STRUČNI SADRŽAJ
GDPR dokumentacija i zaštita osobnih podataka
Usklađenost se ne dokazuje mapom obrazaca, nego stvarnim, ažuriranim i dokumentiranim sustavom.
GDPR nije dokument nego sustav odgovornosti
Zaštita osobnih podataka počinje pitanjem koje podatke organizacija stvarno obrađuje, zašto ih obrađuje, tko im pristupa, kome ih dostavlja, koliko ih dugo čuva i kako može dokazati da je postupala zakonito. Jednokratno izrađeni obrasci bez stvarne primjene ne predstavljaju usklađen sustav. Opća uredba o zaštiti podataka primjenjuje se na privatni, javni i neprofitni sektor kada obrađuju osobne podatke. Za jedinice lokalne i područne samouprave, ustanove i trgovačka društva posebno su važne obrade zaposlenika, korisnika javnih usluga, stranaka, učenika, pacijenata, zakupnika, dobavljača i osoba obuhvaćenih videonadzorom.Pravna osnova i ključna načela
Temeljni okvir čine Uredba (EU) 2016/679 i Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/18), uz posebne propise koji uređuju pojedine djelatnosti. Obrada mora biti zakonita, poštena i transparentna; svrha određena; opseg podataka sveden na nužno; podaci točni; rokovi čuvanja opravdani; sigurnost primjerena riziku; a usklađenost dokaziva. Privola nije univerzalno rješenje. U javnom sektoru obrada se često temelji na pravnoj obvezi ili izvršavanju zadaće od javnog interesa. Svaka svrha mora imati odgovarajuću pravnu osnovu, a promjena svrhe zahtijeva novu procjenu.Što obuhvaća kvalitetna provedba
Snimka stanja obuhvaća organizacijsku strukturu, procese, tokove podataka, informacijske sustave, papirnatu dokumentaciju, vanjske izvršitelje i stvarne radne navike. Nakon toga izrađuju se ili revidiraju evidencije aktivnosti obrade, informacije ispitanicima, politike, procedure, ugovori s izvršiteljima, rokovi čuvanja, ovlaštenja pristupa, procjene rizika i, kada je potrebna, procjena učinka na zaštitu podataka. Zaposlenici moraju razumjeti pravila koja primjenjuju. Edukacija, upravljanje incidentima i periodična revizija jednako su važni kao početna dokumentacija.
Evidencije aktivnosti obrade
Evidencija mora za svaku svrhu pokazati kategorije ispitanika i podataka, svrhu i pravnu osnovu, primatelje, prijenose u treće zemlje, rokove brisanja te opći opis tehničkih i organizacijskih mjera. Ona se ne objavljuje na webu i ne šalje redovno AZOP-u, ali mora biti dostupna nadzornom tijelu na zahtjev.Prava ispitanika i transparentnost
Organizacija mora uspostaviti jasan kanal i rokove za zahtjeve za pristup, ispravak, brisanje, ograničenje, prenosivost i prigovor, uz provjeru identiteta i dokumentiranje postupanja. Nije svako pravo apsolutno; odgovor mora uzeti u obzir pravnu osnovu, zakonske rokove čuvanja i prava drugih osoba. Kod tijela javne vlasti GDPR nije razlog za automatsko odbijanje zahtjeva za pristup informacijama. Kada su zaštita osobnih podataka i javni interes u napetosti, primjenjuju se relevantni propisi i, kada je potrebno, test razmjernosti i javnog interesa.Službenik za zaštitu podataka
Službenik za zaštitu podataka obvezan je, među ostalim, za tijela javne vlasti i javna tijela te za organizacije čije temeljne djelatnosti uključuju opsežno redovito i sustavno praćenje ili opsežnu obradu posebnih kategorija podataka. Ne postoji opće pravilo da je imenovanje obvezno samo zato što organizacija ima više od 20 zaposlenih. Službenik mora biti neovisan, pravodobno uključen i imati resurse za rad. Na webu se objavljuju kontaktni podaci službenika, a AZOP-u se dostavljaju podaci o imenovanju. Interni pravilnici, evidencije i procjene u pravilu nisu dokumenti koje GDPR izričito nalaže javno objaviti.Povreda osobnih podataka i rok od 72 sata
Svaka povreda mora se evidentirati. Ako je vjerojatno da će prouzročiti rizik za prava i slobode pojedinaca, prijavljuje se AZOP-u bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja. Kod visokog rizika u pravilu se obavještavaju i pogođeni ispitanici. Rok nije zamjena za procjenu: potrebno je odmah utvrditi što se dogodilo, koje su osobe i podaci pogođeni, moguće posljedice i poduzete mjere.
Videonadzor kao posebno rizično područje
Kamera se smije koristiti samo kada je videonadzor nužan i opravdan radi zaštite osoba i imovine te kada nad tom svrhom ne prevladavaju prava ispitanika. Prije postavljanja treba dokumentirati svrhu, pravnu osnovu, područje snimanja, nužnost i razmjernost, pristupe, sigurnost, rok čuvanja i postupanje sa zahtjevima. Oznaka mora biti vidljiva najkasnije pri ulasku u perimetar snimanja. Mora jasno navesti da je prostor pod videonadzorom, identitet voditelja obrade i kontakt za ostvarivanje prava te omogućiti pristup ostalim informacijama iz članka 13. GDPR-a. Poveznica ili QR kod mogu voditi na trajno dostupnu detaljnu obavijest, ali ne mogu zamijeniti osnovne podatke na oznaci. Snimkama smiju pristupati samo odgovorna ili ovlaštena lica; sustav mora biti zaštićen, a pristupi automatizirano evidentirani. Snimke se čuvaju najviše šest mjeseci, osim kada poseban zakon propisuje dulji rok ili su dokaz u postupku. Radne prostorije zahtijevaju i poštovanje propisa zaštite na radu; ne smiju se snimati prostori za odmor, higijenu i presvlačenje. Sustavno praćenje javno dostupnog područja u velikoj mjeri može zahtijevati DPIA. Dokument videonadzora nije sam po sebi obvezan za javnu objavu; obvezna je pravodobna transparentnost prema osobama koje ulaze u kadar.
Kazne i korektivne ovlasti AZOP-a
Za povrede iz članka 83. GDPR-a mogu se izreći kazne do 10 milijuna EUR ili 2 % ukupnog svjetskog godišnjeg prometa, odnosno za teže povrede do 20 milijuna EUR ili 4 %, ovisno koji je iznos veći. Iznos nije automatski: procjenjuju se težina, trajanje, broj pogođenih osoba, namjera ili nepažnja, mjere ublažavanja, ranije povrede i suradnja. Prema godišnjim zbrojevima na stranici AZOP-a, od 2020. do 2025. izrečeno je 98 kazni ukupne vrijednosti 16.307.606,57 EUR. Samo u 2025. objavljeno je 13 kazni u ukupnom iznosu od 6.725.500 EUR. Ovi podaci trebaju na webu imati oznaku razdoblja jer se tijekom 2026. popis nastavlja mijenjati. Važna iznimka: prema članku 47. hrvatskog Zakona, tijelu javne vlasti ne može se izreći upravna novčana kazna. I dalje se mogu provoditi nadzor i druge korektivne mjere, a pojedinac prema članku 82. GDPR-a može tražiti naknadu materijalne ili nematerijalne štete pred nadležnim sudom. Trgovačka društva u vlasništvu javnog sektora ne treba automatski poistovjetiti s definicijom tijela javne vlasti iz Zakona.
Kako SEVOI KONZORCIJ pomaže
Usluga se prilagođava stvarnim procesima korisnika: početna analiza i snimka stanja; izrada ili revizija evidencija; provedbena dokumentacija; ugovori s izvršiteljima; analiza videonadzora; procjene rizika i DPIA; uređenje prava ispitanika i povreda; edukacija zaposlenika; periodična revizija i preporuke za poboljšanje. Cilj je sustav koji zaposlenici razumiju i koji organizacija može dokazati u nadzoru.Upozorenje: visoke kazne nisu jedini rizik. Nadzorne mjere, objava pravomoćnog rješenja, prekid obrade, reputacijska šteta i zahtjevi za naknadu štete mogu imati dugotrajan učinak.