Agencija za zaštitu osobnih podataka (AZOP) provodi postupanje nad Gradom Zagrebom zbog objave platnih lista radnika Holdinga i ZET-a, kao i objave pojedinih informacija o radnicima iz kojih bi se neizravno mogao utvrditi identitet osobe. Da se provodi postupanje nad Gradom Zagrebom, potvrdili su nam iz AZOP-a.
Tijekom prošlotjednog štrajka radnika zagrebačkog Holdinga i ZET-a, Grad Zagreb i Holding objavili su nekolicinu platnih lista radnika Čistoće i ZET-a. Platne liste odnose se na plaću za srpanj koja je isplaćena početkom kolovoza, a na tim dokumentima zacrnjena su samo imena radnika čije su platne liste objavljene.
AZOP smo pitali može li poslodavac objaviti isplatnu platnu listu radnika i kada je zacrnio, odnosno prekrio, ime i prezime radnika čija je platna lista objavljena. Je li takva objava platne liste radnika „sukladna GDPR-u“, odnosno Općoj uredbi o zaštiti osobnih podataka (GDPR) zanimalo je našeg čitatelja.
„Uzimajući u obzir članak 4. Opće uredbe o zaštiti podataka, podatak o plaći pojedinog zaposlenika predstavlja osobni podatak“, navodi AZOP u odgovoru na naš upit, ističući kako, općenito govoreći, „svaka obrada osobnih podataka mora biti u skladu s načelima obrade iz članka 5. Opće uredbe o zaštiti podataka, odnosno načelima zakonitosti, poštenosti i transparentnosti, ograničavanja svrhe, smanjenja količine podataka, točnosti, ograničenja pohrane te cjelovitosti i povjerljivosti“.
Članak 4. Opće uredbe o zaštiti podataka donosi definicije na koje se ta Uredba odnosi dok se člankom 5. definiraju načela obrade osobnih podataka.
AZOP u odgovoru na naš upit naglašava i kako „za svaku obradu osobnih podataka mora postojati odgovarajuća pravna osnova iz članka 6. Opće uredbe o zaštiti podataka“. Tim se člankom, naime, propisuje zakonitost obrade podataka.
Kako ističe AZOP, u pogledu poštivanja odredbi Uredbe o zakonitosti obrade podataka, „voditelj obrade dužan je prije javne objave osobnih podataka utvrditi pravnu osnovu i svrhu objave, procijeniti nužnost i razmjernost objave osobnih podataka te primijeniti načelo smanjenja količine podataka“.
Osim toga, naglašavaju iz AZOP-a, prilikom objave platnih lista i plaća potrebno je voditi računa i o mogućnosti neizravne identifikacije zaposlenika.
„Primjerice, objava podatka o plaći za specifično radno mjesto, mjesta prebivališta osobe te podatka o uzdržavanim članovima obitelji, može omogućiti da se iz objavljenih podataka, samostalno ili njihovim povezivanjem s drugim podacima, utvrdi točno o kojem je zaposleniku riječ (kao primjerice u javnoj objavi Grada Zagreba da osoba putuje na posao iz Donjeg Kraljevca, Međimurske županije te da ima porezni odbitak za 2 uzdržavana člana obitelji)“, navodi Agencija za zaštitu osobnih podataka na naš upit.
Podatak o radniku koji putuje iz Međimurske županije te ima odbitak za dvoje djece, objavljen je, primjerice u ovom tekstu Indexa u kojem se kao izvor podataka navodi Zagrebački holding kojemu je osnivač i vlasnik Grad Zagreb. S druge strane, u tekstu objavljenom na portalu Dnevnik.hr (gdje se kao izvor navodi Grad Zagreb) objavljen je podatak o radniku Zrinjevca, vrtlaru koji na posao putuje iz Sisačko-moslavačke županije.
„U konačnici, zbog javne objave platne liste zaposlenika radnika od strane Grada Zagreba i objave pojedinih informacija o radnicima putem kojih bi se na neizravan način mogao utvrditi identitet osobe, Agencija za zaštitu osobnih podataka provodi nadzorno postupanje nad Gradom Zagrebom“, zaključuje AZOP.
U slučaju da nadzor AZOP-a nad Gradom Zagrebom zbog objave podataka o plaćama radnika u Holdingu i ZET-u, pokaže da je Zagreb objavom podataka o plaćama radnika prekršio GDPR, bit će kažnjen.
Kako navodi AZOP na svojim mrežnim stranicama, „prema odredbama Opće uredbe o zaštiti podataka svaka povreda će se sankcionirati novčanim upravnim kaznama koje će se izricati uz ili umjesto drugih sankcija poput upozorenja, opomena, zabrana, ograničenja, itd. Iznimno, ako je riječ o manjoj povredi fizičke osobe i ako bi upravna novčana kazna bila nerazmjerna, ista se neće izricati nego će se izreći upozorenje“.
Dakle, najprije će se utvrditi postoji li kršenje, a zatim će se eventualno izreći sankcija koja može uključivati novčanu upravnu kaznu.
„Postoje dva seta kršenja; za neka kršenja (obveze voditelja i izvršitelja obrade te certifikacijskog tijela i tijela za praćenje kodeksa ponašanja) propisana je maksimalna kazna u iznosu od 10 milijuna eura ili 2 posto godišnjeg prometa na svjetskoj razini, a za druga kršenja (načela obrade, prava ispitanika, prijenosi u treće države, obveze u skladu s nacionalnim pravom, nepoštovanja naredbe ili pravo pristupa nadzornog tijela) propisana je maksimalna kazna do 20 milijuna eura ili 4 posto godišnjeg prometa na svjetskoj razini, ovisno o tomu što je veće“, navodi AZOP.
Pritom se navodi i kako se prilikom izricanja novčanih upravnih kazni vodi računa da je takva sankcija učinkovita, razmjerna i odvraćajuća. S druge strane, za određivanje iznosa konkretne novčane upravne kazne u obzir se uzima jedanaest kriterija poput prirode, težine i trajanje kršenja, vrste krivnje, mjere ublažavanja štete, prijašnja kršenja, tehničke i organizacijske mjere primijenjene u obradi podataka.
