Zaštita osobnih podataka u Republici Hrvatskoj Pripremila: Branka Bet-Radelić,

1. Zaštita osobnih podataka u Republici Hrvatskoj Pripremila: Branka Bet-Radelić, Načelnica Odjela za nadzor i pritužbe Zagreb, travanj 2013.

2. Zaštita osobnih podataka • Zaštita privatnosti i ostalih ljudskih prava i temeljnih sloboda u prikupljanju, obradi i korištenju osobnih podataka • Osigurana je svakoj fizičkoj osobibez obzira na državljanstvo i prebivalište,neovisno o rasi, boji kože, spolu, jeziku, vjeri, političkom ili drugom uvjerenju, nacionalnom ili socijalnom podrijetlu, imovini, rođenju, naobrazbi, društvenom položaju ili drugim osobinama

3. Pravni okvir (I) Međunarodno zakonodavstvo: • Konvencija za zaštitu osoba glede automatizirane obrade osobnih podatka i Dodatni protokol Dodatni Protokol uz Konvenciju 108 • Direktiva 95/46 EZ o zaštiti osoba s obzirom na postupanje s osobnim podacima te slobodnom prometu tih podataka • Povelja temeljnih ljudskih prava Europske Unije

4. Pravni okvir (II) Nacionalno zakonodavstvo: • Ustav Republike Hrvatske (“Narodne novine” br. 85/10.) • Konvencija za zaštitu osoba glede automatizirane obrade osobnih podataka i Dodatni Protokol uz Konvenciju • Zakon o zaštiti osobnih podataka ("Narodne novine" br. 103/03., 118/06., 41/08. i 130/11.i 106/12.)) • Uredba o načinu vođenja i obrascu evidencije o zbirkama osobnih podataka ("Narodne novine" br. 105/04.) • Uredba o načinu pohranjivanja i posebnim mjerama tehničke zaštite posebnih kategorija osobnih podataka ("Narodne novine" br. 139/04.)

5. Značenje pojmova • Osobni podatak • Obrada osobnih podataka • Zbirka osobnih podataka • Voditelj zbirke osobnih podataka • Službenik za zaštitu osobnih podataka • Izvršitelj obrade osobnih podataka • Primatelj osobnih podataka

6. Osobni podatak • Svaka informacija koja se odnosi na identificiranu fizičku osobu ili fizičku osobu koja se može identificirati • Osoba koja se može identificirati je osoba čiji se identitet može utvrditi izravno ili neizravno, na osnovi identifikacijskog broja ili jednog ili više obilježja specifičnih za njezin fizički, psihološki, mentalni, gospodarski, kulturni ili socijalni identitet • ime i prezime, adresa, datum rođenja, OIB, MBG, osobna fotografija, stupanj obrazovanja i dr.

7. Obrada osobnih podataka • Svaka radnja ili skup radnji izvršenih na osobnim podacima, bilo automatskim sredstvima ili ne, kao što su : prikupljanje, snimanje, organiziranje, spremanje, prilagodba ili izmjena, povlačenje, uvid, korištenje, otkrivanje putem prijenosa, objavljivanje ili na drugi način činjenje dostupnim, svrstavanje ili kombiniranje, blokiranje, brisanje ili uništavanje, te provedba logičkih, matematičkih i drugih operacija s tim podacima

8. Zbirka osobnih podataka • Svaki strukturirani skup osobnih podataka koji je dostupan prema posebnim kriterijima, bilo centraliziranim, decentraliziranim, ili raspršenim na funkcionalnom ili zemljopisnom temelju i bez obzira na to da li je sadržan u računalnim bazama osobnih podataka ili se vodi primjenom drugih tehničkih pomagala ili ručno • zbirka osobnih podataka o: radnicima, plaćama, učenicima, dnevnik rada, vanjskim suradnicima,

9. Voditelj zbirke osobnih podataka • fizička ili pravna osoba, državno ili drugo tijelo koje utvrđuje svrhu i način obrade osobnih podataka • ministarstva, škole, agencije, općine, županije, gradovi, trgovačka društva,,obrti

10. Primatelj(korisnik) osobnih podataka Fizička ili pravna osoba, državno ili drugo tijelo kome se dostavljaju podaci na korištenje na temelju pisanog zahtjeva Pisani zahtjev treba sadržavati: - svrhu obrade, - Pravni temelj za dostavu - Opseg podataka koji se traže

11. Izvršitelj obrade osobnih podataka • Fizička ili pravna osoba, državno ili drugo tijelo, koje obrađuje osobne podatke u ime i po nalogu voditelja zbirke osobnih podataka. • Pisani ugovor između voditelja zbirke i izvršitelja obrade • Registriran za obavljanje djelatnosti • Osigurava adekvatnu zaštitu • knjigovodstveni servis za obračun plaća

12. Službenik za zaštitu osobnih podataka • Osoba imenovana od strane voditelja zbirke osobnih podataka koja vodi brigu o zakonitosti obrade osobnih podataka i ostvarivanju prava na zaštitu osobnih podataka • Voditelj zbirke osobnih podataka koji zapošljava manje od 20 radnika može imenovati službenika za zaštitu osobnih podataka • Voditelj zbirke osobnih podataka koji zapošljava više od 20 radnika dužan je imenovati službenika za zaštitu osobnih podataka

13. Dužnosti službenika za zaštitu osobnih podataka • vodi brigu o zakonitosti obrade osobnih podataka • upozorava voditelja zbirke osobnih podataka na nužnost primjene propisa o zaštiti osobnih podataka • upoznaje sve osobe zaposlene u obradi osobnih podataka s njihovim zakonskim obvezama u svrhu zaštite osobnih podataka, • brine o izvršavanju obveza iz članka 14. i 17. ovoga Zakona, te omogućava ostvarivanje prava ispitanika iz članka 19. i 20. ovoga Zakona, • surađuje s AZOP-om

14. Pravni temelji za prikupljanje i obradu osobnih podataka (I) • privola ispitanika • drugi zakon (poseban zakon) • izvršavanje zakonskih obveza voditelja zbirkeosobnih podataka • sklapanje i izvršenje ugovora u kojem je ispitanik stranka • zaštita života ili tjelesnog integriteta ispitanikaili druge osobe u slučaju kada ispitanik fizički ili pravnonijemogućnostidati svoj pristanak na obradu osobnih podataka

15. Pravni temelji za prikupljanje i obradu osobnih podataka (II) • obrada podataka nužna radi ispunjenja zadataka koji se izvršavaju u javnom interesu ili u izvršavanju javnih ovlasti koje ima voditelj zbirke osobnih podataka • obrada podataka nužna u svrhu zakonitog interesa voditelja zbirke ili treće strane, osim kada prevladavaju interesi zaštite temeljnih prava i sloboda ispitanika • ispitanik sam objavio te podatke

16. Posebne kategorije osobnih podataka • Podaci koji se odnose na: • rasno ili etničko podrijetlo, • politička stajališta, • vjerska ili druga uvjerenja, • sindikalno članstvo, • zdravlje ili spolni život • osobnih podataka o kaznenom i prekršajnom postupku

17. Obrada posebnih kategorija osobnih podataka • Zabrana prikupljanja i daljnje obrade • Izuzeci: • Privola ispitanika • Izvršavanje prava i obveza na obveza voditelja zbirke osobnih podataka na temelju propisa • Zaštita života ispitanika kada ispitanik ne može dati privolu • Ako se obrada provodi u okviru djelatnosti ustanove s političkom, vjerskom i ili drugom svrhom ako se obrada odnosi na njihove članove • Ispitanik sam objavio te podatke • Obrada potrebna u svrhu preventivne medicine, medicinske dijagnostike, zdravstvene skrbi, upravljanje zdravstvenim službama

18. Prava ispitanika • Pravo na informaciju obrađuju li se njegovi osobni podaci, u koju svrhu, tko su korisnici • Pravo pristupa podacima koji se obrađuju • Pravo na ispravak, izmjenu ili dopunu netočnih, nepotpunih ili neažurnih podataka • Pravo odustati od privole dane za obradu osobnih podataka i pravo zatražiti prestanak daljnje obrade • Pravo usprotiviti se obradi osobnih podataka u svrhe marketinga

19. Obveze voditelja zbirki osobnih podataka (I) • informirati ispitanika: • o identitetu voditelja zbirke, o svrsi obrade, • o primateljima ili kategorijama primatelja osobnih podataka, • radi li se o dobrovoljnom ili obveznom davanju podataka, - o postojanju prava na pristup podacima te o pravu na ispravak podataka • obveza osiguravanja prava ispitanika – rok od 30 dana

20. Obveze voditelja zbirki osobnih podataka (II) • Poduzimanje: kadrovskih, organizacijskih i tehničkih mjera zaštite osobnih podataka razmjerno djelatnosti voditelja, primatelja i sadržaju zbirke • Potpisivanje izjave o povjerljivosti • Poduzimanje mjera zaštite posebnih kategorija osobnih podataka • Imenovanje službenika za zaštitu osobnih podataka

21. Obveze voditelja zbirki osobnih podataka (III) • Vođenje evidencija o zbirkama osobnih podataka- čl. 14. Zakona o zaštiti osobnih podataka i čl. 4. Uredbe o načinu vođenja i obrascu evidencija o zbirkama osobnih podataka • Dostava evidencija Agenciji radi objedinjavanja u Središnji registar : - elektroničkim putem http://registar.azop.hr - pismonosnom pošiljkom • Rok za dostavu 15 dana • Obveza dostave prethodne obavijesti o namjeravanoj uspostavi zbirke osobnih podataka

22. Glavne zadaće Agencije (I) • Nadzire provođenje zaštite osobnih podataka: - na zahtjev ispitanika, - na prijedlog treće osobe - po službenoj dužnosti • Ukazuje na uočene zlouporabe prikupljanja osobnih podataka • Sastavlja listu država i međunarodnih organizacija koje imaju odgovarajuće uređenu zaštitu osobnih podataka • Rješava povodom zahtjeva za utvrđivanje povrede prava zajamčenih Zakonom o zaštiti osobnih podataka

23. Glavne zadaće Agencije (II) • Vodi Središnji registar – dostupan javnosti • Daje mišljenja • Daje preporuke i prijedloge za unapređenje zaštite osobnih podataka • Surađuje s nadležnim državnim tijelima u izradi prijedloga propisa koji se odnosi na zaštitu osobnih podataka

24. Nadzorne ovlasti Agencije • Ukoliko utvrdi da su povrijeđene odredbe Zakona kojima se uređuje obrada osobnih podataka, Agencija ima pravo upozoriti ili opomenuti voditelja zbirke osobnih podataka, korisnika i izvršitelja obrade na nezakonitosti u obradi osobnih podataka te rješenjem: - narediti uklanjanje nepravilnosti, - privremeno zabraniti prikupljanje, obradu i korištenje osobnih podataka, - narediti brisanje osobnih podataka prikupljenih bez pravne osnove, - zabraniti iznošenje osobnih podataka iz RH • Agencija ima pravo pokrenuti postupak kaznene ili prekršajne odgovornosti

25. Povrede Zakona - iskustva iz prakse (1) NEOVLAŠTENI PRISTUP PODACIMA U E-MATICI: Sukladno Zakonu o odgoju i obrazovanju u osnovnoj i srednjoj školi postoji obveza školskih ustanova na vođenje evidencijau pisanom i elektroničkom obliku (e- matica): - upisnik učenika - upisnik radnika (škole) E- matica za sve školske ustanove vodi se u Ministarstvu znanosti, obrazovanja i sporta - školske ustanove dostavljaju podatke o učenicima i radnicima Ministarstvo vodi zajednički upisnik Osobni podaci u e-matici moraju biti odgovarajuće zaštićeni od zlouporabe, neovlaštenog pristupa ili promjena podataka ( kadrovske mjere zaštite, organizacijske i tehničke mjere zaštite)

26. Povrede Zakona - iskustva iz prakse (1) Pristup podacima i unos podataka treba biti omogućen samo osobama koje su za to ovlaštene od strane ministarstva Pristup e- matici omogućen je putem dodijeljenih lozinki i korisničkog imena U jednoj školi nastavnici su svoje lozinke dali učenicima koji su umjesto njih nevlašteno unosili podatke u e- maticu nekolicini učenika na taj način bio je omogućen uvid i imali uvid u podatke drugih učenika iz razreda

27. Povrede Zakona - iskustva iz prakse (1) Odluka Agencije: Agencija je utvrdila da podaci nisu odgovarajuće zaštićeni odnosno da je pristup podacima bio omogućen neovlaštenim osobama Agencija zabranila da učenici unose podatke u e- maticu

28. Povrede Zakona - iskustva iz prakse(2) Testiranje učenika U jednoj školi se provodilo ispitivanje učenika iz hrvatskog i engleskog jezika u sklopu Nacionalnog centra za vanjsko vrednovanje obrazovanja testovi su dostavljeni u zatvorenim kuvertama Svaki učenik je pristupao testu uz šifru, a nakon testiranja testovi su se vraćali u Nacionalni centar Nakon ispita koordinatorice testiranja pregledale su testove prije slanja u Nacionalni centar, identificirale učenike i osobno komentirale pred učenicima postotak riješenosti testova za svakog učenika

29. Povrede Zakona - iskustva iz prakse (2) Odluka Agencije još u tijeku: Radi se o neovlaštenom pristupu zaštićenim podacima od strane djelatnika škole zaduženih za provođenje testiranja učenika koji su bili označeni kao tajni podaci Podaci o postignutim rezultatima testiranja učenika su obznanjeni unaprijed učenicima bez pravne osnove

30. Povrede Zakona - iskustva iz prakse (3) Isticanje osobnih fotografija učenika na web stranicama škole Agencija postupala po pritužbama vezanim za javno objavljivanje osobnih fotografija djece na internetskim stranicama škole Za isticanje fotografija potrebna je privola zakonskih zastupnika djece ( roditelja/staratelja)

31. Povrede Zakona - iskustva iz prakse (3) Odluka Agencije: Bez privole zakonskih zastupnika(roditelja/staratelja) osobne fotografije učenika ne mogu se objavljivati na Internetu Naloženo uklanjanje fotografija

32. Povrede Zakona - iskustva iz prakse (4) Obrada osobnih podataka video nadzorom postavljene video kamere koje snimaju vanjski dio zgrade, ulaz u školu i unutrašnjost škole svrha video nadzora: zaštita imovine i osoba Prostor pod video nadzorom mora biti propisno označen ( istaknute naljepnice da je prostor pod video nadzorom) Zabranjeno je snimanje prostorija u kojima se narušava privatnost učenika i nastavnika (učionice, prostorije u kojima se služi hrana, sanitarne prostorije)

33. Povrede Zakona - iskustva iz prakse (4) Odrediti osobu/osobe koja ima pristup snimljenom materijalu (video zapis) Definirati vremensko razdoblje čuvanja video zapisa Nakon proteka određenog svrhe u koju su prikupljeni video zapisi potrebno je brisati zapise U slučaju potrebe pojedini video zapisi se mogu izuzeti i dati na korištenje ovlaštenim osobama

34. Povrede Zakona - iskustva iz prakse (5) Objava natječaja – pravo uvida u natječajnu dokumentaciju Nakon provedenog natječaja kandidati moraju biti obaviješteni o rezultatima natječaja Pravo uvida u dokumentaciju izabranog kandidata, a samim time i pravo uvida u njegove osobne podatke Nije dopušten uvid u osobne podatke drugih sudionika natječaja- zaštita njihovih osobnih podataka i privatnosti

35. Povrede Zakona - iskustva iz prakse (6) Dostava evidencija o zbirkama osobnih podataka u Središnji registar Evidencije o zbici osobnih podataka o radnicima Evidencija o zbirci osobnih podataka o plaćama Evidencija o zbirci osobnih podataka o vanjskim suradnicima Evidencija o zbirci osobnih podataka članova Školskog odbora

36. Povrede Zakona - iskustva iz prakse (6) Dostava evidencija o zbirkama osobnih podataka u Središnji registar Evidencija o zbirci osobnih podataka o učenicima škole Imenik učenika Dnevnik rada Zapisnik o razrednom, razlikovnom ili dopunskom ispitu

37. Kaznene odredbe • Zapriječene novčane kazne za prekršaj za pravne osobe : - 20.000,00 do 40.000,00 kuna, - 5.000,00 do 10.000,00 kuna, za odgovornu osobu u pravnoj osobi, državnom tijelu i jedinicama lokalne samouprave • prekoračenje ovlasti izvršitelja obrade, • davanje osobnih podataka na korištenje protivno Zakonu • ne uspostava evidencije, dostava nepotpune evidencije voditelja zbirke, i ne dostava evidencije AZOP-u • ne uspostavljanje odgovarajuće zaštite, • ne imenovanje službenika za zaštitu osobnih podataka • onemogućavanje Agencije u provođenju nadzora • ne postupanje po naredbi ili zabrani Agencije.

38. O Agenciji • Osnovana zakonom 2004. godine • pravna osoba s javnim ovlastima, koja samostalno i neovisno obavlja poslove u okviru djelokruga i nadležnosti utvrđenih Zakonom o zaštiti osobnih podataka. • Nadzorno i savjetodavno tijelo koje osigurava provedbu zaštite osobnih podataka • Izvješće o radu podnosi Hrvatskom saboru

39. AGENCIJAZA ZAŠTITU OSOBNIH PODATAKA Martićeva 14 10000 Zagreb e-mail: za pravna pitanja: upiti@azop.hr za tehnička pitanja: registar@azop.hr Info telefon : (radnim danom od 10.00 -12.00) za pravna pitanja: 01/46-090-80 za tehnička pitanja : 01/46-090-46 Web: www.azop.hr

40. Pitanja?