* Ovaj tekst je originalno objavljen na LAWLife portalu za pravo i privredu
Kamera u kancelariji, GPS na službenom telefonu, kartica za evidenciju radnog vremena ili softver koji prati izvršavanje zadataka danas više nisu neobični. Poslodavci imaju legitimne razloge da prate organizaciju rada, zaštite imovinu, obezbede bezbednost zaposlenih ili provere izvršavanje radnih obaveza. Problem nastaje onda kada mogućnosti tehnologije počnu da prevazilaze ono što je za ostvarivanje tih ciljeva zaista potrebno.
Ranije je tehnologija uglavnom služila da zabeleži ono što se dogodilo. Kamera je snimila događaj, GPS je registrovao lokaciju, a softver evidentirao izvršeni zadatak. Danas sistemi mogu da povežu veliki broj podataka, analiziraju ih i na osnovu njih izvedu određene zaključke o zaposlenom.
Kamera beleži – GPS registruje – softver evidentira – veštačka inteligencija može da zaključuje.
Privatnost zaposlenog ne prestaje na radnom mestu
Pitanje privatnosti zaposlenih više nije samo pitanje toga koji podatak poslodavac prikuplja. Jednako važno postaje pitanje šta iz tog podatka može da zaključi i kako će taj zaključak koristiti. Činjenica da se zaposleni nalazi na radnom mestu ne znači da je izgubio pravo na privatnost.
To je potvrđeno i u praksi Evropskog suda za ljudska prava, između ostalog u predmetu Bărbulescu protiv Rumunije (application no. 61496/08). Predmet se odnosio na nadzor elektronske komunikacije zaposlenog, a Veliko veće Suda utvrdilo je povredu člana 8. Evropske konvencije za zaštitu ljudskih prava. Sud je, između ostalog, ukazao na značaj prethodnog obaveštavanja zaposlenog, obima i intenziteta nadzora, razloga koji opravdavaju njegovo uvođenje i mogućnosti primene manje intruzivnih mera. Drugim rečima, sama činjenica da poslodavac ima određeni interes nije dovoljna. Mora se posmatrati i koliko se tim interesom zadire u privatnost zaposlenog.
To je posebno važno danas, kada ista tehnologija može da posluži ne samo za evidentiranje događaja već i za njihovu analizu. Ako je ranije bilo pitanje da li poslodavac sme da kontroliše elektronsku komunikaciju zaposlenog, danas se postavlja i pitanje šta se događa kada sistem tu komunikaciju, zajedno sa drugim podacima, koristi za procenu ponašanja ili učinka zaposlenog.
Kada poslovni alat postane sredstvo nadzora
Dobar primer za to dolazi iz Španije. Viši sud pravde Baskije (Tribunal Superior de Justicia del País Vasco – TSJPV) razmatrao je slučaj u vezi sa snimanjem sastanaka putem Microsoft Teams-a. Prema činjenicama iz predmeta, snimanje je nastavilo da traje i nakon formalnog završetka sastanka, pa su zabeleženi i razgovori učesnika koji nisu znali da se snimanje nastavlja.
Sud je u presudi 1094/2026 od 11. maja 2026. godine preinačio prvostepenu odluku. U predmetu je zaposlenoj dosuđeno 328.491,62 evra u vezi sa prestankom radnog odnosa i dodatnih 7.501 evro na ime naknade zbog povrede osnovnih prava. Odluka nije pravnosnažna.
Ono što ovaj slučaj čini zanimljivim jeste činjenica da problem nije bio samo u samom snimanju. Postavlja se i pitanje šta se kasnije događa sa sadržajem koji je jednom snimljen. Činjenica da je određeni podatak zakonito prikupljen ne znači da se njime može neograničeno raspolagati. Za svaki takav sistem potrebno je odvojeno razmotriti svrhu prikupljanja, obim obrade, rok čuvanja, krug lica koja imaju pristup podacima i mogućnost njihovog kasnijeg korišćenja.
Koliko dugo poslodavac sme da čuva poslovnu komunikaciju?
Slično pitanje otvoreno je i pred italijanskim nadzornim organom za zaštitu podataka (Garante per la protezione dei dati personali) u postupku protiv kompanije Piaggio.
U odluci od 18. juna 2026. godine, broj 476, Garante je kompaniji Piaggio & C. S.p.A. izrekao kaznu od 460.000 evra. Predmet se, između ostalog, odnosio na način na koji su čuvani i naknadno pretraživani podaci povezani sa poslovnom elektronskom poštom bivših zaposlenih. Podaci iz e-mail sistema bili su sačuvani u backup sistemu godinama nakon prestanka radnog odnosa, što je omogućilo i naknadni pristup starijoj komunikaciji.
Regulator nije posmatrao samo razlog zbog kojeg je kompanija želela da pristupi određenim porukama. U obzir su uzeti i svrha obrade, transparentnost, period čuvanja i način na koji je sistem bio postavljen.
Za poslodavce je poruka jasna: poslovna komunikacija ne bi trebalo da se čuva neograničeno samo zato što bi jednog dana mogla biti korisna. Isto važi i za rezervne kopije. Činjenica da se podaci nalaze u backup sistemu ne znači automatski da su izuzeti od pravila koja važe za njihovu obradu i čuvanje. To, naravno, ne znači da za svu poslovnu komunikaciju postoji jedan univerzalan rok čuvanja. Rok zavisi od svrhe obrade, konkretnih okolnosti i pravnog osnova. Ali upravo zato odluka da se podaci čuvaju „za svaki slučaj“ nije dovoljna sama po sebi.
Od provere CV-ja do profilisanja kandidata
Pitanja privatnosti ne počinju tek kada kandidat postane zaposleni. Poslodavac može imati opravdan razlog da proveri podatke koje je kandidat naveo u biografiji. Ali iz toga ne proizlazi pravo da bez ograničenja prikuplja sve informacije koje o kandidatu može pronaći. Sa razvojem veštačke inteligencije taj proces može izgledati sasvim drugačije. Sistem može da analizira veliki broj biografija, izdvoji određene karakteristike kandidata, poveže informacije iz različitih izvora i na kraju napravi rang-listu.
Tako ono što je počelo kao provera CV-ja može da izgleda ovako: CV → prikupljanje podataka → analiza → profilisanje → rangiranje → odluka.
Što je više automatizacije u tom procesu, važnije je znati na osnovu čega je sistem došao do određenog rezultata. Treba postaviti pitanja:
- Koji podaci su korišćeni?
- Koji zaključak je izveden?
- Koliko taj rezultat utiče na konačnu odluku?
- I, možda najvažnije, da li čovek zaista donosi odluku ili samo potvrđuje ono što je algoritam već predložio?
Kada evaluacija zaposlenih postane profilisanje?
Slična pitanja mogu se postaviti i kada je zaposleni već deo organizacije. Sama činjenica da poslodavac sprovodi 360° evaluaciju ne znači da je došlo do profilisanja. Mnogo je važnije kako je taj proces organizovan i šta se sa prikupljenim podacima kasnije radi.
Ako se mišljenja kolega, nadređenih i drugih lica prikupljaju, automatski obrađuju i pretvaraju u jedinstvenu ocenu zaposlenog, a zatim se ta ocena koristi za odlučivanje o plati, bonusu ili napredovanju, nije dovoljno reći da je reč samo o „evaluaciji“. Potrebno je pogledati šta se zapravo događa sa podacima i kakvu ulogu rezultat sistema ima u donošenju odluke.
Posebno pitanje nastaje kada algoritam daje ocenu koja direktno utiče na položaj zaposlenog. U tom trenutku više nije svejedno da li osoba koja donosi konačnu odluku zaista procenjuje rezultat sistema ili ga samo formalno potvrđuje.
Šta kaže srpsko pravo?
U Republici Srbiji zaštita podataka zaposlenih proizlazi iz više propisa.
Zakon o radu u članu 83. posebno uređuje zaštitu ličnih podataka zaposlenog. Zaposleni ima pravo uvida u dokumente koji sadrže njegove lične podatke, kao i pravo da zahteva brisanje podataka koji nisu od neposrednog značaja za poslove koje obavlja i ispravljanje netačnih podataka. Lični podaci zaposlenog ne mogu biti dostupni trećim licima osim u zakonom predviđenim slučajevima ili kada je to potrebno radi ostvarivanja i dokazivanja prava i obaveza iz radnog odnosa ili u vezi sa radom.
Pored Zakona o radu, primenjuje se i Zakon o zaštiti podataka o ličnosti. Posebno je značajan član 38, koji uređuje pravo lica da ne bude predmet odluke zasnovane isključivo na automatizovanoj obradi, uključujući profilisanje, kada takva odluka proizvodi pravne posledice ili na sličan način značajno utiče na njega, uz zakonom predviđene izuzetke. U određenim situacijama zakon predviđa i zaštitne mere, uključujući mogućnost učešća fizičkog lica u donošenju odluke, izražavanja stava i osporavanja odluke.
Zato je važno razlikovati sistem koji čoveku pomaže da donese odluku od sistema čiji rezultat u praksi određuje odluku.
Samo postojanje osobe koja formalno potvrđuje rezultat algoritma ne mora nužno značiti da postoji stvarni ljudski nadzor. Važno je da ta osoba može da razume rezultat, preispita ga i, kada je to potrebno, donese drugačiju odluku.
ZZPL predviđa i obavezu informisanja o postojanju automatizovanog donošenja odluka, uključujući profilisanje, kao i o značaju i očekivanim posledicama takve obrade.
Kod obrada koje mogu predstavljati visok rizik potrebno je razmotriti i obavezu sprovođenja procene uticaja na zaštitu podataka o ličnosti. Član 54. ZZPL-a predviđa da se procena uticaja obavezno vrši, između ostalog, kada se sistematski i sveobuhvatno procenjuju stanje i osobine fizičkog lica putem automatizovane obrade, uključujući profilisanje, na osnovu koje se donose odluke od značaja za pravni položaj pojedinca ili odluke koje na sličan način značajno utiču na njega. Drugim rečima, procena uticaja nije samo dokument koji se izrađuje nakon što je tehnologija već izabrana. Njena svrha je da se unapred sagleda šta će se prikupljati, kako će se podaci koristiti, koji rizici nastaju i koje mere mogu da ih smanje.
Zašto je analiza slučajeva iz EU bitna za Srbiju?
Analiza slučajeva sa područja Evropske unije važna je za Srbiju iz više razloga. Iako se odluke evropskih sudova i nadzornih organa ne primenjuju automatski kao domaće pravo, one pokazuju kako se u praksi tumače principi privatnosti, proporcionalnosti, transparentnosti, ograničenja svrhe i ljudskog nadzora nad automatizovanim odlukama. To je posebno značajno zato što je srpski Zakon o zaštiti podataka o ličnosti u velikoj meri usklađen sa evropskim Opštim pravilom o zaštiti podataka (GDPR), dok domaće kompanije sve češće koriste iste digitalne platforme, cloud servise i AI alate kao poslodavci u EU. Pored toga, mnoge kompanije iz Srbije posluju sa partnerima ili klijentima iz Evropske unije, pa na njih mogu uticati evropska pravila i ugovorni zahtevi u vezi sa zaštitom podataka.
Slučajevi iz EU zato nisu samo ilustracije stranog prava. Oni mogu da posluže kao praktično upozorenje srpskim poslodavcima šta regulator ili sud može smatrati prekomernim nadzorom, nedovoljnim informisanjem, predugim čuvanjem podataka ili stvarnim automatizovanim odlučivanjem. Istovremeno, oni zaposlenima i njihovim zastupnicima pomažu da bolje razumeju kako se slični rizici mogu pojaviti i u domaćem radnom okruženju.
AI Act donosi dodatna pravila
Za subjekte na koje se primenjuje pravo Evropske unije relevantan je i AI Act, odnosno Uredba (EU) 2024/1689. Pravila koja predviđa AI Act primenjuju se na sve subjekte koji nude AI sisteme na tržištu EU, koriste ih u vezi sa licima koja se nalaze u EU ili čiji rezultati utiču na njih, dok će usklađivanje sa ovim standardima biti važno i za srpske poslodavce i pružaoce usluga koji posluju sa partnerima iz EU.
AI Act posebno uređuje upotrebu AI sistema u oblasti zapošljavanja, upravljanja zaposlenima i pristupa samozapošljavanju. Među sistemima iz Aneksa III nalaze se, između ostalog, sistemi namenjeni za regrutaciju i selekciju kandidata, analizu i filtriranje prijava, evaluaciju kandidata, donošenje odluka koje utiču na uslove rada, napredovanje ili prestanak radnog odnosa, raspodelu zadataka na osnovu ponašanja ili ličnih osobina, kao i praćenje i evaluaciju učinka i ponašanja zaposlenih. To, međutim, ne znači da je svaki AI alat koji se koristi u HR-u automatski visokorizičan. Klasifikacija zavisi od konkretne namene sistema, a sam AI Act predviđa određene izuzetke i uslove pod kojima sistemi iz Aneksa III mogu biti izvan kategorije visokog rizika. Istovremeno, sistem iz Aneksa III koji vrši profilisanje fizičkih lica uvek se smatra visokorizičnim.
AI Act donosi i jednu posebno važnu zabranu za radno okruženje. Član 5. zabranjuje određene AI prakse, među kojima je i korišćenje AI sistema za zaključivanje o emocijama fizičkih lica na radnom mestu, osim kada je upotreba namenjena medicinskim ili bezbednosnim razlozima.
Zato više nije dovoljno pitati: „Šta sistem snima?“ Treba pitati i: „Šta sistem zaključuje iz onoga što snima?“
Nije isto kada kamera zabeleži da je zaposleni napustio radno mesto i kada sistem, na osnovu različitih podataka, zaključi da je zaposleni nedovoljno angažovan ili da pokazuje određeno emocionalno stanje. U prvom slučaju beleži se događaj, a u drugom se pravi procena čoveka.
Važno je imati u vidu i trenutno važeće rokove primene AI Act-a. Iako se Uredba uopšteno primenjuje od 2. avgusta 2026. godine, ključne obaveze iz Poglavlja III, odeljaka 1, 2 i 3 za sisteme visokog rizika iz člana 6. stav 2. i Aneksa III primenjivaće se od 2. decembra 2027. godine, dok je za sisteme visokog rizika iz člana 6. stav 1. i Aneksa I rok 2. avgust 2028. godine. Ovi rokovi su izmenjeni Uredbom (EU) 2026/1744, odnosno Digital Omnibus on AI.
Kada algoritam odlučuje da li čovek može da radi?
Najozbiljnija pitanja nastaju kada rezultat automatizovanog sistema odlučuje ili presudno utiče na samu mogućnost obavljanja rada. To pokazuje i slučaj Ubera.
Holandski nadzorni organ za zaštitu podataka (Autoriteit Persoonsgegevens – AP) objavio je 21. avgusta 2026. godine da je kaznio Uber sa 824,99 miliona evra zbog automatizovanih odluka povezanih sa blokiranjem odnosno deaktiviranjem naloga vozača. Prema navodima regulatora, sistemi su u određenim situacijama donosili automatizovane odluke koje su mogle da dovedu do privremene ili trajne deaktivacije naloga, a time i do gubitka mogućnosti ostvarivanja prihoda preko platforme. Uber je osporio odluku i najavio pravnu borbu, zbog čega ovaj slučaj treba posmatrati i kroz prizmu njegovog daljeg pravnog ishoda.
Ipak, pitanje koje ovaj slučaj otvara mnogo je šire.
Ako automatizovani sistem odlučuje ili presudno utiče na to da li čovek može da nastavi da radi i ostvaruje prihod, ko pravno odgovara za odluku?
Odgovornost se ne može jednostavno preneti na algoritam. Tehnologija može pomoći u donošenju odluke, ali sama po sebi ne može preuzeti pravnu odgovornost za posledice te odluke. Zato je važno znati ko je sistem uveo, na osnovu kojih pravila funkcioniše, koje podatke koristi, ko kontroliše njegov rad i da li postoji stvarna mogućnost da se njegov rezultat preispita.
Bezbednost nije blanko dozvola za nadzor
Poslodavac ima pravo da preduzima mere radi zaštite zaposlenih, imovine i procesa rada. Ali pozivanje na bezbednost ne znači automatski da je svaki oblik nadzora opravdan. Kod uvođenja sistema nadzora potrebno je razmotriti da li je konkretna obrada zaista potrebna, da li postoji manje intruzivna mera kojom se može postići isti cilj, koliko dugo će se podaci čuvati, ko će im pristupati i da li će se kasnije koristiti u neku drugu svrhu.
Kod AI sistema to može biti još komplikovanije. Video-nadzor može da zabeleži događaj. AI može da ga klasifikuje. Rezultat te klasifikacije zatim može da se poveže sa drugim sistemom koji učestvuje u proceni zaposlenog. Što je više koraka između trenutka kada je podatak prikupljen i trenutka kada utiče na odluku, to je važnije znati šta se u svakom od tih koraka događa.
Šta bi poslodavac trebalo da proveri pre uvođenja novog sistema?
Pre nego što uvede tehnologiju koja prati ili analizira zaposlene, poslodavac bi trebalo da odgovori na nekoliko osnovnih pitanja:
- Koja je svrha obrade?
- Koji podaci su zaista potrebni?
- Koji je pravni osnov?
- Da li je obrada nužna i proporcionalna?
- Koliko dugo će podaci biti čuvani?
- Ko će imati pristup podacima?
- Da li će se podaci koristiti i za neku drugu svrhu?
- Da li sistem vrši profilisanje ili automatizovano odlučivanje?
- Koliko rezultat sistema stvarno utiče na odluke o zaposlenima?
- Da li su zaposleni na odgovarajući način informisani?
Ova pitanja nisu samo formalnost. Ona pomažu da se granice sistema odrede pre nego što tehnologija počne da proizvodi posledice po zaposlene.
Zaštita privatnosti zato ne bi trebalo da bude poslednji korak, nakon što je tehnologija već uvedena. Mnogo je korisnije da bude deo odluke o tome da li, zašto i pod kojim uslovima takvu tehnologiju uopšte treba uvesti.
Gde povući granicu?
Nije svaka kamera nezakonita. Nije svaki GPS sistem nezakonit. Nije svaka evaluacija zaposlenih profilisanje. I nije svaki AI sistem koji se koristi u HR-u automatski visokorizičan. Ali ni činjenica da određena tehnologija nešto može da uradi ne znači da je njena upotreba pravno dozvoljena.
Prilikom procene potrebno je posmatrati svrhu, pravni osnov, nužnost, proporcionalnost, transparentnost, obim obrade, rok čuvanja i posledice koje obrada ima po zaposlenog. Poseban oprez potreban je kada se od običnog prikupljanja podataka prelazi na njihovo povezivanje, profilisanje i automatizovano odlučivanje, jer tada više ne govorimo samo o tome šta je zaposleni uradio, već govorimo o tome šta sistem zaključuje o njemu. Upravo tu se pitanje privatnosti i pitanje odgovornosti počinju preplitati.
Tehnologija danas može da vidi više nego ranije, da obradi više podataka i pronađe obrasce koje čovek možda ne bi uočio. Ali mogućnost da se nešto vidi, analizira ili predvidi nije isto što i pravo da se to učini.
Granica privatnosti zaposlenih u eri AI zato se ne povlači tek kada nastane spor. Ona se povlači mnogo ranije – kada poslodavac odlučuje šta će prikupljati, zašto će to raditi, koliko dugo će podatke čuvati, ko će ih analizirati i koliku težinu će rezultat algoritma imati u odluci o čoveku. Što tehnologija više može da zaključi o zaposlenom, to je veća odgovornost onoga ko je koristi.
Ovaj tekst ne predstavlja pravni savet, već stav autora, ne uvek i uređivačku politiku portala.
Autor: Marijana Marjanović, advokat u advokatskoj kancelariji PL - Legal
Viber kanal LAWLife portal za pravo i privredu.
Pridružite se za najnovije pravne i poslovne informacije.