REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb, 29. lipnja 2022.
Agencija za zaštitu osobnih podataka OIB: 28454963989 na temelju članaka 57. stavak
1. i 58. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o
zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka
te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SLEU L119
(u daljnjem tekstu: Opća uredba), članaka 34. Zakona o provedbi Opće uredbe o zaštiti
podataka („Narodne novine“, broj: 42/2018), članka 41. i članka 96. Zakona o općem
upravnom postupku („Narodne novine“, broj: 47/09 I 110/21), po službenoj dužnosti i
povodom zahtjeva za utvrđivanje povrede prava na zaštitu osobnih podataka xy donosi sljedeće
R J E Š E NJ E
1. Zahtjev xy za utvrđivanje povrede prava na zaštitu osobnih podataka je osnovan.
2. Utvrđuje se da je obradom osobnih podataka podnositelja zahtjeva xy na način da
je Centar za socijalnu skrb kao poslodavac, na oglasnoj ploči Centra, objavio
Odluku o rasporedu korištenja preostalog godišnjeg odmora za 2021. godinu
KLASA: …, URBROJ: … od ožujka 2022. godine sa osobnim podacima xy, u
opsegu njihovog imena i prezimena/inicijala, broja preostalih dana godišnjeg
odmora te razdoblja korištenja, a sve bez zakonite (opravdane) svrhe i pravne
osnove, odnosno protivno odredbama članka 5. i 6. Opće uredbe o zaštiti podataka.
3. Zabranjuje se Centru za socijalnu skrb svaka daljnja obrada osobnih podataka,
odnosno objava osobnih podataka podnositelja zahtjeva, a tako i ostalih zaposlenika
Centra za socijalnu skrb na oglasnoj ploči Centra bez postojanja pravne osnove i
zakonite (opravdane) svrhe u smislu članka 5. i 6. Opće uredbe o zaštiti podataka.
O b r a z l o ž e nj e
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) zaprimila je zahtjev za
utvrđivanje povrede prava na zaštitu osobnih podataka xy (dalje u tekstu: podnositelj zahtjeva)
u kojem podnositelj zahtjeva u bitnome navodi kako je ravnateljica Centra za socijalnu skrb
1
(dalje u tekstu: Centar) dana … ožujka 2022. godine na oglasnoj ploči stavila Odluku o
korištenju godišnjeg odmora sa njegovim osobnim podacima bez da je za opisano dao svoju
suglasnost/privolu.
Uz zahtjev za utvrđivanje povrede prava na zaštitu osobnih podataka podnositelj
zahtjeva je Agenciji za zaštitu osobnih podataka dostavio fotografiju Odluke o rasporedu
korištenja preostalog godišnjeg odmora za 2021. godinu koja sadrži njegove osobne podatke,
a tako i podatke ostalih zaposlenika Centra.
Zahtjev je osnovan.
Imajući u vidu navode iz zaprimljenog zahtjeva za utvrđivanje povrede prava na zaštitu
osobnih podataka Agencija je sukladno svojim ovlastima od Centra za socijalnu skrb zatražila
očitovanje o pravnoj osnovi i zakonitoj svrsi javne objave, odnosno dostupnosti Odluke o
korištenju godišnjeg odmora koja sadrži osobne podatke podnositelja zahtjeva, a tako i ostalih
zaposlenika Centra u opsegu njihovog imena i prezimena, broja preostalih dana godišnjeg
odmora i razdoblja korištenja istoga.
Nastavno na navedeno, Centar za socijalnu skrb u očitovanju dostavljenom ovoj
Agenciji navodi kako je dana … ožujka 2022. godine ravnateljica Centra za socijalnu skrb
donijela Odluku o rasporedu korištenja preostalog godišnjeg odmora za 2021. godinu KLASA:
…, URBROJ: … od … ožujka 2022. godine. Nadalje, u očitovanju navode kako Odluka sadrži
ime i prezime radnika, bez navođenja OIB-a, adrese ili drugih osobnih podataka djelatnika, a
posebice ne sadrži niti posebne kategorije osobnih podataka radnika. Odluka je svim
djelatnicima Centra dostavljena na način da je objavljena na oglasnoj ploči. S tim u vezi, u
očitovanju navode kako je Odluka prvotno objavljena na oglasnoj ploči Centra u cjelovitom
obliku, no ista je uklonjena s oglasne ploče te je izrađen njen anonimizirani otpravak koji je
potom objavljen na oglasnoj ploči. Nadalje, u očitovanju navode kako je pravna osnova
temeljem koje je objavljena Odluka u anonimiziranom obliku na oglasnoj ploči Centra
legitimni interes poslodavca koji je dužan sve djelatnike na pravno siguran način upoznati sa
rasporedom korištenja godišnjeg odmora, a koja obveza poslodavca ujedno čini i svrhu ovakve
obrade osobnih podataka.
Prije svega je potrebno napomenuti da se od 25. svibnja 2018. godine u Republici
Hrvatskoj, izravno i obvezujuće primjenjuje Uredba (EU) 2016/679 Europskog parlamenta i
Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o
slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća
uredba o zaštiti podataka) SL EU L119.
Opća uredba o zaštiti podataka u članku 4. stavak 1. točka 1. propisuje da su osobni
podaci svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, a
pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili
neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o
lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički,
fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.
2
Sukladno članku 5. Opće uredbe o zaštiti podataka, osobni podaci moraju biti: (a)
zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika („zakonitost, poštenost,
transparentnost”); (b) prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju
obrađivati na način koji nije u skladu s tim svrhama („ograničavanje svrhe”); (c) primjereni,
relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju („smanjenje
količine podataka”); (d) točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera
radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se
obrađuju, bez odlaganja izbrišu ili isprave („točnost”); (e) čuvani u obliku koji omogućuje
identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni
podaci obrađuju („ograničenje pohrane”); (f) obrađivani na način kojim se osigurava
odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite
obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili
organizacijskih mjera („cjelovitost i povjerljivost”).
Nadalje, sukladno članku 6. Opće uredbe o zaštiti podataka obrada je zakonita samo
ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: (a) ispitanik je dao privolu
za obradu svojih osobnih podataka u jednu ili više posebnih svrha; (b) obrada je nužna za
izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev
ispitanika prije sklapanja ugovora; (c) obrada je nužna radi poštovanja pravnih obveza voditelja
obrade; (d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe;
(e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti
voditelja obrade; (f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće
strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji
zahtijevaju zaštitu osobnih podataka.
Zakonom o radu („Narodne novine“, broj: 93/14, 127/17, 98/19) uređuju se radni
odnosi u Republici Hrvatskoj, ako drugim zakonom ili međunarodnim ugovorom, koji je
sklopljen i potvrđen u skladu s Ustavom Republike Hrvatske, te objavljen, a koji je na snazi,
nije drukčije određeno.
Osim toga, sukladno članku 29. Zakona o radu osobni podaci radnika smiju se
prikupljati, obrađivati, koristiti i dostavljati trećim osobama samo ako je to određeno ovim ili
drugim zakonom ili ako je to potrebno radi ostvarivanja prava i obveza iz radnog odnosa,
odnosno u vezi s radnim odnosom. Ako je osobne podatke iz stavka 1. ovoga članka potrebno
prikupljati, obrađivati, koristiti ili dostavljati trećim osobama radi ostvarivanja prava i obveza
iz radnoga odnosa, odnosno u vezi s radnim odnosom, poslodavac mora unaprijed pravilnikom
o radu odrediti koje će podatke u tu svrhu prikupljati, obrađivati, koristiti ili dostavljati trećim
osobama.
Temeljem članka 5. stavka 4. Zakona o radu, donesen je Pravilnik o sadržaju i načinu
vođenja evidencije o radnicima (Narodne novine, br. 73/17.), koji propisuje sadržaj evidencije
o radnicima i radnom vremenu koje je poslodavac obvezan voditi, način vođenja i vremenskog
razdoblje čuvanja predmetnih evidencija. U članku 5. stavku 3. citiranog Pravilnika propisano
3
je kako se evidencija o radnicima može voditi u pisanom ili u elektroničkom obliku, dok u
članku 8. citiranog Pravilnika propisano je kako evidencija o radnom vremenu sadrži između
ostaloga i podatke o satima korištenja odmora (dnevnog, tjednog i godišnjeg).
Slijedom navedenog, u ovoj upravnoj stvari utvrđeno je kako je Centar za socijalnu skrb
donio Odluku o rasporedu korištenja preostalog godišnjeg odmora za 2021. godinu KLASA:
…, URBROJ: … od … ožujka 2022. godine koja sadrži osobne podatke xy, a tako i ostalih
zaposlenika u opsegu njihovog imena i prezimena, broja preostalih dana godišnjeg odmora i
razdoblja korištenja istoga koja je prvobitno objavljena na oglasnoj ploči Centra u gore
opisanom obliku, nakon čega je ista uklonjena i ponovno objavljena u anonimiziranom obliku
(umjesto imena i prezimena navedeni su inicijali zaposlenika Centra).
S tim u vezi navodimo kako za gore navedenu objavu osobnih podataka podnositelja
zahtjeva i ostalih zaposlenika Centra ne nalazimo uporište u odredbama posebnih propisa koji
reguliraju područje radnih odnosa (Zakon o radu, Pravilnik o sadržaju i načinu vođenja
evidencije o radnicima). Naime, spomenuti Zakon o radu, koji kao poseban propisa predstavlja
pravnu osnovu za obradu osobnih podataka radnika u smislu članka 6.1. c) Opće uredbe o
zaštiti podataka, ne propisuje objavu navedenih osobnih podataka. Također, Pravilnik o
sadržaju i načinu vođenja evidencije o radnicima ne propisuje objavu/činjenje dostupnih
evidencija o radnom vremenu, već samo u odredbama članka 5. stavka 3. propisuje da se iste
evidencije mogu voditi u pisanom ili elektroničkom obliku.
Što se tiče naknadne objave Odluke Centra u anonimiziranom obliku na oglasnoj ploči,
s tim u vezi navodimo kako Centar, kao voditelja obrade nije dokazao postojanje zakonite svrhe
i pravne osnove za objavu iste, odnosno isti se poziva na legitimni interes kao pravnu osnovu,
pritom zanemarujući da je prije svega kada govorimo o legitimnom/zakonitom interesu
potrebno je provesti test razmjernosti u okviru kojeg je potrebno uzeti u obzir niz čimbenika
kako bi se osiguralo uzimanje u obzir interesa i temeljnih prava osoba čiji se podaci obrađuju.
Stoga, držimo kako u ovoj upravnoj stvari Centar nije dokazao postojanje legitimnog/zakonitog
interesa za obradu osobnih podataka podnositelja zahtjeva i ostalih zaposlenika (kako se poziva
u dostavljenom očitovanju) uzimajući u obzir članak 6.1. f) Opće uredbe (nije dostavio test
razmjernosti). Isto tako iz dostavljenog očitovanja Centra ne proizlazi da je isti uspio dokazati
zakonitost obrade temeljem legitimnog/zakonitog interesa s obzirom na ostvarivanje prava
zaposlenika na godišnji odmor, a koje proizlaze iz posebnih propisa (Zakon o radu).
S tim u vezi, iz svega gore navedenog, tj. uvažavajući gore spomenute posebne propise
koji uređuju predmetnu materiju, držimo kako razlozi koje navodi Centar u dostavljenom
očitovanju (da je dužan sve djelatnike na pravno siguran način upoznati sa rasporedom
korištenja godišnjeg odmora, a koja obveza poslodavca ujedno čini i svrhu ovakve obrade
osobnih podataka) ne može biti opravdani razloga za objavu osobnih podataka/inicijala vezanih
za korištenje godišnjeg odmora na oglasnoj ploči Centra, već naprotiv držimo da u konkretnom
slučaju, kako je naprijed pojašnjeno, nisu poštivane odredbe o transparentnosti, te poštenoj i
zakonitoj obradi osobnih podataka prema Općoj uredbi o zaštiti podataka (posebice imajući u
vidu dostupnost navedenih osobnih podataka većem broju nezainteresiranih osoba).
4
Upravo iz gore navedenih razloga ova Agencija je u ovom upravnom postupku utvrdila
kako u konkretnom slučaju za obradu osobnih podataka podnositelja zahtjeva i ostalih
zaposlenika ne postoji pravna osnova i zakonita (opravdana) svrha u smislu članka 6. i 5. Opće
uredbe o zaštiti podataka.
Slijedom navedenih okolnosti, odlučeno je kao u Izreci rješenja.
UPUTA O PRAVNOM LIJEKU:
Protiv ovog rješenja žalba nije dopuštena, ali se može pokrenuti upravni spor tužbom
pred Upravnim sudom u roku od 30 dana od dana dostave ovoga rješenja.
ZAMJENIK RAVNATELJA
Igor Vulje
5