Lice na koje se podaci odnose ima pravo na pristup i zaštitu svojih ličnih podataka koje drugo lice obrađuje, što je garantovano kako Opštom uredbom EU o zaštiti podataka o ličnosti (General Data Protection Regulation – “GDPR”), tako i nacionalnim zakonodavstvima zemalja članica EU.

Ovo pravo se definitivno ostvaruje tokom trajanja radnog odnosa, ali aktuelna praksa potvrđuje da se pitanja prava na pristup, brisanje i ograničenje obrade podataka ne završavaju automatski sa prestankom radnog odnosa.

U ovom članku analiziraćemo dve odluke evropskih tela za zaštitu podataka o ličnosti:

• Belgijskog GBA/APD, br. 158/2025, od dana 7. oktobra 2025. godine, i
• Italijanskog DPA, br. 10162267, od dana 10. jula 2025. godine.

Okolnosti slučajeva

U prvom slučaju, lice je prethodno obavljalo funkciju direktora u belgijskoj kompaniji (ovde poslodavca i kontrolora), a nakon prestanka radnog odnosa poslodavac nije deaktivirao njegov profesionalni email nalog niti službeni broj telefona. Lice je tvrdilo da su, iz navedenih razloga, lične komunikacije ostale povezane sa ovim nalozima i dalje bile dostupne, te je slučaj prijavilo belgijskom telu za zaštitu podataka (“GBA/APD”). Poslodavac je tvrdio da je broj telefona vlasništvo kompanije i da će email nalog biti uskoro zatvoren.

U drugom slučaju, profesor je podneo tri žalbe italiijanskom telu za zaštitu podatka o ličnosti („Garante“), protiv svog bivšeg poslodavca, italijanskog univerziteta, tvrdeći da kao kontrolor:

• nije deaktivirao njegov radni email nalog niti obrisao njegove komunikacije nakon otkaza;
• nezakonito objavio njegove lične podatke na veb sajtu univerziteta;
• odbio njegov zahtev za pristup i brisanje podataka, kao i prigovor na obradu podataka.

U oba slučaja, lica su tvrdila da je postupanje rukovaoca bilo nezakonito i da su povređene odredbe GDPR-a.

Odluke regulatornih tela

Belgija – GBA/APD

 GBA/APD je utvrdila da kontrolor:

 nije poštovao principe ograničenja svrhe, minimizacije podataka i ograničenja čuvanja podataka iz člana 5(1)(b)(c) GDPR-a, jer podaci više nisu korišćeni u profesionalne svrhe, budući da je nastavio da obrađuje email i broj telefona nakon prestanka zaposlenja tj. nije ih deaktivirao;

• nije informisao lice o obradi podataka niti postupio po zahtevu za brisanje podataka, čime su povređena prava lica prema čl. 12, 13 i 17 GDPR-a;
• nije imao zakonitu osnovu za dalju obradu podataka nakon zaposlenja, jer je prestala ugovorna svrha obrade, a nije postojala nijedna druga pravna osnova za dalju obradu (poput saglasnosti ili legitimnog interesa), čime je povredio odredbe članova 5(1)(a) i 6(1) GDPR-a;

S obzirom na saradnju kontrolora i činjenicu da je kompanija bila u likvidaciji, izrečena je opomena, umesto novčane kazne.

Italija – Garante

 Italijanski Garante je potvrdio da poslodavac odnosno kontrolor:

• nije deaktivirao email nalog i nije obrisao komunikacije profesora nakon prestanka radnog odnosa, čime je povredio odredbe članove 5 (1)(a)(e) i 6 GDPR-a;
• nezakonito je objavio lične podatke profesora i drugih lica na veb sajtu univerziteta, čime je povredio odredbe članova 5 (1)(a) i 6 GDPR-a, ali i odredbe italijanskog zakona o zaštiti podataka;
• odbio zahteve profesora za pristup i brisanje podataka bez obrazloženja, čime je povredio odredbe članova 12(3), 17 i 21 GDPR-a.

Garante je naglasio da prestanak radnog odnosa ne oslobađa rukovaoca obaveze da odgovori na zahteve za pristup podacima, jer pravo na pristup obuhvata sve lične podatke, uključujući i one koje lice već poznaje.

Kontroloru je izrečena novčana kazna u iznosu od 8.000 EUR.

Zaključak

Oba slučaja potvrđuju da prestanak radnog odnosa ne prekida automatski prava lica na pristup, brisanje i kontrolu svojih ličnih podataka. Kontrolor je i nakon prestanka zaposlenja dužan da:

• deaktivira profesionalne naloge i sredstva koja omogućavaju pristup podacima;
• odgovori na zahteve za pristup, brisanje ili ograničenje obrade;
• pruži objašnjenje ukoliko odbije zahtev, uključujući informaciju o pravu lica da se žali nadležnom telu za zaštitu podatka o ličnosti.

Takođe, iz odluka GBA/APD i Garante-a jasno je da pozivanje na pravnu potrebu ili odbranu od pravnih zahteva nije dovoljno, te da kontrolor mora dokazati da je obrada podataka konkretno neophodna za ostvarivanje ili odbranu pravnog zahteva.

Ovaj članak je isključivo informativne prirode i ne predstavlja pravni savet. Ukoliko su Vam potrebne dodatne informacije, budite slobodni da nas kontaktirate.