Često se susrećemo sa praksom da poslodavci zaposlenima daju na korišćenje službene uređaje (telefone, računare i drugu opremu i sredstva za rad), u svrhu obavljanja radnih zadataka.

Granice između poslovne i privatne upotrebe ovih uređaja neretko postaju nejasne, što može dovesti do pravnih problema, posebno kada je reč o zaštiti podataka o ličnosti.

S tim u vezi, u ovom članku razmatramo odluku Visokog suda Irske u slučaju McShane protiv Komisije za zaštitu podataka, posl. br. (2025) IEHC 191 od dana 3. Aprila 2025. godine („Odluka“).

U konkretnom slučaju, postavilo se pitanje da li poslodavac može snositi odgovornost kao rukovalac podacima u situaciji kada zaposleni koristi službeni uređaj za lične potrebe, bez znanja i saglasnosti poslodavca. Kroz analizu okolnosti slučaja, postupka pred nadležnim telom za zaštitu podataka i Odluke, zaključujemo o granicama odgovornosti poslodavca prema Opštoj uredbi o zaštiti podataka (“GDPR”) u kontekstu radnog odnosa.

Okolnosti slučaja

Prema opisanom činjeničnom stanju, zaposleni je od poslodavca dobio na korišćenje službeni mobilni telefon, koji je trebalo da koristi isključivo u poslovne svrhe.

Nakon toga, poslodavac je pretrpeo značajan bezbednosni incident i napad ransomware-om, koji je kompromitovao veliki broj službenih računara i uređaja poslodavca, uključujući i službeni telefon koji je dodeljen zaposlenom.

Na tom uređaju, pored poslovnih podataka, nalazili su se i lični podaci zaposlenog koji nisu imali veze sa njegovim radnim angažovanjem, uključujući pristup ličnom email nalogu i nalogu za trgovinu kriptovalutama.

S tim u vezi, zaposleni je, kao lice na koje se podaci odnose, zapazio je da su mu kompromitovani lični email nalog i lični kripto-nalog, kojima je pristupao putem službenog telefona, te da je kriptovaluta u vrednosti od 1.400 EUR ukradena.

Postupak pred Komisijom

Budući da nije bio zadovoljan odgovorom poslodavca na pritužbu koju je podneo u vezi sa ovim incidentom, zaposleni je, kao lice na koje se podaci odnose, podneo pritužbu Irskoj Komisiji za zaštitu podataka (Data Protection Commission – “Komisija”).

U odgovoru koji je Komisija uputila licu na koje se podaci odnose, u vezi sa problemima koje je iznelo, navedeno je da poslodavac nije bio rukovalac podacima u odnosu na lične podatke koji nisu u vezi sa poslom, a koji su se nalazili na službenom telefonu, jer je zaposleni bio u obavezi da uređaj koristi isključivo u poslovne svrhe.

Stoga, ustanovljeno je da nema osnova, u smislu odredaba GDPR, da se poslodavac smatra odgovornim kada su lični podaci (lični imejl i kripto-nalog) bili sačuvani na uređaju bez znanja ili saglasnosti poslodavca.

Sudski postupak

Budući da nije bio zadovoljan odlukom Komisije, zaposleni je istu osporavao pred Visokim sudom Irske.

Zaposleni je tvrdio da se poslovni podaci smatraju ličnim podacima prema članu 4 stav 1 GDPR-a, da je poslodavac bio rukovalac podacima u vezi sa tim podacima u skladu sa članom 4 stav 7 GDPR-a, te da je Komisija pogrešila u svojim zaključcima. Okarakterisao je odluku Komisije kao “nerazumnu”, pozivajući se na sudsku praksu, i u tom smislu osporavao istu.

S druge strane, Komisija je isticala da se odluka nije odnosila na poslovne lične podatke na uređaju.

Sud je Odlukom dobio zahtev zaposlenog i potvrdio odluku Komisije.

Zaključak

Odluka potvrđuje da se odgovornost rukovaoca podacima, u smislu člana 4 stav 7 GDPR-a, ne može automatski pripisati poslodavcu u svim slučajevima kada zaposleni koristi službene uređaje, a naročito ne u slučaju kada ih koristi za lične potrebe, mimo znanja i saglasnosti poslodavca.

Istovremeno, predmetni slučaj ističe značaj jasnog i preciznog uređenja pitanja korišćenja službenih uređaja, i to kroz interna akta i/ili ugovor o radu, odnosno definisanje jasnih pravila i posledica njihovog kršenja.

Ovaj članak je isključivo informativne prirode i ne predstavlja pravni savet. Ukoliko su Vam potrebne dodatne informacije, budite slobodni da nas kontaktirate.