Opća uredba o zaštiti podataka, što doista traži

Uredba (EU) 2016/679 primjenjuje se izravno, a hrvatski Zakon NN 42/2018 dopunjuje je i AZOP određuje kao nadzorno tijelo. Ovdje su obveze s brojevima članaka.

Zatražite razgovor Svi propisi

PRAVNI OKVIRUREDBA (EU) 2016/679 ZAKON O PROVEDBI NN 42/2018 ZKS NN 14/2024

Što Opća uredba traži

Uredba je izravno primjenjiva, a hrvatski Zakon dopunjuje je ondje gdje ona to izrijekom dopušta.

Opća uredba o zaštiti podataka, Uredba (EU) 2016/679, primjenjuje se od 25. svibnja 2018. i ne treba je prenositi u nacionalno pravo. Istoga dana stupio je na snagu Zakon o provedbi Opće uredbe o zaštiti podataka, NN 42/2018, koji uređuje ono što je Uredba prepustila državama članicama i koji Agenciju za zaštitu osobnih podataka određuje kao nadzorno tijelo, u članku 4.

Uredba ne propisuje popis dokumenata nego niz obveza iz kojih dokumenti proizlaze. Svaka obrada mora imati pravnu osnovu iz članka 6., a obrada posebnih kategorija podataka, među njima zdravstvenih, načelno je zabranjena i dopuštena samo po iznimkama iz članka 9. Načela obrade iz članka 5. vrijede za sve: ograničenje svrhe, smanjenje količine podataka, točnost, ograničenje pohrane, cjelovitost i povjerljivost.

Iz toga slijede zapisi. Evidencija aktivnosti obrade prema članku 30. popisuje obrade, svrhe, kategorije podataka i ispitanika, primatelje, rokove čuvanja i mjere sigurnosti. Obavijest ispitaniku prema članku 13. objašnjava mu što se s njegovim podacima radi. Ugovor s izvršiteljem obrade prema članku 28. veže dobavljača koji podatke obrađuje u Vaše ime.

Sigurnost obrade uređuje članak 32.: tehničke i organizacijske mjere primjerene riziku, uz izričito spomenute pseudonimizaciju, šifriranje, otpornost sustava i redovito testiranje mjera. Kad obrada vjerojatno nosi visok rizik, prije početka se radi procjena učinka na zaštitu podataka prema članku 35.

Prava ispitanika iz članaka 15. do 21. su ono što se u praksi najčešće aktivira: pristup podacima, ispravak, brisanje, ograničenje obrade, prenosivost i prigovor. Uz njih ide obveza imenovanja službenika za zaštitu podataka prema članku 37., koja tijela javne vlasti obvezuje uvijek.

Tko je obvezan i po čemu

Obveza ne ovisi o veličini organizacije nego o ulozi i o vrsti podataka.

TKOŠTO GA OBVEZUJEPRAVNI TEMELJ

Voditelj obradeOdlučuje o svrhama i sredstvima obrade i odgovara za poštovanje načela iz članka 5., uključujući dokazivost usklađenostiOpća uredba, čl. 5.

Izvršitelj obradeObrađuje podatke samo po uputi voditelja i samo na temelju ugovora s propisanim sadržajemOpća uredba, čl. 28.

Tijela javne vlasti i javna tijelaObvezno imenuju službenika za zaštitu podataka, bez obzira na opseg obrade; iznimka su sudovi u okviru svoje sudske nadležnostiOpća uredba, čl. 37. st. 1. (a)

Komu je osnovna djelatnost opsežna obrada posebnih kategorija podatakaObvezan službenik za zaštitu podataka, a u pravilu i procjena učinka prije početka obradeOpća uredba, čl. 37. st. 1. (c) i čl. 35.

Tko obrađuje zdravstvene podatkeObrada je načelno zabranjena i dopuštena samo po iznimkama, primjerice za svrhe zdravstvene skrbiOpća uredba, čl. 9.

Hrvatski Zakon o provedbi dopunjuje Uredbu ondje gdje ona to dopušta. Dob za privolu za usluge informacijskog društva je šesnaest godina, prema članku 19. Obrada biometrijskih podataka posebno je uređena, u člancima 21. do 24. Snimke videonadzora čuvaju se najviše šest mjeseci, osim ako drugi zakon propisuje dulji rok ili su dokaz u postupku, prema članku 29.

Rokovi na jednom mjestu

Rokovi prema ispitaniku teku od zaprimanja zahtjeva, a rokovi kod povrede od saznanja.

OBVEZAROKPRAVNI TEMELJ

Odgovor na zahtjev ispitanikaMjesec dana od zaprimanjaOpća uredba, čl. 12. st. 3.

Produljenje za složene ili brojne zahtjeveDodatna dva mjeseca, uz obavijest ispitaniku unutar prvoga mjesecaOpća uredba, čl. 12. st. 3.

Prva kopija osobnih podatakaBesplatno; za dodatne se smije naplatiti razumna naknadaOpća uredba, čl. 15. st. 3.

Prijava povrede nadzornom tijeluBez nepotrebnog odgađanja, najkasnije 72 sata od saznanjaOpća uredba, čl. 33.

Obavijest ispitaniku o povredi visokog rizikaBez nepotrebnog odgađanjaOpća uredba, čl. 34.

Obavijest podnositelju pritužbe o napretku ili ishoduTri mjeseca, nakon čega mu stoji na raspolaganju pravni lijekOpća uredba, čl. 78. st. 2.

Uredba govori o mjesec dana, ne o trideset dana, pa se rok računa kalendarski od dana zaprimanja. Ako se povreda prijavljuje nakon 72 sata, uz prijavu se mora obrazložiti kašnjenje. Povreda za koju nije vjerojatno da prouzroči rizik za prava i slobode pojedinaca ne prijavljuje se, ali se bilježi u internu evidenciju povreda.

Kazne

Dva raspona, a unutar svakoga se primjenjuje veći od dva iznosa.

ŠTO SE KAŽNJAVARASPONPRAVNI TEMELJ

Povrede obveza voditelja i izvršitelja obrade, među njima sigurnosti obrade, procjene učinka i imenovanja službenikaDo 10 milijuna eura ili 2 posto ukupnog godišnjeg prometa na svjetskoj razini, primjenjuje se veći iznosOpća uredba, čl. 83. st. 4.

Povrede načela obrade i uvjeta privoleDo 20 milijuna eura ili 4 posto ukupnog godišnjeg prometa na svjetskoj razini, primjenjuje se veći iznosOpća uredba, čl. 83. st. 5.

Povrede prava ispitanika iz članaka 12. do 22.Do 20 milijuna eura ili 4 posto, primjenjuje se veći iznosOpća uredba, čl. 83. st. 5.

Prijenos podataka u treće zemlje protivno pravilima iz članaka 44. do 49.Do 20 milijuna eura ili 4 posto, primjenjuje se veći iznosOpća uredba, čl. 83. st. 5.

Nepoštivanje naloga nadzornog tijelaDo 20 milijuna eura ili 4 posto, primjenjuje se veći iznosOpća uredba, čl. 83. st. 5.

U Hrvatskoj postoje dvije posebnosti. Tijelu javne vlasti, a to su prema članku 3. stavku 2. Zakona o provedbi tijela državne uprave, druga državna tijela te jedinice lokalne i područne samouprave, upravna novčana kazna ne može se izreći, prema članku 47. Ostale ovlasti nadzornog tijela time se ne diraju. Javne ustanove, primjerice bolnice, u tu definiciju ne ulaze i kazna im se može izreći, ali ne smije ugroziti obavljanje javne službe, prema članku 44. stavku 2. Pri odmjeravanju se uzimaju u obzir priroda, težina i trajanje povrede, namjera ili nepažnja, poduzete mjere i suradnja s nadzornim tijelom.

Tko nadzire i kako se postupak pokreće

Nadzorno tijelo u Hrvatskoj je Agencija za zaštitu osobnih podataka, sa sjedištem u Zagrebu.

Agencija je neovisno državno tijelo koje za svoj rad odgovara Hrvatskome saboru. Ovlasti su joj propisane člankom 58. Opće uredbe i Zakonom o provedbi: provodi najavljeni i nenajavljeni nadzor, uzima preslike i po potrebi privremeno oduzima opremu, izdaje upozorenja i opomene, nalaže usklađivanje, privremeno ili trajno zabranjuje obradu i izriče upravne novčane kazne.

Postupak se najčešće pokreće pritužbom ispitanika prema članku 77. Opće uredbe. Uz to Zakon o provedbi u članku 34. predviđa zahtjev za utvrđivanje povrede prava, o kojem Agencija odlučuje rješenjem; žalba nije dopuštena, ali se protiv rješenja može pokrenuti upravni spor. Ako Agencija u tri mjeseca ne obavijesti podnositelja o napretku ili ishodu, podnositelju stoji na raspolaganju pravni lijek prema članku 78. stavku 2.

Postupanje Agencije besplatno je za ispitanike, službenike za zaštitu podataka, novinare i tijela javne vlasti. Kod očito neutemeljenih ili pretjeranih zahtjeva smije naplatiti razumnu naknadu ili odbiti postupanje, a naplaćuje i mišljenja koja poslovni subjekti traže za svoju djelatnost, prema članku 43. Zakona o provedbi.

Povreda osobnih podataka prijavljuje se Agenciji u roku od 72 sata. Ako je isti događaj i značajan kibernetički incident, usporedno teku rokovi prema nadležnom CSIRT-u iz Zakona o kibernetičkoj sigurnosti: rano upozorenje u 24 sata i obavijest u 72 sata. To su dva postupka i jedan drugoga ne isključuje, pa je moguće i da se kazne po oba propisa zbroje.

Česta pitanja

Pitanja o samoj Uredbi, na koja odgovor ne stoji već gore.

Odnosi li se Uredba i na male tvrtke?

Odnosi. Primjena ne ovisi o broju zaposlenih nego o tome obrađujete li osobne podatke. O vrsti i opsegu obrade ovisi samo opseg pojedinih obveza, primjerice je li potrebna procjena učinka ili imenovanje službenika za zaštitu podataka.

Trebamo li privolu za svaku obradu?

Ne trebate. Privola je samo jedna od pravnih osnova iz članka 6. Uz nju stoje izvršavanje ugovora, pravna obveza, zaštita životno važnih interesa, javni interes i legitimni interes. Kod zdravstvenih podataka obrada se najčešće oslanja na iznimke iz članka 9., a ne na privolu.

Kad je službenik za zaštitu podataka obvezan?

Za tijela javne vlasti i javna tijela uvijek, osim za sudove u okviru njihove sudske nadležnosti. Za ostale kad je osnovna djelatnost redovito i sustavno praćenje ispitanika u velikom opsegu ili opsežna obrada posebnih kategorija podataka, prema članku 37. Uloga mora biti neovisna i ne smije odlučivati o svrhama obrade, prema člancima 38. i 39.

Smije li se zahtjev ispitanika odbiti?

Samo ako je očito neutemeljen ili pretjeran, osobito zbog učestalog ponavljanja, prema članku 12. stavku 5. Teret dokaza je na voditelju obrade. Ispitanik pritom ne mora navesti razlog svojeg zahtjeva, što je Sud Europske unije potvrdio u predmetu C-307/22.

Ima li ispitanik pravo saznati tko je gledao njegov dosje?

Ima pravo saznati datume i svrhe pristupa, jer su i to njegovi osobni podaci. Prema presudi Suda Europske unije u predmetu Pankki S imena pojedinih zaposlenika u pravilu nisu obuhvaćena tim pravom, osim ako su nužna da bi ispitanik mogao djelotvorno ostvariti svoja prava. Umjesto imena navodi se ustrojstvena jedinica i funkcija.

Smiju li se podaci prenositi izvan Europske unije?

Smiju, ali samo uz uvjete iz članaka 44. do 49., primjerice odluku o primjerenosti ili odgovarajuće zaštitne mjere. Prijenos protivan tim pravilima spada u viši raspon kazne iz članka 83. stavka 5.

Prijavljuje li se svaka povreda osobnih podataka?

Ne prijavljuje se svaka. Nadzornom se tijelu prijavljuje ona za koju je vjerojatno da prouzroči rizik za prava i slobode pojedinaca, prema članku 33. Ispitanike se obavještava samo kad je rizik visok, prema članku 34. Ali svaku povredu, i onu koja se ne prijavljuje, morate zabilježiti u internu evidenciju, s obrazloženjem zašto nije prijavljena.

Kako Vam možemo pomoći

Ova stranica govori o propisu. Ovo su tri posla koja iz njega najčešće slijede.

Zaštita osobnih podataka i službenik za zaštitu podataka Postupanje s povredom i prijava u 72 sata Usklađenost sa ZKS-om, kad rokovi teku usporedno

Provjerimo koje se odredbe odnose baš na Vas.

Pola sata, bez obveze. Prođemo koje podatke obrađujete, po kojoj osnovi i što od toga traži zapis.

Dogovorite razgovorINFO@RISKORIA.EU · +385 97 737 1345