(567-UP/I-041-02/23-07/6-1B1)
REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb, 12.12.2023.
Agencija za zaštitu osobnih podataka, OIB: 28454963989 na temelju članka 57. stavka 1. i 58.
stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti
pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o
stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SLEU L119, članka
34. Zakona o provedbi Opće uredbe o zaštiti podataka („Narodne novine“, broj: 42/18) te članka
41. i 96. Zakona o općem upravnom postupku („Narodne novine“, broj: 47/09 i 110/21), a
povodom zahtjeva za utvrđivanje povrede prava na zaštitu osobnih podataka maloljetne X,
zastupanoj po majci i zakonskoj zastupnici X, donosi sljedeće
R J E Š E NJ E
1. Zahtjev za utvrđivanje povrede prava na zaštitu osobnih podataka maloljetne X,
zastupanoj po majci i zakonskoj zastupnici X, je osnovan.
2. Utvrđuje se da je prikupljanjem i daljnjom obradom osobnih podataka maloljetne X, od
strane voditelja obrade Turističke zajednice Grada X, bez postojanja zakonite svrhe i
pravne osnove došlo do nezakonite obrade osobnih podataka protivno članku 5. i 6.
Opće uredbe o zaštiti podataka.
3. Turističkoj zajednici Grada X, kao voditelju obrade, izdaje se službena opomena zbog
obrade osobnih podataka maloljetne X, protivno članku 5. stavku 1. točci a) te članku
6. stavku 1. Opće uredbe o zaštiti podataka.
O b r a z l o ž e nj e
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) zaprimila je zahtjev za
utvrđivanje povrede na zaštitu osobnih podataka mldb. X, koji zahtjev je podnijela majka X
(dalje u tekstu: podnositeljica zahtjeva), a u kojem u bitnome navodi da je Turistička zajednica
1
X (dalje u tekstu: voditelj obrade) u svibnju 2022. organizirala u Gradu X na trgu sportski dan
te da je sam događaj fotografiran iako nije bilo obavijesti vezano uz GDPR, fotografiranje i
slično. Nakon završetka događaja u raznim medijima (primjerice na Facebook stranici Grada
X) objavljen je izvještaj o tom događaju koji su pratile i fotografije, a na nekima od predmetnih
fotografija je bila i maloljetna kćer podnositeljice zahtjeva.
Podnositeljica zahtjeva nadalje ističe da je ove godine početkom svibnja, voditelj obrade
objavio najavu da će se održati X i za najavu tog događaja korištena je fotografija na kojoj je
isključivo kćer podnositeljice zahtjeva, u prvom planu, bez da joj je zamagljeno lice.
Podnositeljica zahtjeva ističe kako je slika korištena u promotivne svrhe, kao reklama, a bez
dozvole iste (i bez dozvole supruga podnositeljice zahtjeva), te da je podnositeljica zahtjeva
predmetnu sliku vidjela na Facebook i Instagram stranici te na web stranici Grada X.
Podnositeljica zahtjeva je reagirala na prethodno navedeno i obratila se voditelju obrade kao
organizatoru događaja, nakon čega su isti uklonili fotografije sa Facebook profila i web stranice
Grada X. Međutim, predmetna fotografija nije uklonjena sa Instagram stranice Grada X, te se
tamo još uvijek nalazi.
Zahtjevu je priloženo sljedeće: preslika obavijesti o privatnosti voditelja obrade koja se odnosi
na X koji je održan dana … svibnja 2023., e-mailovi koje je podnositeljica zahtjeva uputila
voditelju obrade zajedno sa njihovim odgovorima, objava s Facebook profila, objava s
Instagram profila Grada X, te objava s web stranice X za X.
Zahtjev je osnovan.
Imajući u vidu navode iz zaprimljenog zahtjeva Agencija je sukladno svojim zakonskim
ovlastima zatražila od voditelja obrade očitovanje o navodima iz zaprimljenog zahtjeva odnosno
da navedu koja je pravna osnova za objavu fotografije maloljetne X. Uz navedeno, zatražene su
informacije je li voditelj obrade obavijestio posjetitelje sportskog događaja u svibnju 2022.
godine o pravilima privatnosti, odnosno da predmetni događaj može biti sniman i da fotografije
događaja mogu biti korištene od strane voditelja obrade, te je li isto napravljeno i za sportski
događaj koji je bio u svibnju 2023. godine. Nadalje, zatraženo je da voditelj obrade potvrdi da
li je zaprimio zahtjev podnositeljice i na koji način je postupano po istome, uz potrebu dostave
preslike komunikacije ostvarene sa istom, a posebno da dostave podatak zašto predmetna
fotografija nije uklonjena sa Instagram stranice Grada X.
Agencija je zaprimila traženo očitovanje voditelja obrade u kojem u bitnome navode da je na
dan događaja, javnost nedvojbeno bila informirana putem pisane obavijesti o privatnosti u
velikom formatu kako će se događanje snimati i fotografirati, a koja obavijest je bila postavljena
na ulaz u poligon na obavijesnu ploču u blizini održavanja događanja. Što se tiče Instagram
profila koji se spominje u zahtjevu podnositeljice, voditelj obrade se očitovao kako ne upravlja
tim profilom pa ne može utjecati na njegov sadržaj.
Voditelj obrade u svom očitovanju nadalje iznosi kako je i ove godine u sklopu X, a u sklopu
projekta X koji je održan … svibnja 2023., javnost informirana putem pisane obavijest o
2
privatnosti kako će se događanje snimati i fotografirati, a koja je bila postavljena na nekoliko
vidljivih lokacija.
U privitku očitovanja dostavljeno je: Zahtjev za očitovanje Agencije za zaštitu osobnih
podataka, Izvješće o povredi osobnih podataka koje je dostavljeno pisanim putem (e-mailom)
Agenciji za zaštitu osobnih podataka dana 5. svibnja 2023., te popratni dokumenti vezani uz
navedeni predmet, kao i očitovanje na dopis (prigovor) podnositeljice zahtjeva sukladno kojem
je voditelj obrade i postupio.
Nastavno na navedeno, ističemo kako se od 25. svibnja 2018., u svim državama članicama
Europske unije, pa tako i u Republici Hrvatskoj, u području zaštite osobnih podataka, izravno i
obvezujuće primjenjuje Opća uredba o zaštiti podataka.
U članku 4. stavak 1. Opće uredbe o zaštiti podataka je navedeno da su osobni podaci svi podaci
koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac
čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito
uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni
identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski,
mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.
Sukladno članku 4. stavku 2. Opće uredbe o zaštiti podataka, obrada znači svaki postupak ili
skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo
automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje,
organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida,
uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način,
usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.
Nadalje, prema članku 4. stavak 7. Opće uredbe o zaštiti podataka, voditelj obrade osobnih
podataka znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili
zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka.
Člankom 5. Opće uredbe o zaštiti podataka propisana su načela obrade osobnih podataka.
Osobni podaci moraju biti: (a) zakonito, pošteno i transparentno obrađivani s obzirom na
ispitanika („zakonitost, poštenosti transparentnost”); (b) prikupljeni u posebne, izričite i
zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja
obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili
u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim
svrhama („ograničavanje svrhe”); (c) primjereni, relevantni i ograničeni na ono što je nužno u
odnosu na svrhe u koje se obrađuju („smanjenje količine podataka”); (d) točni i prema potrebi
ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu
točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave („točnost”);
(e) čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je
potrebno u svrhe radi kojih se osobni podaci obrađuju; osobni podaci mogu se pohraniti na dulja
razdoblja ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u
3
svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89.
stavkom 1., što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih
Općom uredbom o zaštiti podataka radi zaštite prava i sloboda ispitanika („ograničenje
pohrane”); (f) obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka,
uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili
oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera („cjelovitost i
povjerljivost”).
U članku 6. stavak 1. Opće uredbe o zaštiti podataka taksativno navode moguće pravne
osnove/uvjeti zakonite obrade osobnih podataka. Tako je navedenim člankom propisano da je
obrada osobnih podataka zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno
od sljedećega: a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više
posebnih svrha, b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako
bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora, c) obrada je nužna radi
poštovanja pravnih obveza voditelja obrade, d) obrada je nužna kako bi se zaštitili ključni
interesi ispitanika ili druge fizičke osobe, e) obrada je nužna za izvršavanje zadaće od javnog
interesa ili pri izvršavanju službene ovlasti voditelja obrade, f) obrada je nužna za potrebe
legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili
temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je
ispitanik dijete.
U ovoj upravnoj stvari uzeti su u obzir navodi/očitovanja stranaka na okolnosti konkretnog
slučaja te je izvršen uvid u dokumentaciju koja prileži spisu predmeta.
U konkretnom slučaju utvrđeno je da se radilo o javnom događanju koji se odvijao na javnom
mjestu (javni trg) te se smatra da je fotografiranje predmetnog događaja od interesa javnosti.
Također je utvrđeno da je javnost bila informirana o snimanju i fotografiranju samog događaja
putem pisane obavijesti o privatnosti u velikom formatu, a koja obavijest je bila postavljena na
ulaz u poligon na obavijesnu ploču u blizini održavanja događanja. Stoga se smatra da je u
konkretnom slučaju postojao legitiman interes voditelja obrade kao zakonita pravna osnova za
obradu osobnih podataka sudionika predmetnog događaja, a sve u skladu s člankom 6. stavak
1. točka (f) Opće uredbe o zaštiti podataka.
Međutim, za fotografiranje pojedine osobe koja je bila posjetitelj događaja i koja se izdvaja iz
mase na način da joj se nedvojbeno može utvrditi identitet, te korištenje takve fotografije za
promotivne svrhe za najavu događaja „X“, legitiman interes nije zakonita pravna osnova. U
konkretnom slučaju zakonita pravna osnova bi bila privola, sukladno članku 6. stavak 1. točka
(a) Opće uredbe o zaštiti podataka.
U članku 4. stavku 1. točka 11. Opće uredbe o zaštiti podataka objašnjeno je da „privola”
ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja
ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih
podataka koji se na njega odnose.
4
U konkretnom slučaju utvrđeno je kako podnositeljica zahtjeva nije dala privolu za snimanje i
fotografiranje svoje maloljetne kćeri X, odnosno za javnu objavu predmetne fotografije koja
sadrži prikaz iste, te u tom smislu ne postoji pravna osnova iz članka 6. stavak 1. točka (a) Opće
uredbe o zaštiti podataka.
U svezi sa prethodno navedenim, u ovoj upravnoj stvari utvrđeno je kako u konkretnom slučaju
nisu bili ispunjeni uvjeti poštene i zakonite obrade osobnih podataka maloljetne kćeri
podnositeljice zahtjeva uzimajući u obzir članak 5.1. a) Opće uredbe o zaštiti podataka, s
obzirom na to da voditelj obrade nije na odgovarajući način utvrdio pravnu osnovu i zakonitu
svrhu za javnu objavu osobnih podataka maloljetne kćeri podnositeljice zahtjeva.
Člankom 17. stavak 1. Opće uredbe propisano je kako ispitanik ima pravo od voditelja obrade
ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te da
voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen
jedan od sljedećih uvjeta: (a) osobni podaci više nisu nužni u odnosu na svrhe za koje su
prikupljeni ili na drugi način obrađeni; (b) ispitanik povuče privolu na kojoj se obrada temelji
u skladu s člankom 6. stavkom 1. točkom (a) ili člankom 9. stavkom 2. točkom (a) i ako ne
postoji druga pravna osnova za obradu; (c) ispitanik uloži prigovor na obradu u skladu s
člankom 21. stavkom 1. te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži prigovor
na obradu u skladu s člankom 21. stavkom 2.; (d) osobni podaci nezakonito su obrađeni; (e)
osobni podaci moraju se brisati radi poštovanja pravne obveze iz prava Unije ili prava države
članice kojem podliježe voditelj obrade; (f) osobni podaci prikupljeni su u vezi s ponudom
usluga informacijskog društva iz članka 8. stavka 1.
Ako je voditelj obrade javno objavio osobne podatke i dužan je u skladu sa stavkom 1. obrisati
te osobne podatke, uzimajući u obzir dostupnu tehnologiju i trošak provedbe, voditelj obrade
poduzima razumne mjere, uključujući tehničke mjere, kako bi informirao voditelje obrade koji
obrađuju osobne podatke da je ispitanik zatražio od tih voditelja obrade da izbrišu sve poveznice
do njih ili kopiju ili rekonstrukciju tih osobnih podataka (članak 17. stavak 2. Opće uredbe o
zaštiti podataka). Stavci 1. i 2. predmetnog članka ne primjenjuju se u mjeri u kojoj je obrada
nužna između ostalog radi ostvarivanja prava na slobodu izražavanja i informiranja (stavak 3.).
Voditelj obrade priopćuje svaki ispravak ili brisanje osobnih podataka ili ograničenje obrade
provedeno u skladu s člankom 16., člankom 17. stavkom 1. i člankom 18. svakom primatelju
kojem su otkriveni osobni podaci, osim ako se to pokaže nemogućim ili zahtijeva nerazmjeran
napor. Voditelj obrade obavješćuje ispitanika o tim primateljima ako to ispitanik zatraži (članak
19. Opće uredbe o zaštiti podataka).
Podnositeljica zahtjeva je početkom svibnja 2023. godine vidjela plakat sa fotografijom svoje
kćeri, te predmetnu fotografiju na Facebook i Instagram profilu Grada X kao i na web stranici
Grada X. Podnositeljica zahtjeva je odmah reagirala i uputila zahtjev za brisanje predmetne
fotografije voditelju obrade. Voditelj obrade je postupio sukladno navedenom traženju i obrisao
predmetnu fotografiju sa navedenog plakata, sa Facebook profila Grada X te sa web stranice
Grada X. Međutim, fotografija tada nije obrisana sa Instagram profila Grada X.
5
Vezano za navedeni Instagram profil, voditelj obrade se očitovao da isti ne upravlja tim
profilom pa ne utječe na njegov sadržaj.
Međutim, nakon zaprimanja spomenutog očitovanja Agencija je izvršila uvid u Instragram
profil Grada X, te je utvrđeno kako se na istome više ne nalazi predmetna fotografija, iz čega
je razvidno da je ista naknadno obrisana.
Dakle, voditelj obrade je imao pravnu osnovu za objavu fotografija sa javnog događaja koji se
vodio na javnom trgu. Međutim, voditelj obrade nije imao pravnu osnovu i zakonitu svrhu za
objavu izdvojene fotografije maloljetne kćeri podnositeljice zahtjeva. Slijedom navedenog u
konkretnom slučaju došlo je do objave osobnih podataka maloljetne kćeri podnositeljice
zahtjeva bez zakonite osnove protivno članku 5. i 6. Opće uredbe o zaštiti podataka. Međutim,
u postupku je cijenjena okolnost da je voditelj obrade uklonio/obrisao fotografiju maloljetne
kćeri podnositeljice zahtjeva sa navedenog plakata, sa Facebook profila Grada X te sa web
stranice Grada X, a naknadno je ista fotografija uklonjena i sa Instagram profila Grada X. Stoga
je u ovoj upravnoj stvari utvrđeno kako zbog grubog kršenja prava na zaštitu osobnih podataka
voditelj obrade nije zakonito obrađivao/objavljivao osobne podatke maloljetne kćeri
podnositeljice zahtjeva čime su prekršene odredbe članka 5. i 6. Opće uredbe o zaštiti podataka
te se voditelju obrade izriče službena opomena budući da je isti svojim postupanjem kršio
odredbe Uredbe.
Slijedom gore navedenoga, odlučeno je kao u izreci rješenja.
UPUTA O PRAVNOM LIJEKU
Protiv ovog rješenja nije dopuštena žalba, ali se može pokrenuti upravni spor pred nadležnim
Upravnim sudom u X u roku od 30 dana od dana dostave rješenja.
ZAMJENIK RAVNATELJA
Igor Vulje
Dostaviti:
1. X
2. Turistička zajednica X
3. Pismohrana, ovdje
6