„Pa tak smo oduvijek radili“ poznata je rečenica.
„GDPR nam tu komplicira život“ je prava istina.
Umjesto da samo pošaljemo upitnik zaposlenicima s rokom popunjavanja, bezobrazno nas maltretiraju da definiramo:
- Svrhu 360° evaluacije
- Pravni temelj iz članka 6. GDPR-a, pri tom nemojmo brzopleto odlučiti da je legitimni interes valjan ili da smo sve riješili privolama
- Koje osobne podatke ćemo obrađivati
- Koja pitanja postavljamo
- Koji su izvori osobnih podataka
- Tko su njihovi primatelji
- Na koji rok ih čuvamo
- Jesmo li osigurali sve informacije iz članaka 12 - 14. GDPR-a
- Tko ima pristup rezultatima
- Jesmo li definirali što moramo a što ne smijemo dati ako zaposlenik zatraži pristup svojim osobnim podacima, uključujući ocjene, komentare i tko ga je tako ocijenio
- Jel se evaluacija provodi kroz neki sustav ili aplikaciju koju održava neka vanjska tvrtka
- Jesmo li s njima sklopili ugovor o obradi podataka
- Jel podaci iz 360° evaluacije možda idu izvan EU/EEA
- Jel radimo profiliranje ili automatizirano odlučivanje na takvim podacima
- Jel možda za sve to koristimo super moderno AI rješenje
- Jesmo li rekli zaposlenicima da je cijeli proces anoniman, iako HR ili održavatelj platforme može vidjeti tko je kako koga ocijenio
Dovoljno je ovdje detalja za ozbiljno zastati i preispitati jesmo li pripremili 360-feedback proces u skladu s pravnim okvirom zaštite osobnih podataka.
Ajmo ispočetka.
Zakon o radu je nulta točka. I on kaže da članak 21. stavak 1. obvezuje poslodavca da ne smije od zaposlenika tražiti podatke koji nisu u neposrednoj vezi s radnim odnosom.
Također, u članku 29. tog Zakona od davnina piše da se osobni podaci radnika smiju obrađivati ako je to određeno zakonom ili ako je obrada potrebna radi ostvarivanja prava i obveza iz radnog odnosa odnosno u vezi s radnim odnosom. Štoviše, ako se podaci obrađuju po ovoj drugoj osnovi, poslodavac mora unaprijed pravilnikom o radu odrediti koje će podatke u tu svrhu prikupljati, obrađivati, koristiti ili dostavljati trećima.
Jesmo li uočili odredbu članka 29. stavka 7. Zakona o radu koja obvezuje poslodavca na trajnu povjerljivost osobnih podataka zaposlenika?
Jesmo li uredili 360° evaluaciju u našem Pravilniku o radu s obzirom da ga Zakon o radu konkretnije ne regulira?
U okviru 360° evaluacije poslodavac je voditelj obrade za osobne podatke ocjenjivanih zaposlenika, ali i za osobne podatke zaposlenika koji ocjenjuju druge. To je strukturirana obrada osobnih podataka radi evaluacije profesionalnih karakteristika i radnog učinka pojedinca.
Pri tom uvijek imajmo na umu uvodnu izjavu (71) GDPR-a:
„Ispitanik bi trebao imati pravo na to da se na njega ne odnosi odluka, što može obuhvaćati mjeru, kojom se procjenjuju osobni aspekti u vezi s njim koja se isključivo temelji na automatiziranoj obradi i koja proizvodi pravne učinke koji se odnose na njega ili slično na njega znatno utječu…“
„Takva obrada uključuje „izradu profila” koja se odnosi na svaki oblik automatizirane obrade osobnih podataka kojom se procjenjuju osobni aspekti u vezi s pojedincem, osobito analizu i predviđanje aspekata ispitanikovog učinka na poslu, […] osobnih preferencija ili interesa, pouzdanosti ili ponašanja, […] kada ona proizvodi pravne učinke koji se odnose na ispitanika ili na njega snažno utječu.
„Međutim, donošenje odluka koje se temelji na takvoj obradi, što uključuje i izradu profila, trebalo bi se dopustiti ako se to izričito dopušta pravom Unije ili pravom države članice kojem podliježe voditelj obrade, […] ako je nužno za sklapanje ili izvršavanje ugovora između ispitanika i voditelja obrade…“
Jel prepoznajemo ovdje da legitimnom interesu ili privolu, kao pravnim temeljima nema mjesta kad govorimo o 360° evaluaciji?
Jel prepoznajemo da pitanje 360° evaluacije moramo ugraditi u Pravilnik o radu i u ugovore o radu?
A ako se rezultati 360° evaluacije automatizirano boduju i na temelju toga donose automatizirane odluke koja značajno utječe na zaposlenika, primjerice automatsko uskraćivanje napredovanja ili bonusa, tada ulazimo i u područje članka 22. GDPR-a, kad je isto neophodno urediti ugovorom o radu.
Stoga, opreza nikad dovoljno, da ne bismo završili kao jedan austrijski poslodavac iz ovog slučaja:
Image from Magnific
[ ovaj post i fotka nisu AI-generated ]
#gdprcroatia
