Evidencija radnog vremena i GDPR:
Na što trebate paziti

Evidencija radnog vremena obrađuje osobne podatke

Čim evidentirate radno vrijeme, obrađujete osobne podatke u smislu GDPR-a. To ne obuhvaća samo početak, kraj i trajanje dnevnog radnog vremena, nego i pauze, prekovremene sate i izostanke poput godišnjeg odmora ili bolovanja. Ti se podaci mogu pripisati pojedinim zaposlenicima - i time podliježu pravilima zaštite podataka.

To ne znači da je evidencija radnog vremena problematična. Znači samo: tko je vodi, mora poštivati nekoliko osnovnih obveza zaštite podataka.

Pravna osnova

Za obradu podataka uvijek je potrebna pravna osnova. Kod evidencije radnog vremena to je u pravilu jednostavno: obrada je nužna radi ispunjenja zakonske Obveza vođenja evidencije potrebna i odvija se u okviru radnog odnosa.

Mjerodavni su čl. 6 GDPR-a (zakonita obrada, među ostalim radi ispunjenja pravnih obveza i izvršenja ugovora o radu) te § 26 njemačkog Saveznog zakona o zaštiti podataka (BDSG) o obradi podataka u kontekstu zaposlenja. Posebna privola zaposlenika za obveznu evidenciju stoga u pravilu nije potrebna.

Minimizacija podataka i vezanost uz svrhu

Smijete prikupljati samo ono što je stvarno potrebno za evidenciju radnog vremena - ništa više. Praćenje lokacije u stvarnom vremenu, tajni nadzor ili skriveno praćenje ponašanja ovdje nemaju mjesta i nedopušteni su prema propisima o zaštiti podataka.

Osim toga vrijedi načelo ograničenja svrhe: podaci koje prikupljate radi evidencije radnog vremena smiju se koristiti isključivo u tu svrhu - a ne, primjerice, za usputnu kontrolu učinka ili ponašanja tijekom pauza. Tome pripada i transparentnost prema zaposlenicima: oni bi trebali znati koji se podaci prikupljaju i u koju svrhu.

Čuvanje i brisanje

Podaci o radnom vremenu smiju se pohranjivati samo onoliko dugo koliko je to potrebno ili zakonski propisano. Za evidencije prema § 2a Schwarzarbeitsbekämpfungsgesetz vrijedi primjerice rok čuvanja od najmanje dvije godine; iz dokumentacije o plaćama i porezima mogu proizaći dulji rokovi. Po isteku pojedinog roka podatke treba izbrisati.

Praktično je korisno rješenje s kojim se podaci mogu uredno izvesti i nakon isteka roka ciljano izbrisati - tako zadržavate kontrolu nad tim što i koliko dugo ostaje pohranjeno.

Izvršitelj obrade (ugovor o izvršitelju obrade)

Koristiš li za evidenciju radnog vremena softver nekog pružatelja, taj pružatelj obrađuje podatke o osoblju u tvoje ime. U tom slučaju čl. 28 GDPR-a zahtijeva Ugovor o izvršitelju obrade između tebe kao odgovornog poslodavca i pružatelja usluge.

Ugovor o obradi podataka između ostalog regulira koji se podaci u koju svrhu obrađuju, koje tehničke i organizacijske mjere zaštite vrijede te da pružatelj usluge ne koristi podatke za vlastite svrhe. Ozbiljan pružatelj usluge stavlja vam na raspolaganje ugovor o obradi podataka - kod Presija ga pronalazite na stranici Sigurnost.

Prava zaposlenika

GDPR zaposlenicima daje konkretna prava. Tu se prije svega ubraja pravo na pristup informacijama: zaposlenici mogu saznati koji se podaci o njima pohranjuju i zatražiti uvid u vlastito evidentirano radno vrijeme. Uz to dolaze i prava na ispravak netočnih podataka te - u okviru zakonskih rokova - na brisanje.

Evidencija radnog vremena u kojoj zaposlenici u svakom trenutku mogu sami uvidjeti vlastite sate praktički sama od sebe zadovoljava potrebu za pristupom podacima.

Česta pitanja o evidentiranju radnog vremena i GDPR-u

Je li evidentiranje radnog vremena moguće u skladu s GDPR-om?

Da. Evidentiranje radnog vremena dopušteno je ako se obrađuju samo nužni podaci (početak, kraj, stanke), ako se obrada temelji na pravnoj osnovi, ako se podaci pohranjuju šifrirani u EU-u i ako zaposlenici mogu ostvarivati svoja prava. Tome pripada i ugovor o obradi podataka (AVV) s pružateljem usluge.

Koliko se dugo moraju čuvati podaci o evidenciji radnog vremena?

Dokazi o radnom vremenu prema Zakonu o radnom vremenu u pravilu se moraju čuvati najmanje dvije godine. Dokumentacija relevantna za plaće i poreze podliježe dužim trgovačko- i poreznopravnim rokovima od šest do deset godina. Nakon isteka rokova podatke je potrebno izbrisati (načelo ograničenja svrhe). Ovo nije pravni savjet - u pojedinačnom slučaju zatražite stručnu provjeru.

Koji se podaci smiju prikupljati pri evidentiranju radnog vremena?

Samo ono što je nužno za evidentiranje radnog vremena: početak rada, kraj rada i stanke, po potrebi mjesto rada. Nadzor koji ide dalje od toga (npr. neprekidno praćenje lokacije) nedopušten je s aspekta zaštite podataka. Načelo minimizacije podataka vrijedi u cijelosti.