Zadnje ažurirano:
saghysat.hu za posjetitelje i registrirane korisnike internetske stranice
Preuzimanje
Primjena Pravilnika o zaštiti podataka
| Naziv organizacije: | Sághy-Sat Kft |
|---|---|
| Sjedište organizacije: | 7754 Bóly, Ady Endre u. 9 |
| Osoba odgovorna za sadržaj pravilnika: | Ferenc Sághy |
| Datum stupanja pravilnika na snagu: | 25.05.2018. |
Ovaj pravilnik utvrđuje pravila koja se odnose na zaštitu pojedinaca u pogledu obrade osobnih podataka i na slobodan protok osobnih podataka. Odredbe ovog pravilnika moraju se primjenjivati tijekom specifičnih aktivnosti obrade podataka, kao i pri izdavanju uputa i obavijesti koje reguliraju obradu podataka.
Obveza zapošljavanja (imenovanja) službenika za zaštitu podataka odnosi se na sva javna tijela ili druga tijela koja obavljaju javne ovlasti (bez obzira na to koje podatke obrađuju), kao i na druge organizacije čije se osnovne aktivnosti sastoje od postupaka obrade koji zbog svoje prirode, opsega ili svrha zahtijevaju redovito i sustavno praćenje ispitanika u velikoj mjeri, ili koje u velikoj mjeri obrađuju posebne kategorije osobnih podataka.
Organizacija zapošljava službenika za zaštitu podataka.
U slučaju zapošljavanja službenika za zaštitu podataka:
| Ime i prezime: | Ferenc Sághy |
|---|---|
| Radno mjesto: | Izvršni direktor |
| Kontakt podaci: | 69-368-162 |
Domet primjene pravilnika
Ovaj pravilnik vrijedi do opoziva; njegov domet primjene proširuje se na dužnosnike organizacije, zaposlenike i službenika za zaštitu podataka organizacije.
Datum: Bóly, 23.05.2018.
Svrha pravilnika
Svrha je ovog pravilnika uskladiti odredbe drugih internih propisa organizacije u pogledu aktivnosti obrade podataka kako bi se zaštitila temeljna prava i slobode prirodnih osoba te osigurala odgovarajuća obrada osobnih podataka.
U svom djelovanju organizacija namjerava u potpunosti ispuniti zakonske zahtjeve za obradu osobnih podataka, posebno odredbe Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća.
Nadalje, važna svrha izdavanja ovog pravilnika jest da, upoznavanjem i poštovanjem istog, zaposlenici organizacije budu sposobni zakonito obavljati obradu podataka prirodnih osoba.
Ključni pojmovi i definicije
GDPR (General Data Protection Regulation) je nova Uredba o zaštiti podataka Europske unije (Opća uredba o zaštiti podataka).
Voditelj obrade: prirodna ili pravna osoba, javno tijelo, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;
Obrada podataka / Obrada: svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prenošenjem, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
Izvršitelj obrade: prirodna ili pravna osoba, javno tijelo, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade;
Osobni podatak: svi podaci koji se odnose na pojedinca čiji je identitet identificiran ili se može identificirati („ispitanik”); pojedinac čiji se identitet može identificirati jest osoba koja se može identificirati izravno ili neizravno, uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;
Treća strana: prirodna ili pravna osoba, javno tijelo, agencija ili drugo tijelo koje nije ispitanik, voditelj obrade, izvršitelj obrade ni osobe koje su pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade ovlaštene za obradu osobnih podataka;
Privola ispitanika: svako dobrovoljno, posebna, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se odnose na njega;
Ograničenje obrade: označavanje pohranjenih osobnih podataka s ciljem ograničavanja njihove obrade u budućnosti;
Pseudonimizacija: obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije čuvaju odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne pripisuju pojedincu čiji je identitet identificiran ili se može identificirati;
Sustav pohrane: svaki strukturirani skup osobnih podataka dostupan u skladu s posebnim kriterijima, bilo da je centraliziran, decentraliziran ili raspršen na funkcionalnoj ili geografskoj osnovi;
Povreda osobnih podataka: kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani;
Načela obrade podataka
Osobni podaci moraju se obrađivati zakonito, pošteno i na transparentan način u odnosu na ispitanika.
Osobni podaci moraju se prikupljati samo u određene, izričite i zakonite svrhe.
Svrha obrade osobnih podataka mora biti primjerena, relevantna i ograničena na ono što je nužno.
Osobni podaci moraju biti točni i prema potrebi ažurni. Netočni osobni podaci moraju se izbrisati bez odgađanja.
Osobni podaci moraju se čuvati u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno. Pohrana osobnih podataka na dulje razdoblje može se dogoditi samo ako se podaci pohranjuju isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe.
Osobni podaci moraju se obrađivati na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera.
Načela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet identificiran ili se može identificirati.
Zaposlenik organizacije koji provodi obradu podataka snosi stegovnu, materijalnu, prekršajnu i kaznenu odgovornost za zakonito rukovanje osobnim podacima. Ako zaposlenik sazna da su osobni podaci kojima rukuje netočni, nepotpuni ili zastarjeli, dužan ih je ispraviti ili pokrenuti njihov ispravak kod kolege odgovornog za unos podataka.
Obrada osobnih podataka
Budući da prirodne osobe mogu biti povezane s mrežnim identifikatorima koje pružaju njihovi uređaji, aplikacije, alati i protokoli, kao što su IP adrese i identifikatori kolačića, ti se podaci, u kombinaciji s drugim informacijama, mogu upotrijebiti za izradu profila prirodnih osoba i njihovu identifikaciju.
Obrada podataka može se provesti samo ako ispitanik dade svoju dobrovoljnu, posebnu, informiranu i nedvosmislenu privolu jasnom potvrdnom radnjom, kao što je pisana izjava – uključujući elektroničkim sredstvima – ili usmena izjava.
Pristanak na obradu podataka također je ispunjen ako ispitanik označi odgovarajući okvir tijekom pregledavanja internetske stranice. Šutnja, unaprijed označeni okviri ili neaktivnost ne predstavljaju privolu.
Privola je također ispunjena ako korisnik izvrši odgovarajuće tehničke postavke tijekom korištenja elektroničkih usluga, ili dade izjavu ili radnju koja jasno ukazuje na privolu ispitanika za obradu njegovih osobnih podataka u tom kontekstu.
Podaci koji se odnose na zdravlje uključuju osobne podatke povezane s fizičkim ili mentalnim zdravljem ispitanika, koji otkrivaju informacije o njegovu prošlom, trenutnom ili budućem fizičkom ili mentalnom zdravstvenom statusu. To uključuje sljedeće:
- registraciju u svrhu pružanja zdravstvenih usluga;
- broj, simbol ili podatke dodijeljene prirodnoj osobi radi njezine jedinstvene identifikacije u zdravstvene svrhe;
- informacije izvedene iz testiranja ili ispitivanja dijela tijela ili tjelesne tvari, uključujući genetske podatke i biološke uzorke;
- informacije o bolesti, invaliditetu, riziku od bolesti, povijesti bolesti, kliničkom liječenju ili fiziološkom ili biomedicinskom stanju ispitanika bez obzira na izvor, na primjer od liječnika ili drugog zdravstvenog djelatnika, bolnice, medicinskog proizvoda ili in vitro dijagnostičkog testa.
Genetski podaci trebali bi se definirati kao osobni podaci koji se odnose na naslijeđena ili stečena genetska obilježja prirodne osobe, a koji proizlaze iz analize biološkog uzorka dotične prirodne osobe, osobito analizom kromosoma, ispitivanjem deoksiribonukleinske kiseline (DNK) ili ribonukleinske kiseline (RNK), ili ispitivanjem bilo kojeg drugog elementa koji omogućuje dobivanje jednakovrijednih informacija.
Osobni podaci djece zaslužuju posebnu zaštitu jer djeca mogu biti manje svjesna rizika, posljedica i zaštitnih mjera te svojih prava u vezi s obradom osobnih podataka. Takva bi se posebna zaštita trebala primjenjivati osobito na uporabu osobnih podataka djece u svrhe marketinga ili profiliranja ličnosti ili korisnika.
Osobni podaci moraju se obrađivati na način koji osigurava odgovarajuću razinu sigurnosti i povjerljivosti, među ostalim radi sprječavanja neovlaštenog pristupa osobnim podacima i opremi koja se koristi za obradu ili njezina neovlaštenog korištenja.
Moraju se poduzeti sve razumne mjere kako bi se osiguralo da se osobni podaci koji su netočni isprave ili izbrišu.
Zakonitost obrade
Obrada osobnih podataka zakonita je samo ako je ispunjeno najmanje jedno od sljedećega:
- ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
- obrada je nužna za izvršenje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
- obrada je nužna za poštovanje pravnih obveza voditelja obrade;
- obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge prirodne osobe;
- obrada je nužna za izvršenje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
- obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
U skladu s navedenim, obrada podataka smatra se zakonitom ako je nužna u okviru ugovora ili namjere sklapanja ugovora.
Ako se obrada provodi radi poštovanja pravne obveze kojoj podliježe voditelj obrade, ili ako je nužna za izvršenje zadaće od javnog interesa ili pri izvršavanju službene ovlasti, obrada mora imati pravni temelj u pravu Unije ili pravu države članice.
Obradu bi trebalo smatrati zakonitom ako je nužna za zaštitu interesa koji je neophodan za život ispitanika ili druge prirodne osobe. Obrada osobnih podataka koja se temelji na ključnim interesima druge prirodne osobe u načelu bi se trebala odvijati samo ako se obrada očito ne može temeljiti na drugom pravnom temelju.
Neke vrste obrade mogu služiti i važnim razlozima od javnog interesa i ključnim interesima ispitanika, kao na primjer kada je obrada nužna u humanitarne svrhe, uključujući praćenje epidemija i njihovog širenja, ili u humanitarnim kriznim situacijama, osobito u situacijama prirodnih katastrofa i katastrofa uzrokovanih ljudskim djelovanjem.
Legitimni interesi voditelja obrade, uključujući interese voditelja obrade kojem se osobni podaci mogu otkriti, ili treće strane, mogu pružiti pravni temelj za obradu. Takav legitimni interes mogao bi postojati, na primjer, kada postoji relevantan i odgovarajući odnos između ispitanika i voditelja obrade, kao što su situacije u kojima je ispitanik klijent ili u službi voditelja obrade.
Obrada osobnih podataka strogo nužna u svrhe sprječavanja prijevara također predstavlja legitimni interes dotičnog voditelja obrade podataka. Obrada osobnih podataka u svrhe izravnog marketinga također se može smatrati provedenom radi legitimnog interesa.
Kako bi se utvrdilo postojanje legitimnog interesa, potrebno je pažljivo procijeniti, među ostalim, može li ispitanik u trenutku i u kontekstu prikupljanja osobnih podataka razumno očekivati da bi se obrada u tu svrhu mogla dogoditi. Interesi i temeljna prava ispitanika mogli bi biti jači od interesa voditelja obrade podataka ako se osobni podaci obrađuju u okolnostima u kojima ispitanici razumno ne očekuju daljnju obradu.
Obrada osobnih podataka u mjeri u kojoj je to strogo nužno i razmjerno u svrhu osiguravanja mrežne i informacijske sigurnosti od strane javnih tijela, timova za hitne računalne intervencije, timova za odgovor na mrežne sigurnosne incidente, operatora elektroničkih komunikacijskih mreža i pružatelja usluga, kao i pružatelja sigurnosnih tehnologija, predstavlja legitimni interes dotičnog voditelja obrade podataka.
Obradu osobnih podataka u svrhe koje nisu svrhe u koje su osobni podaci prvotno prikupljeni trebalo bi dopustiti samo ako je obrada kompatibilna sa svrhama u koje su osobni podaci prvotno prikupljeni. U tom slučaju nije potreban zaseban pravni temelj osim onog koji je omogućio prikupljanje osobnih podataka.
Obrada osobnih podataka od strane tijela u svrhu postizanja ustavnih ili međunarodnih javnopravnih ciljeva službeno priznatih vjerskih organizacija smatra se utemeljenom na javnom interesu.
Privola ispitanika, Uvjeti
Ako se obrada temelji na privoli, voditelj obrade mora biti u stanju dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.
Ako ispitanik dade privolu u kontekstu pisane izjave koja se odnosi i na druga pitanja, zahtjev za privolu mora biti predstavljen na način koji se jasno razlikuje od ostalih pitanja.
Ispitanik ima pravo u svakom trenutku povući svoju privolu. Povlačenje privole ne utječe na zakonitost obrade temeljem privole prije njezina povlačenja. Prije davanja privole, ispitanik se o tome obavješćuje. Povlačenje privole mora biti jednako jednostavno kao i njezino davanje.
Pri procjeni je li privola bila dobrovoljna, u najvećoj mogućoj mjeri uzima se u obzir činjenica, među ostalim, je li izvršenje ugovora, uključujući pružanje usluga, uvjetovano privolom za obradu osobnih podataka koji nisu nužni za izvršenje tog ugovora.
U pogledu izravne ponude usluga informacijskog društva djetetu, obrada osobnih podataka djeteta zakonita je ako dijete ima najmanje 16 godina. Ako je dijete ispod 16 godina, takva je obrada zakonita samo ako i u mjeri u kojoj je privolu dao ili odobrio nositelj roditeljske odgovornosti nad djetetom.
Zabranjena je obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu, te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o seksualnom životu ili seksualnoj orijentaciji pojedinca, osim ako je ispitanik dao izričitu privolu za obradu tih osobnih podataka u jednu ili više posebnih svrha.
Obrada osobnih podataka koji se odnose na kaznene osude i kaznena djela ili povezane sigurnosne mjere provodi se samo pod nadzorom službene ovlasti.
Obrada koja ne zahtijeva identifikaciju
Ako svrhe u koje voditelj obrade obrađuje osobne podatke ne zahtijevaju ili više ne zahtijevaju identifikaciju ispitanika od strane voditelja obrade, voditelj obrade nije obvezan zadržati dodatne informacije.
Ako voditelj obrade može dokazati da nije u poziciji identificirati ispitanika, voditelj obrade o tome obavješćuje ispitanika, ako je moguće, na odgovarajući način.
Informiranje i prava ispitanika
Načelo poštene i transparentne obrade zahtijeva da ispitanik bude informiran o postojanju postupka obrade i njegovim svrhama.
Ako se osobni podaci prikupljaju od ispitanika, ispitanik se također mora informirati o tome je li obvezan pružiti osobne podatke te o posljedicama nepružanja takvih podataka. Ove se informacije mogu dopuniti standardiziranim ikonama kako bi se pružio uočljiv, lako razumljiv i jasno čitljiv opći pregled namjeravane obrade.
Informacije koje se odnose na obradu osobnih podataka koji se odnose na ispitanika moraju se pružiti ispitaniku u trenutku kada su osobni podaci prikupljeni, ili, ako podaci nisu prikupljeni od ispitanika nego iz drugog izvora, u razumnom roku, uzimajući u obzir okolnosti slučaja.
Ispitanik bi trebao imati pravo pristupa osobnim podacima koji su prikupljeni o njemu te ostvarivati to pravo lako i u razumnim vremenskim razmacima kako bi bio svjestan zakonitosti obrade i mogao je provjeriti. Svaki ispitanik trebao bi imati pravo znati osobito svrhe u koje se osobni podaci obrađuju te, ako je moguće, razdoblje u kojem se osobni podaci obrađuju.
Ispitanik bi trebao imati pravo na ispravak osobnih podataka koji se odnose na njega i „pravo na zaborav” ako zadržavanje takvih podataka krši ovu Uredbu ili pravo Unije ili države članice kojoj podliježe voditelj obrade, ili ako su ispitanici povukli svoju privolu za obradu.
Ako se osobni podaci obrađuju za potrebe izravnog marketinga, ispitanik bi trebao imati pravo u svakom trenutku i besplatno prigovoriti obradi osobnih podataka koji se odnose na njega za takav marketing.
Pregled osobnih podataka
Kako bi se osiguralo da se osobni podaci ne čuvaju dulje nego što je potrebno, voditelj obrade utvrđuje rokove za brisanje ili za periodični pregled.
| Periodični rok za pregled koji je utvrdio voditelj organizacije iznosi: 1 godina. |
Zadaće voditelja obrade podataka
Voditelj obrade primjenjuje odgovarajuće interne politike zaštite podataka kako bi osigurao zakonitu obradu. Ovaj pravilnik pokriva domet ovlasti i odgovornosti voditelja obrade.
Voditelj obrade dužan je provesti odgovarajuće i učinkovite mjere te biti u stanju dokazati da su aktivnosti obrade podataka u skladu s važećim zakonima.
Ovaj se pravilnik mora donijeti uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike za prava i slobode prirodnih osoba.
Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različite vjerojatnosti i ozbiljnosti za prava i slobode prirodnih osoba, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere. Na temelju ove politike pregledava druge interne politike i po potrebi ih ažurira.
Voditelj obrade ili izvršitelj obrade vodi odgovarajući pregled aktivnosti obrade pod svojom odgovornošću. Svaki voditelj obrade i izvršitelj obrade dužan je surađivati s nadzornim tijelom i staviti te evidencije na raspolaganje na zahtjev radi praćenja tih postupaka obrade.
Prava povezana s obradom podataka
Pravo na traženje informacija
Svaka osoba može putem navedenih kontakt podataka zatražiti informacije o tome koje podatke organizacija obrađuje o njoj, na kojem pravnom temelju, u koju svrhu obrade podataka, iz kojeg izvora i koliko dugo. Na zahtjev, informacije se moraju poslati na navedenu kontakt adresu bez odgađanja, a najkasnije u roku od 30 dana.
Pravo na ispravak
Svaka osoba može putem navedenih kontakt podataka zatražiti izmjenu bilo kojeg od svojih podataka. Na zahtjev, po tome se mora postupiti bez odgađanja, a najkasnije u roku od 30 dana, te se informacija mora poslati na navedenu kontakt adresu.
Pravo na brisanje
Svaka osoba može putem navedenih kontakt podataka zatražiti brisanje svojih podataka. Na zahtjev, to se mora učiniti bez odgađanja, a najkasnije u roku od 30 dana, te se informacija mora poslati na navedenu kontakt adresu.
Pravo na ograničenje / Blokiranje
Svaka osoba može putem navedenih kontakt podataka zatražiti blokiranje svojih podataka. Blokiranje traje onoliko dugo koliko navedeni razlog čini pohranu podataka nužnom. Na zahtjev, to se mora učiniti bez odgađanja, a najkasnije u roku od 30 dana, te se informacija mora poslati na navedenu kontakt adresu.
Pravo na prigovor
Svaka osoba može se usprotiviti obradi podataka putem navedenih kontakt podataka. Prigovor se mora ispitati u najkraćem mogućem roku od podnošenja zahtjeva, a najkasnije u roku od 15 dana, mora se donijeti odluka o njegovoj utemeljenosti, te se informacija o odluci mora poslati na navedenu kontakt adresu.
Mogućnosti pravne zaštite povezane s obradom podataka
Agencija za zaštitu osobnih podataka (prema mađarskom izvorniku NAIH)
Poštanska adresa: 1530 Budapest, Pf.: 5.
Adresa: 1125 Budapest, Szilágyi Erzsébet fasor 22/c
Telefon: +36 (1) 391-1400
Faks: +36 (1) 391-1410
E-mail: ugyfelszolgalat@naih.hu
URL: https://naih.hu
Koordinate: S 47°30'56''; I 18°59'57''
Ispitanik se u slučaju povrede svojih prava može obratiti sudu protiv voditelja obrade. Sud u tom slučaju postupa hitno. Tužba se može podnijeti i pred sudom nadležnim prema ispitanikovom mjestu prebivališta ili boravišta, po izboru ispitanika.
Zadaće organizacije u svrhu odgovarajuće zaštite podataka
Svijest o zaštiti podataka. Mora se osigurati stručna spremnost za usklađivanje sa zakonima. Stručno osposobljavanje osoblja i upoznavanje s pravilnikom ključni su.
Mora se pregledati svrha, sustav kriterija i koncept obrade osobnih podataka. Zakonita obrada podataka i rukovanje podacima moraju se osigurati u skladu s pravilima o zaštiti podataka i obradi podataka.
Odgovarajuće informiranje osobe obuhvaćene obradom podataka. Pozornost se mora posvetiti činjenici da – ako se obrada podataka temelji na privoli ispitanika – u slučaju sumnje, voditelj obrade mora dokazati da je privola ispitanika za obradu podataka dobivena.
Informacije pružene ispitaniku trebale bi biti sažete, lako dostupne i lako razumljive, stoga moraju biti formulirane i prikazane jasnim i jednostavnim jezikom.
Zahtjev transparentne obrade podataka podrazumijeva da ispitanik dobije informacije o činjenici i svrhama obrade podataka. Informacija se mora razmotriti i pružiti prije početka obrade podataka, a pravo na informaciju pripada ispitaniku tijekom obrade podataka do njezina završetka.
Glavna prava osobe obuhvaćene obradom podataka su sljedeća:
- pristup osobnim podacima koji se odnose na nju;
- ispravak osobnih podataka;
- brisanje osobnih podataka;
- ograničenje obrade osobnih podataka;
- prigovor na profiliranje i automatiziranu obradu podataka;
- pravo na prenosivost podataka.
Voditelj obrade obavještava ispitanika bez nepotrebnog odgađanja, a najkasnije u roku od mjesec dana od primitka zahtjeva. Ako je potrebno, uzimajući u obzir složenost zahtjeva i broj zahtjeva, ovaj se rok može produžiti za još dva mjeseca. Obveza pružanja informacija može se osigurati upravljanjem sigurnim mrežnim sustavom putem kojeg ispitanik može lako i brzo pristupiti potrebnim informacijama.
Obrada podataka koju provodi organizacija mora se pregledati, a ostvarivanje prava na informacijsko samoodređenje mora se osigurati. Na zahtjev ispitanika, njegovi se podaci moraju izbrisati bez odgađanja ako ispitanik povuče privolu koja čini osnovu obrade podataka.
Iz privole ispitanika mora nedvosmisleno proizlaziti da ispitanik pristaje na obradu. Ako se obrada podataka temelji na privoli ispitanika, u slučaju sumnje voditelj obrade mora dokazati da je ispitanik pristao na postupak obrade podataka.
U slučaju obrade osobnih podataka djece, posebna se pozornost mora posvetiti usklađenosti s pravilima o obradi podataka. Obrada osobnih podataka u pogledu izravne ponude usluga informacijskog društva djetetu zakonita je ako dijete ima najmanje 16 godina. Ako je dijete ispod 16 godina, takva je obrada zakonita samo ako i u mjeri u kojoj je privolu dao ili odobrio nositelj roditeljske odgovornosti nad djetetom.
U slučaju nezakonitog rukovanja ili obrade osobnih podataka, nastaje obveza obavješćivanja nadzornog tijela. Voditelj obrade obavještava nadzorno tijelo bez nepotrebnog odgađanja – i, ako je moguće, najkasnije 72 sata nakon što je saznao za povredu – osim ako je malo vjerojatno da će povreda osobnih podataka rezultirati rizikom za prava prirodnih osoba.
U određenim slučajevima može biti opravdano da voditelj obrade provede procjenu učinka na zaštitu podataka prije obrade. Tijekom procjene učinka mora se ispitati kako namjeravani postupci obrade utječu na zaštitu osobnih podataka. Ako procjena učinka na zaštitu podataka ukazuje na to da bi obrada rezultirala visokim rizikom, voditelj obrade mora se savjetovati s nadzornim tijelom prije obrade.
U slučaju da se osnovne aktivnosti sastoje od postupaka obrade koji zbog svoje prirode, opsega ili svrha zahtijevaju redovito i sustavno praćenje ispitanika u velikoj mjeri, mora se imenovati službenik za zaštitu podataka. Imenovanje službenika za zaštitu podataka ima za cilj jačanje sigurnosti podataka.
Sigurnost podataka
Podaci se moraju zaštititi odgovarajućim mjerama, posebno od neovlaštenog pristupa, izmjene, prijenosa, neovlaštenog otkrivanja, brisanja ili uništenja, kao i od slučajnog uništenja i oštećenja, te od nedostupnosti uslijed promjena u korištenoj tehnologiji.
Kako bi se zaštitile podatkovne datoteke kojima se rukuje elektronički u evidencijama, odgovarajućim tehničkim rješenjem mora se osigurati da se podaci pohranjeni u evidencijama ne mogu izravno kombinirati i pripisati ispitaniku.
Pri projektiranju i primjeni sigurnosti podataka mora se uzeti u obzir trenutačno stanje tehnologije. Između nekoliko mogućih rješenja za obradu podataka, mora se odabrati ono koje pruža višu razinu zaštite osobnih podataka, osim ako bi to predstavljalo nerazmjernu poteškoću za voditelja obrade.
Službenik za zaštitu podataka
Imenovanje službenika za zaštitu podataka obvezno je na temelju sljedećih kriterija:
- obradu provodi tijelo javne vlasti ili javno tijelo, osim za sudove koji djeluju u okviru svoje sudske nadležnosti;
- osnovne aktivnosti voditelja obrade ili izvršitelja obrade sastoje se od postupaka obrade koji zbog svoje prirode, opsega i/ili svrha zahtijevaju redovito i sustavno praćenje ispitanika u velikoj mjeri;
- osnovne aktivnosti voditelja obrade ili izvršitelja obrade sastoje se od obrade u velikoj mjeri posebnih kategorija podataka i osobnih podataka koji se odnose na kaznene osude i kaznena djela.
Ako je imenovanje službenika za zaštitu podataka obvezno, vrijede sljedeća pravila:
Službenik za zaštitu podataka imenuje se na temelju stručnih kvalifikacija, a osobito stručnog znanja o pravu i praksi u području zaštite podataka te sposobnosti izvršavanja zadaća.
Službenik za zaštitu podataka može biti član osoblja voditelja obrade ili izvršitelja obrade, ili izvršavati zadaće na temelju ugovora o uslugama.
Voditelj obrade ili izvršitelj obrade objavljuju kontakt podatke službenika za zaštitu podataka i priopćuju ih nadzornom tijelu.
Položaj službenika za zaštitu podataka
Voditelj obrade osigurava da službenik za zaštitu podataka bude uključen, na odgovarajući način i pravodobno, u sva pitanja u vezi sa zaštitom osobnih podataka. Mora se osigurati da su resursi potrebni za održavanje njegovog stručnog znanja dostupni.
Službenik za zaštitu podataka ne prima nikakve upute u pogledu izvršavanja tih zadaća. Voditelj obrade ili izvršitelj obrade ne smiju ga razriješiti niti kazniti zbog izvršavanja njegovih zadaća. Službenik za zaštitu podataka izravno odgovara najvišoj upravnoj razini voditelja obrade ili izvršitelja obrade.
Ispitanici mogu kontaktirati službenika za zaštitu podataka u pogledu svih pitanja u vezi s obradom njihovih osobnih podataka i ostvarivanjem njihovih prava.
Službenik za zaštitu podataka obvezan je tajnošću ili povjerljivošću u pogledu izvršavanja svojih zadaća.
Službenik za zaštitu podataka može izvršavati i druge zadaće i dužnosti, pod uvjetom da ne dolazi do sukoba interesa.
Zadaće službenika za zaštitu podataka
- Informiranje i savjetovanje voditelja obrade ili izvršitelja obrade te zaposlenika koji obavljaju obradu;
- praćenje usklađenosti s ovom Uredbom i s internim politikama voditelja obrade ili izvršitelja obrade u vezi sa zaštitom osobnih podataka;
- pružanje savjeta, na zahtjev, u pogledu procjene učinka na zaštitu podataka i praćenje njezina izvršavanja;
- suradnja s nadzornim tijelom.
Povreda osobnih podataka (Incident)
Povreda osobnih podataka znači kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.
Povreda osobnih podataka može, ako se ne reagira na odgovarajući i pravodoban način, dovesti do fizičke, materijalne ili nematerijalne štete za prirodne osobe, kao što je gubitak kontrole nad njihovim osobnim podacima ili ograničenje njihovih prava, diskriminacija, krađa identiteta ili prijevara.
Povreda osobnih podataka prijavljuje se nadležnom nadzornom tijelu bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja o njoj, osim ako nije vjerojatno da će povreda osobnih podataka rezultirati rizikom za prava i slobode prirodnih osoba.
Ispitanik se obavještava bez nepotrebnog odgađanja ako je vjerojatno da će povreda osobnih podataka rezultirati visokim rizikom za prava i slobode prirodne osobe, kako bi mu se omogućilo poduzimanje potrebnih mjera opreza.
Obrada u administrativne svrhe i svrhe vođenja evidencije
Organizacija također može obrađivati osobne podatke u slučajevima koji pripadaju njezinoj djelatnosti te u administrativne svrhe i svrhe vođenja evidencije.
Temelj za obradu podataka je dobrovoljna i izričita privola temeljena na odgovarajućem informiranju ispitanika. Nakon detaljnog informiranja – koje pokriva svrhu, pravni temelj i trajanje obrade podataka kao i prava ispitanika – ispitanik se mora upozoriti na dobrovoljnu narav obrade podataka. Privola za obradu podataka mora se zabilježiti u pisanom obliku.
Obrada podataka u administrativne svrhe i svrhe vođenja evidencije služi sljedećim ciljevima:
- obrada podataka članova i zaposlenika organizacije, koja se temelji na zakonskoj obvezi;
- obrada podataka osoba u ugovornom odnosu ili odnosu po nalogu s organizacijom u svrhe kontakta, obračuna i vođenja evidencije;
- kontakt podaci drugih organizacija, institucija i poduzeća u poslovnom odnosu s organizacijom, što mogu biti i kontakt i identifikacijski podaci prirodnih osoba.
Obrada podataka u skladu s navedenim temelji se s jedne strane na zakonskoj obvezi, a s druge strane ispitanik je izričito pristao na obradu svojih podataka (na primjer, u svrhu ugovora o radu ili registriran kao partner na internetskoj stranici itd.).
U slučaju dokumenata dostavljenih organizaciji u pisanom obliku – koji sadrže osobne podatke – (na primjer, životopis, prijava za posao, drugi podnesak itd.), privola ispitanika se mora pretpostaviti. Nakon zatvaranja predmeta – u nedostatku privole za daljnju uporabu – dokumenti se moraju uništiti. Činjenica uništenja mora se zabilježiti u zapisnik.
U slučaju obrade podataka u administrativne svrhe, osobni podaci pojavljuju se isključivo u dokumentima i evidencijama zadanog predmeta. Obrada ovih podataka traje do izlučivanja dokumenta koji čini osnovu obrade.
Obrada podataka u administrativne svrhe i svrhe vođenja evidencije – kako bi se osiguralo da je pohrana osobnih podataka ograničena na nužno razdoblje – mora se pregledavati svake godine, a netočne osobne podatke potrebno je izbrisati bez odgađanja.
Usklađenost sa zakonima mora se osigurati i u slučaju obrade podataka u administrativne svrhe i svrhe vođenja evidencije.
Obrada podataka u druge svrhe
Ako organizacija namjerava provesti obradu podataka koja nije uključena u ovaj pravilnik, mora unaprijed na odgovarajući način dopuniti svoj interni pravilnik ili priložiti podpravila koja odgovaraju novoj svrsi obrade podataka.
Drugi dokumenti koji pripadaju pravilniku
Dokumenti i pravila koji sadrže, na primjer, pisanu izjavu o privoli za obradu podataka ili, na primjer u slučaju internetskih stranica, opisuju obveznu obavijest o obradi podataka, moraju se povezati s pravilima o zaštiti podataka i obradi podataka te se s njima zajedno rješavati.
Zakonodavstvo koje čini osnovu obrade podataka
- UREDBA (EU) 2016/679 EUROPSKOG PARLAMENTA I VIJEĆA (od 27. travnja 2016.) o zaštiti pojedinaca u pogledu obrade osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka).
- Zakon CXII iz 2011. godine o pravu na informacijsko samoodređenje i slobodu informiranja (mađarski zakon).
- Zakon LXVI iz 1995. godine o javnim dokumentima, javnim arhivima i zaštiti privatnog arhivskog gradiva.
- Vladina uredba 335/2005 (XII. 29.) o općim zahtjevima za upravljanje dokumentima od strane tijela koja obavljaju javne ovlasti.
- Zakon CVIII iz 2001. godine o određenim pitanjima usluga elektroničke trgovine i usluga informacijskog društ magnetism.
- Zakon C iz 2003. godine o elektroničkim komunikacijama.