Direktiva (EU) 2023/970 i GDPR: gdje prestaje transparentnost, a počinje povreda privatnosti zaposlenika

 1. Uvod

Načelo jednake plaće za jednak rad ugrađeno je u pravo EU-a od Rimskih ugovora, no njegova provedba dugo je bila ograničena nedostatkom transparentnosti plaća. Direktiva to nastoji riješiti konkretnim, provedivim mehanizmima i, za razliku od ranijih soft law instrumenata, ima jasan rok i sankcijski mehanizam. Upravo ta konkretnost otvara pitanje granice: podatak o plaći jest osobni podatak u smislu članka 4. točke 1. GDPR-a⁵, pa transparentnost nužno podrazumijeva i njegovu obradu.

Ovaj članak polazi od teze da Direktiva i GDPR nisu normativno u sukobu, Direktiva to izričito isključuje pozivanjem na GDPR u članku 12., ali da provedba u praksi otvara niz situacija u kojima granica između legitimne transparentnosti i povrede privatnosti ovisi o tumačenju i smjernicama koje trenutačno nedostaju. Slučaj Hrvatske narodne banke, obrađen u nastavku, pokazuje da ta granica u praksi nije samo teorijsko pitanje, nego predmet izvanrednog pravnog lijeka pred Vrhovnim sudom protiv već pravomoćne presude Visokog upravnog suda.


2. Kratki pregled obveza iz Direktive (EU) 2023/970

Direktiva se primjenjuje na sve poslodavce u javnom i privatnom sektoru te uvodi četiri instrumenta transparentnosti plaća: predugovornu transparentnost iz članka 5. (obveza objave početne plaće ili raspona, uz zabranu ispitivanja kandidata o dosadašnjoj plaći), pravo na informaciju tijekom zaposlenja iz članka 7. (pravo radnika na podatak o vlastitoj i prosječnoj plaći, raščlanjenoj po spolu, za usporedivu kategoriju), izvješćivanje o razlici u plaćama iz članka 9., stupnjevano prema veličini poslodavca, te zajedničku procjenu plaća iz članka 10., koja se aktivira kad razlika unutar kategorije prijeđe 5 % bez objektivnog, rodno neutralnog opravdanja. Pravo iz članka 7. vrijedi neovisno o veličini poslodavca, dok formalne obveze izvješćivanja nemaju poslodavci s manje od 100 zaposlenika. Ovaj prag od 5 % nije proizvoljan ni normativno nov: teret dokazivanja kod statističke razlike u plaćama Sud EU-a prebacuje na poslodavca već desetljećima (Danfoss⁶, Enderby⁷), a članak 10. Direktive tu logiku samo pretvara u izričitu postupovnu obvezu.


3. Susret s GDPR-om: što Direktiva izričito propisuje

Direktiva svoju primjenu izričito uvjetuje usklađenošću s GDPR-om: članak 12. propisuje da nijedna obveza transparentnosti, pravo na informaciju, izvješćivanje, zajednička procjena, ne oslobađa poslodavca GDPR-a, nego ga aktivira čim je u igri podatak koji identificira osobu⁸. Iz toga proizlaze dva praktična ograničenja: podatak prikupljen radi dokazivanja jednake plaće ne smije se naknadno koristiti kao argument u pojedinačnim pregovorima o plaći ili pri odlučivanju o napredovanju, makar se takva naknadna svrha činila sasvim legitimnom⁹, a državama članicama prepušteno je hoće li pristup informaciji koja bi otkrila plaću lako prepoznatljivog kolege preusmjeriti na predstavnika radnika, inspektorat rada ili tijelo za jednakost (u Hrvatskoj: pravobraniteljicu za ravnopravnost spolova), umjesto da je izravno stavi u ruke radnika koji ju je zatražio.¹⁰

Praksa pojedinih država članica pokazuje da taj problem nije teorijski. Njemačka je 2017. u Zakon o transparentnosti plaća ugradila pravilo da se usporedna plaća ne priopćava ako djelatnost obavlja manje od šest zaposlenika suprotnog spola.¹¹ Austrija ide mekšim putem: Statistik Austria tek preporučuje da se u izvješća ne unose skupine manje od tri osobe, bez zakonske obveze.¹² Ta razlika, strogo pravilo naspram administrativne preporuke, poučna je za hrvatskog zakonodavca. Konačno, pravna osnova za obradu ovih podataka jest izvršavanje zakonske obveze iz članka 6. stavka 1. točke (c) GDPR-a, a ne legitimni interes iz točke (f), što znači da poslodavac ne može vlastitom procjenom suziti opseg obrade koju mu zakon već nalaže.


4. Paradoks javnog sektora: kad ZPPI i GDPR vuku u suprotnim smjerovima

U javnom sektoru napetost je izraženija: novinar plaću djelatnika može tražiti pozivom na Zakon o pravu na pristup informacijama (ZPPI), dok radnik prosjek plaće svoje kategorije traži pozivom na Direktivu, a svaki zahtjev vodi kroz posve različit pravni put. Ta razlika proizlazi iz same strukture plaća: koeficijenti i osnovica sistemski su, unaprijed poznati podaci, dok individualni dodaci (pripravnost, prekovremeni rad, uspješnost) postaju osobni podatak koji traži oprez.

ZPPI tu razliku formalno predviđa: članak 15. stavak 2. točka 4. dopušta uskraćivanje pristupa informaciji zaštićenoj propisima o zaštiti osobnih podataka, uz test razmjernosti i javnog interesa iz članka 16., čiji korijeni sežu do presude Suda EU-a Österreichischer Rundfunk iz 2003.¹³ Paradoks je što članak 16. stavak 3. istog Zakona informacije o raspolaganju javnim sredstvima (ime, iznos, namjena) izuzima od tog testa, a isplata plaće iz proračuna upravo je takvo raspolaganje.

Da ovaj paradoks nije akademski, potvrđuje presuda Visokog upravnog suda od 14. veljače 2025. u predmetu Hrvatske narodne banke protiv Povjerenice za informiranje, povodom zahtjeva udruge Amagi. Sud je zaključio da ime, radno mjesto i bruto plaća zaposlenika nisu apsolutno zaštićeni, ali da se za svaku pojedinu vrstu isplate (jubilarne nagrade, otpremnine) ipak mora provesti test razmjernosti iz članka 16. stavka 1. ZPPI-ja¹⁴, čime je sud, neovisno o Direktivi, potvrdio gotovo identičnu razliku između sistemskih i individualnih podataka. HNB tu presudu osporava zahtjevom za izvanredno preispitivanje zakonitosti pred Vrhovnim sudom, čiji ishod još nije poznat¹⁵.

Slično, po analogiji, proizlazi i iz presude Velikog vijeća Suda EU-a OT protiv Vyriausioji tarnybines etikos komisija (2022.), koja se doduše odnosila na objavu izjava o privatnim interesima, ne plaća, ali je utvrdila da neselektivna online objava osobnih podataka nadilazi ono što je nužno, kad bi izravna kontrola nadležnog tijela, kao manje intruzivna mjera, bila dovoljna¹⁶.

Direktiva radnicima u javnom sektoru zapravo ne dodaje jaču zaštitu od one koju već pruža ZPPI; razlika je u prirodi prava: ZPPI uvijek prolazi test razmjernosti koji može rezultirati odbijanjem, dok pravo iz članka 7. Direktive postoji bezuvjetno. Javnim bi ustanovama zato bilo razborito unaprijed, internim aktom, razgraničiti sistemske podatke koji se objavljuju bez testa razmjernosti od individualnih podataka zaštićenih Direktivom, uz statistički prag za male kategorije poslova. Takav akt ne rješava nedostatak zakonske razrade, ali osigurava dosljedno postupanje umjesto improvizacije, a čelniku ustanove daje i konkretan argument odgovornosti ako njegovo postupanje naknadno preispituju Povjerenik za informiranje ili AZOP.


5. Interni sustavi kontrole pristupa i sprječavanje curenja podataka

Zamislite HR djelatnicu koja treći put ovog mjeseca prima zahtjev za informacijom o prosječnoj plaći neke kategorije poslova. Prvi put je provjerila broj zaposlenika ručno, u Excel tablici. Drugi put je pitala kolegicu iz računovodstva. Treći put je jednostavno kopirala prošli odgovor, ne provjeravajući je li se broj zaposlenika u međuvremenu promijenio. Upravo ovakva improvizirana praksa, a ne zlonamjerno curenje podataka, najčešći je stvarni rizik s kojim će se poslodavci suočiti kad Direktiva bude prenesena u hrvatsko pravo.

Prvo i najvažnije organizacijsko načelo jest ograničenje pristupa prema načelu nužnog znanja: sirovi podaci o pojedinačnim plaćama trebali bi ostati dostupni isključivo HR odjelu, dok bi voditelji organizacijskih jedinica trebali primati isključivo već agregirane, anonimizirane rezultate. To nije novo načelo koje uvodi Direktiva, nego razrada već postojeće obveze iz članka 32. GDPR-a o sigurnosti obrade.¹⁷

Drugo, svaka nova svrha obrade zahtijeva ažuriranje evidencije aktivnosti obrade iz članka 30. GDPR-a, uz jasno naznačen rok čuvanja podataka i krug osoba koje im smiju pristupiti. Treće, kod softverskih rješenja za automatski izračun prosjeka plaće vrijedilo bi razmisliti o tehničkoj zaštitnoj mjeri koja bi sustav automatski spriječila u generiranju rezultata kad je broj zaposlenika u kategoriji ispod praga utvrđenog internim aktom. To bi tu prosudbu unaprijed ugradilo u sam proces, umjesto da se prepusti HR djelatniku pod pritiskom rokova, što je izravna primjena načela zaštite podataka putem dizajna iz članka 25. GDPR-a. Konačno, s obzirom na sustavnost i osjetljivost ove obrade, poslodavci bi trebali razmotriti provedbu procjene učinka na zaštitu podataka (DPIA) prije uspostave sustava izvješćivanja.¹⁸


6. Praktične preporuke za poslodavce

Postupanje se može sažeti u pregledni alat koji HR odjeli i pravne službe mogu odmah primijeniti, bez obzira na to rade li u javnom ili privatnom sektoru. Važno je pritom razlikovati ono što je zakonom već propisano od onoga što zakon ne razrađuje, a razborito postupanje ipak nalaže.

Samo su prve dvije mjere, razgraničenje sistemskih i individualnih podataka te statistički prag, doista preporuke u punom smislu riječi: ZPPI ne nalaže donošenje internog akta, a ni Direktiva ni GDPR ne propisuju konkretan brojčani prag, pa je ta odluka prepuštena procjeni poslodavca. Preostale tri mjere, ograničenje pristupa, ažuriranje evidencije i provedba DPIA-e, nisu preporuke, nego zakonske obveze koje proizlaze izravno iz GDPR-a. Ono što zakon ne razrađuje jest njihova konkretna provedba: kako točno ograničiti pristup, u kojem trenutku pokrenuti DPIA-u, kojim alatom ažurirati evidenciju. Upravo tu prazninu u provedbi tablica pokušava popuniti, a ne samu obvezu, koja postoji neovisno o ovom članku.


7. Zaključak

Direktiva (EU) 2023/970 i GDPR nisu u normativnom sukobu; članak 12. Direktive to izričito isključuje. Provedba u praksi ipak otvara sivu zonu upravo tamo gdje zakon šuti: koliko malena kategorija poslova postaje identificirajuća i kako pomiriti bezuvjetno pravo iz članka 7. Direktive s testom razmjernosti iz ZPPI-ja. U javnom sektoru ta napetost nije akademska: spor Hrvatske narodne banke pred Vrhovnim sudom, čiji ishod još nije poznat, pokazat će hoće li se granica između sistemskih i individualnih podataka o plaći tumačiti široko ili usko.

Dok se ne pojave jasnije smjernice, poslodavcima preostaje prazninu u provedbi popuniti vlastitim rješenjima: internim aktom, statističkim pragom za male kategorije, ograničenjem pristupa prema načelu nužnog znanja i pravodobnom DPIA-om. Takva rješenja ne rješavaju nedostatak zakonske razrade, ali pokazuju ozbiljan pristup riziku umjesto improvizacije. Uz teret dokazivanja koji Sud EU-a već desetljećima prebacuje na poslodavca, to je jedina razumna strategija do trenutka kad hrvatski zakonodavac konačno ispuni rok koji je već istekao.

Tomislav Grgurina, mag. admin. publ.

Popis izvora