Vijeće ministara Bosne i Hercegovine odlukom od 17. marta 2020. godine proglasilo je nastanak stanja prirodne ili druge nesreće na teritoriji Bosne i Hercegovine („BiH“), zbog opasnosti od moguće pojave epidemije zarazne bolesti prouzrokovane novim korona virusom (COVID-19) („Vanredna situacija“).

S obzirom da je Bosna i Hercegovina složena država koja se sastoji iz više struktura vlasti: dva entiteta Republike Srpske („RS“), Federacije Bosne i Hercegovine („FBiH“) i Brčko Distrikta („Distrikt“), Bosna i Hercegovina i ove jedinice, u okviru svojih nadležnosti, donijele su u proteklih nekoliko sedmica niz mjera u cilju borbe sa epidemijom virusa COVID-19.

U ovom pregledu bavimo se pitanjima zaštite ličnih podataka u Bosni i Hercegovini u odnosu na nastalu Vanrednu situaciju.

Pojačana obrada različitih kategorija ličnih podataka od strane državnih organa i poslodavaca, sama po sebi nije za oštru kritiku od strane javnosti, ali se apeluje na nadležne da se obrada podataka vrši u skladu sa osnovnim principima obrade i to da se:

a. lični podaci obrađuju na pravičan i zakonit način;
b. lični podaci koji se prikupljaju za posebne, izričite i zakonite svrhe ne obrađuju na bilo koji način koji nije u skladu s tom svrhom;
c. lični podaci obrađuje samo u mjeri i obimu koji je neophodan za ispunjenje određene svrhe;
d. lični podaci obrađuju samo u vremenskom periodu koji je neophodan za ispunjenje svrhe u koju su podaci prikupljeni.

I. Zaštita ličnih podataka radnika

Za vrijeme trajanja Vanredne situacije poslodavci preduzimaju različite radnje obrade ličnih podataka radnika i to posebne kategorije – podataka o zdravstvenom stanju radnika. Posebnim kategorijama ličnih podataka sam zakonodavac daje veliki značaj propisujući generalni princip da je obrada posebnih kategorija ličnih podataka zabranjena. Obradu ove kategorije ličnih podataka zakonodavac dozvoljava izuzetno, propisujući slučajeve kada se smatra da je obrada u skladu sa propisima.

Vanredna situacija ima za posljedicu prvenstveno da poslodavci preduzimaju radnje prikupljanja, evidentiranja i objelodanjivanja posebnih kategorija ličnih podataka radnika u svrhu otkrivanja i sprječavanja širenja epidemije.

Ove radnje poslodavci preduzimaju kao posljedicu kontinuiranog provođenja preporučenih zdravstvenih mjera propisanih od strane nadležnih organa za javno zdravstvo, zaštite ugroženih kategorija radnika (starijih radnika, radnika sa oboljenjima koje nose povećan rizik od težih posljedica infekcije virusom COVID-19) i potrebe obezbjeđenja procesa rada, kod poslodavaca kod kojih nije obustavljena poslovna aktivnost.

U provođenju mjera bezbjednosti određeni poslodavci u dogovoru sa zdravstvenim ustanovama ili samoinicijativno provode i medicinske preglede radnika, kao što je mjerenje tjelesne temperature, a sve u cilju otkrivanja potencijalnih zaraženih, njihove izolacije i daljeg liječenja.

S obzirom na mjere koje faktički preduzimaju poslodavci i zahtjeve koje nameću važeći propisi o zaštiti ličnih podataka postoji potreba za uspostavljanjem ravnoteže u pogledu mjera koje se preduzimaju i zaštite ličnih podataka.

Za ovaj pregled dajemo odgovore na pitanja:

• da li je Agencija za zaštitu ličnih podataka Bosne i Hercegovine („AZLP“) donijela uputstva, odnosno smjernice za poslodavce u vezi sa prikupljanjem ličnih podataka radnika;
• da li je poslodavcima dozvoljeno da obrađuju posebne kategorije ličnih podataka radnika u svrhu identifikovanja slučajeva virusa COVID-19; i
• da li poslodavac može da otkrije identitet radnika koji je zaražen virusom COVID-19 ili koji se nalazi u obaveznoj izolaciji određenoj od strane nadležnih organa.

AZLP nije donijela posebna uputstva, odnosno smjernice za poslodavce u vezi sa pojačanom obradom ličnih podataka radnika koja se vrši kao mjera suzbijanja epidemije.

U pogledu obrade ličnih podataka i u ovoj situaciji primjenjuje se Zakon o zaštiti ličnih podataka („Zakon“).

Lični podaci koji otkrivaju zdravstveno stanje su posebna kategorija podataka čija obrada je dozvoljena izuzetno i to: (i) ako je obrada neophodna za zaštitu života, zdravlja, imovine i drugih vitalnih interesa nosioca podataka ili drugog lica za koje se saglasnost ne može dobiti; (ii) je obrada podataka potrebna za izvršavanje obaveze ili posebnih prava kontrolora iz oblasti radnog prava u onoj mjeri u kojoj je ovlašten zakonom; (iii) ako je to od posebnog javnog interesa i u drugim slučajevima propisanim Zakonom.

Po našem mišljenju radnje obrade podataka o zdravstvenom stanju radnika koje se odnose na prikupljanje, pohranjivanje, korišćenje podataka od strane poslodavca u svrhu suzbijanja pandemije COVID-19 su dozvoljene. Ove radnje bi se odnosile na anketiranje radnika u pogledu postojanja većeg stepena ugroženosti od posljedica izazvanih virusom (starost i postojanje bolesti identifikovanih kao faktor rizika), boravka radnika u inostranstvu, kontakta sa zaraženim licima ili licima u izolaciji i prikupljanje i druga obrada sličnih podataka.

U pogledu mogućnosti preduzimanja medicinskih pregleda radnika od strane poslodavaca u vidu mjerenja tjelesne temperature ili sličnih pregleda radi prepoznavanja simptoma oboljenja COVID-19, AZLP nije dala stav da li bi se ovo smatralo kršenjem propisa.

S obzirom da poslodavcima ova mjera nije izričito nametnuta od strane javnih zdravstvenih ustanova, ne može se isključiti da bi AZLP mogla smatrati da preduzimanjem ove mjere poslodavci nezakonito vrše obradu ličnih podataka. Zbog navedenog preporučuje se poslodavcima da prije preduzimanja ovakve ili sličnih mjera prethodno pribave mišljenje AZLP.

Poslodavac ne može da otkrije identitet radnika i druge lične podatke radnika koji je zaražen virusom COVID-19 bez odgovarajućeg pravnog osnova. Postojanje osnova za otkrivanje podataka treba da se odredi za svaki konkretan slučaj. U tom smislu smatra se da je dozvoljeno vršiti razmjenu informacija radi ispunjavanja zakonskih obaveza prema nadležnim organima, a radi zaštite života i zdravlja radnika. Jednako dozvoljeno je otkriti identitet radnika drugim radnicima koji su bili izloženi kontaktu sa zaraženim radnikom radi zaštite njihovog zdravlja i slično.

U svakoj konkretnoj situaciji, poslodavcima se savjetuje da pribjegavaju primjeni principa proporcionalnosti. Uvijek treba dati prednost najmanje nametljivim rješenjima, uzimajući u obzir posebne svrhe koje treba postići.

Po prestanku vanredne situacije, poslodavci imaju obavezu da se vrate na redovan režim obrade podataka, uključujući trajno brisanje prikupljenih zdravstvenih podataka radnika.

II. Zaštita ličnih podataka građana BiH

Borba protiv epidemije podrazumijeva da nadležni organi svaki dan analiziraju preduzete vanredne mjere i rezultate koje su dale vanredne mjere. Ove radnje nadležnih organa podrazumijevaju i obradu posebnih kategorija ličnih podataka fizičkih lica na teritoriji Bosne i Hercegovine.

U skladu sa navedenim Ministarstvo uprave i lokalne samouprave RS prikuplja podatke o licima koja su prekršila mjere kućne izolacije, a podaci se objavljuju na internet stranici Korona virus u Srpskoj. U FBiH isto čini Federalna uprava za inspekcijske poslove na svojoj internet stranici i Distrikt na stranici Vlade Distrikta.

Pored navedenog, određeni državni organi javno su objavili lične podatke lica kojima je izdata naredba o izolaciji i samoizolaciji, iako ova lica nisu kršila propise. Jedan organ objavio je spisak lica koji je sadržavao lične podatke o imenu, prezimenu, godini rođenja, gradu/mjestu, zemlji iz koje je došlo lice, datumu početka izolacije, broju telefona. Drugi nadležni organi u Trebinju, Konjicu i Čeliću na isti ili sličan način su objavili spiskove lica koja su pozitivna na virus korona, kao i lica kojima je određena izolacija ili samoizolacija.

Kao posljedica preduzetih vanrednih mjera javila su se pitanja da li se smiju javno objavljivati podaci lica koja krše propise, odnosno propisane vanredne mjere i podaci lica koja su oboljela od virusa COVID-19, kao i lica kojima je određena mjera izolacije ili samoizolacije.

AZLP u saopštenju od 23. marta 2020 godine iznijela stav da nije protivzakonito objaviti minimum podataka o licima koja krše zakone odnosno određene zabrane nadležnih organa jer se radi o evidentnom kršenju zakona i to onih kojima se štite i spašavaju životi ljudi. Samim tim javni interes je nadjačao pravo na zaštitu ličnih podataka a tome je aktivno doprinijelo i lice koje krši zakon.

U pogledu objavljivanja podataka o svim licima koja se nalaze u izolaciji i samoizolaciji AZPL je izričita da javno objavljivanje ličnih podataka lica koja su pozitivna na virus korona i lica kojima su određene mjere izolacije i samoizolacije, a koja nisu prekršila zakone ili zabrane nadležnih organa, nije u skladu sa Zakonom.

Nadležni organi nastavljaju da svakodnevno analiziraju preduzete postojeće mjere i usvajaju nove, što neizbježno dovodi do raznih oblika obrade posebnih kategorija ličnih podataka fizičkih lica. Obrada ličnih podataka, uključujući i obradu posebnih kategorija ličnih podataka ne može se izbjeći, ali se odgovarajućim mjerama preduzetim u skladu sa osnovnim principima zakonite obrade podataka, ona se može odvijati u zakonskim okvirima.

III. Kontekst pregleda

Sve navedeno predstavlja okvirni pregled iz oblasti zaštite ličnih podataka za vrijeme trajanja vanrednog stanja uzrokovanog epidemijom COVID-19. Ništa od navedenog ne predstavlja pravni savjet niti preuzimamo bilo kakvu odgovornost u slučaju postupanja po gore navedenom.

Za detaljnije informacije u vezi sa navedenim možete se obratiti na sljedeće adrese:

Stevan Dimitrijević
Partner | Advokat
T | F +387 51 962 600
M +387 65 589 149
E-mail: stevan.dimitrijevic@dimitrijevicpartners.com

Tanja Savičić
Stariji saradnik | Advokat
T | F +387 51 962 600
M +387 65 918 526
E-mail: tanja.savicic@dimitrijevicpartners.com