagi katerega mora delodajalec v osmih dneh po sklenitvi pogodbe o zaposlitvi pisno obvestiti neizbranega kandidata o tem, da ni bil izbran. Delodajalec je dolžan neizbranemu kandidatu na njegovo zahtevo vrniti vse dokumente, ki mu jih je predložil kot dokaz za izpolnjevanje zahtevanih pogojev za opravljanje dela.
Iz navedenega izhaja, da ima vsakdo, ki se prijavi na razpis, vendar ni izbran, pravico zahtevati vrnitev vseh dokumentov, ki jih je predložil kot dokaz za izpolnjevanje zahtevanih pogojev za opravljanje dela. Če neizbrani kandidat ne zahteva vrnitve dokumentov, pa jih je delodajalec dolžan uničiti.
3. Vprašanje: Ali delodajalec ob zaposlitvi lahko kopira osebni dokument delavca?
Odgovor: Bistveno izhodišče pri tem odgovoru je, da delodajalec lahko zbira od delavca le podatke, ki se nahajajo v osebnem dokumentu in so hkrati vsebovani v 13. členu ZEPDSV (npr. EMŠO, naslov stalnega prebivališča … ). Pred vnosom teh podatkov v zbirko o delavcih lahko z vpogledom v osebni dokumet
ugotovi točnost teh OP, načeloma pa nima pravne podlage, da osebni dokument fotokopira.
Če primerjamo podatke, ki so zajeti v 13. členu ZEPDSV, s podatki, ki izhajajo npr. iz osebne izkaznice, lahko ugotovimo, da med podatki, ki jih delodajalec lahko zbira od delavcev, ni fotografije, kar pomeni, da delodajalec nima zakonske podlage, da bi od kandidatov zahteval fotokopijo osebne izkaznice, saj vsebuje tudi OP (fotografijo), do katerega delodajalec ni upravičen. Osebni dokumenti so primarno namenjeni identifikaciji posameznika z vpogledom v dokument. Delodajalec torej potrebne podatke lahko prepiše iz osebnega dokumenta, ne sme pa ga fotokopirati.
Vendar pa je potrebno upoštevati tudi 46. člen ZDR, ki dopušča obdelavo OP tudi brez podlage v zakonu, vendar le pod pogojem, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. To pomeni, da mora delodajalec natančno obrazložiti oz. izkazati, zakaj je potreben določen OP delavca, ki ni določen v ZEPDSV ali v drugem zakonu. Če delodajalec ne izkaže, da je ta podatek potreben zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, ga od delavca ne sme zahtevati oz. ne smezahtevati fotokopije osebnega dokumenta, ki vsebuje ta podatek.
4. Vprašanje: Ali sme delodajalec zahtevati potrdilo o nekaznovanosti kandidata za
zaposlitev in od že zaposlenega delavca?
Odgovor: Delodajalec je pri iskanju novih delavcev v okviru zakonsko določenih omejitev svoboden pri določanju pogojev, ki jih mora izpolnjevati posameznik za določeno delovno mesto. V skladu z navedenim ima delodajalec pravico, da od kandidatov za zaposlitev na določenih delovnih mestih zahteva potrdilo o nekaznovanosti, vendar mora biti to določeno že v fazi objave prostega delovnega mesta, kot to določa 23. člen ZDR.
Pooblaščenec pri tem poudarja, da je glede pridobivanja potrdil o nekaznovanosti od že zaposlenih delodajalec bolj omejen in jih lahko zahteva le, če so izpolnjeni pogoji iz 46. člena ZDR, torej če je to določeno z zakonom, ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Z vidika pogoja, da bi bilo zbiranje omenjenih občutljivih OP, torej o nekaznovanosti, potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, Pooblaščenec poudarja, da je potrebno presojati vsak primer (torej vsako delovno mesto) posebej. Pri tem je potrebno upoštevati načelo sorazmernosti, ki določa, da morajo biti OP, ki se obdelujejo (kamor sodi tudi njihovo zbiranje), ustrezni in po obsegu primerni glede na namene, za katere se obdelujejo.
Ker podatki iz kazenske evidence, iz katere se pridobiva potrdilo o nekaznovanosti, sodijo med občutljive OP, Pooblaščenec posebej opozarja, da je v javnem sektorju za zbiranje takšnih podatkov potrebna podlaga v zakonu ali pa v zakonu določena izrecna osebna privolitev posameznika. Pooblaščenec opozarja tudi, da ZVOP-1-UPB1 za občutljive OP zahteva tudi strožje zavarovanje. Delodajalec v javnem in zasebnem sektorju mora tako skladno s 14. členom ZVOP-1-UPB1 občutljive OP pri obdelavi posebej označiti in zavarovati tako, da se nepooblaščenim osebam onemogoči dostop do njih. Pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij se šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom.
Vir: Smernice za varstvo osebnih podatkov v delovnih razmerjih, Informacijski pooblaščenec, 07.04.2008
