Regulisanje i kontrola podataka o ličnosti koje prikupljaju subjekti karakterisani kao rukovaoci ili obrađivači ima izuzetno važnu ulogu, imajući u vidu da obradom ovakvih podataka rukovaoci, odnosno obrađivači zadiru u privatnu sferu svakog pojedinca čiji se lični podaci obrađuju. S tim u vezi, ne možemo da ne primetimo da bi u konkretnom slučaju bilo reči o zadiranju u ljudska prava, s obzirom da se kategorija ličnih podataka i prava na njihovu zaštitu unutar Evropske unije uzdiže do nivoa osnovnih ljudskih prava, kao što je to proklamovano regulativom EU. Ovde pre svega mislimo na sada već opštepoznatu i čuvenu Opštu uredbu o zaštiti podataka zvanu GDPR (General Data Protection Regulation), koja je iz korena promenila pristup prikupljanju i obradi podataka o ličnosti unutar EU, ali i van njenih granica, o čemu svedoči i naš Zakon o zaštiti podataka o ličnosti[1] koji je počeo da se primenjuje u avgustu 2019. godine (dalje: „Zakon“), a koji je napisan po uzoru i u skladu sa Opštom uredbom o zaštiti podataka.
Da bismo što bolje razumeli predmet ovog teksta, potrebno je na početku pojasniti da GDPR i Zakon svojim odredbama propisuju direktnu primenu principa, odnosno načela na kojima se zasnivaju, a u cilju da se lica čiji se podaci o ličnosti obrađuju što efikasnije zaštite, kao a priori slabija strana u pravnim odnosima kod kojih se kao jedna od posledica javlja obrada njihovih ličnih podataka.
Prvo načelo koje proklamuje Zakon jeste upravo ono koje se tiče zakonitosti obrade, odnosno koje propisuje u kojim situacijama će se obrada smatrati usklađenom sa Zakonom, pa tako taksativno nabraja šest osnova obrade, koji se razlikuju kako sadržinski tako i formalno, i to: 1) pristanak lica na koje se odnose podaci o ličnosti koji se obrađuju, 2) izvršenje ugovorne obaveze; 3) izvršenje pravnih obaveza rukovaoca; 4) zaštita životno važnih interesa lica na koje se podaci odnose; 5) obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca i 6) legitimni interes rukovaoca, ili treće strane.
Naime, najčešći osnov obrade u slučaju obrade podataka o ličnosti zaposlenih od strane poslodavca jeste izvršenje pravnih (zakonskih) obaveza rukovaoca, kao npr. kada obrađuje određene podatke o ličnosti zaposlenih kako bi zaposlene prijavio na obavezno socijalno osiguranje, odnosno plaćao poreze i doprinose i na taj način postupao u skladu sa obavezama koje mu zakon propisuje.
Pored navedenog osnova, poslodavac podatke o ličnosti zaposlenih obrađuje i po osnovu izvršenja ugovorne obaveze, pa bi se tako određeni podaci o ličnosti zaposlenih sadržani u ugovoru o radu obrađivali upravo po navedenom osnovu, kao npr. podaci zaposlenih potrebni za isplatu zarade, kao što je tekući račun zaposlenog. Dakle, poslodavcu su određeni podaci o ličnosti zaposlenih neophodni kako bi izvršio svoje ugovorne obaveze na osnovu čega poslodavac kao rukovalac podataka postupa upravo u skladu sa načelom zakonitosti obrade.
Međutim, najviše pitanja i nedoumica otvara obrada podataka o ličnosti zaposlenih na osnovu pristanka zaposlenih. Pored navedenog osnova, moramo pomenuti i da dosta muka zadaje i legitimni interes kao osnov obrade u odnosu poslodavac-zaposleni, ali ćemo se u okviru ovog teksta fokusirati na pristanak kao zakonski osnov obrade.
PRISTANAK ZAPOSLENIH KAO OSNOV OBRADE PODATAKA O LIČNOSTI
Zakon propisuje da je obrada podataka o ličnosti zakonita ukoliko je lice na koje se podaci o ličnosti odnose pristalo na obradu svojih podataka o ličnosti za jednu ili više posebno određenih svrha.[2]
Ono što je važno odmah napomenuti je da bi pristanak kao osnov obrade podataka o ličnosti trebalo primenjivati samo ukoliko nema nekog drugog osnova da bi obrada bila zakonita, a rukovalac odnosno obrađivač želi da obrađuje podatke. Dakle, tek kada rukovalac prođe kroz ostale osnove obrade i utvrdi da nema drugog osnova obrade, potrebno je da od lica čije podatke namerava da obrađuje zahteva pristanak, odnosno osnov takve obrade bi bio pristanak dat pod uslovima i na način u skladu sa Zakonom.
Zakon dodatno propisuje i same karakteristike pristanka, odnosno da se pristanak mora dati jasnom potvrdnom radnjom kojom se izražava dobrovoljan, konkretan, informisan i nedvosmislen pristanak lica na koje se podaci odnose za konkretnu obradu, što podrazumeva pisanu izjavu, koja uključuje i elektronsku izjavu, ali i izjavu u usmenoj formi. Iako zakon uključuje usmenu formu kao zakonit način pribavljanja pristanka, ista se ne preporučuje s obzirom na problem sa eventualnim dokazivanjem.
Međutim, Zakon propisuje i situacije u kojima pristanak neće biti zakonito pribavljen, i to:
ukoliko je držanje korisnika pasivno odnosno uzdržano;
ukoliko je polje za označavanje pristanka u elektronskoj formi unapred štiklirano;
ukoliko postoji jasna neravnoteža u odnosu stranaka, što je posebno izraženo ako je reč o odonosu poslodavac-zaposleni, kao i ukoliko je jedna strana organ vlasti;
ukoliko nema istinskog i slobodnog izbora;
ukoliko je nemoguće odbiti ili povući pristanak bez posledica.
Kada je reč o konkretnim situacijama kada bi poslodavac razmatrao pristanak zaposlenog kao osnov obrade njegovih ličnih podataka, najčešće su to slučajevi promocije samog poslodavca npr. na svom internet sajtu gde objavljuje fotografije svojih zaposlenih, pa čak i zajedničkih fotografija sa raznih događaja, manifestacija, poseta i sl, kao i na primer objava raznih postignuća zaposlenih, njihovih biografija, obrazovanja, radnih pozicija, ali i drugih podataka o ličnosti zaposlenih kada se ne može primeniti neki od drugih zakonskih osnova obrade. Pored pristanka, poslodavci često obradu navedenih podataka u navedene svrhe baziraju i na legitimnom interesu.
Međutim, kada je reč o pristanku, a imajući u vidu prethodno navedeno i odnos poslodavac-zaposleni u situacijama gde bi bio potreban pristanak zaposlenog na obradu njegovih podataka, saglasnost, odnosno pristanak bi bio najslabiji osnov obrade iz više razloga.
Pre svega, jednom data saglasnost se uvek može povući, u kom slučaju poslodavac više ne bi imao pravo da nastavi sa prikupljanjem i generalno bilo kakvom obradom podataka. Dalje, saglasnost se traži samo u izuzetnim prilikama koje nisu neophodne za sam radni odnos, zbog čega se ne može primenjivati drugi zakonski osnov. Zatim, saglasnost se ne može dati uopšteno za sve vrste obrade, već za tačno i precizno određene obrade. I na kraju, ono što je najvažnije, saglasnost ne može biti osnov obrade ukoliko je data od slabije strane, odnosno strane koja se nalazi u podređenom položaju u odnosu na rukovaoca, što je upravo zaposleno lice u odnosu na svog poslodavca, a koji stav je zauzeo i Evropski odbor za zaštitu podataka o ličnosti (European Data Protection Board, dalje „EDPB“) u svojim Smernicama u vezi sa pristankom kao osnovom obrade[3] (dalje: Smernice), kao i Radno telo EDPB u svom Mišljenju o zaštiti podataka na radu[4] i Mišljenju o obradi ličnih podataka u kontekstu zaposlenja[5] (dalje: „Mišljenja“).
Mišljenje European Data Protection Board – a
EDPB u svojim Smernicama ističe upravo „neravnotežu moći“ koja se javlja u kontekstu zapošljavanja. S obzirom na zavisnost, odnosno podređeni položaj koji postoji u odnosu poslodavac-zaposleni, poslodavac bi teško dokazao da je pristanak zaposlenog na obradu podataka dat bez straha i rizika od štetnih posledica koje mogu biti rezultat nedavanja pristanka. Mala je verovatnoća da bi zaposleni mogao slobodno da odgovori na zahtev poslodavca za davanje pristanka na obradu ličnih podataka bez osećaja bilo kakvog pritiska od strane poslodavca usmerenih ka davanju takvog pristanka. S tim u vezi, EDPB, pozivajući se na Mišljenja svog Radnog tela, smatra da je poslodavcima rizično, odnosno problematično da obrađuju lične podatke svojih zaposlenih na osnovu pristanka, jer je mala verovatnoća da su isti slobodno dati. Naime, za obradu većine takvih podataka na radu, zakoniti osnov obrade ne sme i ne može biti saglasnost zaposlenih, a upravo zbog prirode odnosa između poslodavca i zaposlenog. Međutim, to ne znači da poslodavac nikada ne može obrađivati podatke o ličnosti zaposlenih na osnovu pristanka, već je neophodno da poslodavac dokaže da je pristanak dat slobodno, što je teško zbog pomenutog odnosa “neravnoteže moći” i ograničeno na izuzetne situacije kada zaposleni ne bi imao nikakve posledice bez obzira da li je pristanak dat, ili uskraćen.
Nadovezujući se na prethodno, tako i Radno telo EDPB-a u svojim Mišljenjima ističe da zaposleni gotovo nikada nisu u mogućnosti da slobodno daju, odbijaju, ili opozivaju pristanak, s obzirom na zavisnost koja proizlazi iz odnosa poslodavac-zaposleni. Čak i u slučajevima kada bi se moglo reći da pristanak zaposlenog predstavlja valjanu osnovu za obradu podataka (tj. ako se nesumnjivo može zaključiti da se pristanak daje slobodno), potrebno je da isti bude izričit i obrazložen, odnosno da na nesumnjiv način predstavlja izraz njegove slobodne volje.
Izuzetno, lični podaci zaposlenih kao što su ime i prezime, zanimanje, radno mesto, obrazovanje, fotografija itd, mogli bi se eventualno objaviti isključivo po inicijativi, odnosno na izričit zahtev zaposlenog na koga se podaci odnose, a što bi bilo uglavnom u slučaju kada zaposleni želi da na taj način ostvari ličnu promociju, istakne sebe, svoja znanja i sposobnosti kod poslodavca i slično, u kom slučaju se pristanak može smatrati zakonitim odnosno uslov dobrovoljnosti može biti ispunjen. Međutim, kada je delatnost poslodavca takva da opravdava objavu takvih podataka u cilju razvoja i uspešnosti poslovanja, odnosno kada inicijativa za javnim objavljivanjem fotografije i imena i prezimena zaposlenog potekne od samog poslodavca, legitimni interes bi mogao biti adekvatan pravni osnov obrade.
Imajući u vidu sve prethodno izneto, izvodi se zaključak da pristanak kao jedan od potencijalnih osnova obrade podataka o ličnosti zaposlenih nije adekvatan zbog odnosa poslodavca i njegovih zaposlenih čije bi lične podatke obrađivao, odnosno odnosa u kojem poslodavac kao rukovalac ima dominantan položaj nad licima čije podatke obrađuje koja su mu podređena, zbog čega bi bilo teško utvrditi da je pristanak na obradu podataka dat od strane zaposlenih dobrovoljan, bez bilo kakvih uticaja i pritisaka od strane poslodavca. S tim u vezi, preporuka je da se podaci o ličnosti zaposlenih ne obrađuju na osnovu pristanka zaposlenih, ukoliko se to može izbeći, a sve u cilju izbegavanja povreda Zakona i snošenja sankcija koje isti propisuje zbog nezakonite obrade podataka.
Tekst je preuzet sa sajta https://www.milic.rs/