O tem, kako je šel slovenski zakonodajalec pri urejanju varstva osebnih podatkov v ZVOP-2 nekoliko po svoje, in je v zakonu urejal tudi vsebine, ki jih ni bil poklican urejati, ali jih vsaj ne bi bilo treba urejati, sem na tem mestu že pisala. Naj se tokrat obregnem ob možnost iz Splošne uredbe o varstvu podatkov, ki je Državni zbor ni izkoristil.
Splošna uredba o varstvu podatkov v 88. členu dopušča državam članicam, da v zakonu ali kolektivnih pogodbah določijo podrobnejša pravila za zagotovitev varstva pravic in svoboščin v zvezi z obdelavo osebnih podatkov zaposlenih, zlasti za namene zaposlovanja, izvajanja pogodbe o zaposlitvi, vključno z izpolnjevanjem obveznosti, določenih z zakonom ali kolektivnimi pogodbami, upravljanja, načrtovanja in organizacije dela, enakosti in raznolikosti na delovnem mestu, zdravja in varnosti pri delu ipd. Žal področje zasebnosti na delovnem mestu tudi v ZVOP-2 ostaja nenaslovljeno. In to kljub nedavnim izkušnjam z novimi obdelavami osebnih podatkov v zvezi z zaposlitvijo. V času povečanega tveganja za okužbo s Covid-19 smo veliko več storitev opravili na daljavo, tudi sestanki so bili vodeni prek različnih za to namenjenih orodij; npr. Skype, Teams, Zoom… Tendenca, da se tak način poslovanja nadaljuje, je močno prisotna, saj se je pokazalo, da lahko skrajšamo čas, ki bi bil sicer potreben za sestanek ”v živo” in dosežemo povsem primerljive rezultate. Poleg sestankovanja z uporabo različnih orodij izmenjujemo dokumentarno gradivo, v izogib izdelavi zapisnika sestanka pa lahko napravimo posnetek in ga shranimo za nadaljnje delo.
Čas povečanega tveganja za prenos bolezni Covid-19 je morda še posebej vplival na način izvajanja pouka. Spletne učilnice so sicer šole uporabljale že pred tem, nikoli pa ne na tak način, v tako velikem obsegu. Potreba po spremembi načina dela je prišla naglo in nas zatekla precej nepripravljene. Odzivali smo se glede na prioritete in varstvo osebnih podatkov ni bila ena izmed njih (vsaj ne z vidika varstva osebnih podatkov zaposlenih). Tako zaposlenim dejansko ni bila dana izbira glede uporabe novih orodij; sodelovanja na sestanku na daljavo, ki se je poleg tega lahko še video in/ali avdio snemal za namen kasnejše uporabe. Izbire tudi niso imeli učitelji, ki so pouk izvajali na daljavo, prek spletnih učilnic. Nenazadnje izbire tudi niso imeli učenci, za katere se je prav tako pričakovalo, da se bodo pouka udeleževali na daljavo, s prižganima kamero in mikrofonom.
Pravzaprav presenetljivo vprašanje zasebnosti in varstva osebnih podatkov zaposlenih v primerih, kot so zgornji, pri nas ni bilo posebej izpostavljeno. Zato me je toliko bolj presenetila zadeva C 34/21[1], v kateri je bil na Sodišče Evropske Unije s strani Upravnega sodišča v Wiesbadnu (Nemčija) vložen predlog za sprejem predhodne odločitve.
Predlog za sprejetje predhodne odločbe se je nanašal na razlago člena 88(1) in (2) Splošne uredbe o varstvu podatkov v okviru spora med Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium (glavnim delavskim svetom učiteljic in učiteljev pri ministrstvu za izobraževanje in kulturo zvezne dežele Hessen, Nemčija) in Minister Hessischen Kultusministeriums (ministrom za izobraževanje in kulturo zvezne dežele Hessen) glede zakonitosti sistema prenosa pouka v živo prek videokonference, uvedenega v šolah zvezne dežele Hessen (Nemčija), ne da bi bila za takšno obdelavo osebnih podatkov predpisana predhodna privolitev zadevnih učiteljev.
Bo že držalo, da je varstvo zasebnosti in varstvo osebnih podatkov družbeno in kulturno pogojeno. Naši severni sodržavljani Evropske Unije so (še dobro) po teh vprašanjih bolj občutljivi.
V konkretnem primeru je minister za izobraževanje in kulturo zvezne dežele Hessen z aktoma, sprejetima leta 2020, določil pravni in organizacijski okvir šolskega izobraževanja v obdobju pandemije Covida‑19. S tem okvirom je bila je med drugim vzpostavljena možnost, da se učenci, ki ne morejo biti prisotni v razredu, pouka udeležijo v živo prek videokonference. Za zaščito pravic učencev na področju varstva osebnih podatkov je bilo določeno, da je povezava na storitev videokonference dovoljena le s privolitvijo samih učencev ali, če so ti mladoletni, njihovih staršev. Nasprotno pa privolitev zadevnih učiteljev za njihovo sodelovanje v tej storitvi ni bila predvidena.
Glavni delavski svet učiteljic in učiteljev pri ministrstvu za izobraževanje in kulturo zvezne dežele Hessen je pri Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija) vložil tožbo, v kateri kot sporno kritizira ureditev, po kateri prenos pouka v živo prek videokonference ni bil pogojen s privolitvijo zadevnih učiteljev. Minister za izobraževanje in kulturo zvezne dežele Hessen je v odgovoru trdil, da je obdelava osebnih podatkov, ki se izvaja pri prenosu pouka prek videokonference, zajeta s členom 23(1), prvi stavek, HDSIG (v okviru izvajanja pogodbe o zaposlitvi), tako da se lahko izvaja, ne da bi se zahtevala privolitev zadevnega učitelja. Upravno sodišče o tem ni bilo tako prepričano, v smislu, da bi šlo lahko za obdelavo osebnih podatkov učiteljev, ki presega nujno potrebno obdelavo v okviru pogodbe o zaposlitvi. V tem primeru bi bilo potrebno tehtati temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki - torej zaposlenih (učiteljev), in zakoniti interes, ki mu sledi upravljavec, v tem primeru delodajalec (šola). Ker člen 23(1), prvi stavek, HDSIG ne določa takega tehtanja, predmetna določba ne bi mogla šteti za posebno sektorsko pravilo po začetku veljavnosti Splošne uredbe o varstvu podatkov.
Če nekoliko skrajšam opis zadeve iz zahteve za predhodno odločanje, je v primeru ključno, da se stranki iz postopka v glavni stvari ne strinjata glede tega, ali je za uvedbo prenosa pouka v živo preko videokonferenčnega sistema poleg privolitve staršev za njihove otroke oziroma privolitve polnoletnih učencev potrebna tudi privolitev zadevnih učiteljev ali pa je, nasprotno, obdelava osebnih podatkov slednjih zajeta s členom 23(1), prvi stavek, HDSIG in členom 86(4) HBG (kot potrebna za izvajanje pravic in obveznosti v delovnem razmerju – po pogodbi o zaposlitvi).
Iz odločitve sodišča je mogoče zaključiti, da je sicer nacionalno sodišče dolžno preveriti, ali je nacionalna zakonodaja v skladu z določbami prvega in drugega odstavka 88. člena Splošne uredbe o varstvu podatkov. Vendar se je Sodišču Evropske Unije na prvi pogled zdelo, da nemška zakonodaja zgolj ponavlja vsebino Splošne uredbe o varstvu podatkov, brez kakršnega koli dodatnega elementa. Če bi bilo tako, bi nemško sodišče moralo zanemariti nacionalno pravo v luči načela primarnosti prava Evropske Unije. V tem posebnem primeru, tudi če bi nemško sodišče ugotovilo, da nacionalno pravo ne izpolnjuje zahtev iz 88 člena Splošne uredbe o varstvu podatkov, bi moralo še vedno preveriti, ali se člen 6(1)(c) ali (e) Splošne uredbe o varstvu podatkov – obdelava osebnih podatkov za namen izvajanja zakonske obveznost ali v javnem interesu – uporablja kot pravna podlaga za obdelavo. To oceno je treba izvesti v luči člena 6(3) Splošne uredbe o varstvu podatkov.
Vsekakor je čas, da se tudi slovenski zakonodajalec končno posveti varstvu osebnih podatkov v delovnih razmerjih, saj napredek tehnologije prinaša vedno nova IKT orodja, ki po svoji naravi bistveno vplivajo na obdelavo osebnih podatkov zaposlenih. Pri tem je obdelava osebnih podatkov zaposlenih najmanj nepregledna, lahko tudi nepoštena, saj odsotnost urejenosti v predpisih pogosto pomeni tudi slabo obveščenost zaposlenih o tem, da specifična obdelava poteka in na kakšen način.
[1] Sodba je dostopna na povezavi: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A62021CJ0034
Odvetnica mag. Rosana Lemut Strle
Comments