Objavljeno: 13.01.2023.
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) zaprimila je Vaš nedovoljno jasan upit vezan za obradu osobnih podataka radnika od strane poslodavca, točnije objavljivanje podataka o bolovanju radnika na folderu koji je dostupan većem broju ljudi.
Nastavno na navedeno, a s obzirom da niste dostavili relevantan dokaz koji upućuje na navode iz Vašeg upita, s aspekta propisa kojima je regulirana zaštita osobnih podataka, dajemo sljedeći načelan odgovor:
Ističemo kako se od 25. svibnja 2018., u svim državama članicama Europske unije, pa tako i u Republici Hrvatskoj, izravno se primjenjuje Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SL EU 119.
U članku 4.1. Opće uredbe o zaštiti podataka je navedeno da su osobni podaci svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca
Sukladno članku 4.2. Opće uredbe o zaštiti podataka, obrada znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.
Sukladno članku 5. Opće uredbe o zaštiti podataka osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (načelo zakonitosti, poštenosti i transparentnosti); prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama (načelo ograničavanja svrhe); primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koju se obrađuju (načelo smanjenja količine podataka); točni i prema potrebi ažurni (načelo točnosti); čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju (načelo ograničenja pohrane); obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera ( načelo cjelovitosti i povjerljivosti).
Člankom 6., stavkom 1. Opće Uredbe o zaštiti podataka je propisano da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: (a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha; (b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora; (c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade; (d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe; (e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; (f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
Sukladno članku 9. stavak 1. Opće uredbe o zaštiti podataka, zabranjena je obrada podataka koji se odnose na zdravlje kao posebnoj kategoriji osobnih podataka. Iznimno, sukladno stavku 2. istog članka, posebne kategorije osobnih podataka mogu se obrađivati ukoliko je ispitanik dao izričitu privolu za obradu tih osobnih podataka za jednu ili više određenih svrha odnosno ako je takva obrada nužna za potrebe izvršavanja obveza i ostvarivanje posebnih prava voditelja obrade ili ispitanika u području radnog prava i prava o socijalnoj sigurnosti te u drugim taksativno navedenim slučajevima u predmetnom članku.
Također, posebna kategorija osobnih podataka (podaci o zdravlju) zaslužuje veći stupanj zaštite te bi se isti trebali obrađivati samo u svrhe povezane sa zdravljem radi ostvarivanja tih svrha u korist pojedinca i društva u cjelini.
Nadalje, Zakonom o radu (“Narodne novine”, broj:93/14i 127/17), kao posebnim zakonom propisana su prava radnika vezano uz radni odnos kao i obveze poslodavca, a vezano uz osobnih podataka radnika posebno ističemo članak 29. koji propisuje da se osobni podaci radnika smiju se prikupljati, obrađivati, koristiti i dostavljati trećim osobama samo ako je to određeno ovim ili drugim zakonom ili ako je to potrebno radi ostvarivanja prava i obveza iz radnog odnosa, odnosno u vezi s radnim odnosom. Ako je osobne podatke iz stavka 1. ovoga članka potrebno prikupljati, obrađivati, koristiti ili dostavljati trećim osobama radi ostvarivanja prava i obveza iz radnoga odnosa, odnosno u vezi s radnim odnosom, poslodavac mora unaprijed pravilnikom o radu odrediti koje će podatke u tu svrhu prikupljati, obrađivati, koristiti ili dostavljati trećim osobama.
Također, ukazujemo kako s aspekta pravnog okvira zaštite osobnih podataka, obrada osobnih podataka mora prije svega biti u skladu s odredbama Opće uredbe o zaštiti podataka, a tako i osnovnim načelima zaštite osobnih podataka kao što su zakonitost, svrhovitost, povjerljivost, točnost, potpunost, ažurnost, obrada osobnih podataka na pošten način.
Shodno iznesenom, obrada osobnih podataka u konkretnom slučaju bila bi zakonita samo pod uvjetom kada bi za takvu obradu osobnih podataka postojala pravna osnova i zakonita/opravdana svrha u smislu članak 5. i 6. Opće uredbe o zaštiti podataka, odnosno moraju se ispuniti uvjeti iz članka 9. Opće uredbe o zaštiti podataka. S tim u vezi, a s obzirom na općenitost zaprimljenog upita (nije razvidno tko su osobe kojima su dostupni podaci o bolovanju te koja su njihova ovlaštenja sukladno posebnim propisima), navodimo kako u konkretnom slučaju ne nalazimo pravnu osnovu i zakonitu svrhu za opisano postupanje u smislu članka 5. i 6. i 9. Opće uredbe o zašiti podataka.
