Obrada zdravstvenih podataka novaka
Postupak prvih zdravstvenih pregleda novaka trebao bi predstavljati početnu i jasno definiranu fazu utvrđivanja zdravstvene sposobnosti, usmjerenu isključivo na odgovor na osnovno pitanje propisano zakonom – je li osoba sposobna ili nesposobna za vojnu službu. Takav postupak mora biti organiziran na način koji osigurava pravnu sigurnost, zaštitu dostojanstva ispitanika i razmjernu obradu osobnih podataka, osobito kada je riječ o podacima o zdravlju. Međutim, u praksi su se već na samom početku provedbe pregleda otvorila brojna pitanja u vezi s opsegom podataka koji se prikupljaju, načinom njihove dokumentacije te krugom osoba koje tim podacima imaju pristup, zbog čega je nužno jasno razgraničiti ono što je zakonom dopušteno i nužno od onoga što prelazi granice propisane svrhe.
1. Utvrđivanje zdrvastvene sposobnosti: Zakon o obrani i Pravilnik
Važeći Zakon o obrani (Narodne novine, br. 136/25) u članku 21.g stavku 4. izričito propisuje da se zdravstvena sposobnost novaka za vojnu službu utvrđuje isključivo u dvije kategorije:
- sposoban za vojnu službu
- nesposoban za vojnu službu
Međutim, članak 13. Pravilnika propisuje da se u Uvjerenje o zdravstvenoj sposobnosti, uz ocjenu „nesposoban“, obvezno unose i točke popisa bolesti i srodnih zdravstvenih problema, sukladno Metodološkim uputama, što je dodatno razrađeno u Prilogu 3. Pravilnika.
Takvo normativno rješenje, bez jasno i precizno definirane svrhe obrade s kojom su ispitanici prethodno upoznati, predstavlja izravno kršenje temeljnih načela Opće uredbe.
Načelo smanjenja količine podataka (data minimisation)
„primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe obrade“.
S obzirom na to da Zakon o obrani zahtijeva isključivo binarnu ocjenu „sposoban“ odnosno „nesposoban“, ne postoji razvidna zakonska ni svrhovita osnova za navođenje konkretnih dijagnoza, šifri bolesti ili detaljnih zdravstvenih stanja u samom Uvjerenju, čime se povjerljive informacije o zdravlju nepotrebno stavljaju na raspolaganje širem krugu osoba za koje podatak o tome o kojoj je bolesti riječ nije od važnosti za obavljanje poslova iz njihovog djelokruga.
Ovakav model rada klijentima pruža jasnu strukturu odgovornosti, stalne i dostupne kontakt točke te podršku cijelog stručnog tima, uz međunarodnu razinu stručnosti i regulatornog iskustva.
Takvo navođenje:
- nije nužno za ostvarenje svrhe obrade (ili takva svrha nije javno dostupna)
- nije propisano zakonom
- te izlaže ispitanike neopravdanom otkrivanju osobito osjetljivih zdravstvenih podataka potencijalno širokom i nekontroliranom krugu osoba.
Ukoliko Ministarstvo smatra da za navođenje dijagnoza i šifri bolesti u Uvjerenju postoji objektivna, zakonita i razmjerna nužnost, molimo:
- precizno, jasno i normativno utemeljeno obrazloženje, uz izričito navođenje konkretne pravne osnove sukladno člancima 6. i 9. GDPR-a, te
- da takvo obrazloženje bude javno dostupno, radi osiguranja transparentnosti i pravne sigurnosti ispitanika.
2. Obrada osobnih podataka od strane privatnih zdravstvenih ustanova bez ugovora i članka 28. GDPR-a
(KLASA: 011-02/25-11/37, URBROJ: 534-06-1-1/6-25-02 od 22. prosinca 2025.) određeni su subjekti ovlašteni za provedbu predmetnih pregleda.
U tom postupku privatne prakse medicine rada i sporta obrađuju posebne kategorije osobnih podataka u ime i za račun Republike Hrvatske, čime u smislu članka 4. točke 8. i članka 28. GDPR-a imaju status izvršitelja obrade.
Sukladno članku 28. stavcima 3. i 9. GDPR-a, takva obrada dopuštena je isključivo ako je utemeljena na:
- pisanom ugovoru ili drugom pravno obvezujućem aktu između voditelja i izvršitelja obrade, te
- ugovor o obradi osobnih podataka odnosno standardnim ugovornim klauzulama donesenim Provedbom odlukom Komisije (EU) 2021/915.
U nedostatku navedenih instrumenata, svaka obrada osobnih podataka od strane privatnih zdravstvenih ustanova smatra se nezakonitom, čime se te ustanove izravno izlažu visokim upravnim novčanim kaznama iz članka 83. GDPR-a, dok tijela javne vlasti kao voditelji obrade ne podliježu istovjetnom režimu sankcioniranja – što dodatno naglašava potrebu za pravovremenim i ugovorno uređenim postupanjem.
Slijedom navedenog, Centar Feralis zatražio je od AZOP-a provjeru sljedećih pitanja:
- Jesu li s privatnim zdravstvenim ustanovama sklopljeni ugovori iz članka 28. GDPR-a?
- Jesu li tim subjektima dostavljeni ugovori o obradi osobnih podataka odnosno standardne ugovorne klauzule sukladno Odluci (EU) 2021/915?
- Ako nisu, iz kojeg razloga nisu te na temelju koje pravne osnove je obrada osobnih podataka uopće započela?
Ovo pitanje nadilazi pojedinačni slučaj i zadire u temeljna načela zakonitosti, razmjernosti i transparentnosti obrade osobnih podataka, osobito kada je riječ o posebnim kategorijama podataka u osjetljivom području obrane i zdravstva. Upravo stoga, pravna jasnoća i javno obrazložena rješenja predstavljaju nužan preduvjet za očuvanje povjerenja građana i dosljednu primjenu europskih standarda zaštite osobnih podataka u Republici Hrvatskoj.
Više: NOVI LIST Ugrožavanje privatnosti! Dijagnoze novaka dostupne širem krugu ljudi
U tom kontekstu, a povodom većeg broja zaprimljenih prijava zabrinutih građana i organizacija, Centar se obratio nadležnim tijelima u vezi s postupkom utvrđivanja zdravstvene sposobnosti novaka za vojnu službu, s posebnim naglaskom na zakonitost i razmjernost obrade zdravstvenih podataka.