GDPR i podaci stranih radnika: što smijete obrađivati, koliko dugo čuvati i kako zaštititi

Zapošljavanje stranih radnika donosi specifičan izazov zaštite podataka koji mnogi HR odjeli podcjenjuju. Uz standardnu kadrovsku dokumentaciju poslodavac obrađuje i kopije putovnica i dozvola, podatke o zdravlju, smještaju i obitelji te dokaz o nekažnjavanju. Neki od tih dokumenata mogu neizravno otkriti podatke iz posebnih kategorija, primjerice etničko podrijetlo ili vjeru, a neki, poput zdravstvenih potvrda, posebna su kategorija sami po sebi.

Okvir čine Opća uredba o zaštiti podataka (Uredba (EU) 2016/679, dalje: GDPR), Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/2018, dalje: ZPOUZP) i odredbe Zakona o radu (dalje: ZoR) o zaštiti privatnosti radnika. Nadzorno tijelo u Hrvatskoj je Agencija za zaštitu osobnih podataka (AZOP) (čl. 4 ZPOUZP-a).

1. Koje kategorije podataka prikupljate od stranih radnika

Podaci koje evidencija o radnicima mora sadržavati. Pravilnik o sadržaju i načinu vođenja evidencije o radnicima zaposlenim kod poslodavca (NN 55/2024, dalje: Pravilnik o evidenciji) za svakog radnika propisuje, među ostalim (čl. 3 st. 1):

• ime i prezime, OIB, spol, datum rođenja
• državljanstvo
• prebivalište odnosno boravište
• dozvolu za boravak i rad ili potvrdu o prijavi rada, ako je radnik državljanin treće zemlje obvezan imati
• stručno obrazovanje te posebne ispite i tečajeve koji su uvjet za obavljanje posla
• datum početka rada, naziv radnog mjesta, vrstu ugovora, datume prijava na obvezna osiguranja

Poslodavac je dužan čuvati, u izvorniku ili preslici, isprave na temelju kojih unosi te podatke (čl. 3 st. 4 Pravilnika o evidenciji). Od 4. lipnja 2027. dokaz o položenom ispitu iz hrvatskog jezika i latiničnog pisma (A1.1) sastavni je dio evidencije o radnicima (čl. 92.a st. 4 Zakona o strancima, dalje: ZoS; primjena od 4. lipnja 2027. prema čl. 70 NN 55/2026).

Ostali podaci koji se obrađuju zbog postupka zapošljavanja:

• kopija putovnice i dozvole boravka: fotografija, državljanstvo i mjesto rođenja mogu neizravno otkriti etničko podrijetlo ili vjeru, pa traže strogu kontrolu pristupa
• podaci o smještaju: adresa i broj osoba u prostoru (npr. uz Obrazac 17a, Izjavu o primjerenom smještaju, i ugovor o najmu)
• podaci o zdravlju: Obrazac 18a (Potvrda o zdravstvenom stanju i cijepnom statusu) koji državljanin treće zemlje iz viznog režima prilaže uz zahtjev za prvi privremeni boravak, izvješća o bolovanju, podaci o ozljedama na radu; to su posebne kategorije (čl. 4 t. 15 i čl. 9 st. 1 GDPR-a)
• podaci o članovima obitelji: za spajanje obitelji ili za uvećanje osobnog odbitka
• dokaz o nekažnjavanju, koji se prilaže uz zahtjev za prvi privremeni boravak (čl. 59 st. 1 t. 5 ZoS-a): obrada podataka o kaznenim osudama dopuštena je samo pod nadzorom službenog tijela ili kad je odobrena pravom Unije ili države članice (čl. 10 GDPR-a)

2. Pravne osnove za obradu

Obrada je zakonita samo ako je ispunjena barem jedna od osnova iz čl. 6 st. 1 GDPR-a. ZoR dodaje: osobni podaci radnika smiju se prikupljati, obrađivati, koristiti i dostavljati trećima samo ako je to određeno zakonom ili ako je potrebno radi ostvarivanja prava i obveza iz radnog odnosa; u potonjem slučaju poslodavac mora unaprijed pravilnikom o radu odrediti koje podatke prikuplja (čl. 29 st. 1 i 2 ZoR-a).

Podatke radnika smije prikupljati i obrađivati samo poslodavac ili osoba koju on za to posebno opunomoći, pogrešne podatke treba odmah ispraviti, a one za čije čuvanje više nema pravnih ili stvarnih razloga izbrisati (čl. 29 st. 3–5 ZoR-a). Poslodavac koji zapošljava najmanje 20 radnika dužan je imenovati osobu koja uživa povjerenje radnika i koja je, osim poslodavca, ovlaštena nadzirati obrađuju li se osobni podaci radnika u skladu sa zakonom (čl. 29 st. 6 ZoR-a). To je obveza iz ZoR-a, odvojena od službenika za zaštitu podataka iz GDPR-a.

3. Rokovi pohrane podataka

GDPR traži da se podaci čuvaju samo onoliko dugo koliko je potrebno u svrhe radi kojih se obrađuju (čl. 5 st. 1 t. e). Konkretne najkraće rokove za kadrovsku i računovodstvenu dokumentaciju propisuju Pravilnik o evidenciji i Zakon o računovodstvu:

Rokovi iz Pravilnika o evidenciji su najkraći; ako zakon ne određuje drukčije, poslodavac ih može urediti općim aktom, a nakon isteka podaci se moraju izbrisati ili na drugi način ukloniti (čl. 9 st. 4 i 5 Pravilnika o evidenciji).

4. Obveza informiranja radnika

Kad podatke prikuplja od radnika, poslodavac mu u trenutku prikupljanja pruža informacije iz čl. 13 GDPR-a, osobito:

• identitet i kontakt poslodavca te kontakt službenika za zaštitu podataka, ako je imenovan
• svrhe i pravnu osnovu obrade
• primatelje podataka (npr. MUP, HZZ, HZMO, HZZO, Porezna uprava, agencija)
• namjeravani prijenos u treću zemlju i zaštitne mjere
• rok čuvanja ili kriterije za njegovo određivanje
• prava radnika (pristup, ispravak, brisanje, ograničenje, prigovor, prenosivost) i pravo na pritužbu AZOP-u
• je li davanje podataka zakonska ili ugovorna obveza i koje su posljedice ako se podaci ne daju

Informacije se pružaju u sažetom, transparentnom, razumljivom i lako dostupnom obliku, jasnim i jednostavnim jezikom (čl. 12 st. 1 GDPR-a). Obavijest na hrvatskom jeziku radniku koji ga ne razumije teško ispunjava taj zahtjev; za radnike iz Nepala, s Filipina ili iz Indije preporučujemo obavijest na engleskom ili na jeziku koji radnik navede. Prijevod je mali trošak s velikim pravnim učinkom.

Svaki voditelj obrade vodi evidenciju aktivnosti obrade (čl. 30 st. 1 GDPR-a). Iznimka za poduzeća s manje od 250 zaposlenih ne vrijedi ako obrada nije povremena ili uključuje posebne kategorije podataka (čl. 30 st. 5), što je kod vođenja kadrovske evidencije i bolovanja redovito slučaj.

5. Zaštita podataka: tehničke i organizacijske mjere

Poslodavac provodi tehničke i organizacijske mjere primjerene riziku (čl. 32 GDPR-a) i štiti podatke iz evidencije o radnicima od neovlaštenog pristupa tijekom cijelog razdoblja čuvanja (čl. 5 st. 3 Pravilnika o evidenciji). U praksi:

• fizički kadrovski dosjei: zaključani ormari, pristup samo ovlaštenim osobama
• digitalni dosjei: zaštita lozinkom, šifriranje, pristup samo kadrovskoj službi
• slanje dokumenata e-poštom: šifrirani PDF ili zaštićena poveznica za dijeljenje, ne nezaštićeni privitak
• uklanjanje kopija putovnica s neovlaštenih mjesta: aplikacije za timsku suradnju, grupne poruke, otvoreni dijeljeni direktoriji
• usluge u oblaku: ugovor s pružateljem prema čl. 28 GDPR-a i provjera gdje se podaci obrađuju (za obradu izvan EGP-a vrijede pravila o prijenosu, v. odjeljak 6)

Videonadzor radnih prostorija dopušten je samo ako su uz uvjete ZPOUZP-a ispunjeni i uvjeti propisa o zaštiti na radu, ako su radnici unaprijed na primjeren način obaviješteni i ako ih je poslodavac informirao prije odluke o postavljanju sustava; ne smije obuhvaćati prostorije za odmor, osobnu higijenu i presvlačenje (čl. 30 ZPOUZP-a). Prostor pod videonadzorom mora biti označen (čl. 27), a pristup snimkama evidentiran automatiziranim sustavom zapisa (čl. 28 st. 4).

6. Posebni scenariji kod stranih radnika

Suradnja s agencijom. Uloga agencije ovisi o tome tko određuje svrhe i sredstva obrade: voditelj obrade ih određuje, a izvršitelj obrade obrađuje podatke u ime voditelja (čl. 4 t. 7 i 8 GDPR-a).

• Ustupanje radnika: agencija je poslodavac radnika i voditelj obrade njegovih kadrovskih podataka, a korisnik je i sam dužan voditi evidenciju o ustupljenim radnicima (čl. 2 st. 3 i čl. 3 st. 3 Pravilnika o evidenciji).
• Posredovanje pri zapošljavanju: agencija koja vodi vlastitu bazu kandidata za to je voditelj obrade; obradu koju obavlja isključivo po uputama poslodavca treba urediti ugovorom o obradi podataka iz čl. 28 st. 3 GDPR-a.

Ulogu odredite za svaki tok podataka i zapišite je u ugovor. Razlike između modela objašnjavamo u članku posredovanje ili ustupanje stranih radnika.

Prijenos podataka izvan EGP-a. Slanje podataka partnerskoj agenciji ili drugom primatelju u trećoj zemlji (Nepal, Filipini, Indija i sl.) prijenos je iz poglavlja V GDPR-a. Dopušten je ako je Europska komisija za tu zemlju donijela odluku o primjerenosti (čl. 45), uz odgovarajuće zaštitne mjere poput standardnih ugovornih klauzula (čl. 46 st. 2 t. c) ili, ako ni jedno ni drugo ne postoji, samo uz odstupanja iz čl. 49, primjerice kad je prijenos nužan za izvršavanje ugovora s radnikom (čl. 49 st. 1 t. b) ili kad je radnik izričito pristao nakon što je obaviješten o rizicima (t. a). Prijenos se upisuje u evidenciju aktivnosti obrade (čl. 30 st. 1 t. e).

Dokaz o hrvatskom jeziku. Od 4. lipnja 2027. dokaz o položenom ispitu A1.1 čuva se u evidenciji o radnicima (čl. 92.a st. 4 ZoS-a). Ispit provode ustanove s popisa MZOM-a, među njima i Ustanova za obrazovanje odraslih Matura Plus, članica Humble grupe, koja ga provodi u svojem sjedištu u Vinkovcima. Više: obvezno učenje hrvatskog jezika (A1.1) i tečaj hrvatskog jezika.

Zdravstvena potvrda i smještaj. Što sadrže Obrazac 18a i Obrazac 17a i kada se prilažu, objašnjavamo u vodičima zdravstveni pregled i Obrazac 18a i Obrazac 17a i smještaj.

7. Nadzor i kazne: AZOP, ne EDPB

Nadzorno tijelo u Hrvatskoj je AZOP (čl. 4 ZPOUZP-a), koje izriče upravne novčane kazne za povrede GDPR-a i ZPOUZP-a sukladno čl. 83 GDPR-a (čl. 44 ZPOUZP-a). Europski odbor za zaštitu podataka (EDPB) hrvatskim poslodavcima ne izriče kazne. Protiv rješenja AZOP-a žalba nije dopuštena, ali se može pokrenuti upravni spor (čl. 34 st. 4 ZPOUZP-a).

Za povrede načela obrade, pravne osnove i uvjeta za posebne kategorije podataka (čl. 5, 6, 7 i 9), prava ispitanika (čl. 12–22) i pravila o prijenosu u treće zemlje (čl. 44–49) kazna može iznositi do 20 milijuna eura ili, za poduzetnika, do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu godinu, ovisno o tome što je veće (čl. 83 st. 5 GDPR-a). To je zakonski maksimum; visina kazne u pojedinom slučaju ovisi o okolnostima iz čl. 83 st. 2 GDPR-a.

Trebate stručnu podršku pri zapošljavanju stranaca? Humble Hunters prati zakonske promjene i pomaže da vaš postupak bude usklađen s hrvatskim propisima.