Agencija za zaštitu osobnih podataka (dalje u tekstu: AZOP) dana 23. srpnja 2021. dala je svoje mišljenje Hrvatskoj udruzi poslodavaca, pod oznakom KLASA: 004-02/21-01/639, URBROJ: 567-14/06-21-02, prema kojem ne nalazi zakonsku osnovu da poslodavac obrađuje podatke o tome je li pojedini zaposlenik prebolio bolest COVID-19 uzrokovanu virusom SARS-CoV-2 ili je cijepljen.
Dana 16. studenog 2021., samo par dana nakon što je Stožer civilne zaštite RH uveo nove mjere kojima se grubo krše temeljna ljudska prava, AZOP je izdao priopćenje koje se odnosi na ocjenu zakonitosti obrade osobnih podataka u kontekstu Odluke o uvođenju posebne sigurnosne mjere testiranja dužnosnika, državnih službenika i namještenika, službenika i namještenika u javnim službama, službenika i namještenika u lokalnoj i područnoj (regionalnoj) samoupravi te zaposlenika trgovačkih društava i ustanova Stožera civilne zaštite Republike Hrvatske donesene 12. studenog 2021. godine.
AZOP u svom drugom mišljenju1 ponovno ocjenjuje zakonitost uvjetovanja ulaska u službene prostorije državnih i javnih službi, te lokalnih i područnih samouprava te navodi „Dakle, AZOP smatra kako je mjera uvida u EU COVID potvrdu odnosno drugi odgovarajući dokaz prilikom ulaska u službene prostorije, određena predmetnom Odlukom Stožera civilne zaštite Republike Hrvatske o uvođenju posebne sigurnosne mjere testiranja dužnosnika, državnih službenika i namještenika, službenika i namještenika u javnim službama, službenika i namještenika u lokalnoj i područnoj (regionalnoj) samoupravi te zaposlenika trgovačkih društava i ustanova, zakonita.“
Agencija za zaštitu osobnih podataka je samostalno i neovisno državno tijelo koje nadzire provedbu Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. 4. 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka (Opće uredbe o zaštiti podataka) i obavlja poslove u okviru djelokruga i nadležnosti utvrđenih Zakonom o provedbi Opće uredbe o zaštiti podataka („Narodne novine“ br. 42/18.) kojim se osigurava provedba Opće uredbe o zaštiti podataka.
Iz navedene definicije razvidno je da AZOP nema ovlaštenja ocjenjivati zakonitost određenih propisa, koji su još pri tom protuzakoniti i doneseni od strane tijela čija zakonitost djelovanja je vrlo upitna, što dovodi do zaključka da on nije niti samostalan niti neovisan, a ovlaštenje ocjene zakonitosti si je sam dodijelio.
Osim toga, AZOP je u kratkom roku iznio dva potpuno oprečna mišljenja, a da pritom drugo mišljenje nije prvo stavilo izvan snage, što zapravo uopće ne iznenađuje, obzirom da se u konkretnom slučaju radi o političkoj odluci i političkim, a ne zdravstvenim mjerama.
Ono što bi moglo „raspetljati“ situaciju su smjernice EDPS-a (Europski nadzornik za zaštitu podataka, nezavisno nadležno tijelo odgovorno za to da se institucije, tijela, uredi i agencije pridržavaju zakona o zaštiti podataka prilikom obrade podataka) o povratku na radno mjesto i provjeri imuniteta ili statusa infekcije COVID-om 19 EU Institucijama, agencijama i tijelima (EUI) od 9. kolovoza 2021.2
U završnom razmatranju navedenih Smjernica navedeno je slijedeće:
„S obzirom na trenutnu dobrovoljnu prirodu cijepljenja protiv COVID-a u EU-u i ne dovodeći u pitanje korištenje EU digitalnih COVID certifikata gdje je to prikladno, EDPS smatra da ne postoji pravni temelj za EUI-jeve da zatraže dokaz o statusu cijepljenja od pojedinaca. Međutim, EUI-jevi mogu prikupiti agregirane, anonimizirane podatke o cijepljenju osoblja kako bi podržali procjenu rizika na radnom mjestu.
EDPS podsjeća da EUI-jevi moraju pažljivo pratiti nužnost i proporcionalnost procjena kako bi se opravdalo implicirano miješanje u temeljna prava pojedinaca na privatni život i zaštitu podataka.“
EDPS podsjeća da takve odluke ne smiju biti u suprotnosti s nacionalnim zakonima države koja donosi mjere.
S obzirom na to da se neupitno radi o političkoj odluci, jer posjedovanje COVID potvrde ne predstavlja mjeru kojom se štiti zdravlje niti se može spriječiti širenje virusa, neupitno je da država nije provela ispitivanje nužnosti niti proporcionalnosti.
Navedena mjera u suprotnosti je sa Kaznenim zakonom, Zakonom o zaštiti prava pacijenata te u konačnici protivna Ustavu Republike Hrvatske.
Samo da podsjetim:
Odredbom čl. 146. Kaznenog zakona, propisano je kazneno djelo nedozvoljene uporabe osobnih podataka, „tko protivno uvjetima propisanim u zakonu prikuplja, obrađuje ili koristi osobne podatke fizičkih osoba, kaznit će se kaznom zatvora do jedne godine“.
Navedenom mjerom prisiljava se zaposlenike, pod prijetnjom zabrane ulaska na posao, uskraćivanjem prava na rad te konačnim ishodom izvanrednog otkaza ugovora o radu, da dostave osjetljive podatke o svom zdravstvenom stanju koji su posebno štićeni.
Navedenom mjerom poslodavce se prisiljava da provedbom protupravne mjere prisiljavaju zaposlenike da pod prijetnjom otkaza, bez dobrovoljne privole dostavljaju svoje osobne podatke koji su zaštićeni Ustavom i zakonom. Pritom poslodavci prikupljaju i pohranjuju osobne i zdravstvene podatke, koji su dostupni svima (portirima, vatrogascima, vratarima….), sastavljaju liste cijepljenih i necijepljenih, radi lakše provjere „valjanje propusnice“ za ulazak na radno mjesto.
Poslodavci zbog straha od inspekcije provode protupravne radnje, a zaposlenici zbog straha od gubitka posla pristaju na takve protupravne radnje i dozvoljavaju da im se krše Ustavom i zakonom zajamčena ljudska prava, dok AZOP uz gore navedenu obvezu da nadzire provedbu Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. 4. 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka ne vidi u tome niša sporno, štoviše ocjenjuje takvo postupanje zakonitim.
Odredbom čl. 37. Ustava RH propisano je da se svakom jamči sigurnost i tajnost osobnih podataka. Bez privole ispitanika, osobni se podaci mogu prikupljati, obrađivati i koristiti samo uz uvjete određene zakonom.
Nesporna je činjenica da država nije provela ispitivanje nužnosti i proporcionalnosti, već je samovoljno donijela odluku kojom se krši niz zakonskih propisa i zadire u osnovne ljudske slobode i prava.
„Status cijepljenja predstavlja osjetljive zdravstvene podatke, a njihova obrada može predstavljati miješanje u pravo na zaštitu podataka i zadiranje u pravo na privatni život koje je zaštićeno Poveljom o temeljnim pravima Europske unije.
Ako bi se predmetni podaci koristili od strane djelatnika poslodavca, teško bi se mogla zaštititi povjerljivosti takvih informacija.
Štoviše, obrada podataka o cijepljenju od strane poslodavaca, ako se koristi različito u odnosu na zaposlenike, povećava rizik od diskriminatornog postupanja prema članku 21. Povelje (na primjer na temelju zdravstvenog stanja).“
Stoga prikupljanje podataka o osobnom cijepljenju predstavlja nepotrebnu i nerazmjernu obradu, za koju trenutno nema jasne pravne osnove prema EU ili nacionalnom zakonu.
Tako će vjerojatno ostati sve dok cijepljenje protiv virusa COVID-19 ne postane obvezno u državama članicama EU-a.
„Što se tiče nacionalne zdravstvene politike, to je odluka koja se obično donosi na razini nacionalnog parlamenta, koji je obično podložan nadzoru i mehanizmima odgovornosti, što je potrebno za svaku mjeru koja nameće ozbiljna ograničenja individualnih sloboda.
Stoga EDPS smatra da mjere za prikupljanje podataka o cijepljenju ne bi trebale biti arbitrirane na razini pojedinih EU članica.
„Ne dovodeći u pitanje korištenje EU digitalnih COVID certifikata, EDPS snažno savjetuje EU članice da izbjegavaju izravno traženje od zaposlenika njihov osobni status cijepljenja kao i obradu takvih informacija, bez obzira na to je li takav zahtjev upućen na obveznoj ili dobrovoljnoj osnovi.“
„Procjena nužnosti i proporcionalnosti nametanja antigenskih testova zaposlenicima, treba uzeti u obzir utjecaj na zaposlenike invazivnog, neugodnog postupka i učestalost kojom se osoblje može podvrgnuti tom postupku.
Rizik koji proizlazi iz lažno negativnih i lažno pozitivnih rezultata, posebno kada dovode do izolacije i karantenske mjere, također treba procijeniti u takvim situacijama, uzimajući u obzir da je učinkovitost testova na antigen uglavnom ograničen na otkrivanje infekcije koji uključuju visoko virusno opterećenje i znatno su manje učinkoviti u otkrivanju niskih simptoma/asimptomatskih slučajeva.“
Slijedom svega navedenog, osobito istaknutih dijelova Smjernica EDPS-a, mišljenja sam da je u najmanju ruku neodgovorno tako olako davati mišljenje da bi Odluka stožera bila osnova za prikupljanje osobnih podataka kao obveza voditelja obrade da poštuje određeni pravni zahtjev, kojim se još pritom krše niz ljudskih prava i sloboda, bez ikakve procjene nužnosti i proporcionalnosti, a ne služe nikakvoj zaštiti pojedinca ili širem interesu.
Ivana Bogojević, dipl. iur.
______________________
^ 1 https://www.iusinfo.hr/aktualno/u-sredistu/48468
^ 2 https://european-union.europa.eu/institutions-law-budget/institutions-and-bodies/institutions-and-bodies-profiles/edps_hr