Općom uredbom o zaštiti podataka propisano je, među ostalim, što je sve država članica dužna urediti zakonom. Zakon o provedbi Opće uredbe o zaštiti podataka u svojim odredbama uređuje i ona pitanja koja nisu regulirana Uredbom.
AZOP
Kako bi se zaštitila temeljna prava i slobode pojedinaca u pogledu obrade i olakšao slobodan protok osobnih podataka unutar Europske unije, obveza države članice je osigurati nadzorno tijelo (članak 51. Uredbe). Zakon o provedbi Opće uredbe o zaštiti podataka u članku 4. utvrđuje da je nadzorno tijelo Agencija za zaštitu osobnih podataka (AZOP). AZOP je pravni sljednik Hrvatske Agencije za zaštitu osobnih podataka ustrojene Zakonom o zaštiti osobnih podataka (NN 103/03, 118/06, 41/08, 130/11). Stupanjem na snagu Zakona o provedbi Opće uredbe o zaštiti podataka AZOP prestaje biti pravna osoba s javnim ovlastima i postaje državno tijelo te nastavlja s radom pod istim nazivom.
Ovlasti AZOP-a
AZOP postaje središnje državno tijelo nadležno za kontrolu provedbe Opće uredbe o zaštiti podataka i pokretanje odgovarajućih postupaka protiv osoba koje ne postupaju u skladu s odredbama Uredbe, izriče upravne kazne, objavljuje svoja rješenja iz postupaka kontrole poduzetih mjera zaštite osobnih podataka itd.
Svatko tko smatra da mu je povrijeđeno neko pravo zajamčeno Zakonom ili Općom uredbom, AZOP-u može podnijeti zahtjev za utvrđivanje povrede prava. Agencija će o zahtjevu odlučiti rješenjem koje je upravni akt i protiv kojega žalba nije dopuštena, ali se može pokrenuti upravni spor pred nadležnim upravnim sudom.
Člankom 36. Zakona regulirana je provedba nadzora od strane Agencije. Službenici Agencije provode nadzor predočenjem službene iskaznice i naloga na nadzor, sastavljaju zapisnik o provedenom nadzoru na koji se mogu izjaviti primjedbe, a Agencija će u roku od 15 dana dostaviti pisani odgovor o prihvaćanju ili neprihvaćanju primjedbi.
Nadalje, u članku 48. Zakona propisano je objavljivanje pravomoćnog rješenja na internetskim stranicama Agencije bez anonimiziranja podataka o počinitelju, ako je tim rješenjem utvrđena povreda ovoga Zakona ili Opće uredbe o zaštiti podataka u vezi s obradom osobnih podataka maloljetnika, posebnih kategorija osobnih podataka, automatiziranog pojedinačnog donošenja odluke, profiliranja, ako je povredu počinio voditelj obrade ili izvršitelj obrade koji je već bio prekršio odredbe ovoga Zakona ili Opće uredbe o zaštiti podataka ili ako je u vezi s rješenjem donesena odluka o upravnoj novčanoj kazni u iznosu od najmanje 100.000,00 kuna koja je postala pravomoćna.
Tijela javne vlasti
Odredbom članka 47. Zakona o provedbi Opće uredbe o zaštiti podataka propisano je da se upravne novčane kazne ne mogu izreći tijelima javne vlasti (tijelima državne uprave i drugim državnim tijelima te tijelima jedinica lokalne i područne (regionalne) samouprave). Naime, člankom 83. stavak 7. Opće uredbe o zaštiti podataka propisano je da svaka država članica može utvrditi pravila mogu li se i u kojoj mjeri tijelima javne vlasti ili tijelima s poslovnim nastanom u toj državi članici izreći upravne novčane kazne. U obrazloženju Zakona navodi se da se izricanjem upravnih novčanih kazni tijelima javne vlasti ne bi postigla svrha kažnjavanja s obzirom na to da se sredstva za rad tih tijela osiguravaju u državnom proračunu te bi naplata upravne novčane kazne od tijela javne vlasti samo predstavljala prelijevanje proračunskih sredstava iz jedne proračunske stavke u drugu.
Obrada osobnih podataka u posebnim slučajevima
Zakonom o provedbi Opće uredbe o zaštiti podataka uređena je i obrada osobnih podataka u posebnim slučajevima: privola djeteta u odnosu na usluge informacijskog društva, obrada genetskih podataka, obrada biometrijskih podataka i obrada osobnih podataka putem video nadzora.
Usluga informacijskog društva definirana je Direktivom 2015/1535 Europskog parlamenta i Vijeća kao svaka usluga informacijskog društva koja se obično pruža uz naknadu bilo na daljinu, elektroničkim sredstvima ili na osobni zahtjev primatelja usluga (Prilog I. Direktive 2015/1535 o utvrđivanju postupka pružanja informacija u području tehničkih propisa i pravila o uslugama informacijskog društva).
U vezi s nuđenjem usluga informacijskog društva izravno djetetu, odredbom članka 8. stavka 1. Opće uredbe o zaštiti podataka propisano je da je obrada osobnih podataka djeteta zakonita ako dijete ima najmanje 16 godina, a ako je dijete mlađe od 16 godina takva obrada zakonita je samo, ako i u mjeri u kojoj je privolu dao ili odobrio nositelj roditeljske odgovornosti nad djetetom, te je ujedno utvrđeno da države članice mogu u te svrhe zakonom predvidjeti nižu dobnu granicu, pod uvjetom da takva dobna granica nije niža od 13 godina. Zakon o provedbi Opće uredbe o zaštiti podataka u svrhu zaštite djece s prebivalištem u Republici Hrvatskoj, utvrđuje da je u pogledu nuđenja usluga informacijskog društva izravno djetetu, obrada osobnih podataka djeteta zakonita ako dijete ima najmanje 16 godina (članak 19. Zakona).
Uvažavajući posebnu rizičnost obrade genetskih podataka (članak 4. i članak 9. Uredbe), Zakon utvrđuje zabranu obrade genetskih podataka radi izračuna izgleda oboljenja i drugih zdravstvenih aspekata ispitanika u okviru radnji za sklapanje ili izvršavanje ugovora o životnom osiguranju i ugovora s klauzulama o doživljenju te da se privolom ispitanika ne može ukinuti ta zabrana (članak 20. Zakona).
S obzirom da je obrada biometrijskih podataka sve prisutnija u javnom i privatnom sektoru (članak 4. Uredbe), a njihova obrada predstavlja visok rizik za prava i slobode pojedinaca, Zakonom se utvrđuju određena ograničenja obrade tih osobnih podataka (članak 21. i 22. Zakona). Zakonom je dopuštena obrada biometrijskih podataka u svrhu evidencije radnog vremena te zbog ulaska i izlaska iz službenih prostorija zaposlenika.
Područje obrade osobnih podataka putem video nadzora u smislu ovoga Zakona odnosi se na prikupljanje i daljnju obradu osobnih podataka koja obuhvaća stvaranje snimke koja čini ili je namijenjena da čini dio sustava pohrane. Obrada osobnih podatka putem video nadzora može se provoditi samo u svrhu koja je nužna i opravdana za zaštitu osoba i imovine, pri čemu treba uzeti u obzir da ne prevladavaju interesi ispitanika koji su u suprotnosti s obradom podataka putem video nadzora. Zakonom se posebno uređuje video nadzor radnih prostorija, video nadzor stambenih odnosno poslovno-stambenih zgrada te video nadzor javnih površina.
Zakon, sukladno odredbi članka 89. Opće uredbe o zaštiti podataka, uz nužne mjere zaštite podataka prikupljenih za potrebe službene statistike, utvrđuje odstupanja od prava ispitanika (pravo pristupa osobnim podacima, pravo na ispravak, pravo na ograničenje obrade i pravo na prigovor na obradu osobnih podataka ispitanika) kod obrade osobnih podataka u svrhe izrade službenih statistika koje izrađuju službena statistička tijela u Republici Hrvatskoj (članak 33. Zakona).
Ana Paštrović, mag. iur.
