Video nadzor u poslovnim prostorima

S obzirom na velik broj upita stranaka o zakonitosti uvođenja sustava video nadzora u poslovne prostorije, prenosimo mišljenje Agenzije za zaštitu osobnih podataka u cijelosti.

“Agencija  je zaprimila upit o tome da li je nekim zakonom konkretno propisano da je video-nadzor dozvoljen na radnom mjestu, odnosno da je zabranjen na mjestima kao što su sanitarni čvorovi ili svlačionice. Također, podnositelja zanima da li je propisan nadzor poslovne elektroničke pošte.

Nastavno na navedeni upit navodimo kako slijedi:

Video zapis dobiven video nadzornom kamerom predstavlja osobni podatak u smislu članka 2. stavak 1. točka 1. Zakona o zaštiti osobnih podataka (“Narodne novine”, broj: 106/12 – Pročišćeni tekst).

Za prikupljanje i obradu osobnih podataka mora postojati zakonita svrha (članak 6. Zakona) i valjan pravni temelj (članak 7. Zakona).

Odredbom članka 6. Zakona o zaštiti osobnih podataka propisano je da se osobni podaci mogu prikupljati u svrhu s kojom je ispitanik upoznat, koja je izričito navedena i u skladu sa zakonom i mogu se dalje obrađivati samo u svrhu u koju su prikupljeni, odnosno u svrhu koja je podudarna sa svrhom prikupljanja.

Pravni temelj, odnosno zakonska osnova za prikupljanje i obradu osobnih podataka regulirana je člankom 7. stavkom 1. točkom 1. Zakona, kojim je propisano da se osobni podaci smiju prikupljati i dalje obrađivati uz privolu ispitanika samo u svrhu za koju je ispitanik dao privolu ili u slučajevima određenim zakonom, te u drugim taksativno navedenim slučajevima u predmetnom članku.

Odredbom članka 43. stavkom 1. Zakona o zaštiti na radu („Narodne novine“, broj: 71/14, 118/14, 154/14), kao posebnog zakona, regulirano je da poslodavac smije koristiti nadzorne uređaje kao sredstvo zaštite na radu pod uvjetima propisanim istim Zakonom. Stavkom 2. istog članka propisano je kako je dopušteno korištenje nadzornih uređaja radi kontrole ulazaka i izlazaka iz radnih prostorija i prostora te radi smanjenja izloženosti radnika riziku od razbojstva, provala, nasilja, krađa i sličnih događaja na radu ili u vezi s radom.

Zabrana postavljanja video nadzora u sanitarnim čvorovima regulirana je odredbom članka 43. stavka 3. Zakona o zaštiti na radu na način da je zabranjeno postavljanje nadzornih uređaja u prostorijama za osobnu higijenu i presvlačenje radnika.

S tim u vezi, poslodavac je pravilnikom o radu dužan urediti sva pitanja odnosna na prikupljanje, korištenje, čuvanje i zaštitu osobnih podataka svojih radnika, pa tako i osobnih podataka prikupljenih video nadzornom kamerom, kako bi radnici bili informirani o obradi njihovih podataka na navedeni način, prvenstveno o svrsi obrade osobnih podataka, o postojanju prava na pristup podacima i prava na ispravak podataka koji se na njega odnose, o primateljima ili kategorijama primatelja osobnih podataka te da li se radi o dobrovoljnom ili obveznom davanju podataka i o mogućim posljedicama uskrate davanja podataka (članak 9. Zakona o zaštiti osobnih podataka).

Nadalje, istim tim aktom, potrebno je odrediti i osobe ovlaštene za pristup podacima, mjere zaštite podataka u tehničkom, organizacijskom i kadrovskom smislu kako bi se osigurala njihova povjerljivost (odredbe članka 18. Zakona o zaštiti osobnih podataka) i vremensko razdoblje njihovog čuvanja.

Također napominjemo kako je kod uvođenja (postavljanja) video nadzora potrebno uočljivo i nedvosmisleno označiti (slikom i tekstom) da se poslovni prostor, odnosno ulaz/izlaz radnika i ostalih osoba (posjetitelja poslovnog prostora) snima video nadzornom kamerom.

Pod pretpostavkom da su ispunjeni svi uvjeti propisani Zakonom o zaštiti osobnih podataka te uvjeti propisani Zakonom o zaštiti na radu, kao posebnim zakonom, smatramo da bi obrada osobnih podataka video nadzorom u poslovnim prostorijama bila poštena i zakonita.

U svezi daljnjeg upita koji se odnosi na nadzor poslovne elektroničke pošte, sukladno važećoj zakonskoj regulativi te uvažavajući i mišljenje Radne skupine iz članka 29. Direktive 95/46/EZ o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom prijenosu takvih podataka pod nazivom “Working document on the surveillance of electronic communications in the workplace”, navodimo kao relevantna sljedeća načela i principe kojih se treba pridržavati:

1. Nužnost (samo izuzetne okolnosti mogu opravdati takav nadzor).
2. Svrhovitost (podaci moraju biti prikupljeni u specifičnu, eksplicitnu i legitimnu svrhu te ne bi smjeli dalje biti obrađivani u svrhu koja nije kompatibilna toj svrsi prikupljanja).
3. Transparentnost (nadzor mora biti vrlo jasno priopćen i o istome zaposlenici moraju biti upoznati, odnosno moraju dobiti potpunu informaciju koje specifične okolnosti mogu opravdati nadzor, te u kojem opsegu nadzor postoji, koji je njegov razlog, svrha, tko provodi nadzor, na koji način se provodi, vrijeme provedbe i dr.).
4. Legitimnost (ne smiju se kršiti prava i dostojanstvo zaposlenika, u tom smislu legitimna svrha za nadzor elektroničkih komunikacija zaposlenika bila bi prijenos povjerljivih informacija konkurentu).
5. Proporcionalnost (nadzor elektroničke pošte zaposlenika trebao bi ako je moguće biti ograničen samo na promet podataka zaposlenika i vrijeme komunikacije, a ne sadržaj komunikacije. Ako je pristup sadržaju apsolutno nužan treba voditi računa o privatnosti zaposlenika i adresata koji se obraćaju zaposlenicima te o istome treba postojati upozorenje/obavijest).
6. Točnost i zadržavanje podataka (podaci moraju biti točni i ne smiju se čuvati duže nego je potrebno).

U tom smislu navodimo da je poslodavac dužan pridržavati se gore navedenih principa odnosno za uvođenje takvog nadzora, potrebna je zakonita i opravdana svrha te je navedeno nužno propisati i objasniti internim aktom (primjerice: Pravilnikom o informacijskoj sigurnosti i sl.).

Stoga nadzor elektroničke pošte bez posebnog obrazloženja i povoda (dakle zakonite i naročito opravdane svrhe) predstavlja povredu privatnosti zaposlenika.

Nadzor elektroničkih komunikacija bez znanja zaposlenika u protivnosti je sa Zakonom o zaštiti osobnih podataka. Takva obrada podataka ne bi bila zakonita i u slučaju uvođenja takvog nadzora i zaposlenici kao i vanjski adresati o tome moraju biti obaviješteni. Dakle, nadzor elektroničke pošte zaposlenika trebao bi, ako je moguće, biti ograničen samo na promet podataka zaposlenika i vrijeme komunikacije, a ne sadržaj komunikacije. Ako je pristup sadržaju apsolutno nužan treba voditi računa o privatnosti zaposlenika i adresata koji se obraćaju zaposlenicima te o istome treba postojati upozorenje/obavijest.

Naposljetku, stav je Agencije za zaštitu osobnih podataka da samo iznimne okolnosti (primjerice; sigurnosni incidenti, povreda radne dužnosti, odavanje poslovnih informacija konkurentu, sumnja na mobbing) mogu opravdati uvođenje nadzora sadržaja elektroničke komunikacije zaposlenika, ako vrijednost dobra koje se želi zaštititi spomenutim nadzorom i stupanj ugroze koji mu prijeti prevladava nad potrebom zaštite privatnosti.

Držimo da nije dovoljno da se mogućnost nadzora sadržaja elektroničke komunikacije zaposlenika predvidi primjerice Pravilnikom o radu poslodavca te da u vezi istoga zaposlenici daju privolu čime bi samo formalno bio ispunjen uvjet legitimnosti (postojanja pravnog temelja).

Naime, uvažavajući specifičnosti radnog odnosa između zaposlenika i poslodavca traženje pristanka zaposlenika/potencijalnih zaposlenika bilo bi samo forma, a izostanak pristanka mogao bi dovesti zaposlenike u neravnopravan položaj.
Zaključno navodimo da nadzor elektroničke pošte mogu opravdati samo naročite okolnosti i u slučaju uvođenja takvog nadzora isti je nužno detaljno propisati internim aktom, a uputno je o navedenom zatražiti i mišljenje Agencije.”