Agencija za zaštitu osobnih podataka (skr. AZOP, u daljnjem tekstu: Agencija) je na temelju čl. 57., st.1. i čl. 58. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SLEU L119 (u daljnjem tekstu: Opća uredba), čl. 34. Zakona o provedbi Opće uredbe o zaštiti podataka (“Narodne novine”, br. 42/2018.) te čl. 96. Zakona o općem upravnom postupku (“Narodne novine”, br. 47/09), donijela rješenje o osnovanosti zahtjeva za utvrđivanje povrede prava na zaštitu osobnih podataka povodom zahtjeva za utvrđivanje povrede prava u kojem podnositeljica zahtjeva, koja je ujedno i predstavnica stanara poslovne zgrade, navodi da su njezini osobni podaci, kao i podaci suvlasnika poslovne zgrade nezakonito prikupljani i obrađivani (u daljnjem tekstu: Rješenje).
Podnositeljica zahtjeva u svom zahtjevu za zaštitu prava upućenom Agenciji ističe kako su predmetni osobni podaci i to imena i prezimena, osobni identifikacijski brojevi te podaci o postotku suvlasničkih udjela suvlasnika poslovne zgrade prikupljani i obrađivani u svrhu sastavljanja „Ponude za pružanje usluga upravljanja i održavanja građevine, zajedničkih sustava i infrastrukture...", zapravo prikupljani i obrađivani protuzakonito.
Nakon provedenog postupka, Agencija je utvrdila zahtjev podnositeljice osnovanim te obrazložila kako su predmetni osobni podaci ispitanika prikupljani i obrađivani bez zakonite svrhe i postojanja uvjeta za zakonitu obradu osobnih podataka, tj. bez pružanja informacija o obradi osobnih podataka, čime je došlo do povrede odredbi iz čl. 5.1.b), 6.1., 14.1. i 2. Opće uredbe o zaštiti podataka.
Sukladno utvrđenom, Agencija je zabranila (daljnju) obradu osobnih podataka podnositeljice zahtjeva, predstavnice stanara, kao i svih suvlasnika navedene poslovne zgrade i to njihovih imena i prezimena, osobnih identifikacijskih brojeva, podataka o postotku suvlasničkih udjela, kao i bilo kojih drugih osobnih podataka bez zakonite svrhe i postojanja uvjeta za zakonitu obradu osobnih podataka.
U konkretnom slučaju riječ je poslovnoj zgradi koja ima ukupno 50 suvlasnika poslovnih prostora te svog upravitelja s kojim su suvlasnici upoznati. U jednom trenutku suvlasnicima poslovne zgrade se počela obraćati osoba (ovdje protivnik podnositeljice zahtjeva) s prijedlogom za promjenom upravitelja poslovne zgrade pri čemu je ta osoba, kako je utvrđeno, na nezakonit način i u suprotnosti s odredbama Opće uredbe o zaštiti podataka prikupljala i obrađivala osobne podatke svih suvlasnika, pa tako i podnositeljice zahtjeva. Naime, protivnik podnositelja zahtjeva je protuzakonito pribavio predmetne osobne podatke suvlasnika i predstavnice stanara, počevši od njihovih imena i prezimena, zatim osobnih identifikacijskih brojeva, a konačno i do postotka njihovih suvlasničkih udjela, kao i ostalih osobnih i vlasničkih podataka, te temeljem pribavljenih podataka sastavila spornu „Ponudu za pružanje usluga upravljanja i održavanja građevine, zajedničkih sustava i infrastrukture...”
Protivnik podnositeljice zahtjeva kao argument u svoju obranu je isticao okolnost da su ga kao subjekta koji se na tržištu profesionalno bavi upravljanjem i održavanjem zgrada sami suvlasnici, preko zajedničkog kontakta, kontaktirali s molbom za pomoć pri promjeni upravitelja zgrade, te da je sve podatke za koje se navodi da su nezakonito prikupljani i obrađivani, pribavio zakonito iz javno dostupnih zemljišnih knjiga.
Nakon provedenog dokaznog postupka, Agencija je utvrdila da je protivnik podnositeljice zahtjeva zaista ovlaštena osoba u trgovačkom društvu registriranom za poslove upravljanja nekretninama i održavanja nekretnina (što je dokazao priloženim izvatkom iz sudskog registra) te da je navedene osobne podatke podnositeljice zahtjeva i ostalih suvlasnika poslovne zgrade prikupio iz javno dostupnih zemljišnih knjiga. Usprkos navedenom, protivnik podnositeljice zahtjeva nije uspio dokazati Agenciji da su ga predstavnica suvlasnika, odnosno ostali suvlasnici poslovne zgrade ovlastili na poduzimanje radnji u svrhu promjene upravitelja poslovne zgrade koje su suvlasnici, niti da ih on informirao o obradi njihovih osobnih podataka u svrhu promjene upravitelja predmetne zgrade.
Naime, sukladno čl. 5.1.a Opće uredbe o zaštiti podataka, osobni podaci moraju s obzirom na ispitanika biti obrađivani zakonito, pošteno i transparentno.
Sukladno čl. 5.1.b) Opće uredbe o zaštiti podataka, a prema načelu ograničavanja svrhe, osobni podaci moraju biti prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama.
Nadalje, čl. 6., st.1. Opće uredbe o zaštiti podataka propisuje da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha, obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, obrada je nužna radi poštovanja pravnih obveza voditelja obrade, obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe, obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
Nastavno na citirane odredbe, temeljem čl. 14., 1. Opće uredbe o zaštiti podataka, ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade osobnih podataka je ispitaniku obvezan pružiti sljedeće informacije, i to informacije o:
(a) identitetu i kontaktnim podacima voditelja obrade i predstavnika voditelja obrade, ako je primjenjivo;
(b) kontaktnim podacima službenika za zaštitu podataka, ako je primjenjivo;
(c) svrsi obrade kojoj su namijenjeni osobni podaci kao i pravnu osnovu za obradu;
(d) kategoriji osobnih podataka o kojima je riječ;
(e) primateljima ili kategorijama primatelja osobnih podataka, prema potrebi;
(f) ako je primjenjivo, namjeru voditelja obrade da osobne podatke prenese primatelju u trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o primjerenosti, ili u slučaju prijenosâ iz čl. 46. ili 47., ili čl. 49., st. 1. drugog podstavka upućivanje na prikladne ili odgovarajuće zaštitne mjere i načine pribavljanja njihove kopije ili mjesta na kojem su stavljene na raspolaganje;
Nadalje, kako proizlazi i čl. 14.2. Opće uredbe o zaštiti podataka, osim informacija iz st. 1. voditelj obrade ispitaniku pruža sljedeće informacije neophodne za osiguravanje poštene i transparentne obrade s obzirom na ispitanika: razdoblje u kojem će se osobni podaci pohranjivati ili, ako to nije moguće, kriterije kojima se utvrdilo to razdoblje, ako se obrada temelji na čl. 6. st.1. t. (f), legitimne interese voditelja obrade ili treće strane, postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima i ispravak ili brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika i prava na ulaganje prigovora na obradu te prava na prenosivost podataka, ako se obrada temelji na čl. 6., st. 1. t. (a) ili čl. 9., st. 2., t. (a), postojanje prava da se u bilo kojem trenutku povuče privolu, a da to ne utječe na zakonitost obrade koja se temeljila na privoli prije nego što je ona povučena, pravo na podnošenje prigovora nadzornom tijelu, izvor osobnih podataka i, prema potrebi, dolaze li iz javno dostupnih izvora, postojanje automatiziranog donošenja odluka.
Slijedom svega navedenog, u konkretnom slučaju, izostankom informiranja podnositeljice zahtjeva, odnosno suvlasnika navedene poslovne zgrade o svrsi i ostalim bitnim okolnostima obrade njihovih osobnih podataka od strane protivnika podnositeljice zahtjeva izostala je i njihova izričita privola za obradu osobnih podataka u predmetnu svrhu, kao jedan od nužnih uvjeta za zakonitu obradu osobnih podataka.
Stoga je Agencija u ovom slučaju utvrdila da nisu ispunjeni propisani minimalni uvjeti za zakonitu obradu predmetnih osobnih podataka ispitanika (imena i prezimena, osobnih identifikacijskih brojeva, zatim podataka o postotcima suvlasničkih udjela, kao i ostalih osobnih podataka ispitanika), odnosno kako za obradu navedenih osobnih podataka ne postoji zakonita (opravdana) svrha niti pravni temelj, te da je takva obrada navedenih osobnih podataka protivna odredbama članka 5.1.a), 5.1.b), 6.1. i 14.1. i 2. Opće uredbe o zaštiti podataka, zbog čega je donijela Rješenje o osnovanosti zahtjeva za utvrđivanje povrede prava na zaštitu osobnih podataka.
Maja Bilić Paulić
