Uredba Europskog parlamenta i Vijeća (EU) 2016/679 od 27. travnja 2016. o zaštiti fizičkih osoba u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka, kojom se ukida Direktiva 95/46/EC (Opća uredba o zaštiti podataka) (dalje u tekstu „Uredba GDPR“) i Zakon br. 18/2018 Z. z. o zaštiti osobnih podataka i o izmjenama i dopunama nekih zakona (dalje u tekstu „Zakon“) jamče vam kao osobi na koju se podaci odnose sljedeća prava:
a) Pravo osobe na koju se podaci odnose na pristup osobnim podacima, čije je sadržaj:
-
pravo dobiti od voditelja obrade potvrdu o tome obrađuju li se osobni podaci koji se odnose na osobu na koju se podaci odnose;
-
u slučaju da se osobni podaci osobe na koju se podaci odnose obrađuju, pravo dobiti pristup obrađivanim osobnim podacima i pravo dobiti sljedeće informacije:
-
informacije o svrsi obrade;
-
informacije o kategorijama osobnih podataka koji se obrađuju;
-
informacije o primateljima ili kategorijama primatelja kojima su ili će biti osobni podaci otkriveni, posebno u slučaju primatelja u trećim zemljama ili međunarodnim organizacijama;
-
ako je moguće, informacije o predviđenom vremenu čuvanja osobnih podataka ili, ako to nije moguće, informacije o kriterijima za određivanje tog vremena;
-
informacije o postojanju prava zahtijevati od voditelja obrade ispravak osobnih podataka koji se odnose na osobu na koju se podaci odnose, ili njihovo brisanje ili ograničenje obrade te o postojanju prava prigovoriti na takvu obradu;
-
informacije o pravu podnijeti pritužbu nadzornom tijelu;
-
ako osobni podaci nisu prikupljeni od osobe na koju se podaci odnose, sve dostupne informacije u pogledu njihovog izvora;
-
informacije o postojanju automatiziranog donošenja odluka, uključujući profiliranje, kako je navedeno u članku 22. stavcima 1. i 4. Uredbe, a u tim slučajevima barem smislene informacije o primijenjenoj proceduri, kao i o značenju i predviđenim posljedicama takve obrade osobnih podataka za osobu na koju se podaci odnose;
-
-
pravo biti informiran o odgovarajućim jamstvima prema članku 46. Uredbe u vezi s prijenosom osobnih podataka, ako se osobni podaci prenose u treću zemlju ili međunarodnu organizaciju;
-
pravo na dostavu kopije osobnih podataka koji se obrađuju, uz uvjet da pravo na dostavu kopije obrađenih osobnih podataka ne smije imati nepovoljan utjecaj na prava i slobode drugih;
Pravo osobe na koju se podaci odnose na pristup osobnim podacima u svojoj suštini znači da osoba na koju se podaci odnose ima pravo dobiti od nas potvrdu o tome obrađuju li se osobni podaci koji se odnose na nju, te ako je to slučaj, ima pravo dobiti pristup tim osobnim podacima. Na zahtjev osobe na koju se podaci odnose dostavit ćemo kopiju osobnih podataka koji se obrađuju. Za svaku dodatnu kopiju koju osoba na koju se podaci odnose zatraži, možemo naplatiti razuman trošak koji odgovara administrativnim troškovima. Ako osoba na koju se podaci odnose podnese zahtjev elektroničkim putem, informacije će biti dostavljene u uobičajenom elektroničkom formatu, osim ako osoba na koju se podaci odnose ne zatraži drugi način. Informacije moraju biti dostavljene odmah, najkasnije u roku od 1 mjeseca. Imamo pravo produžiti vrijeme obrade zahtjeva za dodatna 2 mjeseca ako je zahtjev složen ili čest. Međutim, osoba na koju se podaci odnose mora biti obaviještena o razlogu produženja vremena obrade u roku od 1 mjeseca. U slučaju zahtjeva koji nisu opravdani ili su prečesti, imamo pravo naplatiti naknadu koja odgovara troškovima ili odbiti zahtjev. Moramo objasniti razlog odbijanja i pravo osobe na koju se podaci odnose da podnese pritužbu nadzornom tijelu.
b) Pravo osobe na koju se podaci odnose na ispravak osobnih podataka, čije je sadržaj:
-
pravo da voditelj obrade bez odgađanja ispravi netočne osobne podatke koji se odnose na osobu na koju se podaci odnose;
-
pravo na dopunu nepotpunih osobnih podataka osobe na koju se podaci odnose, i to i putem dostave dopunskog izjave osobe na koju se podaci odnose;
Pravo osobe na koju se podaci odnose na ispravak osobnih podataka znači da nas možete zatražiti da ispravimo ili dopunimo vaše osobne podatke ako su netočni ili nepotpuni. Osoba na koju se podaci odnose ima pravo na dopunu nepotpunih osobnih podataka, i to i putem dostave dopunskog izjave.
c) Pravo osobe na koju se podaci odnose na brisanje osobnih podataka (tzv. pravo „na zaborav“), čije je sadržaj:
-
pravo ostvariti kod voditelja obrade bez odgađanja brisanje osobnih podataka koji se odnose na osobu na koju se podaci odnose, ako je ispunjen neki od tih razloga:
-
osobni podaci više nisu potrebni za svrhe za koje su prikupljeni ili na drugi način obrađeni;
-
osoba na koju se podaci odnose povuče privolu na temelju koje se obrada provodi, pod uvjetom da ne postoji drugi pravni temelj za obradu osobnih podataka;
-
osoba na koju se podaci odnose prigovori obradi osobnih podataka prema članku 21. stavku 1. Uredbe i ne postoje opravdani razlozi za obradu osobnih podataka ili osoba na koju se podaci odnose prigovori obradi osobnih podataka prema članku 21. stavku 2. Uredbe;
-
osobni podaci su obrađivani nezakonito;
-
osobni podaci moraju biti izbrisani kako bi se ispunila zakonska obveza prema pravu Europske unije ili pravu države članice kojoj voditelj obrade podliježe;
-
osobni podaci su prikupljeni u vezi s ponudom usluga informacijskog društva prema članku 8. stavku 1. Uredbe;
-
-
pravo da voditelj obrade, koji je objavio osobne podatke osobe na koju se podaci odnose, u skladu s dostupnom tehnologijom i troškovima poduzme odgovarajuće mjere, uključujući tehničke mjere, kako bi obavijestio druge voditelje obrade osobnih podataka da osoba na koju se podaci odnose zahtijeva da obrišu sve poveznice na te osobne podatke, njihove kopije ili replike;
pritom vrijedi da pravo na brisanje osobnih podataka prema članku 17. stavcima 1. i 2. Uredbe [tj. s pravima prema (i) i (ii) ovog podstavka J. ovog dokumenta] ne nastaje ako je obrada osobnih podataka potrebna za:
-
ostvarivanje prava na slobodu izražavanja i informacije;
-
ispunjenje zakonske obveze koja zahtijeva obradu prema pravu Europske unije ili pravu države članice kojoj voditelj obrade podliježe, ili za ispunjenje zadatka koji se provodi u javnom interesu ili u okviru izvršavanja javne vlasti povjerene voditelju obrade;
-
iz razloga javnog interesa u području javnog zdravlja u skladu s člankom 9. stavkom 2. točkama h) i i) Uredbe, kao i člankom 9. stavkom 3. Uredbe;
-
u svrhu arhiviranja u javnom interesu, za znanstvena ili povijesna istraživanja ili za statističke svrhe prema članku 89. stavku 1. Uredbe, pod uvjetom da je vjerojatno da će pravo navedeno u članku 17. stavku 1. Uredbe onemogućiti ili ozbiljno otežati ostvarivanje ciljeva takve obrade osobnih podataka; ili
-
za dokazivanje, ostvarivanje ili obranu pravnih zahtjeva;
Pravo Subjekta podataka na brisanje osobnih podataka znači da moramo izbrisati vaše osobne podatke ako (i) nisu potrebni za svrhe za koje su prikupljeni ili na drugi način obrađeni, (ii) obrada je nezakonita, (iii) prigovorite obradi i ne postoje pretežni legitimni razlozi za obradu, ili (iv) to zahtijeva zakonska obveza.
d) Pravo Subjekta podataka na ograničenje obrade osobnih podataka, čije je značenje:
pravo da Upravljatelj ograniči obradu osobnih podataka u slučaju kada je prisutan jedan od sljedećih razloga:
-
Subjekt podataka osporava točnost osobnih podataka, i to tijekom razdoblja koje omogućava Upravljatelju da provjeri točnost osobnih podataka;
-
obrada osobnih podataka je nezakonita, a subjekt podataka protivi se brisanju osobnih podataka i umjesto toga zahtijeva ograničenje njihove uporabe;
-
Upravljatelj više ne treba osobne podatke za svrhe obrade, ali ih subjekt podataka treba za dokazivanje, ostvarivanje ili obranu pravnih zahtjeva;
-
subjekt podataka je uložio prigovor na obradu u skladu s člankom 21. stavkom 1. Uredbe, i to do provjere postoji li pretežni legitimni razlozi Upravljatelja u odnosu na legitimne interese Subjekta podataka;
pravo da, u slučaju da je obrada osobnih podataka ograničena prema podtočki (i) ovog stavka d), takvi ograničeni osobni podaci, osim za pohranu, mogu se obrađivati samo uz suglasnost Subjekta podataka ili za dokazivanje, ostvarivanje ili obranu pravnih zahtjeva, ili za zaštitu prava druge fizičke ili pravne osobe, ili iz razloga važnog javnog interesa Europske unije ili države članice;
pravo biti unaprijed obaviješten o ukidanju ograničenja obrade osobnih podataka;
Pravo Subjekta podataka na ograničenje obrade osobnih podataka znači da, ako ne riješimo sporna pitanja u vezi s obradom vaših osobnih podataka, moramo ograničiti obradu vaših osobnih podataka tako da osobne podatke Subjekta podataka možemo samo pohraniti, ali ne i dalje obrađivati.
e) Pravo Subjekta podataka na ispunjenje obveze obavještavanja primatelja, čije je značenje:
pravo da Upravljatelj obavijesti svakog primatelja kojem su osobni podaci dostavljeni o svakom ispravljanju ili brisanju osobnih podataka ili ograničenju obrade izvršenim u skladu s člankom 16, člankom 17. stavkom 1. i člankom 18. Uredbe, osim ako se to ne pokaže nemogućim ili ako to ne zahtijeva nerazmjerno napor;
pravo da Upravljatelj obavijesti Subjekta podataka o tim primateljima, ako to subjekt podataka zahtijeva;
Pravo Subjekta podataka na ispunjenje obveze obavještavanja primatelja znači obvezu Upravljatelja da obavijesti svakog primatelja kojem je osobne podatke Subjekta podataka dostavio o svakom ispravljanju i brisanju osobnih podataka ili ograničenju njihove obrade. Ova obveza ne postoji za Upravljatelja samo u slučaju kada je obavještavanje objektivno nemoguće ili zahtijeva nerazmjerno napor.
f) Pravo Subjekta podataka na prijenosnost osobnih podataka, čije je značenje:
pravo da se dobije osobne podatke koji se odnose na Subjekta podataka i koje je dostavio Upravljatelju, u strukturiranom, uobičajenom i strojno čitljivom formatu, te pravo da se ti podaci prenesu drugom upravljatelju bez prepreka od strane Upravljatelja, ako:
-
obrada se temelji na suglasnosti Subjekta podataka u skladu s člankom 6. stavkom 1. točkom (a) Uredbe ili člankom 9. stavkom 2. točkom (a) Uredbe, ili na ugovoru u skladu s člankom 6. stavkom 1. točkom (b) Uredbe, i istovremeno;
-
obrada se obavlja automatiziranim sredstvima, i istovremeno;
-
pravo na dobivanje osobnih podataka u strukturiranom, uobičajenom i strojno čitljivom formatu te pravo na prijenos tih podataka drugom upravljatelju bez prepreka od strane Upravljatelja, ne smije imati nepovoljne posljedice po prava i slobode drugih;
pravo na prijenos osobnih podataka izravno od jednog upravljatelja drugom, ako je to tehnički moguće;
Pravo na prijenosnost podataka znači da imate pravo dobiti od nas vaše osobne podatke koje ste nam prethodno dostavili, u strukturiranom, uobičajenom i strojno čitljivom formatu, te imate pravo zahtijevati da prenesemo vaše osobne podatke drugom upravljatelju pod zakonskim uvjetima; ostvarivanje ovog prava ne utječe na vaše pravo na brisanje osobnih podataka. Pravo na prijenosnost podataka odnosi se samo na osobne podatke koje smo od vas prikupili na temelju ugovora čiji ste ugovorni partner.
g) pravo Subjekta podataka na prigovor, koje uključuje:
pravo u bilo kojem trenutku prigovoriti, iz razloga koji se odnose na specifičnu situaciju Subjekta podataka, protiv obrade osobnih podataka koji se odnose na njega, a koja se provodi na temelju članka 6. stavka 1. točke e) ili f) Uredbe, uključujući prigovor protiv profiliranja temeljenog na tim odredbama Uredbe;
[u slučaju ostvarivanja prava u bilo kojem trenutku prigovoriti, iz razloga koji se odnose na specifičnu situaciju Subjekta podataka, protiv obrade osobnih podataka koji se odnose na njega, a koja se provodi na temelju članka 6. stavka 1. točke e) ili f) Uredbe, uključujući prigovor protiv profiliranja temeljenog na tim odredbama Uredbe] pravo da Voditelj obrade ne nastavi obrađivati osobne podatke Subjekta podataka, osim ako ne dokaže nužne opravdane razloge za obradu koji nadmašuju interese, prava i slobode Subjekta podataka, ili razloge za potvrdu, ostvarivanje ili obranu pravnih zahtjeva;
pravo u bilo kojem trenutku prigovoriti protiv obrade osobnih podataka koji se odnose na Subjekta podataka, u svrhe izravnog marketinga, uključujući profiliranje u mjeri u kojoj je povezano s izravnim marketingom; pritom vrijedi da, ako Subjekt podataka prigovori na obradu osobnih podataka u svrhe izravnog marketinga, osobni podaci se više ne smiju obrađivati u te svrhe;
(u vezi s korištenjem usluga informacijskih društava) pravo na ostvarenje prava prigovora protiv obrade osobnih podataka putem automatiziranih sredstava uz uporabu tehničkih specifikacija;
pravo prigovoriti iz razloga koji se odnose na specifičnu situaciju Subjekta podataka protiv obrade osobnih podataka koji se odnose na njega, ako se osobni podaci obrađuju u znanstvene ili povijesne svrhe ili u statističke svrhe prema članku 89. stavku 1. Uredbe, osim u slučajevima kada je obrada nužna za izvršenje zadatka iz razloga javnog interesa;
Pravo Subjekta podataka na prigovor znači da kao Subjekt podataka možete podnijeti prigovor na obradu vaših osobnih podataka koju provodimo u svrhe izravnog marketinga ili iz opravdanih razloga. Pri obradi osobnih podataka u marketinške svrhe, prestajemo odmah nakon primitka prigovora.
h) pravo Subjekta podataka u vezi s automatiziranim individualnim donošenjem odluka, koje uključuje:
pravo da se na Subjekta podataka ne primjenjuje odluka koja je temeljena isključivo na automatiziranoj obradi osobnih podataka, uključujući profiliranje, a koja ima pravne učinke koji se odnose na njega ili ga slični značajni način utječu, osim u slučajevima prema članku 22. stavku 2. Uredbe [tj. osim u slučajevima kada je odluka: (a) nužna za sklapanje ili izvršenje ugovora između Subjekta podataka i Voditelja obrade, (b) dopuštena pravom Europske unije ili pravom države članice kojoj Voditelj obrade podliježe i kojim se također utvrđuju odgovarajuće mjere za zaštitu prava i sloboda i opravdanih interesa Subjekta podataka ili (c) temelji se na izričitom pristanku Subjekta podataka];
Pravo Subjekta podataka u vezi s automatiziranim individualnim donošenjem odluka znači da kao Subjekt podataka imate pravo da se na vas ne primijeni odluka koja je isključivo temeljena na automatiziranoj obradi, uključujući profiliranje, a koja ima pravne učinke koji se odnose na vas ili vas slični značajni način utječu. U slučajevima kada je takva obrada nužna za sklapanje ili izvršenje ugovora ili temelji se na izričitom pristanku Subjekta podataka, Voditelj obrade poduzima odgovarajuće mjere za zaštitu prava i sloboda i opravdanih interesa Subjekta podataka, osobito poduzima minimalne mjere kao pravo na ljudsku intervenciju od strane Voditelja obrade, pravo Subjekta podataka na izražavanje stava i prava Subjekta podataka na osporavanje odluke.
Voditelj obrade pružit će Subjektu podataka informacije o mjerama koje su poduzete na temelju zahtjeva prema člancima 15. do 22. Uredbe GDPR-a, bez nepotrebnog odgađanja, i u svakom slučaju u roku od mjesec dana od primitka zahtjeva. Taj rok se može, prema potrebi, produžiti za dodatna dva mjeseca, uzimajući u obzir složenost zahtjeva i broj zahtjeva. Voditelj obrade će obavijestiti Subjekta podataka o svakom takvom produženju roka u roku od mjesec dana od primitka zahtjeva, zajedno s razlozima kašnjenja. Ako je Subjekt podataka podnio zahtjev elektroničkim putem, informacije će, kad god je to moguće, biti dostavljene elektroničkim putem, osim ako Subjekt podataka nije zatražio drugačiji način.
U navedenim slučajevima Voditelj obrade može odbiti postupiti na temelju zahtjeva Subjekta podataka pri ostvarivanju njegovih prava prema člancima 15. do 22. Uredbe GDPR-a samo ako dokaže da nije u mogućnosti identificirati Subjekta podataka.
i) Pravo Subjekta podataka na podnošenje prijedloga za pokretanje postupka prema odredbi članka 100. Zakona o zaštiti osobnih podataka, koje uključuje:
pravo Subjekta podataka koji smatra da dolazi do neovlaštene obrade njegovih osobnih podataka ili do zloporabe njegovih osobnih podataka, podnijeti prijedlog za pokretanje postupka o zaštiti osobnih podataka pri Agenciji za zaštitu osobnih podataka Republike Hrvatske (dalje u tekstu: "Agencija");
Prijedlog za pokretanje postupka može se podnijeti pisanim putem, osobno usmeno u zapisniku, elektroničkim sredstvima, pri čemu mora biti potpisan kvalificiranim elektroničkim potpisom, telegramom ili faksem, koji treba pisano ili usmeno dopuniti u zapisniku najkasnije u roku od 3 dana;
Prijedlog mora, u skladu s odredbama članka 100. stavka 3. Zakona o zaštiti osobnih podataka, sadržavati:
-
ime, prezime, adresu prebivališta i potpis podnositelja prijedloga;
-
označavanje osobe protiv koje prijedlog upućuje; naziv ili ime i prezime, sjedište ili prebivalište, eventualno pravnu formu i identifikacijski broj;
-
predmet prijedloga s označavanjem koja prava su prema tvrdnjama podnositelja prijedloga povrijeđena pri obradi osobnih podataka;
-
dokaze koji podupiru tvrdnje iz prijedloga;
-
kopiju dokumenta koji dokazuje ostvarivanje prava prema članku 28., ako je takvo pravo moglo biti ostvareno, ili navođenje razloga koji zaslužuju poseban razmatranje;
Agencija će potom odlučiti o prijedlogu podnositelja prijedloga u roku od 60 dana od početka postupka. U opravdanim slučajevima, Agencija može produžiti ovaj rok, najviše do 6 mjeseci. O produženju roka Agencija će pisano obavijestiti sudionike postupka;
Obrazac prijedloga za pokretanje postupka zaštite osobnih podataka možete pronaći na web stranici Agencije (https://dataprotection.gov.sk/uoou/sites/default/files/vzor_navrhu_na_zacatie_konania_podla_noveho_zakona.docx).