REPUBLIKA HRVATSKA
AGENCIJA ZA ZAŠTITU
OSOBNIH PODATAKA
KLASA:
URBROJ:
Zagreb, 31. svibnja 2022.
Agencija za zaštitu osobnih podataka, OIB: 28454963989 na temelju članka 57. stavka
1. i članka 58. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja
2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih
podataka te o stavljanju izvan snage Direktive 95/46/EZ ( dalje u tekstu Opća uredba o zaštiti
podataka) SL EU 119, članka 34. Zakona o provedbi Opće uredbe o zaštiti podataka („Narodne
novine“ broj 42/18) članka 41. i članka 96. Zakona o općem upravnom postupku („Narodne
novine“ broj 47/09 i 110/21), a povodom zahtjeva za utvrđivanje povrede prava na zaštitu
osobnih podataka xy donosi sljedeće
R J E Š E NJ E
1. Zahtjev xy za utvrđivanje povrede prava na zaštitu osobnih podataka je osnovan.
2. Utvrđuje se da je gubitkom/nestankom dokumentacije, točnije Diplome o položenom
majstorskom ispitu Broj: … od … godine i Potvrde o stečenom zvanju majstor
natkonobar URBROJ: … Br. matične knjige:.. od ... 2005. godine iz dosjea Srednje
strukovne škole xx, a koja sadrži osobne podatke xy došlo do povrede članka 25. i
članka 32. Opće uredbe o zaštiti podataka od strane Srednje strukovne škole xx, kao
voditelja obrade osobnih podataka.
3. Nalaže se Srednjoj strukovnoj školi xx, kao voditelju obrade osobnih podataka
poduzimanje odgovarajućih tehničkih i organizacijskih mjera zaštite osobnih podataka
u svakodnevnom poslovanju, s ciljem da se zaštite osobni podaci ispitanika od gubitka
sukladno članku 25. i članku 32. Opće uredbe o zaštiti podataka.
O b r a z l o ž e nj e
Agencija za zaštitu osobnih podataka (dalje u tekstu: Agencija) zaprimila je zahtjev za
utvrđivanje povrede prava na zaštitu osobnih podataka xy (dalje u tekstu: podnositelj zahtjeva)
1
u kojem podnositelj zahtjeva u bitnome navodi kako je došao do saznanja kako u njegovom
dosjeu xx škole (dalje u tekstu: Škola) nedostaje njegova ovjerena kopija Diplome o položenom
majstorskom ispitu kao i Potvrda o stečenom zvanju majstor natkonobar, a koje je podnositelj
zahtjeva dostavio u Školu 2005. godine.
Zahtjev je osnovan.
Postupajući po gore navedenom zahtjevu Agencija je u svrhu točnog i potpunog
utvrđivanja činjeničnog stanja u ovoj upravnoj stvari zatražila od Škole očitovanje da li dosje
podnositelja zahtjeva sadrži presliku ovjerene Diplome o položenom majstorskom ispitu kao i
Uvjerenje za koje podnositelj zahtjeva tvrdi da je dostavio 2005. godine Školi. Također od
Škole je zatraženo da u očitovanju navede koje mjere zaštite osobnih podataka poduzimaju
sukladno članku 25. i 32. Opće uredbe o zaštiti podataka, a vezano za zaštitu osobnih podataka
svojih zaposlenika.
Agencija je zaprimila očitovanje Škole u kojem navode kako je ravnatelj, kao osoba
ovlaštena za zastupanje škole, upoznat sa predstavkama podnositelja zahtjeva. Također, Škola
u očitovanju navodi kako su uslijed nadzora prosvjetne inspekcije, početkom godine, došli do
saznanja da u dosjeu radnika nedostaje ovjerena kopija Diplome o položenom majstorskom
ispitu Broj: … od … 2005. godine, kao i Potvrda o stečenom zvanju majstor natkonobar
URBROJ:… Br. matične knjige:… od… 2005. godine. S tim u vezi, u očitovanju se navodi
kako je kontaktiran podnositelj zahtjeva koji je nakon toga u Školu dostavio original Diplome
i Potvrdu, koje su kopirane i umetnute u dosje u prisustvu djelatnika s zabilješkom „09.02.2022.
godine-kopija je istovjetna originalu“ i pečat Škole s potpisom tajnice koja je u zamjeni do
povrataka tajnice s porodiljnog/roditeljskog dopusta.
Nadalje, u očitovanju Škola navodi kako osobne podatke djelatnika čuva u mapama-
personalni dosjei u željeznom ormaru s ključem koji imaju samo ravnatelj i tajnica. Ostala
dokumentacija bivših djelatnika, kao i natječajna dokumentacija i dokumentacija Škole od
prethodnih godina nalaze se u drvenim ormarima s ključem. Također, Škola u očitovanju
navodi kako je ovo prvi slučaj da nedostaje dokumentacija u personalnom dosjeu. Također,
Škola u očitovanju navodi da je 2019., godine, uslijed vremenskih neprilika, došlo do
prokišnjavanja i poplave u Školi u svim prostorijama zgrade te da su bili raspoređeni u nekoliko
susjednih škola, tako da je moguće i da se prilikom sanacije i premještaja opreme i namještaja
zagubila dokumentacija.
Nastavno na navedeno, ističemo kako se od 25. svibnja 2018., u svim državama
članicama Europske unije, pa tako i u Republici Hrvatskoj u području zaštite osobnih podataka,
izravno primjenjuje Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016.
o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka
te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SL EU 119, a
za čiju primjenu i provođenje je nadležna Agencija za zaštitu osobnih podataka.
U članku 4.1. Opće uredbe o zaštiti podataka je propisano da su osobni podaci svi
podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”);
2
pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili
neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o
lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički,
fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.
Sukladno članku 4.2. Opće uredbe o zaštiti podataka, obrada znači svaki postupak ili
skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka,
bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje,
organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida,
uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način,
usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.
Članak 5. Opće uredbe o zaštiti podataka propisuje kako osobni podaci moraju biti
zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika, prikupljeni u posebne,
izričite i zakonite svrhe, primjereni, relevantni i ograničeni na ono što je nužno u odnosu na
svrhe u koju se obrađuju (načelo smanjenja količine podataka), točni i prema potrebi ažurni,
obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući
zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja
primjenom odgovarajućih tehničkih ili organizacijskih mjera (načelo cjelovitosti i
povjerljivosti).
Potrebno je referirati se i na članak 6. stavak 1. Opće uredbe o zaštiti podataka koji
propisuje kako je obrada osobnih podataka zakonita samo ako i u onoj mjeri u kojoj je
ispunjeno najmanje jedno od sljedećeg: ispitanik je dao privolu za obradu svojih osobnih
podataka u jednu ili više posebnih svrha; obrada je nužna za izvršavanje ugovora u kojem je
ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
obrada je nužna radi poštovanja pravnih obveza voditelja obrade; obrada je nužna kako bi se
zaštitili ključni interesi pravnih obveza voditelja obrade; obrada je nužna za izvršavanje zadaće
od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; obrada je nužna za
potrebe legitimnih interesa voditelja obrade ili treće strane.
Članak 25. stavak 2. Opće uredbe o zaštiti podataka propisuje kako voditelj obrade
provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim
načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta
se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade,
razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni
podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.
Članak 32. stavak 2. Opće uredbe o zaštiti podataka propisuje kako se od strane
voditelja i izvršitelja obrade prilikom procjene odgovarajuće razine sigurnosti u obzir posebno
uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja,
gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim
podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.
3
U ovoj upravnoj stvari utvrđeno je kako u dosjeu podnositelja zahtjeva nedostaje
određena dokumentacija koja sadrži osobne podatke podnositelja zahtjeva, točnije ovjerena
preslika Diplome o položenom majstorskom ispitu Broj: …od ... 2005. godine, kao i Potvrda o
stečenom zvanju majstor natkonobar URBROJ:... Br. matične knjige:… od .. 2005. godine.
Navedeno proizlazi iz dostavljenog očitovanja Škole, kao voditelja obrade, u kojem ista navodi
kako predmetna dokumentacija nedostaje u dosjeu podnositelja zahtjeva.
Iz utvrđenog činjeničnog stanja jasno proizlazi kako je došlo do gubitka dokumenata
koji sadrže osobne podatke podnositelja. S tim u vezi, Škola kao voditelj obrade osobnih
podataka, u dostavljenom očitovanju navodi kako je moguće da se nestala dokumentacija
zagubila prilikom sanacije i premještaja opreme i namještaja radi vremenskih neprilika.
Također, temeljem prikupljene dokumentacije u postupku utvrđeno je kako Škola kao
voditelj obrade nije poštivala načelo cjelovitosti i povjerljivosti obrade osobnih podataka
temeljem kojeg je bila dužna osigurati odgovarajuću sigurnost osobnih podataka, uključujući
zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja
primjenom odgovarajućih tehničkih ili organizacijskih mjera. Također, Škola kao voditelj
obrade sukladno pravilima sigurnosti obrade osobnih podataka, obvezna je provesti
odgovarajuće tehničke i organizacijske mjere kako bi spriječila neovlašteno ometanje
postupaka obrade podataka, a što iz konkretnog slučaja dade zaključiti kako ista nije postupala
u skladu sa navedenim.
Uslijed utvrđenog, ukazujemo na potrebu poduzimanja i kontinuiranog provođenja
odgovarajućih organizacijskih i tehničkih mjera zaštite osobnih podataka iz članka 25. i članka
32. Opće uredbe o zaštiti podataka. U konkretnom slučaju prije svega ukazujemo na potrebu
kontinuirane edukacije osoba zaposlenih u obradi osobnih podataka, prvenstveno u smislu
obveza sigurnog disponiranja i obrade osobnih podataka na način da se svaka mogućnost
gubitka/nestanka dokumentacije koja sadrži osobne podatke zaposlenika svede na najmanju
moguću mjeru.
Također, Škola kao voditelj obrade dužna je uvesti organizacijske mjere zaštite osobnih
podataka, primjerice na način da se dokumentacija koja sadrži osobne podatke ispitanika, kao
fizičkih osoba razdvoji od dokumentacije koja takve podatke ne sadrži. Isto tako bilo bi uputno
vođenje evidencije prilikom izdavanja određenih dokumenata na zahtjeve ispitanika, kao
fizičkih osoba. Osim toga, Škola kao voditelj obrade osobnih podataka je dužna u tijeku nekih
radnih aktivnosti kada dolazi do prijenosa određenih dokumenta koji sadrže osobne podatke
ispitanika postupati sa povećanom pažnjom, a sve iz razloga da ne dođe do rizika od slučajnog
ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili
neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način
obrađivani.
Upravo iz gore navedenih razloga, u provedenom upravnom postupku je utvrđeno kako
Škola, kao voditelj obrade nije poduzimala odgovarajuće zaštitne mjere osobnih podataka
4
podnositelja zahtjeva, uslijed čega je došlo do gubitka/nestanka dokumentacije podnositelja
zahtjeva, a čime su povrijeđene odredbe članka 25. i 32. Opće uredbe o zaštiti podataka.
Slijedom navedenih okolnosti, odlučeno je kao u Izreci rješenja.
UPUTA O PRAVNOM LIJEKU:
Protiv ovog rješenja žalba nije dopuštena, ali se može pokrenuti upravni spor tužbom
pred Upravnim sudom u Osijeku roku od 30 dana od dana dostave ovoga rješenja.
ZAMJENIK RAVNATELJA
Igor Vulje
5