REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb, 28. kolovoza 2019.
Agencija za zaštitu osobnih podataka na temelju članka 57. stavak 1. i 58. stavak 1. Uredbe
(EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi
s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage
Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SLEU L119 (u daljnjem tekstu: Opća
uredba) i čl.34. Zakona o provedbi Opće uredbe o zaštiti podataka („Narodne novine“, broj
42/18) te članka 42. stavka 1. i 2. i članka 96. stavka 1. Zakona o općem upravnom postupku
(“Narodne novine” broj 47/09), po zahtjevu za zaštitu prava xy
R J E Š E NJ E
1. Zahtjev za utvrđivanje povrede prava na zaštitu osobnih podataka xy je osnovan.
2. Utvrđuje se da je objavom imena i prezimena xy u dokumentu „Bilješke za financijska
izvješća za razdoblje od 1.1.2018-31.12.2018.“ a koji je objavljen na mrežnim
stranicama Doma zdravlja došlo do obrade osobnih podataka protivno članku 5 i 6.
Opće uredbe o zaštiti podataka.
3. Nalaže se Domu zdravlja brisanje osobnih podataka osobe xy, i svih ostalih fizičkih
osoba koji su navedeni u dokumentu „Bilješke za financijska izvješća za razdoblje od
1.1.2018-31.12.2018.“ a koji je objavljen na mrežnim stranicama Doma zdravlja, a
sve sukladno članku 17. stavku 1. (d) Opće uredbe o zaštiti podataka.
Obrazloženje
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) zaprimila je zahtjev xy ( dalje
u tekstu: podnositeljica zahtjeva) koja navodi da je objavom njezinih osobnih podataka u
dokumentu „Bilješke za financijska izvješća za razdoblje od 1.1.2018-31.12.2018.“ a koji je
objavljen na mrežnim stranicama Doma zdravlja došlo do povrede njezinih osobnih podataka.
Zahtjev je osnovan.
1
Postupajući po zaprimljenom zahtjevu Agencija je zatražila očitovanje od Doma zdravlja o
dostupnosti osobnih podataka podnositeljice zahtjeva točnije o pravnoj osnovi i svrsi objave
osobnih podataka podnositeljice zahtjeva.
Dom zdravlja očitovao se da je kao proračunski obveznik obvezan sukladno članku 12. stavku
5. Zakona o proračunu i članka 27. Pravilnika o financijskom računovodstvu objaviti godišnje
financijske izvještaje na svojim internetskim stranicama najkasnije u roku od 8 dana od dana
predaje. Nadalje navode da se sukladno članku 7. stavku 2. navedenog Pravilnika financijski
izvještaj proračunskih korisnika državnog proračuna za proračunsku godinu sastoji od
Bilance, Izvještaja o prihodima i rashodima, primicima i izdacima, Izvještaja o rashodima
prema funkcijskoj klasifikaciji, izvještaja o promjenama u vrijednosti i obujmu imovine i
obveza i Bilješki. Također navode da su sukladno članku 13 istog Pravilnika Bilješke dopuna
podataka uz financijske izvještaj, a sukladno članku 14. obvezne bilješke uz Bilancu su popis
ugovornih odnosa i slično koji su ispunjenje određenih uvjeta mogu postati obveza ili imovina
te popis sudskih sporova u tijeku. S obzirom da je Dom zdravlja podigao optužnicu protiv
podnositeljice zahtjeva isto su bili obvezni navesti u Bilješkama.
Opća uredba o zaštiti podataka u članku 4. stavak 1. točka 1. propisuje da su osobni podaci svi
podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, a pojedinac čiji
se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz
pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator
ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni,
ekonomski, kulturni ili socijalni identitet tog pojedinca.
Sukladno članku 5. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016.
o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka
te o stavljanju izvan snage Direktive 95/46/EZ dalje u tekstu: Opća uredba o zaštiti podataka
osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika
(načelo zakonitosti, poštenosti i transparentnosti); prikupljeni u posebne, izričite i zakonite
svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama (načelo
ograničavanja svrhe); primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe
u koju se obrađuju (načelo smanjenje količine podataka); točni i prema potrebi ažurni (načelo
točnosti); čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko
je potrebno u svrhe radi kojih se osobni podaci obrađuju (načelo ograničenja pohrane);
obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući
zaštitu od zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili
oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera ( načelo cjelovitosti i
povjerljivosti).
Člankom 6. Opće uredbe o zaštiti podataka propisano je da je obrada zakonita samo ako i u
onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: ispitanik je dao privolu za obradu
svojih osobnih podataka u jednu ili više posebnih svrha; obrada je nužna za izvršavanje
ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije
sklapanja ugovora; obrada je nužna radi poštovanja pravnih obveza voditelja obrade; obrada je
nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe; obrada je nužna za
2
izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od
tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih
podataka.
Člankom 17. Opće uredbe o zaštiti podataka propisano je da ispitanik ima pravo od voditelja
obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja
te voditelj obrade ima obvezu brisati osobne podatke bez nepotrebnog odgađanja ako je
ispunjen jedan od uvjeta, između ostaloga, osobni podaci više nisu nužni u odnosu na svrhe u
koje su prikupljeni ili na drugi način obrađeni.
Člankom 25. Opće uredbe o zaštiti podataka propisano je da uzimajući u obzir najnovija
dostignuća, trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih
razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade
podataka, voditelj obrade, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade,
provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za
omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine
podataka, te uključenje zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz ove Uredbe i
zaštitila prava ispitanika. Voditelj obrade provodi odgovarajuće tehničke i organizacijske
mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su
nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih
osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije,
takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca,
dostupni neograničenom broju pojedinca.
Zakonom o proračunu ( Narodne novine, broj: 87/08 i 136/12, 15/15) točnije člankom 12.
stavkom 5. propisano je da jedinice lokalne i područne (regionalne) samouprave, proračunski
i izvanproračunski korisnici objavljuju godišnje financijske izvještaje na svojim internetskim
stranicama najkasnije u roku od osam dana od dana njihove predaje.
Pravilnikom o financijskom izvještavanju u proračunskom računovodstvu („Narodne novine“,
broj 03/15, 93/15, 135/15, 2/17, 28/17 112/18) koji je donesen temeljem članka 100. Zakona o
proračunu propisano je da su bilješke dopuna podataka uz financijske izvještaje. Bilješke mogu
biti opisne, brojčane ili kombinirane. Označavaju se rednim brojevima s pozivom na AOP
oznaku izvještaja na koju se odnose. Obvezne Bilješke uz Bilancu jesu:1. Popis ugovornih
odnosa i slično koji uz ispunjenje određenih uvjeta, mogu postati obveza ili imovina (dana
kreditna pisma, hipoteke i slično) i 2. Popis sudskih sporova u tijeku. Popis sudskih sporova u
tijeku iz stavka 1. ovoga članka obvezno sadrži sažeti opis prirode spora, procjenu financijskog
učinka koji može proisteći iz sudskog spora kao obveza ili imovina te procijenjeno vrijeme
odljeva ili priljeva sredstava. Jedinice lokalne i područne (regionalne) samouprave, proračunski
i izvanproračunski korisnici objavljuju godišnje financijske izvještaje na svojim internetskim
stranicama najkasnije u roku od osam dana od dana njihove predaje ( članak 13. i 14.)
Slijedom navedenog u ovoj upravnoj stvari utvrđeno je da su osobni podaci podnositeljice
zahtjeva točnije njezino ime i prezime javno dostupni na službenoj web stranici Doma zdravlja
u dokumentu „Bilješke za financijska izvješća za razdoblje od 1.1.2018-31.12.2018.“ Nadalje
3
je utvrđeno da je navedeni dokument objavljen sukladno članku 12. Zakona o proračunu i
članku 27. Pravilnika o financijskom izvještavanju u proračunskom računovodstvu. Sukladno
članku 13 i 14. navedenog Pravilnika bilješke su dopuna financijskom izvještaju i dio obveznih
bilješki je popis sudskih sporova u tijeku. Međutim navedenim posebnim Zakonom i na temelju
njega donesenom Pravilniku nije navedeno da popis sporova mora sadržavati ime i prezime
osobe/osoba protiv kojih proračunski korisnik vodi spor već je propisano da popis treba
sadržavati sažeti opis prirode spora, procjenu financijskog učinka koji može proisteći iz
sudskog spora kao obveza ili imovina te procijenjeno vrijeme odljeva ili priljeva sredstava.
Dakle, Dom zdravlja imao je pravnu osnovu za objavu navedenog dokumenta na web stranici,
međutim ne postoji pravna osnova i zakonita svrha za objavu osobnih podataka podnositeljice
zahtjeva kao i svih drugih fizičkih osoba s kojima predmetni Dom zdravlja vodi sudske sporove
te je time došlo do objave osobnih podataka bez zakonite osnove protivno članku 5., 6. i 25.
Opće uredbe o zaštiti podataka. Stoga se nalaže Domu zdravlja kao voditelju obrade da
prilikom obrade osobnih podataka koje obrađuje i objavljuje u dokumentima postupa u skladu
s odredbama Opće uredbe o zaštiti podataka, da briše osobne podatke podnositeljice zahtjeva
i svih drugih osoba koji su navedeni u predmetnom dokumentu u skladu sa člankom 17.
stavkom 1 (d) i da poduzme odgovarajuće mjere zaštite osobnih podataka kako dokument ne
bi bio dostupan pretragom putem Google tražilice.
Slijedom iznijetog, odlučeno je kao u izreci Rješenja.
UPUTA O PRAVNOM LIJEKU
Protiv ovog rješenja žalba nije dopuštena, ali se može pokrenuti upravni spor pred Upravnim
sudom u roku od 30 dana od dana dostave rješenja.
RAVNATELJ
Anto Rajkovača
4