Ciparsko nadzorno tijelo (Cypriot SA) zabranilo je daljnju obradu podataka i s 82 tisuće eura kaznilo voditelja obrade koji je radio „scoring“ bolovanja svojih zaposlenika.
Voditelj obrade (Louis Group of Companies) je zbog čestih kratkih i nepredviđenih bolovanja provodio bodovanje (scoring) zaposlenika kroz alat Bradford Factor. S obzirom da se radi o podacima o bolovanju tj. zdravlju zaposlenika, kroz alat su se obrađivale posebne kategorije osobnih podataka.
Nadzornom tijelu je prethodno dostavljena procjena učinka na zaštitu osobnih podataka (DPIA) koja je ocjenjena kao nezadovoljavajuća. Zaključak nadzornog tijela bio da u predmetnom slučaju prava i slobode pojedinca nadilaze legitimni interes poslodavca. Dodatno, u okviru postupka međusobne suradnje, zatraženo je i dobiveno mišljenje 25 nadzornih tijela drugih zemalja članica. Nadzorna tijela složila su se sa Cypriot SA i jedinstveno zaključila da za predmetnu obradu podataka ne postoji valjana pravna osnova.
Ova odluka je važno upozorenje za sve voditelje obrade koji upravljaju apsentizmom na način da izrađuju profile zaposlenika temeljem učestalosti i vrste bolovanja te u konačnici donose odluke koje imaju pravni učinak za zaposlenika (prijevremeno umirovljenje, otkaz ugovora o radu, promjena radnog mjesta i dr.).
Česti su primjeri iz prakse da poslodavci u svrhe upravljanja apsentizmom od zaposlenika traže privolu ili se pozivaju na legitimni interes. Neki čak idu toliko daleko da takvu obradu podataka definiraju kao nužnu za izvršenje prava i obveza iz ugovora o radu.
Napominjemo da privola nije primjerena pravna osnova u odnosu poslodavca i zaposlenika. Legitimni interes poslodavca također nije primjenjiv sukladno članku 9. GDPR-a. Upravljanje apsentizmom koje za sobom povlači bodovanje, kategoriziranje ili profiliranje radnika nije nužno ni za izvršenje prava i obveza iz ugovora o radu.
Poslodavac ima apsolutni legitimni interes provjeriti valjanost dokumentacije (doznake) o bolovanju i obaviti kontrolu bolovanja, a za takve radnje ima i zakonsko utemeljenje. Također, poslodavac ima interes utvrditi uzroke bolovanja i poduzimati radnje da se bolovanja smanje, odnosno upravljati apsentizmom. Pri tome mora poštovati propise o zaštiti osobnih podataka, posebno u odnosu na zakonitost i transparentnost obrade.
