UNIVERZA V LJUBLJANI FAKULTETA ZA UPRAVO
Diplomsko delo
VARSTVO OSEBNIH PODATKOV NA DELOVNEM MESTU
Kurnik Suzana
Ljubljana, september 2021
UNIVERZA V LJUBLJANI FAKULTETA ZA UPRAVO
Diplomsko delo
VARSTVO OSEBNIH PODATKOV NA DELOVNEM MESTU
Kandidat: Suzana Kurnik Vpisna številka: 04160335
Študijski program: Visokošolski strokovni študijski program Uprava 1. stopnja Mentorica: doc. dr. Tina Sever
Ljubljana, september 2021
iii
IZJAVA O AVTORSTVU DIPLOMSKEGA DELA
Podpisana Suzana Kurnik, študentka visokošolskega strokovnega študijskega programa Uprava, z vpisno številko 4160335, sem avtorica diplomskega dela z naslovom Varstvo osebnih podatkov na delovnem mestu.
S svojim podpisom zagotavljam, da:
- je predloženo delo izključno rezultat mojega lastnega raziskovalnega dela,
- sem poskrbela, da so dela in mnenja drugih avtorjev oz. avtoric, ki jih uporabljam v predloženem delu, navedena oz. citirana v skladu s fakultetnimi navodili,
- sem poskrbela, da so vsa dela in mnenja drugih avtorjev oz. avtoric navedena v seznamu literature in virov, ki je sestavni element priloženega vira in je zapisan v skladu s fakultetnimi navodili,
- sem pridobila vsa dovoljenja za uporabo avtorskih del, ki so v celoti prenesena v predloženo delo in sem to tudi jasno zapisala v predloženem delu,
- se zavedam, da je plagiatorstvo – predstavljanje tujih del, bodisi v obliki citata bodisi v obliki skoraj dobesednega parafraziranja bodisi v grafični obliki, s katerim so tuje misli oz. ideje predstavljene kot moje lastne – kaznivo po zakonu (Zakon o avtorskih in sorodnih pravicah, Uradni list RS, št. 21/95), kršitev pa se sankcionira tudi z ukrepi po pravilih Univerze v Ljubljani in Fakultete za upravo,
- se zavedam posledic, ki jih dokazano plagiatorstvo lahko predstavlja za predloženo delo in za moj status na Fakulteti za upravo,
- je elektronska oblika identična s tiskano obliko diplomskega dela ter soglašam z objavo dela v zbirki »Dela FU«.
Diplomsko delo je lektorirala: Polona Rodič, dipl. slov. (UN)
Ljubljana, 1. 9. 2021
Podpis avtorice:
v
POVZETEK
Varstvo osebnih podatkov je ena izmed temeljnih človekovih pravic in svoboščin, ki pripada vsem ljudem brez izjeme in je zapisana v 38. členu Ustave Republike Slovenije. V današnjem tehnološko razvitem svetu pa je zelo pomembno, da vemo, kaj osebni podatki sploh so in kaj vse zajemajo, kako z njimi ravnati, jih shranjevati in varovati. Z diplomskim delom želim posameznike seznaniti z našo temeljno človekovo pravico do zasebnosti in varstva osebnih podatkov. Kaj se zgodi, če ti podatki pridejo v neprave roke in se s tem kršijo pravice posameznika, kdo je pristojen za urejanje takšnih zadev in kam se obrnemo po pravno pomoč, ki se nanaša na človekove pravice, ki so nam bile odvzete.
Namen diplomskega dela je prikazati pomembnost ohranjanja zasebnosti in varovanja osebnih podatkov, tako v zasebnem življenju kot v delovnem razmerju. Diplomsko delo se osredotoči na razmerje med delavcem in delodajalcem ter njune pravice in dolžnosti, saj v praksi velikokrat pride do zlorabe osebnih podatkov v delovnem razmerju oziroma do kršitve Zakona o varstvu podatkov. Nezadostna znanja delavcev so spodbudila k obravnavanju tega področja, saj se neznanje v praksi hitro prikaže kot izkoriščanje delavca v prid delodajalcu, s tem pa posledično pripomore k poseganju v posameznikovo zasebnost.
Diplomsko delo temelji na uporabi deskriptivne metode, informacije pa so pridobljene iz strokovne literature, razne literature s spleta in zakonov. V diplomskem delu so prikazani dogodki, ki se pogosto dogajajo v praksi, v nadaljevanju diplomskega dela pa so pravno opredeljeni na podlagi zakonov. S pomočjo analize literature in zakonov sem na čim bolj razumljiv način prikazala pravice delavcev v delovnem razmerju (na primeru tabel z uporabo metod sinteze in dedukcije).
Ugotovljeno je bilo, da je pri uresničevanju pravic delavca na področju varstva podatkov pomembo, da se v delovnem razmerju tako delavec kot delodajalec zavedata svojih pravic in obveznosti, ki nastanejo v samem delovnem razmerju. Na podlagi zakonodaje je težko točno določiti mejo med tem, kaj je prav in kaj narobe, saj se delovni pogoji različnih delovnih mest med seboj razlikujejo. Meji pravice pa se lahko približamo z znanjem o varstvu samih podatkov, tako da sta delodajalec in delavec seznanjena s svojimi pravicami in je s tem zagotovljena večja varnost posameznika.
Ključne besede: osebni podatki, varnost, zasebnost, posameznik, znanje, delovno razmerje, delodajalec, delavec
vi
ABSTRACT
PERSONAL DATA PROTECTION AT THE WORKPLACE
The protection of personal data is one of the fundamental human rights and freedoms that belongs to all people without exception and is defined by Article 38 of the Slovenian Constitution.In today's technologically advanced world, it is very important to know what personal data is and what they cover, how to handle it, store and protect it. With this thesis I want to acquaint individuals with our fundamental human rights to privacy and protection of personal data. What would happen if data got into the wrong hands and consequently thus violates the rights of the individual, who is responsible for data regulating, where do we find legal assistance, how do we resolve certain matters relating to the human rights that have been taken away from us.
The purpose of this thesis is to show the importance of maintaining privacy and protection of personal data in private life and employment. Above all, to show the relationship between the employee and the employer, their rights and duties, as in practice in the employment relationship personal data is often misused and it comes to violation of the Law on Data Protection Act. Lack of workers’ knowledge has encouraged exploring of this topic, as lack of workers’ knowledge in practice quickly manifests itself as the exploitation of the worker for the employer benefit and consequently contributes to the invasion of individual's privacy. Every employee must be aware of his/her rights and duties in the employment relationship.
The thesis is based on a descriptive method, and it is based on professional literature, online literature and laws. Through this thesis are shown events that often happen in practice and are legally defined based on laws. With the analysis of literature and laws, I presented the rights of employees in an employment relationship in the most understandable way (in the case of tables by using the methods of synthesis and deduction).
It was established that in exercising rights of the employee in the field of data protection, it is important that the employee and the employer are aware of their rights and obligations arising in the employment relationship. Based on the law, it is difficult to show the exact boundary between what is right and what is wrong, because different jobs have various conditions. With knowledge of data protection itself, we can get closer to the limits of what is right, and nonetheless, the employer and employee must be aware of their rights which will ensure greater individual security.
Keywords: personal data, security, privacy, individual, knowledge, employment relationship, employer, employee
vii
KAZALO
IZJAVA O AVTORSTVU DIPLOMSKEGA DELA ... iii
POVZETEK ... v
ABSTRACT ... vi
KAZALO ...vii
KAZALO PONAZORITEV ...ix
KAZALO GRAFIKONOV ...ix
KAZALO TABEL ...ix
SEZNAM UPORABLJENIH KRATIC IN OKRAJŠAV ... x
1 UVOD ... 1
2 PREDSTAVITEV TEMELJNIH POJMOV... 4
2.1 OSEBNI PODATEK ... 4
2.2 ZASEBNOST ... 5
2.3 DELOVNO RAZMERJE ... 6
3 VARSTVO OSEBNIH PODATKOV ... 7
3.1 ZGODOVINA RAZVOJA VARSTVA OSEBNIH PODATKOV ... 7
3.2 PRAVNA UREDITEV... 9
3.2.1 Ustava Republike Slovenije ... 9
3.2.2 Zakon o varstvu osebnih podatkov ... 10
3.2.3 Zakon o delovnih razmerjih ... 11
3.2.4 General Data Protection Regulation (GDPR) ... 12
3.3 OBDELAVA IN SHRANJEVANJE OSEBNIH PODATKOV ... 12
3.4 VAROVANJE IN ZLORABA OSEBNIH PODATKOV ... 13
3.5 PRAVNO VARSTVO ČLOVEKOVIH PRAVIC IN TEMELJNIH SVOBOŠČIN ... 14
4 VARSTVO OSEBNIH PODATKOV IN VAROVANJE ZASEBNOSTI V DELOVNEM RAZMERJU 15 4.1 ZASEBNOST NA DELOVNEM MESTU ... 15
4.2 PRAVNO RAZMERJE MED DELAVCEM IN DELODAJALCEM ... 17
4.3 VARSTVO PODATKOV V DELOVNEM RAZMERJU ... 20
4.4 KRŠENJE PRAVICE DO ZASEBNOSTI ... 22
4.5 INŠPEKCIJSKI UKREPI ... 24
viii
5 PREVERITEV HIPOTEZ IN PREDLOGI IZBOLJŠAV ... 27 6 ZAKLJUČEK ... 29 LITERATURA IN VIRI ... 30
ix
KAZALO PONAZORITEV
KAZALO GRAFIKONOV
Grafikon 1: Število prijav suma na kršitve določb Uredbe GDPR in ZVOP-1 ... 24 Grafikon 2: Število kršitev ZVOP-1 ... 25 Grafikon 3: Prikaz inšpekcijskih zadev v javnem in zasebnem sektorju ... 26
KAZALO TABEL
Tabela 1: Časovni razvoj Zakona o varstvu podatkov... 9 Tabela 2: Zbiranje osebnih podatkov delavca ... 20
x
SEZNAM UPORABLJENIH KRATIC IN OKRAJŠAV
GDPR General data protection regulation GPS Global Positioning System
IP Informacijski pooblaščenec ZDD-1 Zakon o detektivski dejavnosti
ZDIJZ Zakon o dostopu informacij javnega značaja ZDR-1 Zakon o delovnih razmerjih
ZEkom-1 Zakon o elektronskih komunikacijah ZInfP Zakon o informacijskem pooblaščencu ZposS Zakon o poslovni skrivnosti
ZVOP-1 Zakon o varstvu osebnih podatkov ZVOP-2 Zakon o varstvu osebnih podatkov ZVZD-1 Zakon o varnosti in zdravju pri delu
ZZVZZ Zakon o zdravstvenem varstvu in zdravstvenem zavarovanju ZZZS Zavod za zdravstveno zavarovanje Slovenije
1
1 UVOD
Občutek varnosti je ena izmed temeljnih potreb človeka in pomemben dejavnik tako v zasebnem kot tudi javnem življenju vsakega posameznika. Vsak posameznik si glede na svoje življenjske vrednote na drugačen način interpretira varnost. Na zagotavljanje varnosti v današnjem svetu lahko vpliva veliko zunanjih dejavnikov. Zasebnost je pomemben dejavnik za zagotavljanje varnosti, pravica do zasebnosti pa je ena izmed temeljnih in najstarejših človekovih pravic, ki pripadajo vsem ljudem brez izjeme. Del teh pravic pa se nanaša tudi na varstvo osebnih podatkov. Z razvojem današnje tehnologije se je zasebnost posameznika očitno zmanjšala, saj si brez nje že težko predstavljamo opravljanje določenih življenjskih nalog. V sklopu informacijske tehnologije in sodobne družbe sta varnost in zasebnost še kako pomembni, saj nam današnja tehnologija omogoča vse večji nadzor nad posameznikom. Družba je danes vse bolj zainteresirana nad čim večjim vpogledom v posameznikovo življenje, svetovni splet in družbena omrežja pa nam pri varovanju zasebnosti in osebnih podatkov omogočajo ravno nasprotno. Uporaba informacijske tehnologije je lahko tako preprosta kot tudi zelo zahtevna, če želimo ohraniti zasebnost.
Brez informacijske tehnologije si težko predstavljamo delovanje neke organizacije in potek dela pri opravljanju nalog na delovnem mestu. Nekatere od teh nam pomagajo pri opravljanju delovnih nalog, velikokrat pa se zgodi tudi večnamensko izkoriščanje tehnologij v smislu prekomernega nadzora in poseganja v zasebnost delavca, kar posledično pripelje do kršitve pravice do zasebnosti. Z razvojem in uporabo tehnologij je meja med tem, kaj je prav in kaj narobe, zelo tanka. Vprašanje pa je, ali se delavec in delodajalec zavedata svojih pravic ter katere odločitve lahko vplivajo na prestop meje zasebnosti.
Uvodna izjava Splošne uredbe o varstvu podatkov 2016/679/EU (GDPR) določa, da je treba pravico delavcev do varstva osebnih podatkov upoštevati glede na posameznikovo funkcijo v družbi in uravnotežiti z drugimi temeljnimi pravicami v skladu z načelom sorazmernosti.
Zato bo ključnega pomena opraviti novo presojo pravice delavcev do varstva osebnih podatkov, še posebej ker ta v novem pravnem okviru EU ne velja za absolutno pravico in bi lahko vsaka država članica zagotovila natančnejša pravila v zvezi s to obliko zaščite (člen 88.
Uredbe 2016/679/EU) (Ogriseg, 2017, str. 3).
Zakon, ki ureja pravice delavca in delodajalca v delovnem razmerju, je Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 - popr., 47/15 - ZZSDT, 33/16 - PZ-F, 52/16, 15/17 - odl. US, 22/19 - ZPosS, 81/19 in 203/20 - ZIUPOPDVE in 119/21 - ZČmIS-A, v nadaljevanju ZDR-1). Ta ureja delovna razmerja, ki se sklepajo s pogodbo o zaposlitvi med delavcem in delodajalcem (prvi odstavek 1. člena ZDR-1).
2
Pravni akt, ki ureja varstvo osebnih podatkov, je Zakon o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 177/20, v nadaljevanju ZVOP-1), v katerem se določajo pravice, obveznosti, načela in ukrepi, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika oziroma posameznice pri obdelavi osebnih podatkov (1. člen ZVOP-1). Dodati je treba, da sicer s sprejetjem Uredbe GDPR velja neposredno v našem pravnem redu, večina določb ZVOP-1 pa je razveljavljenih, razen določenih izjem (gl. dokument Prva sistemska pojasnila Ministrstva za pravosodje ob začetku razvoja uporabe nove evropske zakonodaje o varstvu osebnih podatkov, maj 2018).
V teku je sicer sprejetje novega Zakona o varstvu osebnih podatkov ZVOP-2.
Digitalna preobrazba in nove tehnologije so že popolnoma prevzele naš način obdelave osebnih podatkov v zaposlitvenem kontekstu. Nove vrste sistematične in potencialno razširjene obdelave podatkov na delovnem mestu so manj vidne od tradicionalnih (kot so kamere) in bolj invazivne v zasebno življenje. Nove oblike tehnologij, kot so pametne naprave in razne aplikacije, omogočajo delodajalcem, da se ti povezujejo z ogromnimi količinami osebnih podatkov zaposlenih (Ogriseg, 2017, str. 3). Ker uporaba tehnologije danes že močno posega v zasebnost, moramo biti pri uporabi le-te zelo previdni. Kršitev delavčevih pravic ni samo poseganje delodajalca v delavčevo zasebnost, temveč se lahko ta zgodi tudi, če mora delavec na zahtevo delodajalca posredovati svoje osebne podatke, ki mu jih sicer ni dolžan posredovati. Da bi se delavci in delodajalci izognili kršitvi temeljnih človekovih pravic, morajo dobro poznati pravne podlage v delovnem razmerju. V delovnem razmerju so pravice s strani delavca in delodajalca zapisane v pogodbi o zaposlitvi ali v zakonih, o katerih morata biti tako delodajalec kot delavec dobro seznanjena, a v praksi vedno ni tako. Delodajalec mora ščititi svoje organizacijske zaupnosti na podlagi zakonov in drugih aktov. Ko pa preidemo na del pravic delavca, se lahko stvari hitro obrnejo v prid delodajalca.
Namen diplomskega dela je prikazati pomembnost ohranjanja zasebnosti in varovanja osebnih podatkov, tako v zasebnem življenju kot v delovnem razmerju. Glede na razvoj današnje tehnologije želim posameznike spodbuditi k premišljeni uporabi osebnih podatkov. Moj namen je, da z diplomskim delom posameznike na čim bolj enostaven način poučim o pravicah, ki jim pripadajo (pravica do zasebnosti in varstva osebnih podatkov).
Cilj diplomskega dela je preučiti pojem varstva osebnih podatkov, določiti mejo pravice do zasebnosti v delovnem razmerju med delavcem in delodajalcem ter izpostaviti, kako pomembna je zasebnost v današnjem svetu oziroma kako pomembno je varovati osebne podatke. Glavni cilj diplomskega dela je strnjeno prikazati mejo pravice v delovnem razmerju na takšen način, da je razumljiva vsakemu posamezniku.
V diplomskem delu bom proučevala pojem varstva osebnih podatkov, ki se nanaša na posameznike v delovnem razmerju in se skozi diplomsko nalogo čim bolj približala meji
3
pravice, ki je na eni strani pravica delavca do zasebnosti in varstva osebnih podatkov ter na drugi strani pravica delodajalca (katere podatke lahko delodajalec zahteva od delavca itd.).
V sklopu diplomskega dela bom preverjala naslednji hipotezi:
H1: Varovanje osebnih podatkov je v današnjem svetu eden izmed glavnih dejavnikov pri zagotavljanju varnosti posameznika.
H2: Poznavanje zakonodaje je ključnega pomena za ohranjanje zasebnosti posameznika v delovnem razmerju.
Pri prvi postavljeni hipotezi bom uporabila deskriptivno metodo. S pomočjo strokovne literature, člankov in spletne literature bom najprej opisala temeljne pojme ter nato prikazala povezavo med zasebnostjo in varovanjem podatkov.
Pri drugi postavljeni hipotezi bom uporabila deskriptivno metodo, pri kateri si bom pomagala s strokovno literaturo, strokovnimi članki in literaturo s spleta. Zbrane vire in literaturo bom preučila in analizirala. V raziskovalnem delu se bom poglobila tudi v same zakone, vezane na tematiko diplomskega dela (Zakon o delovnih razmerjih, Zakon o varstvu osebnih podatkov itd.). Zakoni mi bodo v pomoč pri potrjevanju ali zanikanju določenih situacij, ki jih bom prikazala skozi diplomsko delo. S pomočjo analize literature in zakonov bom poskušala na čim bolj razumljiv način prikazati pravice delavcev v delovnem razmerju (na primeru tabel z uporabo metod sinteze in dedukcije), na koncu pa se bom čim bolj poskušala približati meji pravice do zasebnosti zaposlenih.
Skozi delo bom povezovala teoretična ozadja s predpostavljenimi hipotezami, ki jih bom na koncu potrdila ali zavrgla, ter s tem dosegla namene raziskovanja v diplomskem delu.
Diplomsko delo je poleg uvoda in zaključka razdeljeno še na tri poglavja. V drugem poglavju so opisani trije temeljni pojmi: osebni podatek, zasebnost in delovno razmerje, ki so ključni pri razumevanju nadaljnjega diplomskega dela. Naslednje poglavje opisuje varstvo osebnih podatkov na splošno – zgodovina razvoja varstva osebnih podatkov in pravna opredelitev, pri čemer so opredeljene pravne podlage, ki se nanašajo na varstvo osebnih podatkov. V nadaljevanju je predstavljeno, kako in na kakšen način se osebni podatki shranjujejo in obdelujejo, nato pa sledita opis in opredelitev možnosti zlorab osebnih podatkov ter predstavitev pravnega varstva človekovih pravic in temeljnih svoboščin.
Zadnje poglavje podrobno opisuje varstvo osebnih podatkov v delovnem razmerju, in sicer se osredotoča na pravno razmerje med delavcem in delodajalcem ter pravico do zasebnosti s strani delavca in delodajalca. Zadnji del pa opredeljuje možnosti kršitev in zlorabe pravic v delovnem razmerju, kot so načini poseganja v zasebnost delavca, ter kot zadnje prikazuje kazenskopravne vidike.
4
2 PREDSTAVITEV TEMELJNIH POJMOV
V prvem poglavju so opisani temeljni pojmi, potrebni za razumevanje nadaljnjega diplomskega dela. Ti so skozi diplomsko delo največkrat uporabljeni, med seboj povezani in so ključnega pomena za razumevanje obravnavane tematike. V nadaljevanju sledi opis pojmov: osebni podatek, zasebnost in delovno razmerje.
2.1 OSEBNI PODATEK
Osebni podatek je katerikoli podatek, ki se nanaša na posameznika, ne glede na to, v kateri obliki je izražen. Pod osebne podatke štejemo ime, priimek, naslov, zdravstvene podatke, telesne, fiziološke, vedenjske značilnosti itd. Značilnosti so lahko za vsakega posameznika edinstvene, kot sta npr. vzorec očesne šarenice in prstni odtis. Z razvojem informatike pa so postali pomembni podatki tudi evidenčna matična številka občana (EMŠO), davčna številka, elektronska pošta itd. Osebni podatek je vsak podatek, ki na svoj način pove, da gre za določenega ali določljivega posameznika. Določeni posameznik je oseba, ki jo osebni podatek identificira. Pri določljivem posamezniku pa je osebo mogoče identificirati s posrednim sklicevanjem na eno ali več značilnosti (Intelektum, 2018).
Posameznik, na katerega se nanašajo osebni podatki, je fizična oseba, ki jo je mogoče neposredno ali posredno identificirati, zlasti glede na enega ali več dejavnikov, značilnih za njegovo fizično, duševno, ekonomsko, kulturno ali družbeno identiteto (Skendžić idr., 2018, str. 1371).
V kategorijo občutljivih osebnih podatkov pa spadajo podatki o (Intelektum, 2018):
̶ vpisu ali izbrisu iz katere od evidenc, ki se vodijo na podlagi zakona,
̶ vpisu v kazensko evidenco,
̶ izbrisu iz kazenske evidence,
̶ spolnem življenju,
̶ zdravstvenem stanju,
̶ članstvu v sindikatu,
̶ verskem ali filozofskem prepričanju,
̶ političnem prepričanju,
̶ rasnem poreklu in
̶ narodnem ali narodnostnem poreklu.
5
2.2 ZASEBNOST
Pri varovanju osebnih podatkov je pogosto uporabljena beseda zasebnost. Vprašanje pa je, zakaj je tako zelo pomembno, da ravnamo z njo skrbno in odgovorno. Danes se še vedno pojavlja misel, da se zasebnost razume kot skrivanje nečesa slabega. Vendar če ničesar ne skrivamo, tudi ne potrebujemo varstva osebnih podatkov in zasebnosti. To pa ne drži popolnoma, saj se, medtem ko vedno več ljudi zbira naše podatke, naš prostor zasebnosti posledično zmanjšuje (Informacijski pooblaščenec & Zveza potrošnikov Slovenije, 2019, str.
4). Pojem posameznikove zasebnosti definiramo s tem, da se tretja oseba dotika neke informacije drugega posameznika in s tem posega v njen čutni dostop do te informacije.
Kot izhodišče lahko uporabimo Schoemanovo definicijo, ki pravi: »Vsak posameznik ima v obsegu zasebnost, do katere imajo drugi omejen dostop, omejen dostop do posameznikove intimnosti, življenja, do misli ali telesa« (Schoeman, 1984, str. 3).
Zasebnost se ne nanaša samo na človekovo telo in um, ampak tudi na posameznikovo imetje. Vse te vrste informacij pa so lahko predmet verodostojne trditve o zasebnosti.
Avtorja Anders J. Persson in Sven Ove Hansson navajata naslednje sklepe o konceptu zasebnosti (Persson, A. J., & Hansson, S. O., 2013, str. 61):
̶ Zasebnost je rezultat družbenih norm in idealov, ti pa se v različnih kulturah razlikujejo.
̶ Področje posameznikove zasebnosti, glede katere ima posameznik določene zahtevke, je sestavljeno iz dveh delov: (a) jedro, ki je sestavljeno iz pravice do zasebnosti, ki bi jo morali drugi spoštovati ne glede na to, ali posameznik to zahteva ali ne, in (b) diskrecijski del, ki ga sestavljajo pravice do zasebnosti, ki jih morajo ostali spoštovati v primeru, da posameznik tako zahteva (Persson, A. J., & Hansson, S. O., 2013, str. 61.).
Medtem ko avtor Cerar (2004) meni, da se varstvo zasebnosti na splošno deli na tri temeljne vidike, in sicer na zasebnost v prostoru, ki naj bi pomenila ločenost posameznika od fizične prisotnosti drugih ljudi; zasebnost kot svobodo mišljenja, vesti, opredelitve in veroizpovedi ter informacijsko zasebnost, ki posamezniku zagotavlja, da ima ta pravico zadržati informacije o sebi (Cerar, 2004, str. 18).
Pravica do zasebnosti spada med temeljne pravice in svoboščine, ki jih navaja Ustava RS v 35. členu in s tem zagotavlja zasebnost in nedotakljivost človekovega telesa vsem fizičnim osebam, ne glede na to, ali je posameznik državljan Republike Slovenije ali ne. Pravica je torej zagotovljena vsem prebivalcem Republike Slovenije.
6
2.3 DELOVNO RAZMERJE
Delovno razmerje je pravna vez med delavcem in delodajalcem. Da delovno razmerje obstaja, mora oseba opravljati delo ali storitve pod določenimi pogoji, v zameno za opravljeno delo pa prejme plačilo. Delovno razmerje se vedno sklene v pisni obliki (pogodba o zaposlitvi itd.) in je glavno sredstvo, s katerim imajo delavci dostop do svojih pravic in ugodnosti na področju delovnega prava in socialne varnosti. Skozi delovno razmerje se med delavcem in delodajalcem ustvarijo pravice in obveznosti. Ključni pomen za določanje obsega pravic in obveznosti je obstoj delovnega razmerja, ta pa določa uporabo določb delovnega in socialnega varstva zaposlenih (International Labour Organization, 2011).
Pogodba o zaposlitvi je pomembna zaradi vse bolj razširjenega pojava vzdrževanih delavcev, ki nimajo zaščite delovnega razmerja zaradi sledečih dejavnikov (International Labour Organization, 2011):
̶ preozko področje uporabe zakona,
̶ zakon je slabo ali dvoumno oblikovan, tako da je njegov obseg nejasen,
̶ prikrito delovno razmerje,
̶ razmerje prikazuje dvom o tem, ali delovno razmerje res obstaja,
̶ delovno razmerje očitno obstaja, ni pa jasno, kdo je delodajalec, kakšne pravice ima delavec in kdo je zanje odgovoren,
̶ pomanjkanje skladnosti in izvrševanja.
Delovno razmerje ureja ZDR-1, ki v drugem odstavku 1. člena navaja, da so temeljni cilji zakona vključevanje delavcev v delovni proces, zagotavljanje usklajenega poteka delovnega procesa ter preprečevanje brezposelnosti, pri čemer se upošteva pravica delavcev do svobode dela, dostojanstva pri delu in varuje interese delavcev v delovnem razmerju. Pri zaposlovanju se velikokrat pojavi tudi prikrito delovno razmerje. To je razmerje med delavcem in delodajalcem, ki je navzven prikazano drugače, kot je v resnici. Takšna razmerja lahko privedejo do zmanjšanja ali celo izničenja zaščite delavcev, saj se delodajalec s takšnim razmerjem izogne plačilu davkov in prispevkov. ZDR-1 ureja delovna razmerja, ki se sklenejo s pogodbo o zaposlitvi, kar pomeni, da osebe, ki opravljajo delo na podlagi katere koli druge pogodbe, praviloma nimajo pravic, ki jih zagotavlja ZDR-1. Druge oblike pogodbenih razmerjih, ki se v praksi največkrat pojavljajo in predstavljajo prikrito delovno razmerje, se pojavljajo kot poslovno sodelovanje s samozaposleno osebo ter dijaško in študentsko delo (Pravo za vse, 2020).
7
3 VARSTVO OSEBNIH PODATKOV
Varstvo osebnih podatkov pomeni varovanje podatkov, ki nam že s samo besedno definicijo sporoča, da ti podatki nimajo javnega značaja (Cerar, 2004, str. 17). Podatki imajo informacije, ki se nanašajo na določenega posameznika in se morajo že po naravi dobro varovati, saj lahko v nasprotnem primeru pri posamezniku pride do zlorabe in nastale škode, tako v njegovem zasebnem kot javnem življenju. Danes zaradi tehnoloških napredkov in svetovnega spleta težje zagotovimo stoodstotno varnost podatkov in posameznikovo zasebnost. S primerno uporabo svojih podatkov pa vendarle veliko prispevamo k čim večji zaščiti in posledično zmanjšujemo možnost zlorabe osebnih podatkov.
Osebni podatki pa se ne izražajo le v pisni obliki. So izraz osebne svobode in dostojanstva ter ne smejo dopuščati, da se uporabljajo tako, da posameznika spremenijo v predmet pod stalnim nadzorom. Danes smo soočeni s spremembami uporabe tehnologije, ta pa je povezana z zaznavanjem človeškega telesa, ki prikazuje antropološke lastnosti osebe.
Soočeni smo s postopnim napredovanjem, saj lahko posameznike nadzorujemo z video nadzorom in biometričnimi tehnologijami, ki omogočajo sledenje in profiliranje gibov, navad in stikov. S takšnim početjem spreminjamo pomen in vsebino posameznikove zasebnosti, kar je nezdružljivo z naravo varstva podatkov kot temeljno pravico (Rodotà, S., 2009, str. 81.).
3.1 ZGODOVINA RAZVOJA VARSTVA OSEBNIH PODATKOV
Evropski svet je leta 1950 pripravil osnutek konvencije o varstvu človekovih pravic in temeljnih svoboščin (angl. European Convention on Human Rights, v nadaljevanju ECHR), ki je bila sprejeta 4. novembra 1950, v veljavo pa stopila 3. novembra 1953. V tem času ECHR ni opredeljevala področja varstva osebnih podatkov, saj so v tem času računalniki služili za poslovne in raziskovalne namene. Nekaj let kasneje sta Jack Kilby in Robert Noyce iz Texas Instruments izumila integrirano vezje ter tako zaznamovala začetek procesa računalniške miniaturizacije in posledično boljše cenovne dostopnosti, kar je privedlo do širše uporabe računalnikov v domovih in pisarnah. To pa je bil povod za skrb uporabnikov in uporabo osebnih podatkov (Skendžić idr., 2018, str. 1370).
Ko se je za osebne računalnike prvič pojavil trdi disk, so uporabniki dobili nove možnosti za shranjevanje osebnih podatkov v t. i. zbirki podatkov. Pred računalniško miniaturizacijo je shranjevanje osebnih podatkov temeljilo na medijih, kot so luknjane kartice. Leta 1960 se je pojavil sistem za upravljanje podatkovnih baz (angl. Database Management System DBMS), kar je zaznamovalo začetek novega obdobja sodobnega pristopa k shranjevanju in upravljanju podatkov. Z uvedbo nove tehnologije je zaščita osebnih podatkov postala
8
pomembnejša. Sledilo je hitro nadgrajevanje tehnoloških sistemov, internetnih storitev, socialnih mrež, pojavilo se je spletno nakupovanje, sistemi v oblaku, internetno bančništvo in podobne storitve, ki uporabljajo osebne podatke. Pojav lažnih identitet na omrežjih se je postopoma množil, kar pa je povečalo možnost zlorabe posameznika ali celotnega podjetja (Skendžić idr., 2018, str. 1370).
Glavni problem v praksi je bil razvoj pravnega okvirja, ki ni sledil hitremu razvoju interneta in storitev. Vse do sprejetja Splošne Uredbe o varstvu podatkov je bila konvencija Evropskega sveta pravno zavezujoč akt na področju varstva osebnih podatkov zunaj Evropske unije. Potreba po uvedbi nove zakonodaje je razvidna iz dejstva, da sta bila omenjena konvencija in sedanja Direktiva EU o varstvu podatkov 95/46/ES (angl. EU Data Protection Directive) iz leta 1995 sprejeti v času, ko je bil internet šele na začetku svojega razvoja. Zaradi hitrega napredka tehnologije in razvoja interneta so morali uvesti novo zakonodajo o varstvu podatkov. Leta 2016 se je prvič pojavil predlog o sprejetju nove evropske zakonodaje na področju varstva osebnih podatkov, t. i. GDPR (angl. General Data Protection Regulation) (Regulation EU 2016/679), sprejet pa je bil 14. aprila 2016 (Skendžić idr., 2018, str. 1370).
Danes je pravica do varstva osebnih podatkov pravica do zaščite zakonitih interesov državljanov, ki vključuje preprečevanje in sankcioniranje zlorabe osebnih podatkov in je zagotovljena z mednarodno in nacionalno zakonodajo (Skendžić idr., 2018, str. 1371).
Slovenija je Zakon o varstvu osebnih podatkov prvič sprejela leta 1990, ta pa je upošteval temeljna načela varstva, ki so se takrat izoblikovala v mednarodni konvencijski ureditvi.
Zakon o varstvu osebnih podatkov se je skozi leta izpopolnjeval na podlagi mednarodnih pravnih virov in 38. člena Ustave RS (varstvo osebnih podatkov). Leta 2004 je bil sprejet Zakon o varstvu osebnih podatkov ZVOP-1 in stopil v veljavo 1. januarja 2005. ZVOP-1 je bil usklajen z Direktivo EU o varstvu osebnih podatkov 95/46/ES iz leta 1995. Ker pa je ZVOP- 1 kar precej nedorečen oziroma ni jasno opredeljen, pušča za sabo tako rečeno širok interpretacijski prostor, ki mora biti ustrezno zapolnjen (Cerar, 2004, str. 19). Od uvedbe GDPR pa je v teku nov predlog za sprejetje novega Zakona o varstvu podatkov ZVOP-2.
Zgodovina pravnih virov, ki se nanašajo na varstvo osebnih podatkov in razvoj Zakona o varstvu osebnih podatkov po letih, prikazuje tabela 1 v nadaljevanju.
9
38. člen Ustave Republike Slovenije določi, da je varstvo osebnih podatkov ena izmed zagotovljenih človekovih pravic in temeljnih svoboščin v državi.
Sprejet je Zakon o spremembah in dopolnitvah Zakona o varstvu osebnih podatkov, ki uvede pomembni novosti. Poleg nekaterih olajšav z vidika oblik dostopa posameznikov do njihovih osebnih podatkov novela bistveno zoži krog zavezancev za vpis zbirk osebnih podatkov v register.
V Uradnem listu Evropske unije sta objavljena ključna gradnika novega zakonodajnega svežnja EU o varstvu osebnih podatkov, in sicer Uredba (EU) 2016/679 (Splošna uredba o varstvu podatkov) in Direktiva (EU) 2016/680.
1. 1. 2005 prične veljati Zakon o varstvu osebnih podatkov (ZVOP-1), ki uskladi dolžnosti varstva osebnih podatkov z določbami Direktive 95/46/ES in prevzame vlogo ključnega sistemskega zakona glede varstva osebnih podatkov.
V vseh državah članicah EU prične veljati Splošna uredba o varstvu podatkov (ang.
General Data Protection Regulation, GDPR), ki podjetjem in organizacijam, ki zbirajo in obdelujejo osebne podatke, nalaga dodatne obveznosti, posameznikom pa daje več pravic in nadzora nad njihovimi podatki.
Tabela 1: Časovni razvoj Zakona o varstvu podatkov
Vir: Informacijski pooblaščenec (2020, str. 41)
3.2 PRAVNA UREDITEV
Varstvo osebnih podatkov je v Sloveniji poleg evropske Uredbe zagotovljeno z Ustavo Republike Slovenije (Uradni list RS, št. 33/91-I, 42/97 - UZS68, 66/00 - UZ80, 24/03 - UZ3a, 47, 68, 69/04 - UZ14, 69/04 - UZ43, 69/04 - UZ50, 68/06 - UZ121,140,143, 47/13 - UZ148, 47/13 - UZ90,97,99 in 75/16 - UZ70a, v nadaljevanju Ustava RS) in Zakonom o varstvu osebnih podatkov ZVOP-1 (Uradni list RS, št. 86/04, 177/20).
3.2.1 Ustava Republike Slovenije
Ustava Republike Slovenije (Uradni list RS, št. 33/91-I, 42/97 - UZS68, 66/00 - UZ80, 24/03 - UZ3a, 47, 68, 69/04 - UZ14, 69/04 - UZ43, 69/04 - UZ50, 68/06 - UZ121,140,143, 47/13 - UZ148, 47/13 - UZ90,97,99 in 75/16 - UZ70a, v nadaljevanju Ustava RS) je najvišji splošni pravni akt, ki ureja lastno ureditev in pravice državljanov v razmerju do države ter je podlaga za zakonsko ureditev varstva osebnih podatkov. V Ustavi RS so kot prve navedene človekove pravice in temeljne svoboščine. Slovenija je bila med prvimi državami, ki je v Ustavo zapisala pravico do varstva osebnih podatkov (Rovšek, 2004, str. 5).
USTAVA 1991
ZVOP-1 2005
ZVOP-1A 2007
UREDBA DIREKTIVA
2016
GDPR 2018
ZVOP-2 Čakajoč ZVOP-2
10
Varstvo osebnih podatkov je ena izmed navedenih človekovih pravic in temeljnih svoboščin, in sicer v 38. členu Ustave RS navaja, da je s tem zakonom zagotovljeno varstvo osebnih podatkov in prepovedana uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja. Zakon določa zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov ter pravico vsakega, da se seznani z zbranimi osebnimi podatki, ki se nanašajo nanj, in pravico do sodnega varstva ob njihovi zlorabi.
V Ustavi RS so zapisane pravice, ki se navezujejo na varstvo posameznika in so prav tako pomembne. Taka je pravica do osebnega dostojanstva in varnosti (34. člen Ustave RS), ki pravi, da ima vsakdo pravico do osebnega dostojanstva in varnosti. 35. člen Ustave RS pa zagotavlja varstvo pravic zasebnosti in osebnostnih pravic, ki navaja, da je zagotovljena nedotakljivost človekove telesne in duševne celovitosti, njegove zasebnosti ter osebnostnih pravic.
3.2.2 Zakon o varstvu osebnih podatkov
V Sloveniji sta zasebnost in varstvo osebnih podatkov zajamčena z Zakonom o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 177/20, v nadaljevanju ZVOP-1). Zakon je bil sprejet 15. julija 2004, v veljavo pa stopil 1. januarja 2005. ZVOP-1 v 1. členu navaja, da se s tem zakonom določajo pravice, obveznosti, načela in ukrepi, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika oziroma posameznice pri obdelavi osebnih podatkov. Njegov cilj je zaščititi osebne podatke in zagotoviti varstvo posameznikov pri uporabi osebnih podatkov ter preprečiti zlorabe pri uporabi, shranjevanju in obdelavi podatkov.
ZVOP-1 temelji na treh sledečih načelih:
̶ Načelo zakonitosti in poštenosti (osebni podatki se obdelujejo zakonito in pošteno) (2. člen ZVOP-1).
̶ Načelo sorazmernosti (osebni podatki, ki se obdelujejo, morajo biti ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo) (3.
člen ZVOP-1).
̶ Prepoved diskriminacije (varstvo osebnih podatkov je zagotovljeno vsakemu posamezniku ne glede na narodnost, raso, barvo, veroizpoved, etnično pripadnost, spol, jezik, politično ali drugo prepričanje, spolno usmerjenost, premoženjsko stanje, rojstvo, izobrazbo, družbeni položaj, državljanstvo, kraj oziroma vrsto prebivališča ali katerokoli drugo osebno okoliščino) (4. člen ZVOP-1).
Varstvo osebnih podatkov je ena izmed temeljnih človekovih pravic, ki zajema široko področje, to pa v ZVOP-1 ni dovolj razločno določeno z zakonom, saj je njegov spekter razlage preveč odprt. Tako problema pri nastali situaciji ne moremo dovolj natančno zakonsko opredeliti. Predlog za sprejetje novega zakona ZVOP-2 je še vedno v teku, ta pa
11
naj bi urejal določena vsebinska področja (zdravstvene, genetske in biometrijske podatke), postopkovne vidike in relacijo do drugih področij in pravic, kot je na primer dostop do javnih informacij itd. (Informacijski pooblaščenec, 2021). Treba je upoštevati tudi, da trenutno v ZVOP-1 veljajo le določene določbe zakona, saj so se s 25. majem 2018 v Republiki Sloveniji prenehale uporabljati tiste določbe obstoječega ZVOP-1, ki jih ureja (oz. nadomešča) Splošna uredba o varstvu podatkov GDPR. Namesto njih se bo tako za upravljavce in obdelovalce, posameznike, na katere se nanašajo osebni podatki, uporabljala Uredba GDPR (Prva sistemska pojasnila Ministrstva za pravosodje ob začetku razvoja uporabe nove evropske zakonodaje o varstvu osebnih podatkov, 2018).
Novi predlagani Zakon o varstvu osebnih podatkov (ZVOP-2, EPA 2733-VII) je v obravnavi v Državnem zboru Republike Slovenije od 6. aprila 2018 in ni bil sprejet pravočasno zaradi povezave z odstopom Vlade Republike Slovenije in temu sledečim razpustom Državnega zbora Republike Slovenije (Prva sistemska pojasnila Ministrstva za pravosodje ob začetku razvoja uporabe nove evropske zakonodaje o varstvu osebnih podatkov, 2018).
3.2.3 Zakon o delovnih razmerjih
Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 - popr., 47/15 - ZZSDT, 33/16 - PZ-F, 52/16, 15/17 - odl. US, 22/19 - ZPosS, 81/19 in 203/20 - ZIUPOPDVE, v nadaljevanju ZDR-1) je bil sprejet leta 2013 in ureja delovna razmerja, ki se sklepajo s pogodbo o zaposlitvi med delavcem in delodajalcem (prvi odstavek 1. člena ZDR-1). ZDR-1 med drugim zagotavlja tudi varstvo osebnih podatkov delavca in njegove zasebnosti.
Varstvo osebnih podatkov delavcev je zagotovljeno z 48. členom ZDR-1 in v prvem odstavku 48. člena navaja, da se osebni podatki delavcev lahko uporabljajo, obdelujejo, zbirajo in posredujejo tretjim osebam, če je to določeno z zakonom ali če je to potrebno za uresničevanje pravic in obveznosti iz delovnega razmerja. Za zgoraj navedene dejavnosti je pristojen samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti (drugi odstavek 48. člena ZDR-1). Če za te podatke preneha obstajati zakonska podlaga, se morajo ti podatki zbrisati in prenehati uporabljati (tretji odstavek 48. člena ZDR-1).
Ker pa se osebni podatki in zasebnost med seboj dopolnjujeta, je tudi zasebnost delavca zagotovljena s 46. členom ZDR-1, ki pravi, da mora delodajalec »varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost.« Prav tako je pomemben tudi 47. člen ZDR-1, ki v prvem odstavku govori o varovanju dostojanstva delavca pri delu, pri čemer navaja, da je delodajalec dolžan zagotavljati delovno okolje, v katerem delavec ne bo izpostavljen spolnemu nadlegovanju ali trpinčenju s strani delodajalca, predpostavljenih ali sodelavcev.
12
3.2.4 General Data Protection Regulation (GDPR)
Uredba Evropskega parlamenta in Sveta Evropske unije (angl. General Data Protection Regulation) (Regulation EU 2016/679, v nadaljevanju Uredba GDPR) je bila sprejeta 14.
aprila 2016, v veljavo pa je stopila 25. maja 2018 ter ureja varstvo posameznikov pri obdelavi osebnih podatkov, prostem pretoku takih podatkov in razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov). Uredba GDPR določa, da morajo biti vsi osebni podatki obdelani zakonito in pošteno. Podatki, ki se zbirajo, morajo biti zbrani in obdelani za točno določen namen in ne smejo biti obdelovani za drugačne namene, če to ni določeno z zakonom. Posameznik mora biti obveščen o tem, kateri podatki se zbirajo in v kakšne namene se bodo podatki shranjevali. Trenutno je Uredba GDPR glavni evropski pravni akt in podlaga za nadaljnje pravne akte na področju varstva osebnih podatkov.
3.3 OBDELAVA IN SHRANJEVANJE OSEBNIH PODATKOV
Vsaka obdelava osebnih podatkov mora upoštevati dve načeli: zakonitost in poštenost.
Zbiranje, obdelovanje in namen uporabe določa zakon, vsak posameznik pa ima pravico seznaniti se z zbranimi osebnimi podatki in jih po zahtevi tudi spreminjati. Vsi osebni podatki, ki se obdelujejo, shranjujejo, pregledujejo in dopolnjujejo, morajo biti dovolj pregledni za splošnega uporabnika. Načelo preglednosti je zagotovljeno z Uredbo GDPR v 39. členu in zahteva, da so vsi podatki za uporabnika dostopni in razumljivi.
ZVOP-1 v svojem drugem delu ureja obdelavo osebnih podatkov, kjer v 8. členu ZVOP-1 navaja, da se osebni podatki lahko obdelujejo, če obdelovanje podatkov določa zakon ali če je s strani posameznika podana osebna privolitev. Njegov namen mora biti določen v zakonu, v primeru osebne privolitve posameznika pa mora biti le-ta obveščen z namenom obdelave. Osebni podatki ne smejo končati v rokah nepooblaščene ali tretje osebe. To je predvsem pomembno pri občutljivih osebnih podatkih, ki morajo biti pri obdelavi posebno zavarovani in označeni, da se onemogoči dostop do podatkov tretji ali nepooblaščeni osebi (prvi odstavek 14. člena ZVOP-1). ZVOP-1 pa v prvem odstavku 14. člena navaja še izjemo, in sicer da to velja zmeraj, razen v primeru iz 5. točke 13. člena ZVOP-1, ki ni več v veljavi.
Pogoji za obdelavo osebnih podatkov, ki so podani z zakonom (Premzel idr., 2019, str. 7–
8):
̶ privolitev posameznika: posameznik, na katerega se nanašajo podatki, poda soglasje, da lahko upravljalec podatkov obdeluje njegove osebne podatke;
̶ zakonska obveznost: nekateri osebni podatki so nujno potrebni zaradi zahtev področne zakonodaje (pogodba o zaposlitvi, itd.);
̶ pogodba, ki se podpiše med posameznikom in upravljalcem, s katero se pridobi pravica za obdelovanje podatkov.
13
Obdelava ne sme potekati na način, ki bi lahko škodil posamezniku. Osebni podatki se ne smejo hraniti dlje, kot je potrebno. To pomeni, da je treba podatke, ki jih ne potrebujemo več, izbrisati (Premzel idr., 2019, str. 8). Obdelava podatkov se nanaša na avtomatizirano in ročno obdelavo. Če so podatki organizirani v skladu z merili (npr. po abecednem vrstnem redu), potem za zagotavljanje varstva osebnih podatkov, njihovo obdelavo in shranjevanje ni pomembno, katera vrsta tehnologije se uporablja (informacijska tehnologija, videonadzor ali na papirju). V vseh primerih veljajo za osebne podatke zahteve glede varstva, ki so določene v Uredbi GDPR (Evropska komisija, 2019).
3.4 VAROVANJE IN ZLORABA OSEBNIH PODATKOV
Varovanje osebnih podatkov je pomembno tako za posameznika kot tudi organizacijo.
Razlogi za zaščito osebnih podatkov so zelo jasni že iz regulativnega okvira. Osebni podatki se nanašajo samo na fizično osebo, ki jih ta označuje. Osebni podatki lahko v vsakem primeru, če pridejo v neprave roke, ustvarijo ogromno škodo. Danes nam tehnologija in svetovni splet dejansko omogočata, da je vsak posameznik izpostavljen zlorabi osebnih podatkov, tudi če je tretja oseba na drugem koncu sveta.
Najpogostejše zlorabe se pojavljajo na spletu, povezane z vdori v razne uporabniške dostope. Vsak posameznik, ki želi dostopati do svojih zasebnih storitev na spletu, uporablja spletno geslo. Geslo nam pripomore k temu, da tretja oseba ne more dostopati do določenih stvari posameznika. Geslo bi moralo biti oblikovano tako, da ga tretja oseba ne more ugotoviti in da si ga uporabnik lahko zapomni. Priporočljivo je, da so za razne uporabniške dostope določena različna gesla. Za uporabo občutljivih osebnih podatkov, kot so spletna bančništva, zdravstveni podatki itd., je priporočeno, da ne uporabljamo javnih računalnikov in javnih omrežij (Hitri vodnik ABC varnosti na spletu, 2020).
Internet je postal sestavni del človekovega življenja, zato uporablja vsaka organizacija pri svojem poslovanju informacijsko tehnologijo, pri kateri pa je varnost še vedno sporno vprašanje. Informacijska varnost se nanaša na zaščito poslovnih informacij pred nepooblaščenimi dostopi, razkritjem podatkov poslovanja ter nevarnost vdora v sam sistem in izgubo podatkov organizacije. Varovanje osebnih podatkov pa ne zajema samo svetovni splet, temveč tudi področje zasebnosti. Posameznikova zasebnost se je z razvojem tehnologije skozi leta zmanjšala. Nadzor nad posameznikom pa se s pomočjo tehnologije vsako leto povečuje. Nadzor se lahko izvaja na več načinov, najpogostejši primer v praksi je nadzor preko nadzorne kamere, s katero lahko delodajalec spremlja svoje delavce na delovnem mestu.
Z razvojem tehnologije in interneta postajajo osebni podatki vedno bolj izpostavljeni in dostopni tistim, ki jih lahko uporabljajo za svoje nezakonite namene. Zloraba podatkov je uporaba informacij na način, ki niso bile predvidene za tovrstno uporabo. Najpogostejši
14
razlogi so osebna korist, protizakonito zbiranje podatkov in uporaba poslovnih skrivnosti za ustvarjanje novega podjetja (Ekran, 2019). Zlorabo osebnih podatkov ali zasebnosti s pomočjo računalniških sistemov imenujemo kibernetski kriminal. To je kriminalna dejavnost, ki je ustvarjena preko računalnika, mrežne naprave ali omrežja. Ta vključuje goljufijo, ponarejanje identitete, objavo nezakonitih vsebin, kazniva dejanja, napad na informacijske sisteme, vdore v računalniške sisteme itd. (Anderson idr., 2013, str. 268.).
Najsodobnejše naprave, ki zaskrbljujoče kršijo posameznikovo zasebnost, predstavlja umetna inteligenca. Gre za tehnologijo, ki posnema proces človeške inteligence s pomočjo računalniških sistemov, danes pa jo različne države uporabljajo celo za prepoznavanje ljudi oziroma njihove identitete. Uporaba umetne inteligence bo lahko v prihodnosti predstavljala velik problem zagotavljanja varnosti, saj uporaba sistemov za prepoznavanje ljudi močno posega v posameznikovo zasebnost. Umetna inteligenca še ni dovolj razvita, da bi lahko zagotovili posameznikovo varnost. Lahko se pojavijo tehnične napake in možnosti vdorov v sistem, kar posledično omogoča tretji osebi razkritje tuje identitete. Ker umetna inteligenca trenutno prinaša potencialne grožnje in tveganja, mora vlada v prihodnosti oblikovati zakone o tem, kaj lahko umetna inteligenca vključuje in česa ne (Xiuquan & Zhang, 2017, str. 416–417).
3.5 PRAVNO VARSTVO ČLOVEKOVIH PRAVIC IN TEMELJNIH SVOBOŠČIN
V Sloveniji za varstvo človekovih pravic na nacionalni ravni skrbijo različni državni organi, in sicer Varuh človekovih pravic, Zagovornik načela enakosti in Informacijski pooblaščenec (Amnesty International Slovenija, 2021). Za nadzor nad zakonitostjo in skladnostjo obdelave osebnih podatkov je zadolžen Informacijski pooblaščenec, ki je samostojen in neodvisen državni organ. Ustanovljen je bil 31. decembra 2005 z Zakonom o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A, v nadaljevanju ZInfP), v katerem so zapisane pristojnosti organa. Področje Informacijskega pooblaščenca pokriva zaščito posameznikovih pravic na področju varstva osebnih podatkov, med drugim pa izvajajo tudi inšpekcijski nadzor nad izvajanjem določb ZVOP-1.
Nadzor se nanaša na zakonitost obdelave osebnih podatkov in izvajanje določb zakona (katalog zbirke osebnih podatkov, ustreznost ukrepov za zavarovanje osebnih podatkov itd.) (Beznik, 2016, str. 35). Tako kot Informacijski pooblaščenec je tudi Varuh človekovih pravic samostojen in neodvisen organ. Ta pa skrbi za kršitve katerekoli pravice posameznika s strani nosilcev oblasti. Za pravno pomoč, svetovanje in različne raziskave na področju varstva pred diskriminacijo, ki je zapisana v 14. členu Ustave RS, skrbi v upravnih in sodnih postopkih zagovornik načela enakosti, ki je samostojen državni organ. V okviru Sveta Evrope pa skrbi za varstvo pravic iz Evropske konvencije človekovih pravic Evropsko sodišče za človekove pravice (Amnesty International Slovenija, 2021).
15
4 VARSTVO OSEBNIH PODATKOV IN VAROVANJE ZASEBNOSTI V DELOVNEM RAZMERJU
Razvoj današnje tehnologije nenehno posega v naša življenja. Ker se tehnologija iz leta v leto izboljšuje, nadgrajuje in spreminja, se s tem posledično zmanjšuje tudi del naše zasebnosti in samega varstva posameznika. Z razvojem informacijske tehnologije smo za sabo pustili kup papirologije in administrativnega dela, kar pomeni, da je bila v času, ko smo shranjevali podatke na papirju, tako rečeno le ena skrb za varnost, to je dostop tretje osebe do arhiva, kjer so se podatki shranjevali. Danes pa so shranjevanje in obdelavo podatkov nadomestili z računalniškimi sistemi. S tem smo dosegli hitrejše poslovanje in lažji dostop do podatkov, saj so podatki shranjeni na enem mestu, do njih pa lahko dostopamo z različnih lokacij in z raznimi vrstami tehnologij. Vendar če so podatki shranjeni v nekem sistemu, to tudi pomeni, da lahko do njih nezakonito dostopa tudi tretja oseba, ta oseba pa je lahko prikazana pod lažno identiteto ali pa se nahaja celo na drugi strani sveta. Za varno poslovanje z osebnimi podatki potrebujemo zadostno varnost samega sistema kot tudi znanje uporabnika oz. upravitelja s temi podatki.
Tehnološki razvoj nam je z leti olajšal ter izboljšal delo in delovne pogoje, hkrati pa prinesel s seboj nove težave tako za delodajalce kot tudi za zaposlene. Večina posameznikov v delovnem razmerju ne nameni veliko pozornosti zakonodaji, kar posledično pomeni, da so tudi v praksi premalo poučeni o pravici do zasebnosti in varstva osebnih podatkov. Večina novih tehnologij krši zasebnost delavcev, to velja predvsem v smeri prekomernega nadzora delodajalcev nad delavcem. Zaposleni so na delu izpostavljeni več tehnološkim oblikam, preko katerih lahko delodajalci zbirajo različne podatke, izvajajo nadzor nad zaposlenimi, nekatere od teh pa tudi posegajo v delavčevo zasebnost. Delodajalec ima pravico do oblasti nad svojimi sredstvi in pravico nadzora, vendar mora varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost (46. člen ZDR-1). Pristojnosti delodajalca in svobodo delavca v delovnem razmerju zaenkrat še ne ureja noben zakon, zato je delodajalec svoj cilj dolžan izvajati s čim manj invazivnimi in represivnimi ukrepi (Informacijski pooblaščenec, 2019a, str. 21).
4.1 ZASEBNOST NA DELOVNEM MESTU
V današnjem času je zasebnost ena izmed najbolj zaskrbljujočih osebnostnih vprašanj tudi na delovnem mestu. Da bi prišli do normativnega zaključka o pravicah in obveznostih na delovnem mestu, moramo najprej razumeti etično podlago za pravičnost, razumevanje posameznikov, organizacijskih težav in motivacijo. Glede pravic zasebnosti na delovnem mestu je trenutno veliko več vprašanj kot pa odgovorov (Hartman, 2001, str. 1).
Informacijska tehnologija nam ponuja vrsto etičnih izzivov. Meja med osebnim in poklicnim življenjem se je tako rekoč izbrisala, saj lahko posamezniki osebne stvari urejajo na
16
delovnem mestu, nekateri pa lahko delo urejajo (dokončajo) od doma (Hartman, 2001, str.
8).
Pogosti primer v praksi, ki se nanaša na delavčevo zasebnost, je uporaba interneta in obiskovanje spletnih strani. Delavec med iskanjem po spletu izraža svoje počutje, interese in druga osebna stanja, kot so na primer razni nakupi zdravil, zahtevki za kredit itd.
Delodajalec bi s spremljanjem teh podatkov in zgodovine brskanja nedopustno posegal v delavčevo zasebnost. Obiskovanje spletnih strani na delovnem mestu je dopustno v meji narave. Če delodajalec ne želi, da delavec obiskuje določene spletne strani, ki bi lahko zmanjšale produktivnost, delovno uspešnost ali pa jih delavec ne potrebuje za svoje delo, kot so na primer družabna omrežja (Facebook, Twitter itd.), lahko sistemsko onemogoči dostop do spletnih strani (Informacijski pooblaščenec, 2019a, str. 28).
Trenutno najbolj občutljiv način izvajanje nadzora je videonadzor, ki je na delovnem mestu v praksi v večini nameščen po celotnem delovnem prostoru, ta pa delodajalcu omogoča vizualni nadzor nad delavcem brez zvočnih signalov. Delodajalec lahko tako spremlja produktivnost delavca in s tem ocenjuje njegovo delovno uspešnost (Smith, 2008, str. 21).
Videonadzor se lahko izvaja v prostorih, če je to potrebno za varnost ljudi ali premoženja ter varovanje tajnih podatkov in poslovne skrivnosti (prvi odstavek 77. člena ZVOP-1).
Delodajalec mora pred izvajanjem nadzora pisno obvestiti vse zaposlene, ki opravljajo delo v nadzorovanem prostoru. Zbirka osebnih podatkov se šteje kot posnetek posameznika, kjer je naveden datum in čas vstopa in izstopa iz prostora itd. Ti podatki se lahko hranijo največ eno leto po nastanku, če zakon ne določa drugače (75. člen ZVOP-1). V 77. členu ZVOP-1 še določa, da je videonadzor prepovedano izvajati v prostorih izven delovnega mesta (v garderobah, sanitarnih prostorih itd.) Videonadzor mora biti varovan pred dostopom nepooblaščenim osebam. V praksi prihaja do problema, da delodajalci videonadzorne sisteme izkoriščajo sebi v prid in tako preko video sistemov spremljajo, kako zaposleni opravljajo svoje delo, prihod in odhod delavca na delo, čas malice itd. Takšno ravnanje je nedopustno, saj to pomeni poseg v posameznikovo zasebnost.
ZVOP-1 v svojem VI. delu ureja področje videonadzora, kjer se zakonsko opredeljuje tudi GPS (angl. Global Positioning System), t. i. sledilnik. Delodajalci lahko s pomočjo GPS- sledilnika spremljajo zaposlene tudi izven delovnega mesta in časa. Oprema, ki razkriva lokacijo delavca, se lahko uporablja samo, če je nujna za dosego legitimnih ciljev z namenom varovanja premoženja, zdravja ali učinkovitega opravljanja dejavnosti, in ne sme biti uporabljena za nadzor zaposlenih (Informacijski pooblaščenec, 2019, str. 11).
Informacijski pooblaščenec RS v brošuri Zasebnost na delovnem mestu pravi, da delodajalec ne sme spremljati prejete in odhodne klice zaposlenega, vendar mu mora dati možnost pojasniti svoje početje. V petem odstavku 147. člena Zakona o elektronskih komunikacijah (Uradni list RS, št. 109/12, 110/13, 40/14 - ZIN-B, 54/14 – odl. US, 81/15 in 40/17, v
17
nadaljevanju ZEkom-1) določa, da so vse oblike nadzora komunikacij, ki jih izvajajo tretje osebe in niso udeležene v komunikaciji, se pravi poslušanje, snemanje, shranjevanje in posredovanje komunikacij, prepovedane brez soglasja zadevnih uporabnikov, razen pod pogoji, ki jih določa zakon (153. in 160. člena ZEkom-1), ali če je takšna oblika nujno potrebna za prenos sporočil (glasovna pošta, elektronska pošta itd.).
Glavni vir komunikacije v poslovnem svetu je elektronska pošta. Delodajalec ne sme preverjati delavčeve elektronske pošte, saj lahko ta vsebuje tudi zasebne pogovore, vendar lahko na podlagi nastale poslovne škode, povezane z računalniškimi sistemi, pregleda elektronsko pošto delavca (Informacijski pooblaščenec, 2019a, str. 24). Delodajalec ima možnost, da delavcem nudi uporabo službenega računalnika samo v službene namene. Če delavec uporablja isto elektronsko pošto ali računalnik tudi v zasebne namene, se poslovna varnost zmanjša, saj s tem omogočimo večjo verjetnost vdora v sam sistem. Vsi podatki, ki se prenašajo preko elektronske pošte, so občutljivi podatki, zato moramo strogo ločiti službeno in zasebno elektronsko pošto. To področje natančneje ureja ZEkom-1.
Področje uporabe tehnologije na delovnem mestu lahko zelo hitro poseže v delavčevo zasebnost. Zaenkrat to področje še ne ureja noben določen zakon, zato je prav, da delodajalci upoštevajo poslovne etične podlage in uporabljajo tehnologijo tako, da na čim manjši način posegajo v delavčevo zasebnost (Informacijski pooblaščenec, 2019a, str. 21).
4.2 PRAVNO RAZMERJE MED DELAVCEM IN DELODAJALCEM
Družbeni mediji omogočajo danes delodajalcem preprost in poceni način zbiranja informacij o posameznikih, največkrat pri tistih, ki so se javili za določeno delovno mesto. S tem se delodajalci prepričajo, ali se bodo posamezniki dobro prilegali delovnem mestu in dobro opravili svoje delo. Takšne informacije so prosto dostopne, pod pogojem, da ima posameznik javno objavljene podatke (Levinson, 2013, str. 16).
Delodajalec lahko zbira, obdeluje, uporablja podatke delavca, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja, kot na primer pogodba o zaposlitvi itd. Za to je pristojen delodajalec ali delavec, ki je pooblaščen s strani delodajalca.
Delodajalec lahko od delavca zahteva kopijo osebnega dokumenta na podlagi pisne privolitve delavca, delodajalec pa jo mora po dosegu namena takoj uničiti (Premzel idr., 2019, str. 13–14). ZVOP-1 v drugem odstavku 18. člena navaja drugače, saj določa, da lahko upravljalec osebnih podatkov pred vnosom v zbirko preveri točnost osebnih podatkov z vpogledom v osebni dokument ali drugo ustrezno javno listino posameznika, na katerega se podatki nanašajo. Se pravi, da za uporabo osebnih podatkov ni potrebna kopija dokumentov, saj je že sam vpogled v podatke dovolj. Enako velja za kopijo potrdila o davčni številki ali kopiji bančne kartice, na katero bo delodajalec delavcu izplačeval plačilo za delo in ostale prejemke.
18
Prvi odstavek 28. člena ZDR-1 navaja, da delodajalec od posameznika lahko zahteva dokazilo o izpolnjevanju pogojev za opravljanje dela. V prvem odstavku 29. člena ZDR-1 navaja: »Pri sklepanju pogodbe o zaposlitvi je kandidat dolžan predložiti delodajalcu dokazila o izpolnjevanju pogojev za opravljanje dela in ga obvestiti o vseh njemu znanih dejstvih, pomembnih za delovno razmerje, kot tudi o njemu znanih drugih okoliščinah, ki ga kakorkoli onemogočajo ali bistveno omejujejo pri izvrševanju obveznosti iz pogodbe ali ki lahko ogrožajo življenje ali zdravje oseb, s katerimi pri izvrševanju svojih obveznosti prihaja v stik.«
Če delodajalec meni, da je za določeno delovno mesto zaradi narave dela potrebno dokazilo o predhodni nekaznovanosti, mora kandidate za delovno mesto s tem seznaniti še pred začetkom izbire kandidatov (v objavi za prosto delovno mesto). Podatek o vpisu v kazensko evidenco ali podatek o vpisu evidence prekrškov je občutljiv podatek, zato mora kandidat podati pisno privolitev, da na podlagi izpolnjevanja zahtevkov delovnega mesta dovoli dostop do občutljivih podatkov. Delodajalec ne sme zahtevati potrdila o nekaznovanosti delavca v delovnem razmerju, saj je ob začetku delovnega razmerja že izpolnjeval vse pogoje za delovno mesto (Informacijski pooblaščenec, 2019a, str. 9).
Delodajalec lahko od kandidata zahteva psihometrično testiranje, pri katerem gre za ugotavljanje osebnostnih lastnosti posameznika s pomočjo izpolnjevanja vprašalnikov, ki so sestavljeni na podlagi pravil psihološke stroke. S takšnimi potezami se delodajalec odloči, kateri kandidat je najprimernejši za določeno delovno mesto (Informacijski pooblaščenec, 2019a, str. 10). Pogoj zaposlovanja je določen z zakonom v četrtem odstavku 28. člena ZDR- 1 in pravi, da lahko delodajalec pri zaposlovanju preizkusi znanja oziroma sposobnosti kandidatov za opravljanje dela, za katero se sklepa pogodba o zaposlitvi.
Zdravstveni podatki posameznika so občutljivi osebni podatki, ki so po zakonu najstrožje varovani podatki. V primeru, da je delavec zaradi zdravstvenih razlogov odsoten od dela, lahko delodajalec od delavca zahteva samo predviden čas odsotnosti delavca in podatke o režimu gibanja med bolniško odsotnostjo. Če je delavec odsoten do 30 dni, pridobi navodila od zdravnika o počitku ali dopustnem gibanju, ki izhajajo iz bolniškega lista, če pa je delavec odsoten nad 30 dni, pa po odločbi Zavoda za zdravstveno zavarovanje Slovenije (v nadaljevanju ZZZS). Delodajalec od delavca ne sme zahtevati razloge za bolniško odsotnost z dela ali podatkov, kot so vrsta bolezni in diagnoze, saj s tem nedopustno posega v delavčevo zasebnost. Delavec (kot tudi zdravnik) takšne podatke po zakonu ni dolžan posredovati delodajalcu. V praksi se zgodi tudi, da delodajalci izvajajo kontrolo nad odsotnim delavcem, če sumijo, da delavec ne izpolnjuje zdravniških navodil o režimu gibanja med bolniško odsotnostjo in je zlorabil bolniški stalež. V takšnem primeru delodajalci največkrat najamejo zasebne detektive, ki so na podlagi 26. člena Zakona o detektivski dejavnosti (Uradni list RS, št. 17/11) pristojni za pridobivanje osebnih informacij
19
o zlorabah pravice do zadržanosti z dela zaradi zdravstvenih razlogov. V tem primeru lahko delodajalec od zasebnega detektiva pridobi informacije, vezane na delavca v času njegove odsotnosti z dela, kot so podatki o razlogu (bolezen, poškodba ali nega), medtem pa še vedno nima pravne podlage za pridobivanje diagnoze bolezni ali poškodbe (Informacijski pooblaščenec, 2019a, str. 19–20).
Delodajalec je na podlagi Zakona o zdravstvenem varstvu in zdravstvenem zavarovanju (Uradni list RS, št. 72/06 - uradno prečiščeno besedilo, 114/06 - ZUTPG, 91/07, 76/08, 62/10 - ZUPJS, 87/11, 40/12 - ZUJF, 21/13 - ZUTD-A, 91/13, 99/13 - ZUPJS- C, 99/13 - ZSVarPre-C, 111/13 - ZMEPIZ-1, 95/14 - ZUJF-C, 47/15 - ZZSDT, 61/17 - ZUPŠ, 64/17 - ZZDej-K, 36/19, 189/20 – ZFRO in 51/21, v nadaljevanju ZZVZZ) delavcu dolžan izplačevati njegovo odsotnost z dela. Delodajalec po koncu delavčeve odsotnosti prejme bolniški list delavca, s katerim delavec dokazuje svojo odsotnost z dela. Bolniški list vsebuje podatke, ki se nanašajo na zdravstveno stanje delavca (brez podrobnosti, kot so npr. diagnoze bolezni ali vrsta poškodbe), tako da podatke o zdravstvenem stanju delavca med bolniško odsotnostjo delodajalec prejme v vsakem primeru. Sicer pa 36. člen ZDR-1 določa, da je delavčeva temeljna obveznost obveščanje delodajalca o njegovih okoliščinah, ki bi lahko vplivale na izpolnjevanje pogodbenih obveznosti, kar pomeni, da je v nekaterih primerih zbiranje podatkov o bolniški odsotnosti delavca dopustno.
Na področju zdravstvenih podatkov ima delodajalec pravico zahtevati preverjanje alkoholiziranosti delavca, če sumi, da je delavec pod vplivom alkohola ali drugih substanc.
Zakon o varnosti in zdravju pri delu (Uradni list RS, št. 43/11) v 51. členu določa, da delavec ne sme delati ali biti na delovnem mestu pod vplivom alkohola, drog ali drugih prepovedanih substanc, saj ga mora v nasprotnem primeru delodajalec odstraniti z dela ali delovnega mesta. Uživanje alkohola ali drugih prepovedanih substanc se ugotavlja po postopku, ki je zapisan v internem aktu delodajalca (Informacijski pooblaščenec, 2019a, str.
18).
Delodajalec od delavca ne sme zahtevati podatkov o družinskem ali zakonskem stanu, informacij o načrtovanju družine ali potrdila o nosečnosti (drugi odstavek, 28. člena, ZDR- 1) niti pogojevati sklenitev pogodbe glede na pridobljene informacije, ki so bile naštete (tretji odstavek 28. člena, ZDR-1). Zdravniško potrdilo o nosečnosti pa lahko delavka sama izroči delodajalcu zaradi uveljavljanja pravic v času nosečnosti, ki se vežejo na posebno varstvo v delovnem razmerju (183. člen ZDR-1).
Delavec ima po 162. in 163. členu ZDR-1 pravico do izrabe letnega dopusta. Delavec po zakonu delodajalcu ni dolžan navesti vzroke za izrabo, vendar mu lahko pojasni, zakaj bi izrabil dopust v točno določenem času (šolske počitnice itd.), če delavec sam tako želi.
Delodajalec pa po zakonu nima pravice zahtevati vzroke za izrabo letnega dopusta (Informacijski pooblaščenec, 2019a, str. 12).
20 Podatki, ki jih delodajalec lahko zbira:
̶ davčna številka
̶ EMŠO
̶ naslov prebivališča
̶ režim gibanja v času bolniške odsotnosti
Podatki, ki jih delodajalec ne sme zbirati:
̶ diagnoza bolezni ali poškodbe
̶ narodnost
̶ načrtovanje družine/nosečnosti
Podatki, ki so potrebni, če tako izkaže delodajalec:
̶ potrdilo o nekaznovanosti
̶ fotografija delavca
̶ podatki o otrocih
̶ podatek o vozniškem dovoljenju
̶ podatki o zakonskem stanu in o partnerju
Zakonodaja na področju delovnega razmerja je razumljivo zapisana in urejena v ZDR-1. Za lažje razumevanje pravnega razmerja med delavcem in delodajalcem pa so spodaj v tabeli prikazani podatki, ki se v delovnem razmerju pogosto pojavljajo in jih delodajalec lahko ali pa ne sme zahtevati od delavca.
Tabela 2: Zbiranje osebnih podatkov delavca ZBIRANJE OSEBNIH PODATKOV DELAVCEV
Vir: Informacijski pooblaščenec (2019a, str. 15)
Poseganje delodajalca v delavčevo osebnost je odvisno tudi od delovnega mesta, ki ga delavec opravlja, saj ima vsako delovno mesto različne delovne pogoje, potrebne za opravljanje določenega dela. Na delovnih mestih, ki so že po naravi zahtevnejša (delo na višini, kontrola, vodenje itd.), potrebuje delodajalec več podatkov o samem posamezniku, s čimer se prepriča, ali posameznik ustreza določenemu delovnemu mestu, in posledično bolj posega v njegove osebnostne navade in vedenje. Nasprotno pa pri lažjih delovnih mestih (frizer, natakar, snažilka itd.) delodajalec ne potrebuje osebnih podatkov o zdravstvenem stanju delavca itd.
4.3 VARSTVO PODATKOV V DELOVNEM RAZMERJU
Delodajalec je v razmerju do svojih delavcev dolžan vedeti, kateri podatki so nujno potrebni v času delovnega razmerja. Skrb za varstvo osebnih podatkov delavcev je na strani delodajalca, ta pa jih mora hraniti ter obdelovati skrbno in na podlagi zakonov, saj je v delovnem razmerju prikazan kot močnejša stranka. Za vsako potezo, ki jo izvede in ta zajema osebne podatke delavca, se mora zavedati, da lahko z nepravilnimi pristopi hitro poseže v delavčevo zasebnost in s tem krši ustavno pravico do varstva osebnih podatkov.
Dobro bi bilo, da delodajalec podrobneje zapiše pravice delavca in delodajalca v notranji pravni akt, seveda skladno z zakonom in če se le da (vsaj v manjših organizacijah) v sodelovanju z zaposlenimi, ter o teh pravicah obvesti tudi delavce pred začetkom
