O pravu na zaštitu podataka o ličnosti

Zakon o zaštiti podataka o ličnosti (“Sl. glasnik RS”, br. 87/2018) primenjuje se već duže od dve godine, do sada su obavljene brojne edukacije, kako ocenjujete trenutno stanje, koliko su građani, ali i rukovaoci upoznati sa svojim pravima, odnosno obavezama?

Nažalost, ni posle više od dve i po godine primene Zakona o zaštiti podataka o ličnosti, kao ni posle brojnih edukacija koje je služba Poverenika održala velikom broju rukovaoca i obrađivača ne možemo da se pohvalimo da su rukovaoci i obrađivači kao ni građani upoznati sa svojim pravima i obavezama. Upravo iz tih razloga Poverenik je svojom novom sistematizacijom predvideo poseban sektor za edukaciju koji će se baviti analizom potreba za obukama, osmišljavanjem i realizacijom tih obuka kao i ocenom rezultata sprovedenih obuka kako predstavnika rukovaoca i obrađivača podataka, tako i građana, ali i zaposlenih unutar službe Poverenika. Pored toga, Poverenik je pokrenuo inicijativu za uvođenje zaštite podataka o ličnosti u nastavno-naučne programe osnovnih i srednjih škola u okviru nastavnih predmeta koje pohađaju svi učenici kako bi deca i mladi mogli da nauče koji su to sve podaci o ličnosti, zašto i kako ih treba čuvati, posebno na internetu i kome treba da se obrate ako dođe do narušavanja njihovih podataka o ličnosti. Takođe, sa ciljem da se u što kraćem roku osposobi što veći broj lica specijalizovanih za oblast zaštite podataka o ličnosti, Poverenik je u saradnji sa Fakultetom bezbednosti Univerziteta u Beogradu sproveo dva kratka programa studija nakon kojih su polaznici programa stekli zvanje menadžera zaštite podataka o ličnosti a u toku je i kratki program studija koji Poverenik sprovodi sa Pravnim fakultetom Univerziteta u Kragujevcu na kojem polaznici stiču znanja iz oblasti oba ljudska prava koja štiti Poverenik, zaštite podataka o ličnosti i slobodnog pristupa informacijama od javnog značaja. U planu je i da se slični kratki programi studija realizuju u saradnji Poverenika sa još nekim visokoškolskim ustanovama u Srbiji. Pored toga, nastavićemo sa kontinuiranom edukacijom svih slojeva društva, kako građana, udruženja i novinara tako i organa vlasti, privrednih društava, finansijskih institucija i svih drugih subjekata. U tom smislu posebno je značajno to što je najnovijim izmenama Zakona o slobodnom pristupu informacijama od javnog značaja, po prvi put, Povereniku data mogućnost da uspostavi svoje kancelarije i van Beograda tako da će dostupnost Poverenika svim građanima Srbije biti mnogo veća što će stvoriti i bolju priliku za sveobuhvatnije upoznavanje svih zainteresovanih za oblast delovanja Poverenika, kroz razne vidove obuka, održavanje seminara i panela i druge forme obrazovnog delovanja.

Da li možete da napravite poređenje kada je reč o broju predmeta pred poverenikom, da li je došlo do porasta pritužbi u toku pandemije virusa COVID-19 ili je broj pritužbi ostao na približno istom nivou i da li je pandemija uticala da se promeni predmet samih pritužbi (u smislu povreda prava na privatnost u kontekstu rada od kuće)?

Što se tiče broja pritužbi podnetih Povereniku brojčano gledano broj pritužbi u 2021. godini je veći nego broj pritužbi u 2020. godini. U 2021. godini Povereniku su izjavljene 204 pritužbe, a Poverenik je ukupno postupao po 246 pritužbi, pošto su 42 pritužbe prenete iz 2020. godine. U 2020. godini Povereniku je izjavljeno 139 pritužbi. Pandemija COVID-19 je svakako uticala na sadržinu pritužbi tako što su se razlozi za izjavljivanje pritužbe u mnogo većoj meri odnosili na ugrožavanje podataka o zdravlju građana, nadzor nad obavljanjem rada na daljinu i druge teme na posredan ili neposredan način vezane za situaciju izazvanu pandemijom.

Koliko je povreda prava na zaštitu podataka o ličnosti zastupljena u sferi radnih odnosa i zapošljavanja, svesni smo da mnogi poslodavci od kandidata za posao zahtevaju pribavljanje uverenja o neosuđivanosti, da li poslodavci na to imaju pravo?

Poslodavac ima pravo da propiše uslove rada, među kojima jedan od uslova može da bude da lice nije osuđivano i da se protiv njega ne vodi krivični postupak. Međutim, poslodavac nema pravo da od zaposlenog traži da sâm donese dokaz o navedenim činjenicama već taj dokaz treba da pribavi sâm poslodavac i to uz prethodno pribavljenu saglasnost lica za koje se dokaz traži.

Inače, podsećam da Zakon o zaštiti podataka o ličnosti propisuje da se na obradu podataka o ličnosti u oblasti rada i zapošljavanja primenjuju odredbe zakona kojima se uređuje rad i zapošljavanje i kolektivni ugovori, uz primenu odredbi Zakona o zaštiti podataka o ličnosti. Takođe, propisana je i zakonska obaveza da ako zakon koji uređuje rad i zapošljavanje ili kolektivni ugovor sadrže odredbe o zaštiti podataka o ličnosti u tom slučaju se moraju propisati i posebne mere zaštite dostojanstva ličnosti, legitimnih interesa i osnovnih prava lica na koje se podaci odnose, posebno u odnosu na transparentnost obrade, razmenu podataka o ličnosti unutar multinacionalne kompanije, odnosno grupe privrednih subjekata, kao i sistem nadzora u radnoj sredini. Na ovom mestu podsećam i na normu Zakona o zaštiti podataka o ličnosti koja propisuje obavezu da odredbe posebnih zakona kojima se uređuje obrada podataka o ličnosti, što znači i odredbe zakona iz oblasti rada i zapošljavanja, moraju biti u skladu sa Zakonom o zaštiti podataka o ličnosti.

U kontekstu radnih odnosa prilično je aktuelno pitanje da li poslodavac može od zaposlenih zahtevati da se izjasne da li su vakcinisani i da li ih može usloviti da ne mogu obavljati rad u prostorijama poslodavca ukoliko nisu vakcinisani?

Podaci o zdravlju, u koje spada podatak da li je neko lice vakcinisano ili ne, spadaju u posebne podatke o ličnosti, a to znači da je, saglasno našem zakonu obrada tih podataka, po pravilu, zabranjena osim u izuzetnim slučajevima koje propisuje Zakon o zaštiti podataka o ličnosti. Ponašanje poslodavaca u konkretnom slučaju je uslovljeno njegovim obavezama propisanim u Zakonu o bezbednosti i zdravlju na radu u kojem je propisano da je poslodavac dužan da se stara o zaštiti zdravlja zaposlenih i da u tu svrhu preduzme sve neophodne mere zaštite. Međutim, poslodavac nema ovlašćenje da uslovljava rad zaposlenih u prostorijama poslodavca vakcinisanjem zaposlenih. On može da sprovede anketu među zaposlenima da li su vakcinisani, ali ne kao obaveznu već samo kao datu mogućnost zaposlenima da se izjasne o toj činjenici, ali pre sprovođenja bilo kakve ankete na tu temu, neophodno je da o svim okolnostima vezanim za takvu obradu podataka zaposlenih u potpunosti na transparentan način informiše zaposlene, odnosno da im pruži relevantne informacije po kom pravnom osnovu i u koje svrhe prikuplja i obrađuje te podatke o ličnosti zaposlenih, na koji način i koliko dugo će ti podaci biti čuvani, da li postoji namera prenošenja tih podataka nekom drugom subjektu i kako lica čiji se podaci u tu svrhu obrađuju mogu da zaštite svoja prava.

Pitanje prenosa podataka u druge države veoma je značajno, naročito u multinacionalnim kompanijama. Da li se ove kompanije obraćaju Povereniku?

Po novom Zakonu o zaštiti podataka o ličnosti moguće je preneti podatke u drugu državu bez dozvole Poverenika, ako su ispunjeni zakonom propisani uslovi, odnosno ako zemlje u koje se podaci iznose imaju primereni nivo zaštite. Po našem zakonu se smatra da je primereni nivo zaštite obezbeđen u državama i međunarodnim organizacijama koje su članice Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka, odnosno u državama ili međunarodnim organizacijama za koje je od strane Evropske unije utvrđeno da obezbeđuju primereni nivo zaštite. Takođe, smatra se da je obezbeđen primereni nivo zaštite i ako je sa drugom državom ili međunarodnom organizacijom zaključen međunarodni sporazum o prenosu podataka o ličnosti. Podaci o ličnosti mogu biti preneti i u državu ili međunarodnu organizaciju za koju listom koju propisuje Vlada Republike Srbije nije utvrđeno postojanje primerenog nivoa zaštite ali samo pod uslovom ako je rukovalac, odnosno obrađivač, obezbedio odgovarajuće mere zaštite ovih podataka i ako je licu na koje se podaci odnose obezbeđeno ostvarivanje njegovih prava i delotvorna pravna zaštita. U ovom slučaju odgovarajuće mere zaštite mogu se obezbediti i bez posebnog odobrenja od strane Poverenika: pravno obavezujućim aktom sačinjenim između organa vlasti, standardnim ugovornim klauzulama izrađenim od strane poverenika kojima se u celini uređuje pravni odnos između rukovaoca i obrađivača, obavezujućim poslovnim pravilima, odobrenim kodeksom postupanja i izdatim sertifikatima. I na kraju, odgovarajuće mere zaštite mogu se obezbediti i na osnovu posebnog odobrenja Poverenika: ugovornim odredbama između rukovaoca ili obrađivača i rukovaoca, obrađivača ili primaoca u drugoj državi ili međunarodnoj organizaciji, ili odredbama koje se unose u sporazum između organa vlasti a kojima se obezbeđuje delotvorna i sprovodiva zaštita prava lica na koje se podaci odnose. U slučaju da su ispunjeni uslovi, Poverenik daje odobrenje u roku od šezdeset dana od dana podnošenja zahteva za odobrenje. U dosadašnjoj praksi Poverenika podneto je pet zahteva za prenos podataka u druge države od strane raznih rukovaoca.

Čini se od samog početka primene zakona pitanje za koje ne prestaje interesovanje jeste uvođenje video nadzora kako na javnim površinama, tako i u poslovnim prostorima i stambenim zgradama. Kada je video nadzor dopušten?

Oblast video nadzora spada u krug oblasti koje nisu na odgovarajući način regulisane propisima u Srbiji. Ova konstatacija se posebno odnosi na obradu podataka o ličnosti putem video nadzora. Tako, Zakon o zaštiti podataka o ličnosti ni u jednoj odredbi ne spominje video nadzor kao način obrade podataka o ličnosti, što nije dobro. U ovom trenutku oblast video nadzora je regulisana u pojedinim oblastima odnosno propisima kao što su Zakon o policiji i Zakon o privatnom obezbeđenju i u tim slučajevima, pod uslovom ispunjenja zakonskih uslova, video nadzor je dopušten. Međutim, to nije dovoljno. Neophodno je da oblast obrade podataka o ličnosti putem video nadzora bude regulisana jednim sveobuhvatnim zakonom koji bi obuhvatio sve postojeće, ali i buduće, vidove video nadzora ili, ukoliko se proceni da je to celishodnije i efikasnije, zakonom kojim bi se regulisala obrada biometrijskih podataka o ličnosti, u okviru kojeg bi bila regulisana i obrada putem video nadzora. U svakom slučaju, regulisanje obrade podataka o ličnosti upotrebom video nadzora je jedan od bitnijih razloga koji su uticali na to da Vlada Republike Srbije na inicijativu Poverenika formira radnu grupu za donošenje strategije zaštite podataka o ličnosti za period od 2022. do 2030. godine. Rad radne grupe na izradi strategije je već prilično odmakao tako da je realno očekivati da strategija, kao i akcioni plan za njeno sprovođenje, budu doneti za nekoliko meseci, a u svakom slučaju ove godine.

Koja je Vaša poruka rukovaocima koji još uvek nisu uskladili svoje poslovanje sa zakonom o zaštiti podataka o ličnosti, a voljni su da to učine, odakle početi?

Iako je od početka primene Zakona o zaštiti podataka o ličnosti (22. avgust 2019. godine) proteklo više od dve i po godine, nemali broj rukovaoca još uvek nije uskladio svoje poslovanje sa ovim zakonom. Na početku bi trebali da izvrše procenu da li, na osnovu zakona, saglasno obradi podataka o ličnosti koju vrše moraju imati određeno lice za zaštitu podataka o ličnosti i da li su tu obavezu ispunili i podatke o tom licu dostavili Povereniku. Zatim treba da provere da li vode evidencije o obradi podataka o ličnosti i da li su preduzeli sve neophodne organizacione, tehničke i kadrovske mere kako bi se obrada podataka o ličnosti vršila na zakonit način.

Legitimni interes smatra se poslednjim osnovom obrade podataka, na sajtu Poverenika objavljen je i model Akta o proceni legitimnog interesa. Da li imate informacije “sa terena” u kojoj meri je ovaj osnov obrade zastupljen i možete li dati neku preporuku rukovaocima kako da ispravno postupe kada se pozivaju na ovaj osnov obrade podataka?

Legitimni interes je osnov na koji se rukovaoci u praksi često pozivaju, ali najčešće neosnovano zato što pogrešno procenjuju svoj legitimni interes u konkretnom slučaju, tumačeći ga dosta široko, i to najčešće u situacijama kada ne postoji neki drugi pravni osnov za obradu podataka ili kada drugi pravni osnov postoji ali to od strane rukovaoca nije prepoznato.

Preporuka rukovaocima je da prvo provere da li u konkretnoj situaciji obrade podataka koju nameravaju započeti postoji neki drugi zakonom propisan pravni osnov za obradu podataka a zatim, ako dođu do zaključka da konkretnu obradu ipak treba da vrši na osnovu legitimnog interesa, taj legitimni interes procene na način koji je propisan Aktom o proceni legitimnog interesa, čiji je model objavljen na sajtu Poverenika.

Nedavno je povodom Dana zaštite podataka o ličnosti objavljena godišnja Publikacija br. 7 Zaštita podataka o ličnosti, Stavovi i mišljenja Poverenika koja je veoma interesantna ne samo za pravnike i druge stručnjake koji se bave temom zaštite podataka već i za širu javnost, šta u narednom periodu možemo očekivati u radu kancelarije Poverenika?

U narednom periodu Poverenik će imati brojne aktivnosti u oblasti oba ljudska prava koja štiti. Prva po redosledu ali i jedna od najvažnijih aktivnosti je donošenje i realizacija novog Pravilnika o radu kojim se bitno menja organizaciona struktura službe Poverenika tako što se umesto dosadašnjih sedam uvodi deset organizacionih sektora, odnosno uz ranije postojeće sektore uvode se i tri potpuno nova: Sektor za edukaciju i sertifikaciju, Sektor za procesuiranje prekršaja i Sektor za izveštavanje i analitiku. Očekujem da ova nova organizacija rada dovede do poboljšanog i efikasnijeg rada službe Poverenika i da će moći da na pravi način da odgovori izazovima koje pred službu donose brojna nova ovlašćenja koja je Poverenik dobio najpre Zakonom o zaštiti podataka o ličnosti a zatim i izmenama Zakona o slobodnom pristupu informacijama od javnog značaja. Takođe, u narednom periodu očekujem i otvaranje kancelarija Poverenika izvan Beograda što će za rezultat imati otvaranje Poverenika prema svim građanima ali i privrednim društvima i drugim privrednim subjektima u Srbiji i unapređenu mogućnost zaštite ljudskih prava građana koja su u nadležnosti Poverenika. Pored toga, pojačanim intenzitetom ćemo nastaviti obuke na svim nivoima, kao i učešće u radu radne grupe za izradu strategije zaštite podataka o ličnosti ali i očekivane izmene i dopune Zakona o zaštiti podataka o ličnosti.

O važnosti kontinuiranog praćenja propisa

Kontinuirano i redovno praćenje donošenja novih i izmena postojećih propisa je od izuzetne važnosti za sve građane a još i više za druge subjekte a posebno za organe vlasti i učesnike u privrednom životu. U vreme drastično ubrzanog razvoja novih tehnologija, digitalizacije i sve učestalijeg korišćenja veštačke inteligencije od presudnog je značaja da i donosioci propisa ali i njihovi obveznici prate ovaj razvoj kako bi mogli na adekvatan način da odgovore na izazove koje pred njih postavlja novo doba. Odgovarajući zakonski okvir je samo preduslov za funkcionisanje u novim uslovima ali ako njegovo donošenje ne bude propraćeno i odgovarajućom neophodnom pažnjom od strane onih zbog kojih je donet, očekivani rezultat, a to je uspešno funkcionisanje prilagođeno novonastalim okolnostima koje se stalno menjaju, neće u potpunosti biti ostvaren.

Koja je Vaša poruka pravnicima u privredi?

Pravnici u privredi treba posebnu pažnju da posvete i onim oblastima prava koja nisu neposredno povezana za vrstu posla koju obavljaju, u koja spada i pravo na zaštitu podataka o ličnosti. Prilikom planiranja i započinjanja neke obrade podataka o ličnosti nije dovoljno samo imati na umu svrhu te obrade i cilj koji se želi postići već je neophodno da se ta obrada pripremi i sprovede na potpuno zakonit način kako bi istovremeno bile zadovoljene obe potrebe: i razlog i svrha obrade podataka o ličnosti ali i prava lica čiji se podaci o ličnosti obrađuju, odnosno da se stvori takva situacija u kojoj će “i vuk biti sit i ovce na broju!”.