REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb, 31. prosinca 2021.
Agencija za zaštitu osobnih podataka na temelju članka 57. stavka 1. i članka 58. stavka
1. i 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti
pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o
stavljanju izvan snage Direktive 95/46/EZ ( dalje u tekstu: Opća uredba o zaštiti podataka) SL
EU 119, članka 40. i članka 96. Zakona o općem upravnom postupku („Narodne novine“, broj:
47/09) po službenoj dužnosti donosi sljedeće
R J E Š E NJ E
1. Utvrđuje se da je obradom osobnih podataka dobitnika nagradne igre na službenoj
internetskoj stranici Banke, kao voditelja obrade osobnih podataka došlo do obrade
(objave) osobnih podataka u prekomjernom opsegu protivno člancima 5. i 6. Opće
uredbe o zaštiti podataka.
2. Zabranjuje se društvu (banci), kao voditelju obrade osobnih podataka obrada
osobnih podataka, odnosno objava osobnih podataka dobitnika nagradne igre na
službenoj internetskoj stranici u prekomjernom opsegu (podaci o osobnom
identifikacijskom broju-OIB i adresi stanovanja) protivno člancima 5. i 6. Opće
uredbe o zaštiti podataka.
3. Društvu kao voditelju obrade osobnih podataka, izriče se službena opomena zbog
obrade (objave) osobnih podataka dobitnika nagradne igre na službenoj internetskoj
stranici u prekomjernom opsegu protivno člancima 5. i članku 6. Opće uredbe o
zaštiti podataka.
1
O b r a z l o ž e nj e
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) došla je do saznanja
kako je društvo, kao voditelj obrade osobnih podataka na svojim službenim internetskim
stranicama objavilo osobne podatke dobitnika nagradne igre u prekomjernom opsegu, točnije
opsegu podataka o osobnom identifikacijskom broju (OIB) i adresi stanovanja dobitnika
nagradne igre.
Postupajući po službenoj dužnosti Agencija je sukladno svojim zadaćama i ovlastima
zatražila očitovanje od društva o pravnoj osnovi objave osobnih podataka popisa dobitnika
nagradne igre. S tim u vezi, Agencija je u očitovanju od predmetnog društva zatražila da se
posebice očituje u odnosu na opseg osobnih podataka koji su objavili (OIB i adresu stanovanja).
Isto tako, od predmetnog društva je zatraženo da se očituje o načinu informiranja sudionika
nagradne igre o obradi njihovih osobnih podataka u navedene svrhe, a sve temeljem obveze iz
članka 13. Opće uredbe o zaštiti podataka.
Agencija za zaštitu osobnih podataka zaprimila je očitovanje od predmetnog društva u
kojem isti navode sljedeće:
Nagradna igra definirana je, sukladno Pravilniku o priređivanju nagradnih igara,
dokumentom „PRAVILA nagradna igra“. Sudionici nagradne igre informirani su o obradi
svojih osobnih podataka za potrebe sudjelovanja u predmetnoj nagradnoj igri, sukladno članku
13. Opće uredbe o zaštiti podataka, prilikom prijave za tu nagradnu igru.
Za sudjelovanje u nagradnoj igri bilo je potrebno unijeti ime, prezime, OIB, broj
telefona ili e-mail adresu. Navedeni podaci traženi su radi identifikacije te time i radi
ispunjavanja obveze ispravnog provođenja predmetne nagradne igre od strane banke kao
priređivača sukladno Pravilniku o priređivanju nagradnih igara, a što uključuje i obavještavanje
dobitnika o nagradi. Pravo sudjelovanja u nagradnoj igri imali su samo oni sudionici koji su u
razdoblju od 20.11. do 31.12. 2020. godine napravili transakciju karticom banke na prodajnom
mjestu i transakciju on-line bankarstvom te se prijavili na nagradnu igru. Za nagradnu igru,
prijavilo se 10.548 sudionika od kojih je 108 prijavljeno s istim imenom i prezimenom. Uvjete
za sudjelovanje u nagradnoj igri ostvarilo je 5.905 sudionika, a među njima je 37 s istim
imenom i prezimenom te dodatno 4 sudionika koji uz isto ime i prezime imaju i adresu u istom
gradu (radilo se o dva slučaja u kojem dvije osobe imaju isto ime i prezime te su iz istog grada).
Banka nagradne igre priređuje za svoje klijente te obzirom da ima veliki broj klijenta koji žive
u urbanim sredinama gdje nije rijetkost da različite osobe imaju isto ime i prezime te da ujedno
imaju i istu adresu smatra potrebnim za nedvojbeno utvrđivanje identiteta sudionika i time i
dobitnika prikupiti i obrađivati, pa time i javno objaviti, podatke dobitnika koji sadrže ime,
prezime, OIB i adresu.
Naime, sukladno Pravilniku o priređivanju nagradnih igara, priređivač nagradne igre
ima obvezu osigurati javno izvlačenje nagrada te je banka tu obvezu ispunila i definiranjem da
će se imena dobitnika objaviti na internetskoj stranici u roku od sedam dana od dana izvlačenja.
Pod imenom dobitnika misli se na sve podatke potrebe za utvrđivanje identiteta dobitnika
(nesporno je da samo ime ne identificira osobu), odnosno na podatke za koje je definirano
predmetnim „PRAVILIMA nagradne igre“ da će ih sadržavati zapisnik koji će se sastaviti
2
prilikom izvlačenja nagrada. Dodatno u prijavi za natječaj je jasno navedeno da se osobni
podaci daju za potrebe sudjelovanja u predmetnoj nagradnoj igri, čime sudjelovanje
podrazumijeva i ispunjenje obveze javnosti objave podataka o dobitnicima na strani banke kao
priređivača nagradne igre, a koja javna objava je definirana u dokumentu „PRAVILA nagradne
igre“.
Bez javne objave dobitnika nagradne igre banka kao priređivač nagradne igre ne može
ispuniti svoju obvezu javnosti provođenja nagradne igre koju obvezu ima temeljem Pravilnika
o priređivanju nagradnih igara, a koja obveza javnosti postoji u svrhu transparentnosti cijelog
postupka svake pojedine nagradne igre. Ovo osobiti u smislu informiranja svih sudionika, ali i
javnosti kako bi se osiguralo da je svaka nagradna igra u cijelosti provedena ispravno i sukladno
obvezama priređivača nagradne igre koje proizlaze iz Pravilnika o priređivanju nagradnih igara
te se time ujedno i omogućuje da svaki sudionik zaštiti svoja prava pred nadležnim općinskim
sudom u slučaju da smatra da nagradna igra nije ispravo provedena.
Nastavno na navedeno, ističemo kako se od 25. svibnja 2018., u svim državama
članicama Europske unije, pa tako i u Republici Hrvatskoj, izravno i obvezujuće se primjenjuje
Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca
u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju
izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SL EU 119.
U članku 4.1. Opće uredbe o zaštiti podataka je navedeno da su osobni podaci svi podaci
koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac
čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito
uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni
identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski,
mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca
Sukladno članku 4.2. Opće uredbe o zaštiti podataka, obrada znači svaki postupak ili
skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka,
bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje,
organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida,
uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način,
usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.
Članak 5. Opće uredbe o zaštiti podataka propisuje kako osobni podaci moraju biti
zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika, prikupljeni u posebne,
izričite i zakonite svrhe, primjereni, relevantni i ograničeni na ono što je nužno u odnosu na
svrhe u koju se obrađuju (načelo smanjenja količine podataka), točni i prema potrebi ažurni,
obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući
zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja
primjenom odgovarajućih tehničkih ili organizacijskih mjera (načelo cjelovitosti i
povjerljivosti).
3
Potrebno je referirati se i na članak 6. stavak 1. Opće uredbe o zaštiti podataka koji
propisuje kako je obrada osobnih podataka zakonita samo ako i u onoj mjeri u kojoj je
ispunjeno najmanje jedno od sljedećeg: ispitanik je dao privolu za obradu svojih osobnih
podataka u jednu ili više posebnih svrha; obrada je nužna za izvršavanje ugovora u kojem je
ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
obrada je nužna radi poštovanja pravnih obveza voditelja obrade; obrada je nužna kako bi se
zaštitili ključni interesi pravnih obveza voditelja obrade; obrada je nužna za izvršavanje zadaće
od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; obrada je nužna za
potrebe legitimnih interesa voditelja obrade ili treće strane.
Uvažavajući načela poštene i transparentne obrade, voditelj obrade je sukladno članku
13. Opće uredbe o zaštiti podataka, ukoliko se osobni podaci prikupljaju od ispitanika, dužan
pružati svojim ispitanicima sve informacije o obradi njihovih osobnih podataka (primjerice: o
svom identitetu, o službeniku za zaštitu podataka, upoznati ih sa svrhom i pravnom osnovom
za obradu osobnih podataka, o primateljima ili kategorijama primatelja osobnih podataka) u
sažetom, razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika te ih
upoznati sa njihovim pravima koja im pripadaju sukladno Općoj uredbi o zaštiti podataka
(pravo na informiranje, pravo na pristup, pravo na ispravak i brisanje, pravo na ograničenje
obrade, pravo na prenosivost, pravo na prigovor i automatizirano donošenje odluka).
U konkretnom slučaju je u primjeni Zakon o igrama na sreću (“Narodne novine” broj
87/09, 35/13, 158/13, 41/14, 143/14) kojim su u članku 69. definirane nagradne igre kao igre
koje radi promidžbe svojih proizvoda i usluga priređuju trgovačka društva te druge pravne i
fizičke osobe poduzetnici, pri čemu se priređivač obvezuje izvučenim dobitnicima podijeliti
nagrade u robi ili uslugama, a da se od sudionika ne zahtijeva posebna uplata za sudjelovanje
u igri.
Nadalje, detaljniji uvjeti priređivanja nagradnih igara propisani su Pravilnikom o
priređivanju nagradnih igara („Narodne novine“ broj 8/10) u kojem je navedeno kako pravo
priređivanja nagradne igre imaju trgovačka društva te druge pravne i fizičke osobe poduzetnici
nakon dobivenog odobrenja Ministarstva financija, svrha kojih je promidžba njihovih
proizvoda i usluga radi unapređenja prodaje proizvoda i korištenja usluge (članku 3. stavak 1.
navedenog Pravilnika). Dok je u članku 8. određeno da je sudionik u nagradnoj igri fizička
osoba koja prihvaća i ispunjava uvjete za sudjelovanje u nagradnoj igri utvrđene pravilima
priređivača nagradne igre te radi sudjelovanja u nagradnoj igri sudionik pristaje na davanje
svojih osobnih podataka (ime i prezime i adresa stanovanja).
Kada govorimo o objavi osobnih podatka dobitnika bitno je naglasiti da je priređivač
dužan nagradnu igru organizirati tako da se na javnom izvlačenju nagrada obvezno izvuku
dobitnici svih nagrada, a utvrđeni nagradni fond da se u cijelosti podijeli sudionicima nagradne
igre (članak 13. citiranog Pravilnika).
Slijedom navedenog, u ovoj upravnoj stvari utvrđeno je kako je društvo, kao voditelj
obrade osobnih podataka i kao priređivač nagradne igre obrađivalo osobne podatke dobitnika
4
nagradne igre koja je definirana sukladno Pravilniku o priređivanju nagradnih igara,
dokumentu „PRAVILA nagradna igra“. Osobni podaci dobitnika nagradne igre koji su se
obrađivali prilikom javne objave na službenoj internetskoj stranici predmetnog društva su ime,
prezime, OIB, adresa i mjesto stanovanja.
Shodno iznesenom, vezano za objavu osobnih podataka dobitnika nagradne igre
navodimo kako osim svrhe mora postojati i relevantna pravna osnova u smislu članka 6. Opće
uredbe o zaštiti podataka, a koju može biti privola, izvršavanje pravne obveze koja proizlazi iz
posebnog propisa, legitimni interes priređivača i dr.
Prema tome, za prikupljanje osobnih podataka sudionika nagradne igre, u smislu članka
6. Opće uredbe o zaštiti podataka, postojala je valjana pravna osnova uzimajući pritom u obzir
odredbe Zakona o igrama na sreću i Pravilnika o priređivanju nagradnih igara.
Međutim, slijedom navedenog, u ovoj upravnoj stvari utvrđeno je da u konkretnom
slučaju nisu bili ispunjeni uvjeti poštene i zakonite obrade osobnih podataka iz članak 5. i 6.
Opće uredbe o zaštiti podataka, budući da predmetno društvo u provedenom postupku nije
dokazalo postojanje zakonite pravne osnove za objavu osobnih podataka u opsegu OIB-a i
adrese stanovanja dobitnika konkretne nagradne igre. Dakle, imajući u vidu načela obrade
osobnih podataka i postupanje predmetnog društva kao voditelja obrade, smatramo da
predmetno društvo nije udovoljilo osnovnim načelima zakonite, poštene i transparentne obrade
osobnih podataka, a osobito načela smanjenja količine podataka koje propisuje da osobni
podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u
koje se obrađuju.
U vezi s time, držimo kako je s aspekta propisa kojima je regulirana zaštita osobnih
podataka te u svrhu ostvarivanja transparentnosti provođenja nagradne igre, sukladno načelu
razmjernosti u obradi podataka moguće je učiniti dostupnim samo nužan opseg podataka koji
omogućuje postizanje zakonom utvrđene svrhe, primjerice ime i prezime, mjesto stanovanja.
Upravo iz gore navedenih razloga u cjelokupno provedenom upravnom postupku od
strane ove Agencije utvrđeno je kako je društvo kao voditelj obrade osobnih podataka
postupalo protivno članku 5. i članku 6. Opće uredbe o zaštiti podataka, budući da je predmetno
društvo obrađivalo (objavilo) osobne podatke dobitnika nagradne igre u prekomjernom opsegu
bez navođenja opravdanog razloga za javnu objavu istih, odnosno bez da je predmetno društvo
dokazalo postojanje pravne osnove i zakonite svrhe u konkretnom slučaju.
Budući da je u ovoj upravnoj stvari utvrđeno kako je postupanjem društva došlo do
povrede prava na zaštitu osobnih podataka dobitnika nagradne igre, odnosno do objave
njihovih osobnih podataka u prekomjernom opsegu, ova Agencija je odlučila društvu kao
voditelju obrade izdati službenu opomenu za utvrđeno kršenje prava na zaštitu predmetnih
osobnih podataka. S obzirom na utvrđenu povredu, Agencija je pristupila izricanju službene
opomene prema predmetnom društvu smatrajući istu dovoljno svrsishodnom, učinkovitom i
dostatnom mjerom kojom će se utjecati na društvo da ubuduće više ne postupa suprotno Općoj
uredbi o zaštiti podataka.
Slijedom navedenog, odlučeno je kao u izreci rješenja.
5
UPUTA O PRAVNOM LIJEKU
Protiv ovog rješenja nije dopuštena žalba, ali se može pokrenuti upravni spor pred
Upravnim sudom u Rijeci u roku od 30 dana od dana dostave rješenja.
ZAMJENIK RAVNATELJA
Igor Vulje
6