Lični podaci radnika – šta je dozvoljeno

PITANJE:

1. Zakon o radu RS propisuje obrasce ugovora o radu. Da li postoji mogućnost, odnosno da li može poslodavac ugraditi nove elemente koje nisu obuhvaćeni obrascima, npr. da je radnik saglasan da se koriste njegovi lični podaci u evidenciji za poslovanje kompanije, da ne odaje poslovne tajne itd., odnosno da ugradimo nove odredbe koje nisu u obrascima navedene?
2. Elektronska evidencija radnika: kako se sa aspekta radno-pravnih odnosa tretira otisak prsta umjesto elektronske kartice? Da li smijemo to koristiti kao način evidentiranja?
3. Video nadzor: da li moramo imati propisanu proceduru o načinu korištenja i kontrole tih podataka?

ODGOVOR:

1. Članom 35. stav 2. Zakona o radu („Službeni glasnik Republike Srpske“ broj 1/16, 66/18) – u daljem tekstu: ZOR, propisani su obavezni elementi ugovora o radu. Stavom 5. istog člana propisano je da ugovorom o radu mogu da se ugovore i druga prava i obaveze koja nisu uređena tim zakonom i opštim aktom. U smislu člana 102. ZOR, a u vezi sa čl. 6. i 9. Zakona o zaštiti ličnih podataka („Službeni glasnik BiH“ broj 49/06, 76/11, 89/11) – u daljem tekstu: ZZLP, nema smetnji da se u ugovor unese odredba o saglasnosti radnika za obradu njegovih ličnih podataka u evidencijama koje se vode prema propisima o obaveznim evidencijama u oblasti rada i zaštite na radu. Obaveza čuvanja poslovne tajne nije direktno propisana ZOR-om (iako je definisana kao teža povreda radne dužnosti), tako da ne postoje smetnje da se i takva klauzula unese u ugovor. Takođe, pored obaveznih odredbi koje su navedene u članu 35. stav 2. ZOR, poslodavac može unijeti i druge odredbe kojima se detaljnije uređuju prava, obaveze i odgovornosti konkretnog radnika.
2. Otisak prsta u svrhu evidencije prisustva na radu smatra se biometrijskim podatkom čija je obrada u načelu zabranjena. Obrada ličnih podataka putem biometrijskih čitača otisaka prstiju radnika u svrhu evidencije prisustva na radnom mjestu nije u skladu sa načelom pravičnosti i zakonitosti, a suprotna je i načelu neophodnosti. Naime, ova evidencija se može uspostaviti na drugi, manje invazivan način (beskontaktni čitači, elektronske kartice ili potpisivanje prilikom dolaska na posao i odlaska sa posla).
3. Kako bi poslodavac zakonito uveo videonadzor, dužan je da preduzme sve aktivnosti propisane članom 21a. ZZLP. To znači da je dužan:

• donijeti odluku koja će sadržavati pravila obrade s ciljem poštivanja prava na zaštitu privatnosti i ličnog života nosioca podataka,
• na vidnom mjestu istaći obavještenje o vršenju videonadzora i
• na vidnom mjestu istaći kontakt putem kojeg se mogu dobiti pojedinosti o videonadzoru.

Takođe, prije uspostave videonadzora poslodavac je dužan Agenciji za zaštitu ličnih podataka uputiti zahtjev o namjeravanom uspostavljanju zbirke ličnih podataka zajedno s podacima:

a) naziv zbirke;
b) ime, prezime i adresu kontrolora podataka i obrađivača podataka, stvarno mjesto obrade podataka (uključujući i tehničku obradu), kao i ostale aktivnosti obrađivača podataka u vezi s obradom ličnih podataka;
c) svrhu obrade podataka;
d) zakonsku osnovu za obradu;
e) vrstu podataka koji se obrađuju;
f) kategorije nosilaca podataka;
g) izvor podataka i način prikupljanja;
h) vrstu prenesenih podataka, primaoce tih podataka i zakonsku osnovu za prijenos;
i) rokove za brisanje određenih vrsta podataka;
j) prijenos podataka iz inozemstva, odnosno iznošenje podataka iz Bosne i Hercegovine, s naznakom države, odnosno međunarodne organizacije i inozemnog korisnika ličnih podataka, te svrhu za to unošenje, odnosno iznošenje propisano međunarodnim ugovorom, zakonom ili drugim propisom, odnosno pisanim pristankom lica na koje se podaci odnose;
k) naznaku preduzetih mjera zaštite ličnih podataka.

Nakon uspostavljanja videonadzora, poslodavac je dužan dostaviti Agenciji podatke o uspostavljanju zbirke ličnih podataka, kao i promjene podataka o zbirci ličnih podataka, najkasnije u roku od 14 dana od dana uspostavljanja zbirke ili promjene podataka.