Prenosimo stajalište AZOP-a od 15.12.2021. u cijelosti, objavljeno na:
https://azop.hr/obrada-osobnih-podataka-u-kontekstu-pandemije-covid-19/
Uvid u EU COVID potvrde zaposlenika i pohrana podataka trajanja u privatnom sektoru
Člankom 4. točkom 15. Opće uredbe o zaštiti podataka propisano je da su „podaci koji se odnose na zdravlje“ osobni podaci povezani s fizičkim ili mentalnim zdravljem pojedinca, uključujući pružanje zdravstvenih usluga, kojima se daju informacije o njegovom zdravstvenom stanju.
Budući da bi se u konkretnom slučaju radilo o informaciji odnosnoj na zdravlje zaposlenika, napominjemo kako se radi o obradi posebnih kategorija osobnih podataka u smislu članka 9. Opće uredbe o zaštiti podataka.
Kada se radi o obradi posebnih kategorija osobnih podataka (ovdje zdravstvenih podataka), uz zakoniti pravni temelj za obradu podataka iz članka 6. stavka 1. Opće uredbe o zaštiti podataka, potrebno je utvrditi i iznimku načelne zabrane obrade posebnih kategorija osobnih podataka iz članka 9. stavka 2. Opće uredbe o zaštiti podataka.
Člankom 6. stavkom 1. Opće uredbe o zaštiti podataka propisano je da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
(b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
(c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade;
(d) obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;
(e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
(f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
Zakon o zaštiti pučanstva od zaraznih bolesti (NN 79/07, 113/08, 43/09, 130/17, 114/18, 47/20, 134/20) u članku 47. određuje da se radi zaštite pučanstva Republike Hrvatske od, između ostalog, bolesti COVID-19 uzrokovane virusom SARS-CoV-2 i drugih zaraznih bolesti, poduzimaju mjere određene ovim Zakonom te međunarodnim ugovorima kojih je Republika Hrvatska stranka.
U nastavku predmetnog članka je određeno da radi sprečavanja i suzbijanja zaraznih bolesti iz stavka 1. ovoga članka, na prijedlog Hrvatskog zavoda za javno zdravstvo ministar može narediti posebne sigurnosne mjere za zaštitu pučanstva od zaraznih bolesti između ostalog i zabranu ili ograničenje održavanja javnih događanja i/ili okupljanja, zabranu ili ograničenje održavanja privatnih okupljanja ili druge potrebne mjere.
Nadalje, sukladno stavku 4. navedenog članka, kada je, sukladno članku 2. stavcima 4. i 5. ovoga Zakona, proglašena epidemija zarazne bolesti ili opasnost od epidemije zarazne bolesti u odnosu na koju je i Svjetska zdravstvena organizacija proglasila pandemiju, odnosno epidemiju ili opasnost od nje, sigurnosne mjere iz stavaka 1. do 3. ovoga članka može odlukom narediti, u suradnji s Ministarstvom zdravstva i Hrvatskim zavodom za javno zdravstvo, i Stožer civilne zaštite Republike Hrvatske. Odluke Stožera donose se pod neposrednim nadzorom Vlade Republike Hrvatske.
12. studenog 2021. donesena je na Odluka Stožera civilne zaštite Republike Hrvatske o uvođenju posebne sigurnosne mjere testiranja dužnosnika, državnih službenika i namještenika, službenika i namještenika u javnim službama, službenika i namještenika u lokalnoj i područnoj (regionalnoj) samoupravi te zaposlenika trgovačkih društava i ustanova koja je stupila na snagu 16. studenog 2021., a koja u točki XI. sadrži preporuku svim drugim poslodavcima glede uvođenja mjere obveznog testiranja svojih zaposlenika i drugih osoba koje dolaze u njihove poslovne prostore.
Preporuka iz točke XI. Odluke Stožera civilne zaštite Republike Hrvatske zbog svoje neobvezatnosti ne može predstavljati pravni temelj za zakonitost obrade iz članka 6. stavka 1. točke (c) odnosno (e) Opće uredbe o zaštiti podataka.
Međutim, navedena preporuka iz točke XI. predmetne Odluke Stožera Civilne zaštite Republike Hrvatske može pomoći voditeljima obrade u dokazivanju legitimnog interesa za obradu osobnih podataka putem uvida u EU digitalnu COVID potvrdu odnosno drugi odgovarajući dokaz.
Naime, da bi se voditelj obrade mogao pozvati na legitimni interes kao pravni temelj za obradu, ta obrada osobnih podataka mora biti nužna za postizanje legitimnog interesa, legitimni interes mora biti zakonit, stvaran i trenutačan te dovoljno jasno opisan odnosno specifičan kako bi se omogućila provedba testa ravnoteže u odnosu na interese i temeljna prava osoba čiji se podaci obrađuju (ispitanika, ovdje zaposlenika). I, naposljetku, test ravnoteže mora pokazati da su u konkretnom slučaju interesi voditelja obrade ili treće strane jači od temeljnih prava i sloboda ispitanika.
Također, postojanje legitimnog interesa zahtijevalo bi pažljivu procjenu, među ostalim i to može li ispitanik u vrijeme i u kontekstu prikupljanja osobnih podataka razumno očekivati obradu u određenu svrhu.
S tim u vezi napominjemo da ako bi provođenjem testa ravnoteže poslodavac kao voditelj obrade dokazao legitiman interes za uvid u EU digitalnu COVID potvrdu odnosno drugi odgovarajući dokaz u svrhu uvođenja posebne sigurnosne mjere obveznog testiranja svojih zaposlenika i drugih osoba koje dolaze u njegove poslovne prostore, isti bi mogao predstavljati zakoniti pravni temelj za navedenu obradu iz članka 6. stavka 1. točke f) Opće uredbe o zaštiti podataka.
Nadalje, u konkretnom slučaju, iznimku načelne zabrane obrade posebnih kategorija osobnih podataka iz članka 9. stavka 2. Opće uredbe o zaštiti podataka mogla bi predstavljati točka b) predmetnog stavka koja glasi:
(b) obrada je nužna za potrebe izvršavanja obveza i ostvarivanja posebnih prava voditelja obrade ili ispitanika u području radnog prava i prava o socijalnoj sigurnosti te socijalnoj zaštiti u mjeri u kojoj je to odobreno u okviru prava Unije ili prava države članice ili kolektivnog ugovora u skladu s pravom države članice koje propisuje odgovarajuće zaštitne mjere za temeljna prava i interese ispitanika.
Slijedom navedenog, mišljenja smo da preporuka iz točke XI. predmetne Odluke Stožera civilne zaštite Republike Hrvatske može predstavljati prethodno navedeno „odobrenje u okviru prava Unije ili prava države članice“.
Takva obrada bi mogla biti prihvatljiva budući da je Odlukom Stožera civilne zaštite Republike Hrvatske propisana zaštitna mjera u smislu ograničenja obrade (uvid, bez pohrane EU digitalne COVID potvrde odnosno drugog odgovarajućeg dokaza).
Osobito naglašavamo kako bi svaka daljnja obrada (nakon uvida odnosno provjere valjanosti), koja uključuje primjerice kopiranje, skeniranje, fotografiranje i sl. EU digitalne COVID potvrde odnosno drugog odgovarajućeg dokaza, predstavljala prekomjernu obradu koja nije u skladu s propisima kojima je uređena zaštita osobnih podataka.
Međutim, ukoliko poslodavac želi pohraniti podatak o trajanju navedenih potvrda svojih zaposlenika u svrhu olakšavanja/ubrzavanja provedbe posebne sigurnosne mjere obveznog testiranja, poslodavac je dužan pronaći drugi pravni temelj iz članka 6. stavka 1. Opće uredbe o zaštiti podataka za zakonitost takve obrade odnosno pohrane te jednu od iznimki načelne zabrane obrade posebnih kategorija osobnih podataka iz članka 9. stavka 2. Opće uredbe o zaštiti podataka, a to, u konkretnom slučaju, može predstavljati izričita privola zaposlenika.
Zaključno, voditelj obrade mora voditi računa o svim obvezama iz Opće uredbe o zaštiti podataka, počevši s načelima utvrđenima člankom 5. Opće uredbe o zaštiti podataka te svoju usklađenost sa istima mora biti u mogućnosti dokazati sukladno načelu pouzdanosti.
Fotografija: www.eudigitalnacovidpotvrda.hr
