Objavljeno: 12.12.2022.
Nastavno na upit koji je zaprimila Agencija za zaštitu osobnih podataka vezano za privole ispitanika (radnika) sukladno odredbama Opće uredbe o zaštiti podataka, iznosimo sljedeći načelan odgovor:
Člankom 6. Opće uredbe o zaštiti podataka utvrđeni su uvjeti zakonite i poštene obrade osobnih podataka te je opisano šest zakonitih osnova na koje se voditelj obrade može pozvati. Primjena jedne od tih šest osnova mora biti uspostavljena prije aktivnosti obrade u odnosu na posebnu svrhu, što znači da je privola samo jedan od pravnih temelja za zakonitu obradu te ista nije potrebna ako voditelj obrade obrađuje osobne podatke na nekom drugom pravnom temelju iz članak 6. Opće uredbe o zaštiti podataka.
Nadalje, vezano uz obradu osobnih podataka radnika u kontekstu zapošljavanja navodimo kako je čl. 88. Opće uredbe o zaštiti podataka u kojem se navodi da države članice mogu zakonom ili kolektivnim ugovorima predvidjeti preciznija pravila s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenika u kontekstu zaposlenja, osobito za potrebe zapošljavanja, izvršavanja ugovora o radu, što uključuje ispunjavanje zakonski propisanih obveza ili obveza propisanih kolektivnim ugovorima, za potrebe upravljanja, planiranja i organizacije rada, jednakosti i različitosti na radnome mjestu, zdravlja i sigurnosti na radu, zaštite imovine poslodavca ili klijenta i za potrebe ostvarenja i uživanja prava i koristi iz radnog odnosa, na individualnoj ili kolektivnoj osnovi, te za potrebe prestanka radnog odnosa. Ta pravila uključuju prikladne i posebne mjere za zaštitu ljudskog dostojanstva ispitanika, njegovih legitimnih interesa i temeljnih prava, posebno u odnosu na transparentnost obrade, prijenos osobnih podataka unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću i sustavâ praćenja na radnom mjestu.
Nadalje, Zakonom o radu (“Narodne novine”, broj:93/14, 127/17) kao posebnim zakonom propisane su prava radnika vezano uz radni odnos kao i obveze poslodavca, a vezano uz obradu osobnih podataka radnika. Posebno ističemo članak 29. koji propisuje da se osobni podaci radnika smiju se prikupljati, obrađivati, koristiti i dostavljati trećim osobama samo ako je to određeno ovim ili drugim zakonom ili ako je to potrebno radi ostvarivanja prava i obveza iz radnog odnosa, odnosno u vezi s radnim odnosom. Ako je osobne podatke iz stavka 1. ovoga članka potrebno prikupljati, obrađivati, koristiti ili dostavljati trećim osobama radi ostvarivanja prava i obveza iz radnoga odnosa, odnosno u vezi s radnim odnosom, poslodavac mora unaprijed pravilnikom o radu odrediti koje će podatke u tu svrhu prikupljati, obrađivati, koristiti ili dostavljati trećim osobama. Osobne podatke radnika smije prikupljati, obrađivati, koristiti i dostavljati trećim osobama samo poslodavac ili osoba koju za to posebno opunomoći poslodavac.
Također, vezano uz obradu određenih dokumenata za svrhe zapošljavanja koji sadrže osobne podatke navodimo da se u vrijeme uspostavljanja radnog odnosa stvaraju određena prava i obveze koje se tiču poslodavca i zaposlenika. Njihovo ispunjenje započinje zaključivanjem ugovora o radu koji nužno uključuje obradu osobnih podataka zaposlenika. Naime, zaključivanjem ugovora o radu između radnika i poslodavca poslodavac je dužan u svrhu ostvarivanja određenih prava prikupiti određenu dokumentaciju o radniku kojom bi nedvojbeno utvrdio identitet i vjerodostojnost osobnih podataka ali i ispunio obvezu dokazivanja identiteta i relevantnosti osobnih podataka prema drugim tijelima (različitim inspektoratima, Hrvatskom zavodu za zapošljavanje, Poreznoj upravi, Hrvatskom zavodu za mirovinsko osiguranje i dr.).
U vezi s time navodimo da isto može biti propisano posebnim zakonima, podzakonskim aktima, kolektivnim ugovorom ili pravilnikom o radu. Tako primjerice Pravilnik o sadržaju i načinu vođenja evidencije o radnicima („Narodne novine“, broj: 73/2017) koji je donesen temeljem čl.5. Zakona o radu („Narodne novine“, broj 93/14, 127/17) propisuje između ostalog opseg osobnih podataka koji poslodavac mora prikupljati u svrhu vođenja evidencije o radnicima.
Nadalje, člankom 5. cit. Pravilnika propisano je da poslodavac evidenciju o osobama iz članka 4. Pravilnika, počinje voditi datumom početka rada osoba kod poslodavca i ažurno je vodi do prestanka rada tih osoba kod poslodavca te istu čuva najmanje šest godina od dana prestanka njihovog rada. Također, čankom 6. istog Pravilnika regulirano je da svaku promjenu podataka taksativno navedenih u članku 3. i 4. Pravilnika (koju poslodavac unosi temeljem izjave, obavijesti, osobnih dokumenata, isprava i slično), radnik, odnosno osoba iz članka 4. ovoga Pravilnika, dužan je prijaviti poslodavcu odmah, a najkasnije u roku od osam dana od dana nastanka promjene.
Naime, vezano uz privolu kao pravnu osnovu za obradu osobnih podataka radnika navodimo da s obzirom na ovisnost koja proizlazi iz odnosa poslodavac/zaposlenik, nije vjerojatno da ispitanik može uskratiti svojem poslodavcu privolu za obradu podataka bez straha ili stvarnog rizika od štetnih učinaka zbog odbijanja. Nije vjerojatno da bi zaposlenik mogao slobodno odgovoriti na zahtjev svojeg poslodavca za privolu te je malo vjerojatno da će privola biti dobrovoljna. Za većinu takve obrade podataka na radnom mjestu, zakonita osnova ne može i ne bi smjela biti privola zaposlenika (zbog prirode odnosa između poslodavca i zaposlenika) već se obrada osobnih podataka radnika prvenstveno temelji na ugovoru o radu koji radnik sklapa sa poslodavcem te na obvezu izvršavanja pravnih obveza voditelja obrade (poslodavca) propisanih posebnim propisima (Zakon o radu, Zakon o mirovinskom osiguranju, Zakon o zaštiti na radu, Pravilnik o sadržaju i načinu vođenja evidencije o radnicima i dr.) Privola radnika može biti pravni temelj za obradu osobnih podataka koje poslodavac nije obvezan prikupljati i obrađivati sukladno posebnim propisima( primjerice: osobna fotografija radnika ).
Vezano za pružanje informacija ispitanicima u svrhu ostvarivanja njihovih prava navodimo kako je poštujući načelo transparentnosti sukladno članku 13. Opće uredbe o zaštiti podataka voditelj obrade dužan ispitaniku pružiti sve informacije o obradi njegovih osobnih podataka u sažetom, razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika te ga upoznati sa njegovim pravima koja mu pripadaju sukladno Općoj uredbi, a vezano za obradu njegovih osobnih podataka (pravo na informiranje, pravo na pristup, pravo na ispravak i brisanje, pravo na ograničenje obrade, pravo na prenosivost, pravo na prigovor i automatizirano donošenje odluka).
Dakle, voditelj obrade u trenutku prikupljanja osobnih podataka obvezan je ispitaniku pružiti informacije:
– o svom identitetu,
-o službeniku za zaštitu podataka (kontakt podaci službenika),
-upoznati sa svrhom i pravnom osnovom za obradu osobnih podataka,
-o primateljima ili kategorijama primatelja osobnih podataka,
-o prenošenju osobnih podataka trećoj zemlji ili međunarodnoj organizaciji (koje nisu članice EU),
-o legitimnom interesu,
-o vremenskom roku pohrane osobnih podataka te kriterijima kojima se utvrđuje razdoblje pohrane,
-o postojanju prava da se od voditelja obrade zatraži pristup osobnim podacima, ispravak, brisanje osobnih podataka ili ograničavanje obrade koja se na njega odnose, prava na ulaganje prigovora na obradu takvih podataka te na prenosivost njegovih podataka drugom voditelju obrade,
– o pravu da se u bilo kojem trenutku povuče privola, a da to ne utječe na zakonitost obrade koja se temeljila na privoli prije nego što je ona povučena,
-o pravu na podnošenje prigovora nadzornom tijelu (Agenciji za zaštitu osobnih podataka)
-da li je pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet nužan za sklapanje ugovora te ima li ispitanik obvezu pružanja osobnih podataka i koje su moguće posljedice ako se takvi podaci ne pruže,
-o postojanju automatiziranog donošenja odluka, što uključuje izradu profila te smislene informacije o tome o kojoj je logici riječ, kao i važnost i predviđene posljedice takve obrade za ispitanika.
Također, ukoliko osobni podaci nisu dobiveni od ispitanika, voditelj obrade dužan je ispitaniku pružiti osim gore navedenih informacija i informacije o izvoru osobnih podataka (članak 14. Opće uredbe).
Osim toga, navodimo kako je u svrhu ostvarivanja zakonitosti i transparentnosti obrade osobnih podataka i pružanja informacija vezanih za obradu osobnih podataka, a time i ostvarivanja prava ispitanika: pravo pristupa podacima, prava na ispravak netočnih podataka, prava na brisanje podataka, prava na ograničenje obrade podataka, prava na prenosivost podataka i prava na ulaganje prigovora na obradu osobnih podataka voditelj obrade dužan detaljno objasniti koje vrste osobnih podataka se prikupljaju, u koju svrhu i po kojoj pravnoj osnovi, na koji način se koriste osobni podaci, odnosno tko koristi osobne podatke te koje mjere zaštite osobnih podataka se poduzimaju (izrada politika privatnosti).
Zaključno ukazujemo kako je potrebno izvršiti usklađivanje internih akata vezanih uz radno-pravne odnose, odnosno uskladiti odredbe internih akata koje se odnose na zaštitu osobnih podataka u kojima će na sveobuhvatan i jasan način biti ugrađene informacije koje je voditelj obrade u trenutku prikupljanja osobnih podataka obvezan ispitaniku pružiti (standardi iz članka 13. i članka 14. Opće uredbe).
