Pravilnik o zaštiti osobnih podataka

Sukladno odredbama Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja godine o zaštiti pojedinaca u vezi s obradom osobnih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) te odredbama Zakona o provedbi Opće uredbe o zaštiti podataka (NN 42/18),
Laura Žeželić, OIB: 26291443281 kao vlasnik Obrta za računovodstvo TERRA, Rijeka, Užarska
17a (Obrt za računovodstvo TERRA) donijela je dana 24. svibnja 2018. godine slijedeći Pravilnik o zaštiti osobnih podataka.

Uvod

Općom uredbom o zaštiti podataka utvrđena su pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka i pravila povezana sa slobodnim kretanjem osobnih podataka te kojom se štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.
Odredbama Opće uredbe o zaštiti podataka utvrđeno je da termin osobni podaci znači sve podatke koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, a koji pojedinac jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator i sl.
Odredbama Opće uredbe o zaštiti podataka utvrđeno je da obrada osobnih podataka znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.
Iz tako utvrđenog područja primjene Opće uredbe o zaštiti podataka odnosno činjenice da Obrt za računovodstvo TERRA obrađuje osobne podatke, proizlazi obveza Obrta za računovodstvo TERRA primjenjivati prvenstveno Opću uredbu o zaštiti podataka te s time u vezi i provedbene propise Opće uredbu o zaštiti podataka od kojih naročito Zakon o provedbi Opće uredbe o zaštiti podataka, no izuzev toga i drugo materijalno pravo u vezi sa zaštitom osobnih podataka bilo da se radi o europskoj pravnoj stečevini bilo da se radi o zakonodavstvu Republike Hrvatske – kako pravu na snazi u trenutku donošenja ovog Pravilnika tako i dopunama odnosno izmjenama zakonodavstva u budućnosti.

Predmet pravilnika

Prepoznajući obvezu primjene zakonodavstva kako je pisano u članku I Obrt za računovodstvo TERRA donosi ovaj pravilnik kojim utvrđuje prava ispitanika u odnosu na koje obrađuje osobne podatke te definira postupke obrade osobnih podataka.

Obrt za računovodstvo TERRA donosi ovaj Pravilnik kako bi, u svjetlu zakonodavstva navedenog u članku I, zaštitilo osobne podatke osoba navedenih u prethodnom stavku ovog članka koje isto zakonodavstvo prepoznaje i štiti pravo na zaštitu osobnih podataka i svrstava u temeljna prava i slobode pojedinaca.

Pojmovi i definicije

Pojedini izrazi u ovom Pravilniku referiraju se na odgovarajuće izraze sadržane u Općoj uredbi o zaštiti podataka te imaju istovjetno značenje, a za potrebe sastava ovog Pravilnika pojedini pojmovi prikladno se definiraju na slijedeći način:

• „voditelj obrade” je Obrt za računovodstvo TERRA;
• „ispitanik“ je osoba u odnosu na koju Obrt za računovodstvo TERRA obrađuje osobne
  podatke;
• „izvršitelj obrade” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo
  koje obrađuje osobne podatke u ime voditelja obrade.

Općenito o obradi osobnih podataka

Osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika.
Osobni podaci moraju biti prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama.
Osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju.
Osobni podaci moraju biti točni i prema potrebi ažurni.
Osobni podaci moraju se čuvati u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju.
Osobni podaci moraju biti obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera.
Voditelj obrade prepoznaje dužnosti navedene u prethodnim stavcima te:
– obrađuje osobne podatke zakonito, pošteno i transparentno s obzirom na ispitanika;
raščlanjujući zakonitost obrade voditelj obrade zakonitom obradom podrazumijeva obradu uvjetovanu ispunjenjem barem jednog od slijedećih čimbenika:

• da je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
• da je obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
• da je obrada nužna radi poštovanja pravnih obveza voditelja obrade;
• da je obrada nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe;
• da je obrada nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
• da je obrada nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
• prikuplja osobne podatke od zaposlenika u svrhu zasnivanja radnog odnosa te osobne podatke klijenata i u svrhu zasnivanja poslovnog odnosa i isključivo u te svrhe;
• prikuplja osobne podatke koji su primjereni, relevantni i ograničeni na ono što je nužno u
  odnosu na svrhe u koje se obrađuju, a navedene su u prethodnoj točki;
• osigurava točnost odnosno ažurnost osobnih podataka te poduzima mjere radi
  osiguravanja da se osobni podaci koji nisu točni bez odlaganja izbrišu ili isprave;
• osobne podatke čuva onoliko dugo koliko je potrebno u svrhu radi koje ih prikuplja.

Informiranje ispitanika

Voditelj obrade prikuplja osobne podatke ispitanika isključivo od samih ispitanika.
Voditelj obrade prilikom prikupljanja osobnih podataka od ispitanika iste obavještava o:

• identitetu i kontakt podacima o sebi kao Voditelju obrade;
• svrsi obrade radi koje se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu;
• legitimnim interesima Voditelja obrade ili treće strane kada je obrada nužna za potrebe
  legitimnih interesa Voditelja obrade ili treće strane;
• razdoblju u kojem će osobni podaci biti pohranjeni;
• pravu ispitanika da od Voditelja obrade zatraži pristup osobnim podacima i ispravak ili
  brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika ili prava na
  ulaganje prigovora na obradu takvih te prava na prenosivost podataka;
• pravu na podnošenje prigovora Agenciji za zaštitu osobnih podatka kao nadzornom tijelu;
• informaciju o tome je li pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet.

Prava ispitanika

Pravo ispitanika na pristup
Ispitanik ima pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i svrsi obrade kao i predviđenom razdoblju u kojem će osobni podaci biti pohranjeni.

Pravo na ispravak
Ispitanik ima pravo bez nepotrebnog odgađanja ishoditi od voditelja obrade ispravak netočnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade, ispitanik ima pravo dopuniti nepotpune osobne podatke, među ostalim i davanjem dodatne izjave.

Pravo na brisanje („pravo na zaborav”)
Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja.

Pravo na ograničenje obrade
Ispitanik ima pravo od voditelja obrade ishoditi ograničenje obrade ako je ispunjeno jedno
od sljedećeg:

• ispitanik osporava točnost osobnih podataka, na razdoblje kojim se voditelju obrade
  omogućuje provjera točnosti osobnih podataka;
• obrada je nezakonita i ispitanik se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe;
• voditelj obrade više ne treba osobne podatke za potrebe obrade, ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

Pravo na prigovor
Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor voditelju obrade na obradu osobnih podataka koji se odnose na njega.

U slučaju kada ispitanik ostvari neko od prava predviđenih ovim člankom voditelj obrade:

• ne smije odbiti postupiti po zahtjevu ispitanika uz prethodno utvrđenje identiteta
  ispitanika;
• poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, u pisanom obliku ili drugim sredstvima (elektroničkim putem). Ako to zatraži ispitanik, informacije se mogu pružiti i usmenim putem;
• ispitaniku na zahtjev pruža informacije bez nepotrebnog odgađanja i u svakom slučaju u roku od mjesec dana od zaprimanja zahtjeva. Taj se rok može prema potrebi produljiti za dodatna dva mjeseca, uzimajući u obzir složenost i broj zahtjeva. Voditelj obrade obavješćuje ispitanika o svakom takvom produljenju u roku od mjesec dana od zaprimanja zahtjeva, zajedno s razlozima odgađanja. Ako ispitanik podnese zahtjev elektroničkim putem, informacije se pružaju elektroničkim putem ako je to moguće, osim ako ispitanik zatraži drugačije.
• ako ne postupi po zahtjevu ispitanika bez odgađanja i najkasnije jedan mjesec od primitka zahtjeva izvješćuje ispitanika o razlozima zbog kojih nije postupio i o mogućnosti podnošenja pritužbe nadzornom tijelu i traženja pravnog lijeka.

Kada postupa u skladu s prethodnim stavkom Voditelj obrade usluge pruža bez naknade. Ako
su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog
ponavljanja, Voditelj obrade može:

• naplatiti razumnu naknadu uzimajući u obzir administrativne troškove pružanja informacija ili obavijesti ili postupanje po zahtjevu;
• ili odbiti postupiti po zahtjevu.

Evidencija aktivnosti obrade

Voditelj obrade vodi evidenciju aktivnosti obrade za koje je odgovoran.
Evidencija aktivnosti obrade sastavljena je kao zasebni akt temeljen na ovom Pravilniku.

Službenik za zaštitu osobnih podataka i proslijeđivanje osobnih podataka

Voditelj obrade nije imenovao službenika za zaštitu osobnih podataka s obzirom da iz važećeg zakonodavstva ne proizlazi takva obveza za njega.
Uzimajući u obzir poslovne potrebe, voditelj obrade sklapa s pojedinim subjektima ugovor o obradi osobnih podataka, u pisanom obliku, temeljem kojeg poslove u vezi s obradom osobnih podataka koji izlaze iz okvira djelatnosti voditelja obrade ustupa osobi iz istog ugovora.
Kada sklopi ugovor opisan u prethodnom stavku voditelj obrade jamči da je osoba s kojom je takav ugovor sklopljen ovlaštena obavljati djelatnost u odnosu na koju mu je povjerena obrada podataka te da osigurava zaštitu osobnih podataka na razini koja je minimalno istovjetna s onom koju pruža Voditelj obrade.
Kada sklopi ugovor opisan u prethodnom stavku Voditelj obrade jamči da osobni podaci koji su proslijeđen izvršitelju obrade neće biti korišteni izvan svrhe za koju su proslijeđeni te neće biti dalje proslijeđivani.

Sigurnost osobnih podataka

Voditelj obrade će u skladu s mogućnostima provesti odgovarajuće tehničke i organizacijske mjere kako bi se osigurala odgovarajuća razina sigurnosti, a uključujući prema potrebi:

• pseudonimizaciju i enkripciju osobnih podataka;
• sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti
  sustava i usluga obrade;
• sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka i pristupa
  istima u slučaju fizičkog ili tehničkog incidenta;
• proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i
  organizacijskih mjera za osiguravanje sigurnosti obrade.

Postupanje u slučaju povrede osobnih podataka

Izvješćivanje nadzornog tijela o povredi osobnih podataka
U slučaju povrede osobnih podataka voditelj obrade bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi, izvješćuje Agenciju za zaštitu osobnih podataka o povredi osobnih podataka, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca. Ako izvješćivanje nije učinjeno unutar 72 sata, mora biti popraćeno razlozima za kašnjenje.
Izvješćivanje Agencije za zaštitu osobnih podataka izvršava se na propisanom obrascu. Voditelj obrade dokumentira sve povrede osobnih podataka, uključujući činjenice vezane za povredu osobnih podataka, njezine posljedice i mjere poduzete za popravljanje štete.

Obavješćivanje ispitanika o povredi osobnih podataka
U slučaju povrede osobnih podataka koje će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade bez nepotrebnog odgađanja obavješćuje ispitanika o povredi osobnih podataka.

Prijelazne i završne odredbe

Ovaj Pravilnik primjenjuje se od 25.05.2018. godine.

U Rijeci, dana 24.05.2018. godine