Agencija za zaštitu osobnih podataka1 po službenoj dužnosti provela je nadzorno postupanje nad voditeljem obrade2, društvom koje obavlja djelatnost priređivanja igara na sreću te je zbog niže navedenih kršenja Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (u daljnjem tekstu: Opća uredba o zaštiti podataka ili Uredba) izrekla upravnu novčanu kaznu u ukupnom iznosu od 2.590.000,00 eura.
Obrada biometrijskih podataka bez valjane privole i u opsegu koji nije nužan
Voditelj obrade je, uz identifikaciju igrača uvidom u osobnu iskaznicu, uveo mogućnost identifikacije putem RFID3 čipa ili otisaka prstiju ako igrač želi kod narednih dolazaka što brže proći postupak identifikacije. Iako je voditelj obrade tvrdio da prikuplja otiske dvaju prstiju, nadzorom je utvrđeno da se prikupljaju otisci četiriju prstiju (dva prsta svake ruke) koji su se koristili za biometrijsku identifikaciju igrača.
Prikupljanjem otisaka četiriju prstiju ispitanika voditelj obrade prikupljao je veći opseg osobnih podataka nego što je nužno za ostvarenje konkretno utvrđene svrhe obrade, odnosno identifikacije igrača.
Voditelj obrade potrebu za prikupljanjem otisaka četiriju prstiju obrazlagao je mogućnošću oštećenja kože prstiju, što bi moglo dovesti do pogrešnog ili neuspješnog očitanja otiska, a time i do nemogućnosti odnosno otežane identifikacije igrača. Međutim, takvo općenito pozivanje na potrebu osiguravanja dodatnih, odnosno „rezervnih“ otisaka prstiju samo po sebi nije dostatno za dokazivanje nužnosti obrade biometrijskih podataka u navedenom opsegu.
Naime, u skladu s načelom smanjenja količine podataka, voditelj obrade mora biti u mogućnosti dokazati da su osobni podaci koje obrađuje primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhu za koju se obrađuju. Stoga je u konkretnom slučaju na voditelju obrade bilo obrazložiti i dokazati zbog čega je za pouzdanu identifikaciju igrača potrebno prikupljati upravo otiske četiriju prstiju te zbog čega se ista svrha ne bi mogla jednako učinkovito ostvariti obradom manjeg broja otisaka prstiju, uz primjenu odgovarajućih dopunskih načina provjere identiteta u slučajevima u kojima očitanje pojedinog otiska nije moguće.
Sama mogućnost da u pojedinačnom slučaju dođe do oštećenja kože prsta i posljedično do neuspješnog očitanja ne opravdava automatski sustavno prikupljanje većeg broja biometrijskih podataka svih ispitanika. Takva obrada mora biti objektivno opravdana i nužna u odnosu na utvrđenu svrhu, osobito uzimajući u obzir da je riječ o biometrijskim podacima koji zbog svoje prirode predstavljaju posebno osjetljivu kategoriju osobnih podataka.
Zakonom o provedbi Opće uredbe o zaštiti podataka propisano je da je obrada biometrijskih podataka radi sigurnog identificiranja korisnika usluga zakonita uz izričitu privolu ispitanika danu u skladu s odredbama Opće uredbe o zaštiti podataka. Međutim, postojanje izričite privole ne oslobađa voditelja obrade obveze poštovanja ostalih načela i zahtjeva koji proizlaze iz Uredbe.
Drugim riječima, ako voditelj obrade prikuplja veći opseg osobnih podataka nego što je nužno za ostvarenje konkretne svrhe obrade, takva obrada ne može postati zakonita samo na temelju činjenice da je ispitanik dao privolu za obradu svojih podataka. Privola ne predstavlja osnovu za odstupanje od temeljnih načela obrade osobnih podataka, uključujući načelo zakonitosti, poštenosti i transparentnosti te načelo smanjenja količine podataka.
Navedeno je osobito značajno pri obradi biometrijskih podataka, s obzirom na njihovu prirodu, osjetljivost te povećani rizik koji njihova obrada može predstavljati za prava i slobode ispitanika. Stoga obrada koja se formalno temelji na privoli ispitanika istodobno mora ispunjavati i ostale zahtjeve propisane Općom uredbom o zaštiti podataka, odnosno mora biti zakonita, poštena i transparentna te se odnositi samo na one podatke koji su primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhu njihove obrade.
U konkretnom slučaju izjava o privoli za obradu biometrijskih podataka evidentirana je za ukupno 34.933 igrača. Međutim, sama činjenica da su izjave o privoli evidentirane za navedeni broj ispitanika nije dovoljna da bi se obrada smatrala zakonitom ako nisu ispunjeni ostali uvjeti za zakonitu obradu osobnih podataka, uključujući zahtjev da se obrađuju samo oni osobni podaci koji su nužni za ostvarenje unaprijed određene svrhe.
Slijedom svega navedenog, utvrđeno je da su biometrijski podaci ispitanika obrađivani bez valjane privole te u opsegu koji nije bio nužan za ostvarenje utvrđene svrhe obrade. Time su povrijeđeni članak 6. stavak 1. i članak 9. stavak 1. u vezi sa stavkom 2. točkom (a), a u vezi s člankom 5. stavkom 1. točkama (a) i (c) Opće uredbe o zaštiti podataka.
Navedene povrede proizlaze iz međusobno povezanih zahtjeva Opće uredbe: postojanje odgovarajuće pravne osnove za obradu ne može se promatrati odvojeno od obveze poštovanja temeljnih načela obrade osobnih podataka. Slijedom toga, ni izričita privola ispitanika sama po sebi ne može opravdati obradu biometrijskih podataka u opsegu koji prelazi ono što je nužno za ostvarenje konkretno utvrđene svrhe.
Neispunjavanje zahtjeva privole sukladno Općoj uredbi o zaštiti podataka
Nadalje, tijekom registracije igrača u casinu, na ekranu se u dokumentu prikazuju interaktivna polja za davanje četiriju privola. S tim u vezi, Agencija je utvrdila da prva dva teksta dokumenta ne ispunjavaju zahtjeve privole sukladno Općoj uredbi o zaštiti podataka, koja mora biti dobrovoljna, posebna, informirana i nedvosmislena. Voditelj obrade je, kako Agencija u obrazloženju svoje odluke navodi, u jednoj privoli spojio više različitih svrha za obradu podataka i nije igraču dao stvarnu mogućnost da zasebno odluči na što pristaje.
U prvoj izjavi o privoli4, koja se odnosi na prikupljanje i obradu scan otisaka prstiju, bile su objedinjene različite svrhe obrade. Igraču se prikazuju informacije koje stvaraju dojam da se sve obrade u postupku registracije temelje na privoli, bez jasnog razgraničenja zakonski obvezne obrade identifikacijskih podataka od fakultativne obrade biometrijskih podataka.
Takva formulacija nije u skladu sa zahtjevom da privola bude posebna i dobrovoljna jer igrač pritom nije mogao zasebno odlučiti na koje svrhe pristaje, a na koje ne.
Nadalje, u drugoj izjavi o privoli5, koja se odnosi na prikupljanje i obradu fotografije ispitanika, također se navode različite svrhe. Time ispitanik ne može jasno utvrditi koristi li se fotografija samo za provjeru identiteta ili i u druge svrhe, a niti o njima može zasebno odlučiti.
U konačnici, u izjavama o privoli, voditelj obrade objedinjuje različite svrhe obrade bez mogućnosti zasebnog izbora za pojedinu svrhu te zahtjeve za privolu ne prikazuje dovoljno jasno i razumljivo, čime je povrijedio članak 7. u vezi s člankom 4. točkom 11. Opće uredbe o zaštiti podataka.
Nepotpune i međusobno neusklađene informacije o obradi osobnih podataka
Prilikom registracije u casinu, ispitaniku se predočavao veći broj dokumenata o obradi osobnih podataka, koji su sadržavali međusobno neusklađene i nepotpune informacije o svrhama i pravnim osnovama obrade, pri čemu svrhe pojedinih obrada nisu bile navedene, a pravne osnove nisu bile jasno povezane s konkretnim obradama.
Primjerice, u Općim pravilima voditelj obrade otisak prsta povezuje i sa svrhama koje nadilaze identifikaciju pri ulasku u casino te navodi da se koristi za kontrolu i praćenje ulaska u poslovnice, zaštitu maloljetnih osoba, sudjelovanje u igrama na sreću, program korištenja bonus sustava nagrađivanja i druge svrhe.
Time voditelj obrade nije postupio u skladu sa zahtjevima transparentne obrade osobnih podataka jer su informacije koje je pružao ispitanicima bile nepotpune, netočne i međusobno kontradiktorne u pogledu svrha i pravnih osnova pojedinih obrada. Slijedom navedenog, ispitanici nisu mogli na jasan i razumljiv način saznati u koje svrhe i na kojoj pravnoj osnovi voditelj obrade obrađuje njihove osobne podatke. Takvim postupanjem voditelj obrade povrijedio je članak 12. stavak 1. i članak 13. Opće uredbe o zaštiti podataka, u vezi s načelom transparentnosti iz članka 5. stavka 1. točke (a) iste Uredbe.
Zaključak
Provedenim nadzornim postupanjem utvrđeno je više međusobno povezanih povreda Opće uredbe o zaštiti podataka koje se odnose na obradu osobnih, a osobito biometrijskih podataka igrača.
Utvrđene nepravilnosti odnosile su se na obradu biometrijskih podataka bez ispunjenja propisanih uvjeta za takvu obradu, prikupljanje biometrijskih podataka u opsegu koji nije bio nužan za ostvarenje utvrđene svrhe, neispunjavanje zahtjeva koji se odnose na valjanost privole te pružanje nepotpunih, netočnih i međusobno neusklađenih informacija o svrhama i pravnim osnovama obrade osobnih podataka.
Posebna odgovornost voditelja obrade proizlazi iz činjenice da biometrijski podaci koji se obrađuju u svrhu jedinstvene identifikacije pojedinca pripadaju posebnim kategorijama osobnih podataka, čija je obrada načelno zabranjena, osim ako je ispunjena jedna od iznimki propisanih člankom 9. stavkom 2. Opće uredbe o zaštiti podataka. Kada se takva obrada temelji na izričitoj privoli ispitanika, postojanje privole ne isključuje obvezu voditelja obrade da istodobno poštuje sva temeljna načela obrade osobnih podataka, uključujući načela zakonitosti, poštenosti i transparentnosti te smanjenja količine podataka.
Voditelj obrade stoga mora moći dokazati ne samo postojanje odgovarajuće pravne osnove za obradu, nego i da je svaki podatak koji prikuplja primjeren, relevantan i ograničen na ono što je nužno za ostvarenje jasno određene svrhe. Kada se obrada temelji na privoli, ispitaniku mora biti omogućeno da odluku donese dobrovoljno, posebno, informirano i nedvosmisleno, uz jasno razgraničenje pojedinih svrha obrade i odgovarajućih pravnih osnova.
Transparentno informiranje ispitanika pritom nije samo formalna obveza voditelja obrade, već jedan od temeljnih preduvjeta zakonite obrade. Ispitanik mora na jasan, razumljiv i lako dostupan način moći utvrditi koji se njegovi osobni podaci obrađuju, u koju svrhu i na kojoj pravnoj osnovi.
Slijedom svega navedenog, ova recentna odluka Agencije vrlo jasno upućuje na to da primjena novih tehnologija i digitalizacija poslovnih procesa ne mogu ići nauštrb temeljnih prava pojedinaca na zaštitu osobnih podataka.
Osobito kada je riječ o biometrijskim podacima, voditelji obrade moraju moći dokazati ne samo postojanje odgovarajuće pravne osnove za njihovu obradu, već i stvarnu nužnost, razmjernost i opravdanost opsega podataka koji se prikupljaju. Privola ispitanika pritom ne može služiti kao opravdanje za prekomjerno prikupljanje podataka niti može otkloniti obvezu poštovanja temeljnih načela Opće uredbe o zaštiti podataka.
Tehnologija omogućuje sve širi opseg obrade osobnih podataka, ali mogućnost obrade ne znači ujedno i dopuštenost obrade. Upravo je na voditelju obrade odgovornost da prije prikupljanja osobnih podataka može odgovoriti na ključno pitanje: je li svaki podatak koji prikuplja doista potreban za svrhu koju želi ostvariti?
Maja Bilić Paulić, odvjetnica
Izvor: Priopćenje AZOP-a od 2. listopada 2026., dostupno na sljedećoj poveznici: https://azop.hr/upravna-novcana-kazna-priredivacu-igara-na-srecu-u-iznosu-od-259-milijuna-eura
^ 1 AZOP, kao samostalno i neovisno državno tijelo, nadzire provedbu Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (u daljnjem tekstu: Opća uredba o zaštiti podataka) i obavlja poslove u okviru djelokruga i nadležnosti utvrđenih Zakonom o provedbi Opće uredbe o zaštiti podataka („Narodne novine“, br. 42/18.).
^ 2 Opća uredba o zaštiti podataka u čl. 4. st. 1. t. 7. definira voditelja obrade kao fizičku ili pravnu osobu, tijelo javne vlasti, agenciju ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice.
^ 3 RFID je bežična i beskontaktna tehnologija koja koristi radiovalove za prenošenje informacija između uređaja koji komuniciraju putem posebnog čipa i antene. Tipičan RFID sustav sastoji se od triju osnovnih komponenti: RFID oznaka (tagova), RFID čitača i antena. Oznake mogu biti pasivne (bez vlastitog izvora energije) ili aktivne (s vlastitim izvorom energije). RFID tehnologija funkcionira putem bežične komunikacije između RFID oznaka i čitača. Čitač emitira radiovalove koje potom prihvaća antena na oznaci. Kada pasivna oznaka primi dovoljno energije iz radiovalova, aktivira se i šalje natrag čitaču signal s pohranjenim informacijama. S druge strane, aktivne oznake koriste vlastitu bateriju za emitiranje signala. Čitač zatim dekodira te informacije i prosljeđuje ih sustavu za daljnju obradu.
^ 4 „dajem privolu za prikupljanje i obradu biometrijskih podataka i to scan otiska prstiju koji podaci se prikupljaju u svrhu pružanja usluga/izvršenja ugovora, utvrđivanje identiteta stranaka, statističke svrhe, profiliranja, unapređenje i personalizacija usluge, zaštite prava i imovine, provođenje zabrane sudjelovanja u igrama na sreću maloljetnika“.
^ 5 „dajem privolu za prikupljanje i obradu mojih osobnih podataka – biometrijskih podataka i to fotografije koji podaci se prikupljaju u svrhu utvrđivanja identiteta stranaka, zaštite prava i imovine, provođenje zabrane sudjelovanja u igrama na sreću za maloljetnike“.
