REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb, 08. travnja 2020.
Agencija za zaštitu osobnih podataka na temelju članka 57. stavak 1. i 58. stavak 1. Uredbe
(EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi
s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage
Direktive 95/46/EZ SLEU L119 (u daljnjem tekstu: Opća uredba) i čl.34. Zakona o provedbi
Opće uredbe o zaštiti podataka („Narodne novine“, broj 42/18) te čl. 96.st.1. Zakona o općem
upravnom postupku (“Narodne novine” broj 47/09), po zahtjevu za zaštitu prava podnositeljice
zahtjeva donosi sljedeće
R J E Š E NJ E
1.Zahtjev za utvrđivanje povrede prava na zaštitu osobnih podataka podnositeljice zahtjeva je
osnovan.
2. Utvrđuje se da je obradom osobnih podataka podnositeljice zahtjeva od strane društva x
došlo do povrede članaka 5. stavka 1. (a) i (f), 6., 14. i 17. Opće uredbe o zaštiti podataka.
3. Zabranjuje se društvu x svaka daljnja obrada osobnih podataka podnositeljice zahtjeva i svih
drugih osoba čije osobne podatke posjeduju bez pravne osnove i zakonite svrhe.
4. Nalaže se društvu x brisanje osobnih podataka podnositeljice zahtjeva, konkretno
telefonskog broja, iz sustava pohrane, a sve temeljem članka 17. Opće uredbe o zaštiti
podataka.
5. Za postupanje iz točke 4. Izreke određuje se rok od 15 dana te o istome obavijestiti ovu
Agenciju.
1
Obrazloženje
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) zaprimila je zahtjev za
utvrđivanje povrede prava na zaštitu osobnih podataka podnositeljice zahtjeva u kojem
podnositeljica navodi da je na telefonski broj … zaprimila poziv s telefonskog … iako se
njezin broj nalazi u Registru „Ne zovi“ i nikada nije dala privolu za kontaktiranje. U prilogu
svog zahtjeva podnositeljica je dostavila dokaz o Upisu u registar “Ne zovi“, te dokaz o pozivu
na broj telefona.
Zahtjev je osnovan.
Postupajući po zaprimljenom zahtjevu Agencija je provela nadzorne radnje te je utvrđeno kako
se predmetni broj telefona ne nalazi javno objavljen u telefonskom imeniku. Nadalje je
nadzornim aktivnostima utvrđeno da je broj … s kojeg su upućivani telefonski pozivi u
vlasništvu društva x te je zatraženo očitovanje predmetnog društva o obradi osobnih podataka
podnositeljice zahtjeva.
Navedeno društvo očitovalo se dopisom u kojem navode da je djelatnik društva dana 2. siječnja
2020 godine nazvao telefonski broj s ciljem anketiranja osobe koju je nazvao na broj … želi
li sudjelovati u anketi nakon čega je osoba koja se javila rekla da ne želi sudjelovati u anketi
te razgovor nije nastavljen niti je osoba ponovno pozivana. Nadalje, u svom očitovanju navode
da nemaju informaciju na koga se sporni broj odnosi i te da u svojoj bazi imaju evidentirani
sporni broj i grad bez bilo kakvih osobnih podataka (ime, prezime i sl). Također navode da je
pravna osnova za obradu osobnih podataka legitiman interes društva kao voditelja obrade, a u
slučaju da je osoba pristala na provođenje ankete tada bi se daljnja obrada temeljila na privoli
ispitanika te da je broj svojevremeno prikupljen iz telefonskog imenika. Naglašavaju da se
pozivanje osoba s ciljem provođenja ankete ne smatra promidžbom ili prodajom proizvoda ili
usluga. Naposljetku navode da rade provjeru u Registru Ne zovi, ali da je u konkretnom slučaju
riječ o ljudskoj greški i da sporni broj nije dostavljen trećoj osobi .
Sukladno članku 5. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016.
o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka
te o stavljanju izvan snage Direktive 95/46/EZ dalje u tekstu: Opća uredba o zaštiti podataka
osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika
(načelo zakonitosti, poštenosti i transparentnosti); prikupljeni u posebne, izričite i zakonite
svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama (načelo
ograničavanja svrhe); primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe
u koju se obrađuju (načelo smanjenja količine podataka); točni i prema potrebi ažurni (načelo
točnosti); čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko
je potrebno u svrhe radi kojih se osobni podaci obrađuju (načelo ograničenja pohrane);
obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući
zaštitu od zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili
oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera ( načelo cjelovitosti i
povjerljivosti).
2
Navedena Opća uredba o zaštiti podataka u članku 4. stavak 1. točka 1. propisuje da su osobni
podaci svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, a
pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili
neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o
lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički,
fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.
Člankom 6. Opće uredbe o zaštiti podataka propisano je da je obrada zakonita samo ako i u
onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: ispitanik je dao privolu za obradu
svojih osobnih podataka u jednu ili više posebnih svrha; obrada je nužna za izvršavanje
ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije
sklapanja ugovora; obrada je nužna radi poštovanja pravnih obveza voditelja obrade; obrada je
nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe; obrada je nužna za
izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od
tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih
podataka.
Člankom 17. stavak 1. Opće uredbe propisano je kako ispitanik ima pravo od voditelja obrade
ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te da
voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen
jedan od sljedećih uvjeta: (a) osobni podaci više nisu nužni u odnosu na svrhe za koje su
prikupljeni ili na drugi način obrađeni; (b) ispitanik povuče privolu na kojoj se obrada temelji
u skladu s člankom 6. stavkom 1. točkom (a) ili člankom 9. stavkom 2. točkom (a) i ako ne
postoji druga pravna osnova za obradu; (c) ispitanik uloži prigovor na obradu u skladu s
člankom 21. stavkom 1. te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži
prigovor na obradu u skladu s člankom 21. stavkom 2.; (d) osobni podaci nezakonito su
obrađeni; (e) osobni podaci moraju se brisati radi poštovanja pravne obveze iz prava Unije ili
prava države članice kojem podliježe voditelj obrade; (f) osobni podaci prikupljeni su u vezi s
ponudom usluga informacijskog društva iz članka 8. stavka 1.
Člankom 14. propisano je da ako su osobni podaci koji se odnose na ispitanika prikupljeni od
ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve
sljedeće informacije: (a)identitet i kontaktne podatke voditelja obrade i, ako je primjenjivo,
predstavnika voditelja obrade;(b)kontaktne podatke službenika za zaštitu podataka, ako je
primjenjivo ako je primjenjivo, namjeru voditelja obrade da osobne podatke prenese primatelju
u trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o
primjerenosti, ili u slučaju prijenosa iz članka 46. ili 47., ili članka 49. stavka 1. drugog
podstavka upućivanje na prikladne ili odgovarajuće zaštitne mjere i načine pribavljanja njihove
kopije ili mjesta na kojem su stavljene na raspolaganje. Osim informacija iz stavka 1., voditelj
obrade u trenutku kada se osobni podaci prikupljaju pruža ispitaniku sljedeće dodatne
informacije potrebne kako bi se osigurala poštena i transparentna obrada:(a)razdoblje u kojem
će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterije kojima se utvrdilo to
razdoblje;(b)postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima i
ispravak ili brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika ili
3
prava na ulaganje prigovora na obradu takvih te prava na prenosivost podataka;(c)ako se obrada
temelji na članku 6. stavku 1. točki (a) ili članku 9. stavku 2. točki (a), postojanje prava da u
bilo kojem trenutku povuče privolu, a da to ne utječe na zakonitost obrade koja se temeljila na
privoli prije nego što je ona povučena;(d)pravo na podnošenje prigovora nadzornom tijelu;(e)
izvor osobnih podataka i, prema potrebi, dolaze li iz javno dostupnih izvora; (f) postojanje
automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te,
barem u tim slučajevima, smislene informacije o tome o kojoj je logici riječ, kao i važnost i
predviđene posljedice takve obrade za ispitanika. Voditelj obrade pruža informacije iz
stavaka 1. i 2. navedenog zakona između ostaloga, unutar razumnog roka nakon dobivanja
osobnih podataka, a najkasnije u roku od jednog mjeseca uzimajući u obzir posebne okolnosti
obrade osobnih podataka, ako je predviđeno otkrivanje podataka drugom primatelju, najkasnije
u trenutku kada su osobni podaci prvi puta otkriveni. Stavkom 4. istog članka propisano je da
ako voditelj obrade namjerava dodatno obrađivati osobne podatke u svrhu koja je različita od
one za koju su osobni podaci dobiveni, voditelj obrade prije te dodatne obrade ispitaniku pruža
informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2. članka 14.Opće
uredbe
Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na
obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e)
ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne
smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni
razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja,
ostvarivanja ili obrane pravnih zahtjeva. Ako se osobni podaci obrađuju za potrebe izravnog
marketinga, ispitanik u svakom trenutku ima pravo uložiti prigovor na obradu osobnih
podataka koji se odnose na njega za potrebe takvog marketinga, što uključuje izradu profila u
mjeri koja je povezana s takvim izravnim marketingom. Najkasnije u trenutku prve
komunikacije s ispitanikom, ispitaniku se izričito mora skrenuti pozornost na pravo iz
stavaka 1. i 2. te se to mora učiniti na jasan način i odvojeno od bilo koje druge informacije (
članak 21.)
Slijedom navedenog, na temelju utvrđenog činjeničnog stanja u ovoj upravnoj stvari društvo
x kao voditelj obrade nije imalo zakonitu pravnu osnovu za obradu osobnih podataka,
konkretno telefonskog broja, podnositeljice zahtjeva. Naime, navođenje da je pravna osnova
za obradu osobnih podataka podnositeljice zahtjeva legitiman interes u smislu članka 6. stavka
1. točke f. Opće uredbe o zaštiti podataka nema svoje pravno uporište u konkretnom slučaju
budući da nije utvrđeno da je podnositeljica zahtjeva korisnik/ klijent navedenog voditelja.
Također pozivanje voditelja obrade na legitiman interes nije dovoljno već ga voditelj obrade
mora moći dokazati provedenim testom ravnoteže u kojem dokazuje da interes voditelja obrade
prevladava u odnosu na interes odnosno prava i slobode ispitanika, a u konkretnom slučaju isti
nije dostavljen. Isto tako, kao odlučna činjenica u ovoj upravnoj stvari cijenjena je okolnost da
je broj podnositeljice zahtjeva upisan u Registar „Ne zovi“ prije kontaktiranja od strane
navedenog društva tako da legitiman interes ne može biti valjana pravna osnova u konkretnom
slučaju.
4
Navedeno društvo također nije dokazalo da se broj nalazi u telefonskom imeniku , a činjenica
da je priznalo da je do pozivanja broja koji se nalazi u Registru „Ne zovi“ došlo ljudskom
pogreškom dokazuje da navedeno društvo kao voditelj obrade ne poduzima odgovarajuće
mjere zaštite kako bi obrada osobnih podataka bila zakonita i poštena što predstavlja povredu
odredbi članka 5. i 6. Opće uredbe o zaštiti podataka.
Osim toga, iz opisanog postupanja proizlazi da podnositeljica zahtjeva nije na adekvatan način
bila informirana o obradi osobnih podataka na način kako to nalaže članak 14. Opće uredbe o
zaštiti podataka.
Budući da je predmetno društvo obrađivalo osobne podatke podnositeljice bez postojanja
pravne osnove iz članka 6. Opće uredbe o zaštiti podataka ne vodeći brigu da se broj nalazi u
Registru „Ne zovi“ naloženo je brisanje osobnih podatka podnositeljice zahtjeva iz svojih baza
podataka (sustava pohrane) budući da sukladno članku 17. Opće uredbe o zaštiti podataka ne
postoji jači legitimni razlozi za daljnju obradu osobnih podataka, a osobni podaci su ujedno
nezakonito obrađeni.
UPUTA O PRAVNOM LIJEKU
Protiv ovog rješenja žalba nije dopuštena, ali se može pokrenuti upravni spor pred Upravnim
sudom u Zagrebu u roku od 30 dana od dana dostave rješenja.
RAVNATELJ
Anto Rajkovača
5