Globalno poznati brand Piaggio nije se baš proslavio s GDPR-om.
Sustigla ga je kazna od 460.000 EUR izrečena od strane izuzetno strogog talijanskog nadzornog tijela, od kojeg je po našim analizama u EU strože samo jedno – AZOP.
Dva bivša zaposlenika tvrtke Piaggio zatražila su od bivšeg poslodavca potvrdu da su njihovi službeni email računi deaktivirani. Na takve zahtjeve Piaggio nije reagirao, iako ga GDPR na to obvezuje.
Štoviše, bivši zaposlenici su uočili da je njihov bivši poslodavac u disciplinskom postupku iskoristio njihove emailove stare čak i do 3 godine, koji su bili i osobne, privatne prirode.
Piaggio kao poslodavac se opravdavao da je to radio sa svrhom provođenja interne istrage zbog možebitnog kršenja radne obveze tih dvojice zaposlenika i radi zaštite kompanijske imovine. Zvuči opravdano.
Pri tom su izjavili da zadržavanjem emailova i njihovom analizom nisu provodili sustavno praćenje svojih zaposlenika i bivših zaposlenika.
Piaggio je potvrdio da je sve emailove zadržavao u backupu u roku do 5 godina radi informacijske sigurnosti, osiguranja kontinuiteta poslovanja, odgovora na potencijalne tužbe i za obranu pred sudovima i inspekcijama.
No, kad je krenuo nadzor talijanskog nadzornog tijela, iznenada su skratili rok zadržavanja emailova bivših zaposlenika na 3 mjeseca i revidirali interna pravila. Hmm.
Cijeli slučaj je eskalirao do talijanskog visokog suda, čijom presudom se jasno utvrdilo da su se emailovi mogli zadržavati tako dugo samo u slučaju nedvojbeno utvrđene sumnje u kršenje radne obveze, a ne i za slučaj eventualne potencijalne sumnje. Poslodavac mora voditi brigu o primjerenom balansu između vlastitih interesa i digniteta i privatnosti zaposlenika te da se prikupljeni osobni podaci moraju odnositi na razdoblje od trenutka nastanka utvrđene i opravdane sumnje. Sud je jasno izrekao da nije postojao valjani temelj zadržavati emailove bivših zaposlenika čak nekoliko godina duže od nastanka prve sumnje.
Štoviše, talijansko radno pravo ne dozvoljava ovakvo praćenje ponašanja zaposlenika kroz pristup sadržaju emailova i povezanih logova i metapodataka.
GDPR ovdje traži da informiramo zaposlenike o tome i na određen način otvara mogućnost temeljenja određenih obrada na legitimnom interesu, posebice za potrebe osiguravanja sigurnosti informacijskog sustava, između ostalog u svrhe sprječavanja neovlaštenog pristupa informacijskom sustavu i širenja zlonamjernih kodova ili zaustavljanja napada „uskraćivanjem usluge“ te sprječavanja štete na informacijskom sustavu, kada organizacija ima nužnost obrađivati metapodatke o ostvarenom prometu (npr. IP adrese, vremena početka i završetka komunikacije i sl.) putem komunikacijskih sredstava koja omogućuje svojim zaposlenicima, pri tom ne ulazeći u sadržaj komunikacija.
Međutim, uvid u sadržaj elektroničke komunikacije zaposlenika je sasvim druga strana ploče. Samo u iznimnim slučajevima bi se eventualno to smjelo kako bi se organizacija zaštitila od mogućih nezakonskih poteza zaposlenika uz osiguranje ravnoteže između interesa poslodavca i prava na privatnost zaposlenika. Samo iznimne okolnosti (primjerice: sigurnosni incidenti, povreda radne dužnosti, odavanje poslovnih informacija konkurentu, sumnja na mobbing) mogu opravdati uvođenje nadzora sadržaja elektroničke komunikacije zaposlenika. Pri tom se ne smije obuhvaćati podatke o privatnom životu zaposlenika.
I o svemu tome zaposlenike se mora jasno informirati već pri samom zapošljavanju.
Piaggio slučaj je ovdje:
Image from Magnific
[ ovaj post i fotka nisu AI-generated ]
#gdprcroatia
