Povjerljivost službenika za zaštitu podataka prema članu 5. DSG-a

Član 5. austrijskog Zakona o zaštiti podataka (DSG) obavezuje službenika za zaštitu podataka i osobe koje za njega rade da čuvaju povjerljivost. Posebno su zaštićeni identitet osobe koja se obratila službeniku i okolnosti iz kojih se taj identitet može zaključiti. Informacije do kojih dođe u toj ulozi smiju se koristiti isključivo za obavljanje zadataka službenika. Obaveza traje i nakon završetka njegovog rada.

Fokus je na posebnoj obavezi povjerljivosti službenika za zaštitu podataka u preduzeću. Opšta obaveza čuvanja tajnosti podataka zaposlenih prema članu 6. DSG-a i obaveza prijavljivanja povrede podataka uređuju se zasebnim pravilima.

Član 5. st. 1. DSG-a obavezuje službenika za zaštitu podataka i osobe koje za njega rade da čuvaju povjerljivost tokom obavljanja njegovih zadataka. Pravilo je vezano za funkciju i posao koji se obavlja. Obuhvaćene su i osobe koje pomažu u radu službenika.

Član 37. st. 6. GDPR-a dopušta da službenik bude zaposlen kod rukovaoca ili obrađivača podataka ili da obavlja zadatke na osnovu ugovora o uslugama. Zato posebna obaveza iz člana 5. DSG-a ne zavisi od toga da li je službenik zaposlen u preduzeću ili angažovan izvana. Austrijska Agencija za zaštitu podataka opisuje oba načina organizacije.

Posebnu obavezu službenika treba razlikovati od opšte obaveze čuvanja tajnosti podataka zaposlenih iz člana 6. DSG-a. Podaci koji otkrivaju da se osoba obratila službeniku uživaju zaštitu iz člana 5. DSG-a. Ovaj tekst obrađuje st. 1. i 2. člana 5. DSG-a. St. 3. do 5. sadrže dodatna organizaciona pravila za službenike za zaštitu podataka u javnom sektoru.

Član 5. st. 1. DSG-a izričito štiti identitet osobe na koju se podaci odnose, ako se obratila službeniku za zaštitu podataka. Zaštita obuhvata i okolnosti iz kojih se može zaključiti o kojoj je osobi riječ. Izostavljanje imena zato ne sprečava uvijek prepoznavanje.

Izvještaj može otkriti osobu kroz odjel, vrijeme, projekat ili jedinstvene pojedinosti prijavljenog problema. Prije dijeljenja treba utvrditi koji su detalji potrebni za procjenu, a koji mogu ukazati na osobu. Ponekad se pitanje može opisati bez imena i drugih podataka za identifikaciju.

Kanal za prijavu nepravilnosti je poseban način prijavljivanja sa svojim pravnim pravilima. Obaveza povjerljivosti službenika za zaštitu podataka proizlazi iz njegove funkcije i posebno štiti osobe koje mu se obrate zbog svojih podataka ili prava iz oblasti zaštite podataka.

Član 38. st. 3. GDPR-a zahtijeva da službenik za zaštitu podataka neposredno izvještava najviši nivo upravljanja kod rukovaoca ili obrađivača. Ta obaveza izvještavanja ne ukida posebnu obavezu iz člana 5. st. 1. DSG-a.

Član 38. st. 3. GDPR-a ne navodi opšte izuzeće koje dopušta otkrivanje identiteta svake osobe koja se obratila službeniku. Obje obaveze treba provoditi zajedno. Izvještaj može opisati tok obrade, rizik i potrebnu mjeru bez navođenja osobe, kada njen identitet nije potreban za zadatak službenika.

Nezavisnost i neposredno izvještavanje upravi zasebni su dijelovi funkcije službenika. Članak o nezavisnosti, izvještavanju i resursima službenika za zaštitu podataka objašnjava tu organizacionu stranu.

Član 5. st. 1. DSG-a ograničava upotrebu dostupnih informacija na obavljanje zadataka službenika za zaštitu podataka. Član 39. GDPR-a obuhvata informisanje i savjetovanje, praćenje usklađenosti, savjetovanje o procjeni učinka na zaštitu podataka, saradnju sa nadzornim organom i ulogu kontaktne tačke.

Informacija dobijena u ulozi službenika ne postaje automatski opšti kadrovski spis niti slobodan izvor za internu istragu. Za njenu upotrebu u drugu poslovnu svrhu treba zasebno provjeriti pravni osnov. Organizacija treba posebno urediti odgovornosti i prava pristupa drugih zaposlenih.

Opšti pristup podacima zaposlenih, uloge i evidencije obrađuje članak o pravima pristupa podacima zaposlenih. Kod zadataka službenika primjenjuje se i ograničenje svrhe i načelo smanjenja količine podataka iz člana 5. st. 1. tač. c GDPR-a.

Član 5. st. 1. DSG-a dopušta otkrivanje identiteta ili prepoznatljivih okolnosti ako je osoba na koju se podaci odnose izričito oslobodila službenika obaveze povjerljivosti. Oslobođenje mora biti jasno izraženo. Sam zahtjev da službenik provjeri neki problem ne oslobađa automatski identitet osobe.

Za konkretnu procjenu utvrdite na šta se oslobođenje odnosi. Razjasnite koje informacije se mogu podijeliti, kome i iz kojeg razloga. Pisani zapis olakšava dokazivanje obima oslobođenja, iako član 5. DSG-a ne propisuje poseban oblik izjave.

Oslobođenje se odnosi na posebnu obavezu iz člana 5. DSG-a samo u granicama izričite izjave. Odredba ostavlja na snazi druge obaveze povjerljivosti. Zato se izjava ne smije smatrati opštim ukidanjem svih drugih obaveza čuvanja tajnosti.

Posljednja rečenica člana 5. st. 1. DSG-a izričito propisuje da službenik i osobe koje za njega rade moraju čuvati povjerljivost i nakon završetka svog rada. Promjena funkcije ne dopušta slobodno korištenje informacija o ranijem obraćanju.

Pri promjeni službenika treba urediti prava pristupa, otvorene predmete i odgovornost za postojeće zapise. Tokom primopredaje i dalje važi obaveza povjerljivosti. Član 5. DSG-a ne određuje poseban rok čuvanja bilješki ili dokumentacije predmeta.

Kod kasnijih kadrovskih odluka treba razlikovati informacije saznate u ranijoj ulozi službenika za zaštitu podataka od podataka prikupljenih u drugoj funkciji. Član 5. ne dopušta naknadnu upotrebu tih informacija za bilo koju poslovnu svrhu.

Član 5. st. 2. DSG-a uređuje poseban slučaj. Ako zaposlenik ustanove pod nadzorom službenika ima zakonsko pravo da uskrati iskaz o određenim podacima i koristi to pravo, isto pravo u tom obimu pripada službeniku i osobama koje za njega rade.

U istom obimu, za spise i druge isprave službenika važi zabrana privremenog oduzimanja i zapljene. Zaštita zavisi od postojećeg prava zaposlenika i od toga da se on na njega pozove.

Sama funkcija službenika ne daje opšte pravo na uskraćivanje iskaza u svakom postupku niti potpunu zabranu oduzimanja svih njegovih dokumenata. Treba utvrditi konkretnu osobu, podatke i obim postojećeg prava.

Savjetujemo preduzeća o informacijama koje je dobio službenik za zaštitu podataka, mogućnosti prepoznavanja osobe i planiranoj upotrebi podataka. Za početnu procjenu korisni su opis toka informacija, krug mogućih primalaca i eventualno izričito oslobođenje od povjerljivosti. Obratite nam se kada treba pravno procijeniti otkrivanje imena ili okolnosti koje mogu identifikovati osobu.