25.1. Pitanja i odgovori iz oblasti zaštite podataka

PITANJE: Delegiramo pitanje iz oblasti zakona o pristupu informacijama u FBiH. Naime, odvjetnik u ime svoje stranke traži kopiju zahtjeva kojim je određena osoba tražila postupanje nadležne inspekcije. Zahtjev obrazlažu mogućnošću postojanja kaznenog djela koje je počinio podnositelj prijave? Je li podnositelj prijave za postupanje inspekcije zaštićen u smislu otkrivanja identiteta, unatoč Zakonu o slobodi pristupu informacijama u FBiH, jer ne postoji sudski postupak koji je pokrenut ili se vodi, pa da se udovolji zahtjevu odvjetnika?

PITANJE: Od PU Mostar smo dobili dopis za dostavom podatak (ime oca, datum rođenja, adresu prebivališta) za studenta koji je državljanin RH radi postupanja po prijavi protiv tog naše studenta zbog kaznenog djela Prijevara članak 296 KZ FBIH. Da li smo dužni dati tražene podatke.

PITANJE: -Preduzeće smo sa cca 30 zaposlenih u oblasti proizvodnih usluga u građevinarstvu i metalopreradi i to se radi uglavnom o NK i NS radnicima sa završenom osnovnom školom. Prilikom zapošljavanja i u toku rada tražimo isključivo lične podatke propisane Zakonom o radu i Kolektivnim ugovorom i to *ime i prezime *adresa stanovanja, *matični broj ili broj licne karte, *broj računa u banci za isplatu plate Ovi podaci se čuvaju elektronski i u personalnom dosjeu radnika. Sačinili smo Pravilnik o provođenju Zakona o zaštiti podataka, kao i Plan sigurnosti podataka. Da li smo obavezni uspostaviti Evidenciju o zbirci ličnih podataka, o davanju ličnih podataka i o odbijenim zahtjevima. Naše je mišljenje da to ne bismo trebali raditi jer se radi o malom broju podataka koje zakon propisuje, koje preuzima i vodi ovlaštena osoba u firmi i koji se isključivo vode po potrebi zasnivanja i trajanja radnog odnosa. Da li smo u pravu?

PITANJE: Naime naša firma od strane banaka stavlja u obavezi sljedeće stavke kada je kartično poslovanje u pitanju: Međutim, striktno poštovanje ovih odredbi bi podrazumijevalo poređenje ličnog identifikacionog dokumenta kupca sa podacima sa platne kartice, te uvid u fotografiju istog kako bi se utvrdilo da li je navedeno lice ovlašteni nosilac platne kartice. Ovo bi podrazumijevalo da naš radnik na kasi mora “legitimisati” nosioca platne kartice, za šta nema zakonsko ovlaštenje. Uposlenici nemaju zakonsku mogućnost utvrđivanja i provjere identiteta nosioca platne kartice.

PITANJE: Ustanova zaključuje u toku poslove godine više Ugovora o djelu/ autorskom djelu, iz razloga realizacije planiranih aktivnosti za koje nema zaposlene radnike. Pitanje se odnosi, da li smo dužni uvrstiti odredbu u Ugovorima o djelu i Vas stručni savjet, koji bi se odnosio na podatke koje Zakon o zaštiti ličnih podataka (“Sl. novine BiH” broj 49/2006, 76/2011 i 89/2011) definiše kao posebnu kategoriju podataka? Jasno je da prilikom zaključenja ovakvih vrsta ugovora koristimo lične podatke od izvršilaca, saradnika (JMBG, adresa, i bankovni račun). Ukoliko da, molimo uputu…

PITANJE: Općinski vijećnik je dostavio vijećničko pitanje koje glasi:” Molim Vas da mi dostavite informaciju o isplaćenim dodacima na plaću za sve uposlenike organa uprave za 2021. godinu i 2022. godinu i to po mjesecima u apsolutnom i relativnom iznosu kao i razlogu za isplatu istih? Da li se smiju dostavljati traženi podaci s obzirom da se radi o podacima lične prirode?

PITANJE: Video nadzor u ustanovi je uveden samim zakonom, odnosno propisom donesenim na osnovu zakona, tačnije Zakonom o zdravstvenoj zaštiti (“Službeni glasnik Republike Srpske” br. 57/22), član 108. stav 1. kojim je propisano da zdravstvena ustanova počinje sa radom ako ispunjava uslove koji se odnose na prostor, kadar i opremu, i stav 15., kojim je propisano da Ministar donosi Pravilnik o uslovima i postupku utvrđivanja ispunjenosti uslova koji se odnose na prostor, kadar i opremu za početak rada zdravstvene ustanove. U članu 281. stav 1. Pravilnika o uslovima za početak rada zdravstvene ustanove (“Službeni glasnik Republike Srpske” br. 53/17, 97/18, 99/19 i 79/21) je propisano ustanova može da počne sa radom i obavljanjem zdravstvene djelatnosti ako, pored opreme iz člana 174. istog Pravilnika, ima i: Instaliranu opremu video nadzora i instaliranu opremu za dojavu požara. U slučaju kada je video nadzor propisan zakonom ili propisom donesenim na osnovu zakona, kontrolor u skladu sa članom 6. stav 1 .tačka a) Zakona o zaštiti ličnih podataka (Službeni glasnik BiH broj: 49/2006,76/2011 i 89/2011) ima pravni osnov za obradu ličnih podataka bez saglasnosti nosioca podataka. Pored toga, članom 9. stav 1. sopstvenog Pravilnika o provođenju odredbi Zakona o zaštiti ličnih podataka u ustanovi je propisano da obradu ličnih podataka sadržanih u zbirkama ličnih podataka ustanova vrši u javnom interesu, bez saglasnosti nosioca podataka, ako se obrađuju u svrhe saglasno stavu 2. istog člana, tačka a) do e), a tačka e) glasi ”Lični podaci u Evidenciji o snimcima pohranjenim putem video nadzora na određenom prostoru obrađuju se u svrhu provođenja mjera zaštite i obezbjeđenja korisnika usluga. Takođe, Planom bezbjednosti ličnih podataka u ustanovi, u članu 17. stav 3. i članu 22. sadržane su odredbe o videonadzoru (da su videonadzorom pokriven glavni ulaz, glavni hol sa kontrolnom prostorijom, hodnici, dnevni boravak korisnika usluga i ostale prostorije u kojima se provode aktivnosti korisnika usluga, vanjski prostor i druge prostorije u skladu sa Pravilnikom o provođenju Zakona o zaštiti ličnih podataka i Odlukom o uvođenju video nadzora, kao i de je Informatičar zadužen za redovno pohranjivanje video zapisa na prenosive medije, te njihovo arhiviranje, zaštitu od neovlaštenog brisanja, te izuzimanje određenih dijelova snimaka ukoliko se za to ukaže potreba, uz saglasnost i po nalogu direktora. Konačno, ustanova je i pored navedenih propisa koji predstavljaju pravni osnov za uspostavljanje video nadzora, donijela i Odluku o vršenju video nadzora, koja sadrži pravila obrade, uslove i način vršenja video nadzora, koja je istog dana objavljena i na Oglasnoj tabli ustanove, na koji način je učinjena dostupnom svim zaposlenim radnicima. Navedenom odlukom je kao odgovorno lice za rukovanje sistemom video nadzora određen Informatičar i šef Odsjeka za tehničke poslove. Svrha vršenja video nadzora je prevashodno zaštita i bezbjednost lica, korisnika usluga, zaposlenih, posjetilaca i drugih lica koja se nađu u ustanovi, kao i zaštita bezbjednost imovine, odnosno isključivo bezbjednosni razlozi, sa definisanim prostorom u kom video nadzor nije dozvoljen (kancelarije, kuhinja, prostorija za vjerske obrede, intimna soba za korisnike usluga, kao i sanitarne prostorije), što se striktno i u potpunosti poštuje. Zbog osnovane sumnje da su postupcima nekih zaposlenih koji nisu izvršavali svoje radne obaveze u skladu sa svojim ugovorima o radu i tako učinili povrede radne obaveze, mogle nastupiti neželjene posljedice ili incidenti, uslijed kojih je ugrožena bezbjednost lica i imovine, saglasno aktima koje smo naveli kao pravni osnov za vršenje video nadzora, molimo Vas za mišljenje da li se u navedenim okolnostima snimak video nadzora može koristiti kao dokaz u disciplinskom postupku, pri čemu to nije jedini dokaz, imajući u vidu da je članom 6.stav 1. tačka a) Zakona o zaštiti ličnih podataka (“Sl. glasnik BiH” br.49/2006, 76/2011 i 89/2011) propisano da u slučaju kada je video nadzor zakonom propisan ili propisom donesenim na osnovu zakona, kontrolor ima pravni osnov za obradu ličnih podataka bez saglasnosti nosioca podataka, tim prije što je i odlukom o vršenju video nadzora definisano da se video nadzor vrši isključivo iz bezbjednosnih razloga, zaštite i bezbjednosti korisnika usluga, zaposlenih, kao i lica koja se nađu u ustanovi, kao i bezbjednosti imovine.

PITANJE: Smije li se Odluka o obustavi postupka objaviti i na portal javnih nabava u predmetnom postupku a ne samo poslati na njihove mail adrese za koje nismo sigurni jesu li ispravne, jer kad preuzmemo izvješće o preuzimanju TD vidimo samo ime firme, ID broj i datum preuzimanja?

PITANJE: Zbog potreba poboljšanja efikasnosti rada bilo bi nam potrebno da radnici iz kancelarije imaju mogućnost video pristupa procesu proizvodnje putem postavljanja wifi kamera u proizvodnom pogonu. Da li postoji zakonska prepreka za uspostavljanje takvog video nadzora? Zanima nas gdje zakonski smijemo postaviti kamere, koliko radnik koji radi za mašinom smije njima biti obuhvaćen (kamere se ne bi koristile u svrhu kontrole rada uposlenih), da li postoji ograničenje koliko ljudi iz kancelarije može gledati te video snimke, koliki vremenski period u toku smjene se smije posmatrati određena mašina u čijem će vidokrugu biti naravno i radnik? Takođe, ukoliko je ovo Zakonski dozvoljeno, koje sve uslove moramo ispuniti kako bismo implementirali gore navedeno?

PITANJE: Ovim putem vam se obraćamo obzirom da imamo nejasnoću u slučaju prosljeđivanja JMBG brojeva radnika. Radi se o tome da je firma započela saradnju sa novim klijentom, koji je službeno poslao zahtjev da se pošalju JMBG brojeve radnika koji će raditi na projektu, u svrhu kreiranja account-a za platformu na kojoj će radnici raditi. Da li je firma sa zakonske strane (Zakon o jedinstvenom matičnom broju BiH) u prekršaju ukoliko se klijentu dostave JMBG brojevi radnika uz prethodno potpisanu saglasnost radnika za prosljeđivanje matičnog broja klijentu?

PITANJE: Ko je glavni kontrolor podataka u JP-u prema Zakonu o zaštiti ličnih podataka BiH? Da li direktor ima pravo uvida u sve podatke o radnicima koja su hitna za radni odnos i poslovanje, odnosno u personalni dosije radnika? Kako postupiti ako radnik odbije dostaviti, na zahtjev direktora, tražene podatke (odnosi se na radnika koji radi evidenciju radnika, zadužen za personalne dosijee /pravna služba)?

PITANJE: U JU desila se incidentna situacija nakon koje je pacijent podnio prijavu protiv uposlenika bolnice. Po zaprimljenoj prijavi, direktor je donio Odluku o pokretanju disciplinskog postupka kako bi se utvrdilo da li je uposlenik povrijedio radne obaveze i dužnosti. Budući da se radi o psihijatrijskoj ustanovi, da li je članovima Disciplinske komisije i Komisije za zaštitu osoba sa duševnim smetnjama dozvoljeno pregledanje snimaka video nadzor, kao i da li dopušteno pozvati pacijenta kako bi dao izjavu o navedenom događaju?

PITANJE: Da li su radnici u trgovini dužni davati svoje lične podatke nezadovoljnim mušterijama? Ili mušterija može dobiti podatke odgovorne osobe u firmi?

PITANJE: Da li možemo isplatiti dividendu, ukoliko nisu usvojeni finansijski izvještaji na skupštini za tu godinu (2020. godina je u pitanju). Nadzorni odbor je usvojio set finansijskih izvještaja (uključujući i revizorski izvještaj i izvještaj Odbora za reviziju). Ako mogu, po kojem osnovu, a ako ne, također po kojem osnovu. Napominjem da nismo javno preduzeće, već privredno društvo.

PITANJE: Centar za socijalni rad jako često od naše ustanove traži podatke o liječenju djece u našoj ustanovi, tačnije pružanju usluga u nekoj od organizacionih jedinica, a sve u svrhu vođenja postupka regulisanja kontakta jednog od roditelja sa djetetom u okviru brakorazvodne parnice. S obzirom da se nerijetko desi da jedan od roditelja brani da se dostavljaju podaci, da li nadležnoj instituciji možemo dati podatke, pošto se radi o organu starateljstva i podaci su im potrebni za rješavanje naprijed navedenih odnosa i postupka.

PITANJE: 1. Koje akte, kao poslodavac, smo dužni donijeti, vezano za zaštitu ličnih podataka? 2. Da li smo dužni imati predstavnika ili obrađivača za zaštitu ličnih podataka unutar Društva, ko ga imenuje? 3. Da li se akti poslodavca vezano za zaštitu ličnih podataka donose interno ili je potreba neka externa provjera pa na osnovu toga da poslodavac donese akte? 4. Da li je potrebno da Društvo ima i Pravilnik o provođenju Zakona o zaštiti ličnih podataka i Plan sigurnosti ličnih podataka? Da li se na osnovu toga donosi zbirka evidencije ličnih podataka i dostavlja agenciji na saglasnost?

PITANJE: Interesantno zapažanje se može naći u stručnoj literaturi autora iz SAD, gdje se polazeći od pretpostavke koju ste i Vi naveli u svojoj prezentaciji da se “smatra da najveća opasnost privatnosti prijeti od javnog sektora – vlasti” išlo na regulisanje kojim bi se spriječila zloupotreba od strane vlasti. U određenoj mjeri je takvim pristupom zanemareno odgovarajuće reguliranje kojim bi se spriječile zloupotrebe od strane privatnog sektora posebno od strane velikih tehnoloških kompanija, što je u posebnom fokusu GDPR-a. Budući da su sjedišta većine velikih tehnoloških kompanija (Facebook, Google, Microsoft, Amazon…) u SAD, u kojoj mjeri će EU regulativa moći imati utjecaja na njih, posebno kada korisnici tih usluga prihvate uslove korištenja kojima su dali odobrenja i ovlaštenja za široko korištenje njihovih privatnih podataka, profiliranje…

PITANJE: Našoj ustanovi se, putem punomoćnika, obratila jedna od zaposlenica Ustanove, sa zahtjevom za pristup informacijama i dostavljanje isprava, na način da im se dostave podaci iz personalnog dosijea, odnosno, kopije ugovora o radu određenog broja radnika Ustanove, za period prije donošenja predmetnog pravilnika o radu, i nakon donošenja istog. Podnosilac zahtjeva je punomoćnik radnice Ustanove, koja je protiv Ustanove pokrenula radni spor, i u obrazloženju zahtjeva se navodi da su tražene isprave potrebne radi dokazivanja diskriminacije i različitog tretiranja tužiteljice u pogledu ostvarenja radno-pravnog statusa pod jednakim uslovima. Ukoliko bi Ustanova dostavila traženo (ugovore o radu), da li bi na taj način prekršila odredbe Zakona o zaštiti ličnih podataka, te može li se navedeno podvesti pod izuzetke od obaveze dostavljanja shodno Zakonu o slobodi pristupa informacijama F BiH, a imajući u vidu da u konkretnom slučaju nije izvjesno da bi se dostavljanjem navedenog ostvario neki javni interes? Da li ugovor o radu, u najširem smislu, spada u zaštićene lične i privatne podatke koje nije dozvoljeno dostavljati trećim licima?

PITANJE: Služba za zapošljavanje je javna ustanova koja vodi određene evidencije o nezaposlenim osobama, osobama koje traže promjenu zaposlenja, kao i poslodavcima koji koriste usluge Službi za zapošljavanje u FBiH. Te evidencije sadrže i određene osobne podatke koje sukladno Zakonu o zaštiti osobnih podataka (Sl. glasnik BiH“, broj: 49/06 i 74/11) kao i Zakonu o slobodi pristupa informacijama u FBiH („Službene novine FBiH“, broj: 32/01 i 48/11) ne možemo davati trećim osobama bez pristanka osoba na koje se informacije odnose. Zaprimili smo dva zahtjeva za pristup informacijama o nezaposlenim osobama u kojima se podnositelji (jedan je fizička a jedan pravna osoba) pozivaju na Zakon o slobodi pristupa informacijama u FBiH i traže podatke o broju osoba određenih stručnih sprema što je u redu, ali traže i imena i prezimena tih osoba, što smatramo da je podatak osobnog karaktera, te da ga sukladno naprijed spomenutim zakonima ne bismo trebali dati. Jesmo li im dužni dati imena i prezimena, ali i općenito stavom koji se podaci o fizičkim osobama ne mogu dati trećim osobama, odnosno koji se sve podatci smatraju osobnim podacima, radi naših budućih postupanja.

PITANJE: Da li se evidencije o datim podatcima moraju voditi i za date podatke policijskim upravama?

PITANJE: Da li se od svakog radnika treba pribaviti pismena saglasnost za obradu ličnih podataka u slučaju video-nadzora?

PITANJE: Javna površina ulazi u objektiv nadzorne kamere koja pokriva ulaz u objekat čiji je vlasnik naša firma. Pogled na javnu površinu se ne može izbjeći u ovom slučaju. Da li se smatra kršenjem propisa o zaštiti ličnih podataka, ukoliko policija dostavi nalog za izuzimanje snimka te javne površine (radi se o parkingu) ne navodeći svrhu, to jest šta se iz snimka tačno traži? Da li se u takvom slučaju firma može amnestirati od odgovornosti za postupanje?

PITANJE: Da li moguć video nadzor radnog mjesta (kancelarije) ukoliko postoji saglasnost uposlenika?

PITANJE: Pitanje vezano za tražioce izvršenja, u konkretnom slučaju da li fond zdravstvenog osiguranja može dostaviti podatke o načinu na koji je neko lice osigurano na upit npr. Elektroprivrede obzirom da se radi o dužniku protiv kojeg se želi pokrenuti izvršni postupak? Oni iz tog podatke mogu vidjeti da li neko lice ima neka primanja, odnosno odakle mogu tražiti namirenje duga pred sudom? Uz zahtjev isti dostave i potvrdu da je pokrenut izvršni postupak.

PITANJE: Fakturisanje naših usluga vodosnabdijevanja se vrši na osnovu broja prijavljenih članova domaćinstva putem predstavnika odbora etažnih vlasnika za kolektivno stambene objekte, odnosno putem osobe koja je izabrana od strane svih suvlasnika zgrade. Da li navedeno predstavlja povredu privatnosti suvlasnika i da li bi saglasnost suvlasnika da se na navedeni način vrši odjava-prijava može biti način kojim bi se izbjegla eventualna povreda?

PITANJE: U smislu obaveze postupanja po Zakonu o mjerama bezbjednosti u poslovanju gotovim novcem i drugim vrijednostima, kako se, s pozicije Zakona o zaštiti ličnih podataka BiH tretira snimanje prostorije u kojoj se posluje sa klijentima, odnosno radnog mjesta i ovlaštenog službenika koji sa klijentom vrši primopredaju novca ili drugih vrijednosti?

PITANJE: Smije li se u disciplinskom postupku radi utvrđivanja povrede radne obaveze od strane radnika, koristiti video nadzor, koji je u skladu sa zakonom postavljen u poslovnici banke?

PITANJE: Ako bivši radnik zatraži brisanje svojih ličnih podataka od poslodavca, da li poslodavac mora da briše i grupne fotografije koje su podijeljene na društvenim mrežama (po osnovu posebnog odobrenja tog radnika), na kojima ima taj radnik ali nije baš prepoznatljiv i nije označen?

PITANJE: Da li je obavezno brisati poslovne e-mail adrese radnika kojima je prestao radni odnos?

PITANJE: U vezi forme izjave saglasnosti o prenosu ličnih podataka trećim licima, da li je ona slobodne forme ili postoji neka zakonska forma o prenosu ličnih podataka?