Zahtjev bivšeg zaposlenika za brisanje osobnih podataka iz sustava tvrtke

Pravo na brisanje osobnih podataka, poznato i kao ”pravo na zaborav”, propisano je člankom 17. Opće uredbe o zaštiti podataka (GDPR), no ovo pravo nije apsolutno i ne primjenjuje se kada je obrada podataka nužna radi poštivanja pravne obveze koja zahtijeva obradu na temelju prava Europske unije ili prava države članice kojem podliježe voditelj obrade, što znači da za podatke koje ste zakonski obvezni čuvati, poput podataka o plaći, doprinosima i drugih evidencija propisanih Zakonom o radu, Općim poreznim zakonom, Zakonom o mirovinskom osiguranju i sličnim propisima koji određuju obvezna razdoblja čuvanja dokumentacije o zaposlenicima (koja za neke kategorije podataka, poput onih relevantnih za mirovinsko osiguranje, mogu iznositi i nekoliko desetljeća), niste dužni, a zapravo niti smijete, brisati te podatke prije isteka zakonski propisanog roka čuvanja, unatoč izričitom zahtjevu bivšeg zaposlenika. Ipak, važno je napraviti razliku između podataka koje ste zakonski obvezni čuvati i podataka koje ste možda zadržali iz drugih, manje opravdanih razloga koji nemaju jasnu pravnu osnovu za daljnje čuvanje, poput osobnih bilježaka o radnom učinku, internih komunikacija ili drugih podataka koji nisu dio propisane radne dokumentacije, a za koje bi zahtjev za brisanje trebao biti uvažen ako više ne postoji legitimna svrha za njihovo daljnje čuvanje, budući da načelo ograničenja pohrane iz članka 5. GDPR-a zahtijeva da se osobni podaci ne čuvaju dulje nego što je to potrebno za svrhe za koje se obrađuju. Preporučujem da odmah pripremite detaljan odgovor bivšem zaposleniku u kojem ćete jasno navesti koje kategorije njegovih podataka ćete izbrisati (one bez zakonske osnove za daljnje čuvanje) i koje ćete zadržati uz izričito pozivanje na konkretnu pravnu obvezu koja to nalaže (primjerice, obveza čuvanja platnih lista prema Općem poreznom zakonu tijekom određenog broja godina), jer je takva transparentna, djelomična suglasnost s obrazloženjem u skladu s vašim GDPR obvezama i pokazuje dobru vjeru u postupanju s zahtjevom, za razliku od potpunog odbijanja ili potpunog udovoljavanja koje bi moglo predstavljati kršenje ili GDPR-a ili radno-pravnih i poreznih propisa o čuvanju dokumentacije. Ako bivši zaposlenik nije zadovoljan vašim odgovorom, ima pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka koja će ocijeniti je li vaše postupanje bilo u skladu s GDPR-om, stoga je od velike važnosti da vaš odgovor bude precizno pravno utemeljen s jasnim pozivanjem na konkretne zakonske obveze čuvanja za svaku kategoriju podataka koju odlučite zadržati unatoč zahtjevu za brisanjem.