Vprašanje prosilca: Pri Informacijskem pooblaščencu (IP) so prejeli zaprosilo za mnenje glede vzpostavitve registra konfliktov interesov. Prosilec pojasnjuje, da želi v Pravilniku o preprečevanju nasprotja interesov urediti tudi vzpostavitev registra konfliktov interesov, saj je, kot to izhaja iz objavljenih sistemskih pojasnil Komisije za preprečevanje korupcije (KPK), najboljši ukrep za zaščito integritete proaktivna transparentnost (vnaprejšnje razkrivanje povezav in interesov ali njihovega videza, ki bi lahko obremenjevali postopek).
V register konfliktov interesov bi vpisovali podatke o zaposlenih, za katere bi delovna skupina za spremljanje izvajanja načrta integritete izvedela bodisi na podlagi prijave zaposlenega, njegovega nadrejenega ali predsednika komisije za izvedbo postopkov oddaje javnih naročil. V posameznih primerih namreč zaposleni delovno skupino za spremljanje izvajanja načrta integritete že vnaprej, pred imenovanjem v komisijo za izvedbo postopkov oddaje javnih naročil, seznani o dejstvu, da pogodbeno sodeluje ali namerava sodelovati z zunanjim izvajalcem, v določenih primerih pa se delovna komisija za spremljanje izvajanja načrta integritete o nasprotju interesov seznani od predsednikov komisij za izvedbo postopkov oddaje javnih naročil, katerim zaposleni skladno z določbo 91. člena Zakona o javnem naročanju (Uradni list RS, št. 91/15, 14/18, 121/21, 10/22 in 74/22 – odl. US; v nadaljevanju ZJN-3) prijavijo nasprotje interesov. Prosilec navaja, da bi v register konfliktov interesov vpisovali naslednje podatke:
- ime in priimek zaposlenega,
- delovno mesto zaposlenega,
- kliniko/oddelek/službo, na katerem je zaposlen,
- označbo, ali je zaposleni vključen v postopke javnega naročanja,
- navedbo ponudnika, s katerim je zaposleni povezan, ali druga označba nasprotja interesov (npr. sorodstveno razmerje, …),
- datum prijave,
- datum in številka sklepa delovne skupine za spremljanje izvajanja načrta integritete ali datum seznanitve z nasprotjem interesov,
- v primeru poslovne povezave trajanje le te, če je podatek poznan.
V registru konfliktov interesov bi bila priložena pogodba o sodelovanju zaposlenega z zunanjim izvajalcem v primerih, če bi delovna skupina s to pogodbo razpolagala. V zvezi s tem prosilec pojasnjuje, da se delovna skupina za spremljanje izvajanja načrta integritete s pogodbami zaposlenih z zunanjimi izvajalci seznani predvsem v primerih, ko zunanji izvajalec za sklenitev pogodbe z zaposlenim zahteva, da slednji to poslovno razmerje razkrije delodajalcu. V navedenih primerih bi bil v evidenci priložen tudi sklep delovne skupine o seznanitvi s pogodbo in vpisu razmerja v register konfliktov interesov.
V pravilniku bi predvideli, da bi imeli dostop do registra konfliktov interesov, razen pogodb o sodelovanju zaposlenega z zunanjim izvajalcem, vodje posameznih oddelkov Nabavne službe in Službe za investicije in infrastrukturni razvoj in delovna skupina za spremljanje izvajanja načrta integritete, dostop do pogodb pa bi imeli izključno člani delovne skupine za spremljanje izvajanja načrta integritete. Dostop do teh pogodb bi bil zaščiten z geslom. Vodjem posameznih oddelkov Nabavne službe in Službe za investicije in infrastrukturni razvoj bi se dostop do registra konfliktov interesov omogočil iz razloga, ker bi jim slednji podatki služil kot usmeritev pri izbiri članov komisij za izvedbo postopkov oddaje javnih naročil, saj bi se lahko že v naprej seznanili, kateri zaposleni ne more biti član posamezne komisije za izvedbo postopkov oddaje javnih naročil zaradi obstoja nasprotja interesov.
Prosilec navaja, da so o nameri po vzpostaviti registra konfliktov interesov že obvestili KPK, ki je v svojem odgovoru zapisala, da bi vzpostavitev takšnega registra zagotovo predstavljala instrument zmanjševanja tveganj nasprotja interesov. V zvezi s samo vzpostavitvijo registra konfliktov interesov je KPK predlagala, da se o tem dejstvu, ter o vsebini podatkov, ki jih nameravate zbirati, posvetujejo še z IP. Glede na navedeno prosilec prosi za mnenje IP glede vzpostavitve registra konfliktov interesov.
Mnenje IP: Na podlagi informacij IP v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posreduje neobvezujoče mnenje v zvezi z vprašanjem.
Niti ZEPDSV niti ZJN-3 ne predvidevata vzpostavitve registra konflikta interesov, v katerem bi se lahko zbirali vsi osebni podatki, ki bi lahko eventualno pomenili nasprotje interesov, ter pogodbe o sodelovanju zaposlenega z zunanjim izvajalcem. Dopustno je, da delodajalec pri svojih zaposlenih preverja obstoj elementov, ki so predmet zakonsko določenih omejitev na podlagi podatkov, za pridobivanje katerih ima pravno podlago, bodisi od delavcev samih bodisi na druge zakonite načine. Zato lahko na podlagi prvega odstavka 48. člena ZDR-1 obdeluje tudi osebne podatke zaposlenih, na podlagi katerih ugotavlja morebitno nasprotje interesov po 91. členu ZJN-3, vendar na način, ki je skladen z vsemi načeli (predvsem omejitev namena in najmanjšega obsega podatkov) in pravili iz Splošne uredbe o varstvu podatkov.
O b r a z l o ž i t e v:
IP uvodoma opozarja, da je primarna odgovornost za zakonito in pošteno obdelavo osebnih podatkov na upravljavcu samem. V okviru mnenja lahko IP poda le splošne usmeritve, saj izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Neobvezna mnenja IP namreč niso namenjena presoji zakonitosti posameznih obdelav in ravnanj konkretnih upravljavcev oziroma potrjevanju predlaganih rešitev, temveč podaji načelnih in splošnih stališč glede interpretacije določb zakonov, ki se nanašajo na varstvo osebnih podatkov.
IP tako pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, torej med drugim za njihovo zbiranje, beleženje, hrambo in uporabo, zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov (privolitev, pogodba, zakon itn).
Področna zakona, ki urejata varstvo osebnih podatkov na področju delovnega prava ter prava socialne varnosti, sta predvsem Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06, v nadaljevanju ZEPDSV) in Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1). ZEPDSV v 6. členu določa vrste evidenc, ki se vodijo na področju dela in socialne varnosti, v 7. členu pa upravljavce. Skladno s tema določbama ter 12. členom ZEPDSV delodajalci vodijo evidenco o zaposlenih delavcih, evidenco o stroških dela, evidenco o izrabi delovnega časa, evidenco o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu ter evidence s področja varnosti in zdravja pri delu. Evidence, ki jih morajo delodajalci voditi v skladu ZEPDSV, so torej izrecno določene. Glede na to, da evidenca/register konfliktov interesov z ZEPDSV ni predviden, bi pravno podlago za obdelavo osebnih podatkov v zvezi z nasprotji interesov lahko predstavljal le prvi odstavek 48. člena ZDR-1. Ta določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. S tem je povezana tudi obveznost delavca glede obveščanja delodajalca o bistvenih okoliščinah, ki vplivajo oziroma bi lahko vplivale na izpolnjevanje njegovih pogodbenih obveznosti, in o vseh spremembah podatkov, ki vplivajo na izpolnjevanje pravic iz delovnega razmerja (36. člen ZDR-1).
Iz zaprosila izhaja, da želi delodajalec/naročnik vzpostaviti register konfliktov interesov z namenom zaščite integritete in preprečevanja nasprotja interesov v postopkih oddaje javnih naročil ter na ta način zagotoviti proaktivno transparentnost.
Preprečevanje nasprotja interesov ureja ZJN-3 v 91. členu. Ta določa, da mora naročnik zagotoviti učinkovito preprečevanje, odkrivanje in odpravljanje nasprotij interesov pri izvajanju postopkov javnega naročanja, da se prepreči kakršno koli izkrivljanje konkurence in zagotovi enakopravna obravnava vseh gospodarskih subjektov. Nadalje predpisuje, da mora oseba, ki vodi, sodeluje ali odloča na kateri koli stopnji postopka javnega naročanja, svojega predstojnika oziroma naročnika takoj, ko je glede na okoliščine mogoče, vendar najpozneje pred oddajo javnega naročila, obvestiti o morebitnem nasprotju interesov in ravnati v skladu z njegovimi navodili. Nasprotje interesov obsega tiste položaje, v katerih je oseba, ki na strani naročnika sodeluje v postopkih javnega naročanja, neposredno ali posredno povezana z izbranim ponudnikom na način, da lahko ta povezava oziroma njen zasebni, finančni ali ekonomski interes vpliva na objektivno in nepristransko opravljanje nalog v zvezi z javnim naročilom ali vzbuja dvom o njeni objektivnosti in nepristranskosti. Pri tem zakon opredeljuje, v katerih primerih se za osebo šteje, da je povezana s ponudnikom, ki se mu oddaja javno naročilo. Če je oseba, ki sodeluje v postopku javnega naročanja, povezana s tem ponudnikom, mora predstojnik sprejeti potrebne ukrepe, da se kljub tej povezavi zagotovita enakopravna obravnava ponudnikov in zakonita oddaja javnega naročila. Kadar obstaja povezava med zakonitim zastopnikom naročnika in ponudnikom, mora zakoniti zastopnik o tem obvestiti svoj nadzorni organ.
ZJN-3 torej naročniku za namen preprečevanja nasprotja interesov eksplicitno ne nalaga zbiranja oziroma evidentiranja osebnih podatkov zaposlenih v obsegu in na način, kot ga predlagate. Določba 91. člena tega zakona namreč ureja zgolj pričakovano dolžno ravnanje oseb v okoliščinah nasprotja interesov. To pa po mnenju IP še ne predstavlja ustrezne pravne podlage za vnaprejšnje evidentiranje širokega in nedoločnega nabora osebnih podatkov, ki lahko v določenih okoliščinah predstavljajo nasprotje interesov (navedba ponudnikov, s katerim je zaposleni povezan, sorodstvenih razmerij ali drugačna označba nasprotja interesov), predvsem pa ne za hrambo celotnih pogodb o sodelovanju zaposlenega z zunanjim izvajalcem. Na podlagi obvestila osebe, ki sodeluje v postopku javnega naročanja, o morebitnem nasprotju interesov, mora namreč predstojnik v vsakem posameznem primeru, upoštevajoč konkretne okoliščine, ugotoviti, ali in kako so sporne povezave vplivale na postopek oziroma izbiro najugodnejšega ponudnika, zatem pa mora sprejeti določene ukrepe in dati navodila, ki morajo biti tudi ustrezno dokumentirani, da se kljub povezavi zagotovita enaka obravnava ponudnikov in zakonita oddaja javnega naročila. Navedeno pa ne pomeni, da se lahko vsi osebni podatki zaposlenih, ki sicer lahko v konkretnem postopku predstavljajo sporno povezavo in interes ali njegov videz (kar je odvisno od okoliščin posameznega primera), beležijo v obliki posebnega registra oziroma evidence. Prav tako niti proaktivna transparentnost, na katero se sklicujete in je izpostavljena v Sistemskem pojasnilu o nasprotju interesov KPK[1], ne more predstavljati zadostne podlage za vzpostavitev predlaganega registra. Proaktivna transparentnost namreč pomeni, da mora vsak organ javnega sektorja, ki npr. imenuje strokovne, posvetovalne in podobne komisije, zagotoviti, da njihovi člani ob imenovanju oziroma pred svojim soglasjem za imenovanje organu, ki jih imenuje, razkrijejo vse relevantne okoliščine (zasebne interese), ki bi lahko vplivale na njihovo nepristransko in objektivno opravljanje njihovih nalog, pri čemer obstoj posameznih okoliščin, ki lahko kažejo na nasprotje interesov, sam po sebi vnaprej nujno ne diskvalificira posameznika npr. pri sodelovanju v teh postopkih (str. 9 Sistemskega pojasnila o nasprotju interesov). Iz vašega zaprosila pa izhaja, da bi bili podatki iz registra konflikta interesov uporabljeni za avtomatično in vnaprejšnjo odločitev o tem, kdo od zaposlenih ne more biti član posamezne komisije za izvedbo postopkov oddaje javnih naročil zaradi obstoja določenih povezav, brez presoje konkretnih okoliščin, kar ni namen določbe 91. člena ZJN-3.
Po mnenju IP bi šlo zato v primeru vzpostavitve registra na način, kot ga opisujete, najverjetneje za prekomerno obdelavo osebnih podatkov in za zbiranje osebnih podatkov na zalogo. IP poudarja, da je sicer dopustno, da delodajalec pri svojih zaposlenih preverja obstoj elementov, ki so predmet zakonsko določenih omejitev na podlagi podatkov, za pridobivanje katerih ima pravno podlago, bodisi od delavcev samih bodisi na druge zakonite načine. S tem namenom je delodajalec upravičen obdelovati tudi določene osebne podatke delavcev, na podlagi katerih ugotavlja morebitno nasprotje interesov. Pri obdelavi teh podatkov pa je delodajalec dolžan upoštevati tako načelo omejitve namena iz člena 5(1)(b) Splošne uredbe o varstvu podatkov, skladno s katerim morajo biti osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni, kot tudi načelo najmanjšega obsega podatkov iz člena 5(1)(c) Splošne uredbe o varstvu podatkov, skladno s katerim lahko zbira in obdeluje podatke, ki so ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Iz teh načel izhaja, da je dopustno obdelovati samo toliko osebnih podatkov, kolikor je to nujno potrebno za dosego zakonitega namena obdelave. Upoštevaje prvi odstavek 48. člena ZDR-1 in načelo odgovornosti iz člena 5(2) Splošne uredbe o varstvu podatkov pa mora biti naročnik/delodajalec kot upravljavec zmožen dokazati, da je določena obdelava osebnih podatkov potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem ter skladna z načeli in pravili, določenimi v Splošni uredbi o varstvu podatkov. Kot izhaja iz obrazloženega, bo po oceni IP takšno skladnost obdelave v okviru predlaganega registra težko utemeljiti, vendar pa IP o tem v okviru neobvezujočega mnenja ne more dokončno presojati.
Celotno mnenje je na voljo TUKAJ.