REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb, 09. svibnja 2024.
Agencija za zaštitu osobnih podataka, OIB: 28454963989, na temelju članka 57. stavak 1. i
članka 58. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016.
o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka
te o stavljanju izvan snage Direktive 95/46/EZ, SL EU L119 (Opća uredba o zaštiti podataka),
članka 34. Zakona o provedbi Opće uredbe o zaštiti podataka („Narodne novine“, broj:
42/2018) te članaka 41. i 96. Zakona o općem upravnom postupku („Narodne novine“, broj:
47/09, 110/21.), a povodom zahtjeva za utvrđivanje povrede prava na zaštitu osobnih podataka
X OIB: X, donosi sljedeće
R J E Š E NJ E
1. Zahtjev za utvrđivanje povrede prava na zaštitu osobnih podataka X je osnovan.
2. Utvrđuje se da je obradom osobnih podataka X, tj. njegovog imena i prezimena i e-mail
adrese od banke X nakon prestanka ugovornog odnosa sa bankom X, a bez opravdane
svrhe i pravnog temelja, došlo do povrede članka 5.1.b) i članka 6.1. Opće uredbe o
zaštiti podataka.
O b r a z l o ž e nj e
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) zaprimila je zahtjev za
utvrđivanje povrede prava na zaštitu osobnih podataka X (dalje u tekstu: podnositelj zahtjeva).
Iz predmetnog zahtjeva proizlazi kako se podnositelj zahtjeva obraćao službeniku za zaštitu
podataka banke X, tražeći brisanje osobnih podataka iz evidencija banke koji se koriste u svrhe
marketinga, a po kojem zahtjevu banka nije postupila.
Predmetnom zahtjevu prilaže se korespondencija iz prosinca 2021. godine ostvarena s adrese
X na više adresa e-pošte Banke.
Zahtjev je osnovan.
1
Postupajući po predmetnom zahtjevu zatraženo je očitovanje Banke o tome da li se predmetni
osobni podaci podnositelja zahtjeva (njegova e-mail adresa) još uvijek nalaze u evidencijama
banke kao podaci koji se koriste u svrhe marketinga, odnosno da li su isti podaci brisani, kojeg
datuma su brisani, tj. da li je banka postupala po zahtjevu podnositelja za brisanje podataka te
ga o istome informirala sukladno obvezama iz Opće uredbe o zaštiti podataka.
Banka dostavila je traženo očitovanje u kojem se navodi kako se podnositelj zahtjeva dana 02.
prosinca 2021. godine obratio banci s upitom o korištenju osobnih podataka od strane banke,
što je bila njegova reakcija na ponudu za ugovaranjem tekućeg računa, upućenu na e-mail
adresu X s adrese X, a koja poruka mu je bila upućena sukladno njegovoj suglasnosti za
kontaktiranje danoj 08. srpnja 2014. godine. Nadalje se napominje kako je u okviru e-maila
implementirana mogućnost odjave te su navedeni ostali kontakt podaci na koje klijenti mogu
kontaktirati banku. Navedenu mogućnost odjave podnositelj zahtjeva nije koristio, kao niti bilo
koji od navedenih kontakata, već se samo javio sa predmetnim upitom na e-mail adresu
Predsjednika Uprave banke. Također, navodi se kako je podnositelj zahtjeva u odgovoru od 13.
prosinca 2021. godine obaviješten da u sustavu banke postoji evidentirana njegova suglasnost
za obavještavanje o proizvodima i uslugama banke te je njegov upit interpretiran kao zahtjev
za ukidanje suglasnosti, koja je posljedično i ukinuta s datumom 13. prosinca 2021. godine.
S obzirom da je poslovni odnos sa podnositeljem zahtjev prestao dana 30. studenoga 2017.
godine, kada je podnositelj zahtjeva zatvorio redovni tekući račun, banka njegove podatke
sukladno rokovima iz članka 160. stavak 2. Zakona o kreditnim institucijama čuva najmanje
jedanaest godina nakon isteka godine u kojoj je poslovni odnos prestao, a o čemu su svi klijenti
banke obaviješteni putem informacije o obradi osobnih podataka, kontinuirano dostupnoj na
stranicama banke.
Naposlijetku se navodi kako je, zbog pogreške u definiranju kriterija za dohvat aktivnih
klijenata, podnositelj zahtjeva u srpnju 2023. godine pozvan na ažuriranje podataka za potrebe
provođenja mjera sprječavanja pranja novca i financiranja terorizma. Podnositelj zahtjeva se
javio povodom tog poziva te mu je pojašnjen zakonski temelj čuvanja podataka a također je
obaviješten da poruku za ažuriranje podataka može zanemariti.
Očitovanju banke prilaže se privola podnositelja zahtjeva za obradu osobnih podataka u svrhe
marketinga dana 08. srpnja 2014. godine te predmetna e-mail korespondencija između banke i
podnositelja zahtjeva.
Nastavno na navedeno, ističemo kako se od 25. svibnja 2018., u svim državama članicama
Europske unije, pa tako i u Republici Hrvatskoj, u području zaštite osobnih podataka, izravno i
obvezujuće primjenjuje Opća uredba o zaštiti podataka.
Sukladno članku 4.2. Opće uredbe o zaštiti podataka, obrada osobnih podataka znači svaki
postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih
podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje,
bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje,
2
obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na
drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.
Navodimo kako je člankom 5.1.a) Opće uredbe o zaštiti podataka propisano da osobni podaci
moraju biti obrađivani zakonito, pošteno i transparentno (načelo zakonitosti, poštenosti i
transparentnosti, dok je člankom 5.1.b) Opće uredbe o zaštiti podataka propisano kako osobni
podaci moraju biti prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati
na način koji nije u skladu s tim svrhama (načelo ograničavanja svrhe).
U članku 6.1. Opće uredbe o zaštiti podataka taksativno se navode moguće pravne osnove/uvjeti
zakonite obrade osobnih podataka. Tako je navedenim člankom propisano da je obrada osobnih
podataka zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha,
b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele
radnje na zahtjev ispitanika prije sklapanja ugovora, c) obrada je nužna radi poštovanja pravnih
obveza voditelja obrade, d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili
druge fizičke osobe, e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri
izvršavanju službene ovlasti voditelja obrade, f) obrada je nužna za potrebe legitimnih interesa
voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i
slobode ispitanika koji zahtijevaju zaštitu osobnih podataka.
Uvodnom izjavom (47) Opće uredbe o zaštiti podataka propisano je kako legitimni interesi
voditelja obrade mogu predstavljati pravnu osnovu za obradu osobnih podataka pod uvjetom
da interesi ili temeljna prava i slobode ispitanika nemaju prednost, uzimajući u obzir razumna
očekivanja ispitanika koja se temelje na njihovom odnosu sa voditeljem obrade. Interesi i
temeljna prava ispitanika posebno bi mogli nadvladati interes voditelja obrade ako se osobni
podaci obrađuju u okolnostima u kojima ispitanici razumno ne očekuju daljnju obradu.
Člankom 180. stavkom 2. Zakona o kreditnim institucijama (Narodne novine, br. 159/13.,
19/15., 102/15., 15/18., 70/19., 47/20., 146/20., 151/22.), kao posebnog zakona, koji u smislu
članka 6.1.c) Opće uredbe o zaštiti podataka, predstavlja pravni temelj za obradu osobnih
podataka ispitanika/klijenata, propisano je kako je banka dužna najmanje jedanaest godina od
prestanka poslovnog odnosa čuvati knjigovodstvene isprave i ugovore o zasnivanju poslovnog
odnosa, tj. isprave koje se odnose na otvaranje, zatvaranje i promjene na računima.
U ovoj upravnoj stvari uzete su u obzir izjave stranaka u postupku te je izvršen uvid u priloženu
dokumentaciju. S time u vezi, utvrđeno je da je podnositelj zahtjeva dana 08. srpnja 2014.
godine voditelju obrade osobnih podataka –banci dao privolu za obradu osobnih podataka u
svrhe marketinga, koju nije povukao nakon prestanka ugovornog odnosa dana 30. studenoga
2017. godine. Uvidom u obrazac privole banke utvrđeno je da je ista dana odvojeno od drugih
svrha obrade podataka, dok je uvidom u predmetnu e-mail korespondenciju utvrđeno kako je
podnositelj zahtjeva dana 13. prosinca 2021. godine obaviješten da je u sustavu banke
evidentirana njegova suglasnost za obradu osobnih podataka u svrhe marketinga te da će se
3
njegov upit u vezi korištenja podataka upućen banci tretirati kao zahtjev za ukidanje suglasnosti,
koja je posljedično i ukinuta sa datumom 13. prosinca 2021. godine.
Što se tiče zaprimanja e-maila vezano uz ažuriranje podataka, utvrđeno je da je u pitanju bila
tehnička pogreška u pogledu dohvata aktivnih klijenata
S time u vezi, ocijenjeno je kako banka nije imala zakonsku ovlast obrade osobnih podataka
podnositelja zahtjeva (njegove e-mail adrese), a nakon prestanka ugovornog odnosa, iako
banka najmanje jedanaest godina nakon prestanka poslovnog odnosa ima ovlast obrađivati
osobne podatke, tj. isprave i ugovore koji se odnose na poslovni/ugovorni odnos (članak 160.
stavak 2. Zakona o kreditnim institucijama). Razumijeva se da klijent banke/podnositelj
zahtjeva nakon prestanka ugovornog odnosa sa bankom razumno ne očekuje daljnju obradu
osobnih podataka te u ovom slučaju nema mjesta niti postojanju legitimnog interesa za obradu
osobnih podataka, kao pravne osnove za obradu osobnih podataka podnositelja zahtjeva. Stoga
je u primjeni uvodna izjava (47) Opće uredbe o zaštiti podataka. Ujedno, iz javno dostupne
Politike o zaštiti osobnih podataka banke proizlazi kako legitimni interes za obradu podataka
postoje u slučajevima sprječavanja prijevara, video nadzora iz sigurnosnih razloga, odnosno u
slučajevima kada klijent razumno očekuje obradu osobnih podataka, koje iznimke ne postoje u
konkretnom slučaju obrade osobnih podataka podnositelja zahtjeva nakon prestanka ugovornog
odnosa.
Zaključno, u cjelokupno provedenom postupku utvrđeno je kako osobni podaci podnositelja
zahtjeva (njegova e-mail adresa) nisu zakonito obrađivani, tj. za obradu osobnih podataka
nakon prestanka ugovornog odnosa nije postojala opravdana svrha (članak 5.1.b Opće uredbe
o zaštiti podataka) i pravni temelj (članak 6.1. Opće uredbe o zaštiti podataka).
Budući da je u međuvremenu prestala obrada osobnih podataka podnositelja zahtjeva, u
konkretnom slučaju ne postoje razlozi za donošenje mjera zaštite osobnih podataka ispitanika,
tj. mjera za usklađivanje postupanja voditelja obrade (banka) s odredbama Opće uredbe o zaštiti
podataka.
Stoga je odlučeno kao u izreci.
UPUTA O PRAVNOM LIJEKU:
Protiv ovog Rješenja nije dopuštena žalba, ali se može pokrenuti upravni spor pred nadležnim
Upravnim sudom u X u roku od 30 dana od dana dostave Rješenja.
ZAMJENIK RAVNATELJA
Igor Vulje
4
DOSTAVITI:
1. X
2. Banka
3. Pismohrana, ovdje
5