REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb, 29. studenoga 2021.
Agencija za zaštitu osobnih podataka na temelju članka 57. stavka 1. i 58. stavka 1.
Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca
u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju
izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SLEU L119 (u daljnjem
tekstu: Opća uredba o zaštiti podataka), članka 34. Zakona o provedbi Opće uredbe o zaštiti
podataka („Narodne novine“, broj: 42/2018) te članka 96. Zakona o općem upravnom postupku
(„Narodne novine“, broj: 47/09), a povodom zahtjeva za utvrđivanje povrede prava na zaštitu
osobnih podataka X donosi sljedeće
R J E Š E NJ E
Zahtjev X za utvrđivanje povrede prava na zaštitu osobnih podataka odbija se kao
neosnovan.
O b r a z l o ž e nj e
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) zaprimila je zahtjev za
utvrđivanje povrede prava na zaštitu osobnih podataka X (dalje u tekstu: podnositeljica
zahtjeva) u kojem podnositeljica zahtjeva u bitnome navodi kako smatra da je povrijeđeno
njezino pravo na zaštitu osobnih podataka od strane društva Y (dalje u tekstu: društvo). S tim
u vezi, podnositeljica zahtjeva navodi kako ju je predmetno društvo tražilo presliku njezinog
osobnog dokumenta-osobne iskaznice prilikom ažuriranja njezinih osobnih podataka sukladno
posebnim propisima.
Kao dokaz svojim navodima podnositeljica zahtjeva Agenciji dostavlja odgovor
društva od 27. kolovoza 2021. godine upućen podnositeljici zahtjeva, informacije o obradi
osobnih podataka, dopis upućen predmetnom društvu od strane podnositeljice zahtjeva od 23.
ožujka 2021. godine, odgovor predmetnog društva od 16. srpnja 2021. godine te prigovor
podnositeljice zahtjeva na upućeni odgovor te e-mail korespondenciju između predmetnog
društva i podnositeljice zahtjeva.
Zahtjev nije osnovan.
1
Nastavno na navedeno, ističemo kako se od 25. svibnja 2018., u svim državama
članicama Europske unije, pa tako i u Republici Hrvatskoj, izravno se primjenjuje Uredba (EU)
2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s
obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage
Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SL EU 119.
U članku 4.1. Opće uredbe o zaštiti podataka je navedeno da su osobni podaci svi podaci
koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac
čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito
uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni
identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski,
mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca
Sukladno članku 4.2. Opće uredbe o zaštiti podataka, obrada znači svaki postupak ili
skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka,
bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje,
organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida,
uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način,
usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.
Sukladno članku 5. Opće uredbe o zaštiti podataka, osobni podaci moraju biti zakonito,
pošteno i transparentno obrađivani s obzirom na ispitanika, prikupljeni u posebne, izričite i
zakonite svrhe, primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koju
se obrađuju. Također istim člankom propisano je kakao osobni podaci moraju biti točni i prema
potrebi ažurni, odnosno moraju se poduzeti svaka razumna mjera radi osiguranja da se osobni
podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili
isprave (načelo točnosti osobnih podataka).
Nadalje, sukladno članku 6. Opće uredbe o zaštiti podataka obrada je zakonita samo
ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: (a) ispitanik je dao privolu
za obradu svojih osobnih podataka u jednu ili više posebnih svrha; (b) obrada je nužna za
izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev
ispitanika prije sklapanja ugovora; (c) obrada je nužna radi poštovanja pravnih obveza voditelja
obrade; (d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe;
(e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti
voditelja obrade; (f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće
strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji
zahtijevaju zaštitu osobnih podataka.
Osim toga, člankom 13. Opće uredbe o zaštiti podataka propisano je koje sve
informacije voditelj obrade mora pružiti/dati ispitaniku, kao fizičkoj osobi ako se osobni
podaci prikupljaju od samog ispitanika (nazivu društva ili organizacije koja obrađuje vaše
2
podatke (uključujući kontaktne podatke službenika za zaštitu osobnih podataka ako on postoji);
svrhama u koje će društvo/organizacija upotrebljavati vaše podatke; kategorijama osobnih
podataka o kojima je riječ; pravnoj osnovi za obradu vaših osobnih podataka; vremenskom
roku tijekom kojega će vaši podaci biti pohranjeni; ostalim društvima/organizacijama koje će
primati vaše podatke; tome hoće li podaci biti preneseni izvan EU-a; svojim osnovnim pravima
u području zaštite podataka).
U konkretnom slučaju u primjeni je Zakon o sprječavanju pranja novca i financiranja
terorizma („Narodne novine“, broj: 108/17, 39/19) koji propisuje mjere, radnje i postupke koje
obveznici i nadležna državna tijela poduzimaju radi sprječavanja i otkrivanja pranja novca i
financiranja terorizma te druge preventivne mjere u svrhu sprječavanja korištenja financijskoga
sustava za pranje novca i financiranje terorizma.
Člankom 9. navedenog Zakona propisani su obveznici primjene navedenog Zakona,
među koje spada i djelatnosti koje provodi institucija za elektronički novac. Mjere, radnje i
postupci za sprječavanje i otkrivanje pranja novca i financiranja terorizma određeni ovim
Zakonom provode se prije i/ili prilikom svake transakcije, kao i pri sklapanju pravnih poslova
kojima se stječe ili koristi imovina te u ostalim oblicima raspolaganja sredstvima, pravima i
drugom imovinom koji mogu poslužiti za pranje novca i financiranje terorizma.
Člankom 15. Zakona o sprječavanju pranja novca i financiranja terorizma propisano je
kako dubinska analiza stranke obuhvaća između ostaloga i mjere utvrđivanja identiteta stranke
i provjeru njezina identiteta na osnovi dokumenata, podataka ili informacija dobivenih iz
vjerodostojnoga, pouzdanoga i neovisnoga izvora, uključujući, ako ga stranka ima,
kvalificirani certifikat za elektronički potpis ili elektronički pečat. Također obuhvaća i
prikupljanje podataka o namjeni i predviđenoj prirodi poslovnoga odnosa te drugih podataka u
skladu s ovim Zakonom i na temelju njega donesenim podzakonskim aktima te stalno praćenje
poslovnoga odnosa, uključujući i kontrolu transakcija koje stranka obavlja tijekom poslovnoga
odnosa kako bi se osiguralo da su transakcije koje se obavljaju u skladu sa saznanjima
obveznika o stranci, poslovnome profilu, profilu rizika, uključujući prema potrebi i podatke o
izvoru sredstava, pri čemu dokumentacija i podaci kojima obveznik raspolaže moraju biti
ažurni (članak 15. Zakona).
Člankom 20. stavkom 3. navedenog Zakona propisano je da osim podataka iz stavka 1.
ovoga članka, obveznik pribavlja i ostale podatke u opsegu u kojem su mu potrebni za procjenu
rizika od pranja novca i financiranja terorizma sukladno odredbama ovoga Zakona i na temelju
njega donesenih podzakonskih akata.
Isto tako, člankom 37. stavkom 2. točkom 4. istog Zakona propisano je da je obveznik
primjene navedenog Zakona dužan redovito provjeravati i ažurirati prikupljene dokumente i
podatke o stranci, stvarnome vlasniku stranke i profilu rizičnosti stranke te provjeravati podatke
je li stranka ili stvarni vlasnik stranke postao ili prestao biti politički izložena osoba.
3
Nadalje, članak 79. Zakona o sprječavanju pranja novca i financiranja terorizma navodi
kako dokumentacija koja je prikupljena prilikom primjene ovoga Zakona i na temelju njega
donesenih podzakonskih akata mora sadržavati, između ostaloga i dokumentaciju na temelju
koje je utvrđen identitet stranke (preslika službenoga osobnog dokumenta, preslika izvoda iz
sudskoga ili drugoga registra i dr.).
U ovoj upravnoj stvari, iz dostavljene dokumentacije, nedvojbeno je utvrđeno kako je
podnositeljica zahtjeva korisnik usluga društva Y Također u postupku je utvrđeno kako je
predmetno društvo slanjem dopisa na kućnu adresu te telefonskim kontaktiranjem
podnositeljicu zahtjeva pozvalo na ažuriranje njezinih osobnih podataka te dostavu preslike
osobnog dokumenta-osobne iskaznice. Isto tako, podnositeljici zahtjeva je dana mogućnost da
slobodnim odabirom odluči na koji način će dostaviti presliku svoje osobne iskaznice, a što je
vidljivo iz dopisa upućenog podnositeljici zahtjeva dana 16. srpnja 2021. godine.
Shodno iznesenom, uzimajući u obzir odredbe Opće uredbe o zaštiti podataka i odredbe
Zakona o sprječavanju pranja novca i financiranja terorizma, kao posebnog zakona, u ovom
upravnom postupku utvrđeno je kako je u konkretnom slučaju prikupljanje i obrada osobnih
podataka predmetnog društva kao voditelja obrade dopuštena u svrhu izvršavanja pravnih
obveza tj. zakonskih obveza voditelja obrade osobnih podataka koje propisuje Zakon o
sprječavanju pranja novca i financiranja terorizma.
Dakle, imajući u vidu zakonske odredbe Zakona o sprječavanju pranja novca i
financiranja terorizma, a u donosu na prikupljanje preslike osobnog dokumenta-osobne
iskaznice, navodimo kako predmetno društvo kao voditelj obrade ima opravdani razlog
temeljem navedenog Zakona zbog kojih je dužno nedvojbeno utvrditi identitet klijenta
(podnositeljice zahtjeva) na način da prikupi presliku osobne iskaznice, a tako i određeni opseg
osobnih podataka podnositeljice zahtjeva.
Nadalje, navodimo kako je u vrijeme određivanja sredstava obrade i u vrijeme same
obrade obveza svakog voditelja obrade da ovisno o prirodi/naravi, opsegu i svrsi obrade
osobnih podataka odredi mjere zaštite koje jamče sigurnu, poštenu i zakonitu obradu osobnih
podataka te učinkovitu primjenu načela zaštite podataka (osobito uzimajući u obzir nužnost
obrade podataka za svaku posebnu svrhu, smanjenje količine prikupljanih podataka kao i
opsega podataka prilikom obrade, određivanje rokova čuvanja podataka, njihovu dostupnost i
dr.).
Isto tako, s aspekta propisa kojima je regulirana zaštita osobnih podataka, ukazujemo
na obvezu poštivanja načela zakonitosti, poštenosti i transparentnosti obrade osobnih podataka
ispitanika, što znači da se osobni podaci moraju obrađivati zakonito-uz postojanje jedne od
pravnih osnova utvrđenim člankom 6. Opće uredbe o zaštiti podataka. Također, navodimo kako
se načelima poštene i transparentne obrade zahtjeva da je ispitanik informiran o postupku
obrade i njihovim svrhama. Dakle, predmetno društvo je bilo u obvezi upoznati podnositeljicu
zahtjeva sa svrhom obrade njezinih osobnih podataka i pravnom osnovom za obradu osobnih
podataka.
4
Shodno iznesenom, imajući u vidu načela i postupanje voditelja obrade, navodimo kako
je predmetno društvo u konkretnom slučaju podnositeljicu zahtjeva informiralo/obavijestilo o
obradi njezinih osobnih podataka sukladno članku 13. Opće uredbe o zaštiti podataka, a što je
vidljivo iz prepiske razgovora između podnositeljice zahtjeva i predmetnog društva te iz
dokumenta Informacije o obradi osobnih podataka.
Dakle, slijedom svega navedenog, u ovom upravnom postupku utvrđeno je kako su u
konkretnom slučaju bili ispunjeni uvjeti poštene i zakonite obrade osobnih podataka iz članka
5. i 6. Opće uredbe o zaštiti podataka, a sve iz razloga što je predmetno društvo dokazalo
postojanje zakonite pravne osnove za obradu osobnih podataka podnositeljice zahtjeva u
navedenom opsegu prikupljanja osobnih podataka te prikupljanja preslike osobnog
dokumenta-osobne iskaznice. Dakle, osobni podaci podnositeljice zahtjeva su obrađivani na
pošten, zakonit i transparentan način kako to nalažu odredbe Opće uredbe o zaštiti podataka.
Sukladno iznesenom, odlučeno je kao u Izreci rješenja.
UPUTA O PRAVNOM LIJEKU
Protiv ovog rješenja nije dopuštena žalba, ali se može pokrenuti upravni spor pred
Upravnim sudom u X u roku od 30 dana od dana dostave rješenja.
ZAMJENIK RAVNATELJA
Igor Vulje
Dostaviti:
1. X
2. Y
3. Pismohrana, ovdje
5