Kako izbjeći kaznu od 20.000 do 40.000kn za nepoštivanje Zakona o zaštiti osobnih podataka?

Što je zakon o zaštiti osobnih podataka? Trebam li i koliko pozornosti obratiti na taj zakon? Imam bazu klijenata, trebam li se javiti Agenciji za zaštitu osobnih podataka? Trebam li imenovati voditelja zbirke osobnih podataka? Ta i još mnoga druga pitanja postavljaju se u zadnje vrijeme u velikom broju firmi u Hrvatskoj.

Ovim člankom pokušat ćemo dati što više odgovora, razumljivih i nepravnicima. Kazne za nepoštivanje ovog zakona i nisu tako male. Ukratko, Zakonom o zaštiti osobnih podataka propisuju se načini na koje trgovačka društva u Hrvatskoj prikupljaju, obrađuju i pohranjuju podatke o fizičkim osobama, te nadzor nad prikupljanjem.

Sam zakon donesen je u skladu s Direktivama Europskog parlamenta. Osobni podaci mogu se prikupljati i obrađivati samo u svrhu s kojom je ispitanik upoznat.

Za postupanje u skladu sa zakonima odgovoran je voditelj zbirke osobnih podataka. Voditelj zbirke osobnih podataka je fizička ili pravna osoba koji utvrđuje svrhu i obradu osobnih podataka.

Ako na bilo kojem dijelu moje web stranice posjetitelji ostavljaju svoje podatke kako Zakon utječe na mene?

Potrebno je zadovoljiti cijeli niz pravila. Ali da ne bi bilo jednostavno i ovdje su neke iznimke. Službeno smo iz Markera poslali zahtjev za očitovanje s nizom pitanja vezanim za web stranice, zaštitu podataka, hosting u inozemstvu (što je u Hrvatskoj slučaj kod 90% web stranica)... Na kraju ovog bloga možete vidjeti odgovor Agencije i koje su obveze Markera po Zakonu o zaštiti osobnih podataka.

U članku 7 eksplicite se navodi u koje svrhe se smiju prikupljati osobni podaci:

• uz privolu ispitanika samo u svrhu za koju je ispitanik dao privolu, ili
• u slučajevima određenim zakonom, ili
• u svrhu izvršavanja zakonskih obveza voditelja zbirke osobnih podataka, ili
• u svrhu sklapanja i izvršenja ugovora u kojem je ispitanik stranka, ili
• u svrhu zaštite života ili tjelesnog integriteta ispitanika ili druge osobe u slučaju kada ispitanik fizički ili pravno nije u mogućnosti dati svoj pristanak, ili
• ako je obrada podataka nužna radi ispunjenja zadataka koji se izvršavaju u javnom interesu ili u izvršavanju javnih ovlasti koje ima voditelj zbirke osobnih podataka ili treća strana kojoj se podaci dostavljaju, ili
• ako je obrada podataka nužna u svrhu zakonitog interesa voditelja zbirke osobnih podataka ili treće strane kojoj se podaci otkrivaju, osim kada prevladavaju interesi zaštite temeljnih prava i sloboda ispitanika iz članka 1. stavka 2. ovoga Zakona, ili
• ako je ispitanik sam objavio te podatke.

Ispitanik ima pravo u svako doba odustati od dane privole i zatražiti prestanak daljnje obrade njegovih podataka bez posebnog objašnjenja.

Nemojte zaboraviti i da je zabranjeno prikupljanje podataka koji se odnose na rasu, etničko podrijetlo, politička stajališta, vjerska ili druga uvjerenja, sindikalno članstvo, zdravlje ili spolni život, te podaci o kaznenom i prekršajnom postupku.

Prije prikupljanja podataka, voditelj zbirke treba informirati ispitanika čiji se podaci prikupljaju:

• o identitetu voditelja zbirke
• o svrsi obrade u koju su podaci namijenjeni
• o postojanju prava na pristup podacima i prava na ispravak podataka koji se na njega odnose
• o primateljima ili kategorijama primatelja osobnih podataka

U slučaju da se prikupljeni podaci prenose u drugu firmu ili drugom voditelju zbirke, ispitanike se treba obavjestiti o prijenosu.

Ako obradu podataka koje ste prikupili povjeravate drugoj firmi, toplo preporučamo da detaljno proučite članak 10. Zakona o zaštiti osobnih podataka.

U slučaju da su serveri (poslužitelji) na kojima je Vaša baza o klijentima, CRM software ili nešto sasvim drugo izvan Hrvatske trebate obratiti pozornost da država ili međunarodna organizacija u koju se osobni podaci iznose ima odgovarajuće uređenu zaštitu osobnih podataka, odnosno osiguranu adekvatnu razinu zaštite. Što je točno odgovarajuće uređena zaštita i osigurana adekvatna razina zaštite ne propisuje se u zakonu i naravno, podložno je različitim tumačenjima. Nekome je i snimka baze na USB stick star nekoliko godina adekvatna razina zaštite. 

 Ukratko rećeno, osobni podaci sadržani u bazama smiju se iznositi iz Republike Hrvatske.

A sad malo tehniciranja. Voditelj zbirke za svaku zbirku koju vodi mora imati evidenciju koja sadrži sljedeće informacije:

1. naziv zbirke,
2. naziv, odnosno osobno ime voditelja zbirke i njegovo sjedište, odnosno adresu,
3. svrhu obrade,
4. pravni temelj uspostave zbirke podataka,
5. kategorije osoba na koje se podaci odnose,
6. vrste podataka sadržanih u zbirci podataka,
7. način prikupljanja i čuvanja podataka,
8. vremensko razdoblje čuvanja i uporabe podataka,
9. osobno ime, odnosno naziv primatelja zbirke, njegovu adresu, odnosno sjedište,
10. naznaku unošenja, odnosno iznošenja podataka iz Republike Hrvatske s naznakom države, odnosno međunarodne organizacije i inozemnog primatelja osobnih podataka te svrhe za to unošenje, odnosno iznošenje propisano međunarodnim ugovorom, zakonom ili drugim propisom, odnosno pisanim pristankom osobe na koju se podaci odnose,
11. naznaku poduzetih mjera zaštite osobnih podataka.

Voditelji zbirki dužni su evidencije dostaviti Agenciji za zaštitu osobnih podataka najkasnije u roku od 15 dana od dana uspostave zbirke.
Očitovanje Agencije za zaštitu osobnih podataka od 19.01.2012. navodi da firme koje zapošljavaju manje od 20 zaposlenih nisu obavezni imenovati voditelja zbirki, dok one s više zaposlenih su to dužne, te o istom voditelju obavijestiti Agenciju za zaštitu osobnih podataka.

Ako ste u skupini koja ima obvezu obavještavanja AZOP-a dužni ste poduzeti i sve tehničke, kadrovske i organizacijske mjere zaštite za koje se ponovno navodi da moraju biti razmjerne naravi djelatnosti voditelja zbirke osobnih podataka, odnosno primatelja, i sadržaju zbirke osobnih podataka. Ponovno stavka u zakonu koju se može tumačiti na veliki broj načina.

Što je s pravima ispitanika?

Voditelj zbirke dužan je svakom ispitaniku na njegov zahtjev:

1. dostaviti potvrdu o tome da li se osobni podaci koji se odnose na njega obrađuju ili ne,
2. dati obavijest u razumljivom obliku o podacima koji se odnose na njega čija je obrada u tijeku te o izvoru tih podataka,
3. omogućiti uvid u evidenciju zbirke osobnih podataka te uvid u osobne podatke sadržane u zbirci osobnih podataka koji se odnose na njega te njihovo prepisivanje,
4. dostaviti izvatke, potvrde ili ispise osobnih podataka sadržanih u zbirci osobnih podataka koji se na njega odnose, a koji moraju sadržavati i naznaku svrhe i pravnog temelja prikupljanja, obrade i korištenja tih podataka,
5. dostaviti ispis podataka o tome tko je i za koje svrhe i po kojem pravnom temelju dobio na korištenje osobne podatke koji se odnose na njega,
6. dati obavijest o logici bilo koje automatske obrade podataka koja se na njega odnosi.

Nemojte olako uzeti ova nabrojana prava Vaših klijenata jer nekoliko je slučajeva već završilo pred AZOP-om, te su proslijeđeni na sud. Svatko tko smatra da mu je povrijeđeno neko pravo zajamčeno ovim Zakonom može podnijeti zahtjev za utvrđivanje povrede prava Agenciji za zaštitu osobnih podataka, Agencija potom može, na traženje podnositelja zahtjeva privremeno rješenjem zabraniti obradu podataka na koje se zahtjev odnosi do pravomoćnog okončanja postupka.

Osim nabrojanih prava, svaki ispitanik, odn. klijent ima pravo, da bez obzira na namjenu prikupljanja podataka usprotiviti se da se njegovi podaci obrađuju marketinški.

Kako smo mi u Markeru rješili nedoumice vezane za zakon?

Kako rekosmo na početku, poslali smo mail s upitom da li mi kao ICT firma trebamo prijaviti AZOP-u svoje baze o korisnicima? AZOP-ov odgovor je bio da smo dužni Agenciji dostaviti SVE evidencije o svakoj zbirci (bazi) koju vodimo, a u njoj se nalaze bilo kakvi osobni podaci pravnih ili fizičkih osoba, uključujući i zaposlenika. Zbog veličine Marker-a, nismo u obvezi imenovati službenika za zaštitu osobnih podataka.

Evidenciju možete dostaviti pismenim putem, odnosno poštom ili elektronski popuniti obrasce na http://registar.azop.hr.

Evo nekoliko koraka da Vam olakšamo i ubrzamo cijelu proceduru:

1. registrirajte se, isprintajte registraciju, poštambiljajte i potpišite, te ju pošaljite poštom Agenciji
2. pričekajte dok dobijete mail da su primili poštu i da je korisnički račun aktivan
3. prijavite se na sustav i pošto možete vidjeti koje evidencije/baze su druge firme prijavile, dobro proučite taj popis i primjenite ga na vlastitu firmu
4. NAORUŽAJTE SE STRPLJENJEM i krenite ispunjavati on-line obrasce koji su u najmanju ruku neintuitivni i nepregledni

Više informacija možete naći na stranicama Agencije za zaštitu osobnih podataka.

Također, možete vidjeti kako je Marker obavjestio svoje klijente vezano za zaštitu osobnih podataka.

Što možemo napraviti za Vas?

Ako prikupljate informacije o posjetiteljima Vaših web stranica putem kontakt obrasca, obrasca za rezervaciju, prijave na newsletter, posjetitelji naručuju u web trgovini ili šalju upit na email..., možemo:

• prilagoditi Vašu web stranicu da u potpunosti bude usklađena sa Zakonom o zaštiti osobnih podataka
• prilagoditi Vašu web stranicu da poštuje zakone EU (pogledajte naš blog o toj temi)
• definirati za Vas sve zbirke koje trebate prijaviti Agenciji, a vezane su za Vašu web stranicu
• definirati sve potrebne podatke koje morate imati na web stranicama (pogledajte naš blog o toj temi)

Javite nam se i rješite se svih briga