Na Temelju Odredbi Zakona O Provedbi Opće Uredbe O

na temelju odredbi zakona o provedbi opće uredbe o zaštiti podataka (n.n. broj 42/2018.) od 9. svibnja 2018. godine (dalje u tekstu: zakon) i

Na temelju odredbi Zakona o provedbi Opće uredbe o zaštiti podataka
(N.N. broj 42/2018.) od 9. svibnja 2018. godine (dalje u tekstu:
Zakon) i odredbi Uredbe (EU) broj 679/2016. Europskoga parlamenta i
vijeća od dana 27. travnja 2016. godine o zaštiti pojedinca u svezi s
obradbom osobnih podataka i o slobodnom kretanju takvih podataka
(dalje u tekstu: Uredba), Gradska knjižnica – Biblioteca civica
„Matija Vlačić Ilirik“ Rovinj – Rovigno, kao voditelj obradbe, donosi
ovaj
PRAVILNIK
O ZAŠTITI OSOBNIH PODATAKA
Članak 1.
Ovim Pravilnikom uređuje se
a.
zaštita pojedinca-fizičkih osoba u svezi s obradbom njegovih
osobnih podataka (u daljnjemu tekstu: ispitanik) u odnosu na
prikupljanje, obradbu, korištenje i čuvanje osobnih podataka,
b.
obveze Gradske knjižnice „Matija Vlačić Ilirik“ Rovinj kao
voditelja obradbe (u daljnjemu testu: voditelj obradbe),
c.
prava ispitanika, te
d.
provedba organizacijskih, kadrovskih i tehničkih mjera zaštite
osobnih podataka,
a sve radi osiguravanja provedbe Uredbe (EU) broj 679/2016. Europskoga
parlamenta i vijeća od dana 27. travnja 2016. godine o zaštiti
pojedinca u svezi s obradbom osobnih podataka i o slobodnom kretanju
takvih podataka.
Značenje pojmova bitnih s obzirom na odrednice ovoga Pravilnika u
odnosu na Uredbu
Članak 2.
„Osobni podatci“ su svi podatci koji se odnose na pojedinca čiji je
identitet utvrđen ili se može utvrditi. Pojedinac čiji se identitet
može utvrditi jest osoba koja se može identificirati izravno ili
neizravno, osobito uz pomoć identifikatora kao što su: ime,
identifikacijski broj, podatci o lokaciji, mrežni identifikator, ili
uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki,
genetski, mentalni, ekonomski, kulturni ili socijalni identitet toga
pojedinca. Osobni podatak je ime, adresa, e-adresa, IP i MAC adresa,
GPS lokacija, RFID „tagovi“ i „kolačići“ na web-stranicama, telefonski
broj, fotografija, video snimci pojedin(a)ca, OIB, biometrijski
podatci (otisak prsta, snimka šarenice oka), genetski podatci, podatci
o obrazovanju i stručnoj spremi, podatci o plaći, podatci o kreditnom
zaduženju, podatci o računima u banci, podatci o zdravlju, seksualnoj
orijentaciji, glas i bilo koji drugi podatci povezani sa stvarnom
osobom, tj. vlasnikom osobnoga podatka, koji se mogu upotrijebiti za
izravno ili neizravno identificiranje točno te osobe.
„Obradba” znači svaki postupak ili skup postupaka koji se obavljaju na
osobnim podatcima ili na skupovima osobnih podataka, bilo
automatiziranim bilo neautomatiziranim sredstvima kao što su
prikupljanje, bilježenje, organizacija, strukturiranje, pohrana,
prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba,
otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na
drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje
ili uništavanje.
„Voditelj obradbe” znači fizička ili pravna osoba, tijelo javne
vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima
određuje svrhe i sredstva obradbe osobnih podataka;
„Izvršitelj obradbe” znači fizička ili pravna osoba, tijelo javne
vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime
voditelja obradbe;
„Primatelj” znači fizička ili pravna osoba, tijelo javne vlasti,
agencija ili drugo tijelo kojem se otkrivaju osobni podatci, neovisno
o tome je li on treća strana;
„Treća strana” znači fizička ili pravna osoba, tijelo javne vlasti,
agencija ili drugo tijelo koje nije ispitanik, voditelj obradbe,
izvršitelj obradbe ni osobe koje su ovlaštene za obradbu osobnih
podataka pod izravnom nadležnošću voditelja obradbe ili izvršitelja
obradbe;
„Privola” ispitanika znači svako dobrovoljno, posebno, informirano i
nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom
potvrdnom radnjom daje pristanak za obradbu osobnih podataka koji se
na njega odnose;
„Sustav pohrane“ znači svaki strukturirani skup osobnih podataka
dostupnih prema posebnim kriterijima, bilo da su centralizirani,
decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj
osnovi;
„Povreda osobnih podataka“ znači kršenje sigurnosti, koje dovodi do
slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog
otkrivanja ili pristupa osobnim podatcima koji su preneseni,
pohranjeni ili na drugi način obrađivani;
„Osoba koja se može identificirati“ je osoba čiji se identitet može
utvrditi (izravno ili neizravno) posebno na osnovi identifikacijskog
broja ili jednog ili više obilježja specifičnih za njezin fizički,
psihološki, mentalni, gospodarski, kulturni ili socijalni identitet;
„Posebna kategorija osobnih podataka“ odnosi se na rasno ili etničko
podrijetlo, politička stajališta, vjerska ili druga uvjerenja,
sindikalno članstvo, zdravlje ili spolni život i osobne podatke o
kaznenom i prekršajnom postupku.
Članak 3.
Voditelj obradbe:
1.
obrađuje osobne podatke ispitanika na način da su točni, potpuni i
ažurni u svim evidencijama u kojima su podatci pohranjeni,
neovisno o njihovu obliku vođenja;
2.
osobne podatke ispitanika:
a.
prikuplja samo
– u svrhu s kojom je ispitanik upoznat, koja je navedena prilikom
njegovog prikupljanja, i
– u svrhu izvršavanja svojih zakonskih i ostalih obveza u skladu sa
svojom djelatnošću;
b) obrađuje samo u svrhu za koju su podatci prikupljeni, odnosno u
svrhu koja se podudara sa svrhom njenog prikupljanja;
3.
koristi osobne podatke ispitanika samo u vremenu koje je nužno za
ostvarenje određene svrhe, osim ako posebnim zakonom nije određeno
duže razdoblje te se protekom istog moraju brisati, ako posebnim
zakonom nije što drugo određeno;
4.
mora osigurati tehničke mjere zaštite osobnih podataka;
5.
mora osigurati čuvanje i arhiviranje osobnih podataka na način i u
vremenu u skladu s posebnim zakonskim propisima i internim aktima
koji određuju vrijeme čuvanja osobnih podataka, njihova brisanja
ili uništavanja, te prostore i uvjete njihova arhiviranja.
Članak 4.
Na temelju ugovora, a koji mora biti u pisanom obliku, voditelj
obradbe pojedine poslove u svezi s obradbom osobnih podataka u
okvirima svojeg djelokruga posla može povjeriti na obradbu drugoj
fizičkoj ili pravnoj osobi (izvršitelju obradbe).
Poslovi u svezi s obradbom osobnih podataka mogu se povjeriti samo
izvršitelju obradbe koji je registriran za obavljanje takve
djelatnosti i koji osigurava dovoljna jamstva u pogledu ostvarivanja
odgovarajućih mjera zaštite osobnih podataka, odnosno klasificiranih
podataka ukoliko ispunjava uvjete utvrđene posebnim propisima koji
uređuju područje informacijske sigurnosti.
Članak 5.
Voditelj obradbe svojom odlukom imenuje odgovornu osobu i njenu
zamjenu u svakom pojedinom dijelu obradbe, koji je naveden u
prethodnom članku ovog Pravilnika, a koja će odgovarati voditelju
obradbe za postupanje djelatnika unutar odjela obradbe sukladno
odredbama ovog Pravilnika te koje će biti odgovorne za komunikaciju i
pružanje informacija službeniku za zaštitu osobnih podataka.
Članak 6.
Zbog osobnih podataka koje voditelj obradbe prikuplja i obrađuje, a
gdje neka druga fizička ili pravna osoba može imati ili ima pristup
takvim osobnim podatcima temeljem Ugovora, takav poslovni odnos mora
se urediti posebnim odredbama Ugovora u skladu s Uredbom u dijelu koji
se odnosi na njihovu tajnost, zaštitu probojnosti s uključenim mjerama
zaštite.
Članak 7.
Voditelj obradbe sakuplja osobne podatke koji se odnose na:
1.
zaposlenike: ime i prezime, OIB, datum rođenja, adresa, broj
djece, obrazovanje, telefonski broj, e-adresa, broj tekućeg
računa, dužina radnog staža, matični broj osiguranika na HZZO-u i
HZMO-u;
2.
sudionike natječaja: ime i prezime, broj telefona, e-adresa;
osobni podatci koji se prikupljaju koriste se isključivo za odabir
kandidata prilikom zapošljavanja.
Brojevi mobitela, fiksnih telefona i e-adrese prikupljaju se radi
kontaktiranja klijenata, uz privolu istih;
svi osobni podatci koriste se isključivo u svrhe radi koje su
prikupljeni i za koje je dana privola;
prikupljeni podatci neće se ni na koji način učiniti dostupnim trećim
osobama, osim u zakonom propisanu svrhu;
moguće je da se umjesto brisanja podatci anonimiziraju; U tom se
slučaju trajno uklanjaju svi podatci povezani s osobom;
3.
korisnike osnovne djelatnosti: članove;
4.
vanjske korisnike – poslovne klijente;
5.
ugovorne korisnike.
Pravna osnova i svrhe obradbe osobnih podataka
Sve vrste osobnih podataka obrađuju se u sljedeće svrhe i temeljem:
a.
zakonskih obveza
*
osobne podatke obrađujemo u skladu s važećim propisima (npr. Zakon
o radu, Pravilnik o evidenciji radnika itd.), kao i radi
obavještavanja i prijava, koje smo dužni činiti prema važećim
propisima. (npr. prijava na Hrvatski zavod za mirovinsko
osiguranje itd.);
b.
realizacija ugovora
*
osobne podatke obrađujemo u svrhu realizacije ugovora i ispunjenja
ugovornih obveza koje smo ugovorili;
c.
privole kontaktiranja
*
za vrijeme trajanja radnog odnosa, poslovnih i drugih odnosa;
d.
legitimnog interesa voditelja obradbe.
Svi osobni podatci koriste se isključivo u svrhu radi koje su
prikupljeni i za koje je dana privola.
Prikupljeni podatci neće se ni na koji način učiniti dostupnim trećim
osobama, osim u zakonom propisanu svrhu.
Članak 8.
Voditelj obradbe dužan je u odnosu na osobne podatke postupati u
skladu s pozitivnim zakonskim propisima (zakoni, pravilnici,
kolektivni i ostali obvezujući ugovori, uredbe i sl.), kojima se
uređuje prikupljanje, obradba i čuvanje osobnih podataka ispitanika.
Članak 9.
U slučajevima kada se osobni podatci ne prikupljaju temeljem važećih
zakonskih propisa ili ugovora, prilikom prikupljanja osobnih podataka
voditelj obradbe pribavit će privolu od ispitanika za prikupljanje i
obradbu osobnih podataka.
U slučaju da voditelj obradbe podatke obrađuje temeljem legitimnog
interesa u smislu Uredbe, tada je voditelj obradbe dužan obaviti „test
ravnoteže“ kako bi opravdao legitimni interes.
Članak 10.
Prilikom prvog kontakta s ispitanikom, osobe koje prikupljaju osobne
podatke od ispitanika, u ime i za račun voditelja obradbe, dužne su mu
predati:
a.
izjavu o zaštiti osobnih podataka, ili
b.
drugi dokument koji opisuje i upoznaje ispitanika s njegovim
pravima te su, ako je za obradbu pojedinog osobnog podatka
potrebna privola, prije obradbe osobnog podataka istu dužni
ishoditi, a prema obrascu privole.
Nakon što je ispitaniku predana izjava o zaštiti osobnih podataka i
predana privola, potvrda o primitku izjave o zaštiti osobnih podataka
i potvrda o privoli bit će predana neposredno nadređenoj osobi ili
drugoj osobi koju ona odredi na kraju radnog dana radi evidencije u
središnjem sustavu dobivenih obrazaca privole i arhiviranja istih.
Privola će se čuvati sve dok se čuvaju osobni podatci na koje se ona
odnosi, te će se nakon prestanka potrebe za njihovim čuvanjem fizički
uništiti uz sastavljanje zapisnika o uništenju od strane odgovorne
osobe i/ili će se vratiti ispitaniku, sve u skladu s odlukom voditelja
obradbe.
Ako ispitanik izjavi da mu nije jasno pojedino pravo ili traži dodatna
objašnjenja, osoba koja prikuplja podatke u ime i za račun voditelja
obradbe dužna mu ih je dati.
Članak 11.
Ako voditelj obradbe od ispitanika nije primio osobne podatke,
prilikom prve komunikacije djelatnici odnosno osobe koje kontaktiraju
ispitanika u ime voditelja obradbe moraju ispitaniku pružiti sljedeće
informacije:
a.
identitet i kontaktne podatke voditelja obradbe i predstavnika
voditelja obradbe, te kontaktne podatke službenika za zaštitu
osobnih podataka;
b.
svrhu obradbe kojoj su namijenjeni osobni podatci kao i pravnu
osnovu obradbe;
c.
kategoriju osobnih podataka koji se obrađuju;
d.
kategorije primatelja;
e.
(ako postoji), namjeru o prijenosu podataka u treću zemlju ili
međunarodnu organizaciju;
f.
razdoblje pohranjivanja, odnosno mjerila za utvrđivanja razdoblja;
g.
(ako se obradba temelji na legitimnim interesima) o legitimnom
interesu voditelja obradbe;
h.
o postojanju prava na pristup osobnim podatcima i na ispravak ili
brisanje osobnih podataka ili ograničavanje obradbe, a koji se
odnose na ispitanika i prava na ulaganje prigovora na obradbu te
prava na prenosivost podataka;
i.
o pravu na povlačenje privole;
j.
o pravu na podnošenja prigovora nadležnom tijelu;
k.
o izvoru osobnih podataka;
l.
o tomu postoji li automatizirana obradba osobnih podataka.
Članak 12.
Prilikom obradbe osobnih podataka voditelj obradbe dužan je voditi
računa osobito o sljedećim rokovima i obavezama:
– kada se obradba temelji na privoli ispitanika, voditelj obradbe
dužan je pribaviti privolu za obradbu osobnih podataka te mora u
svakom trenutku moći dokazati da je ispitanik dao privolu za obradbu
svojih podataka;
– voditelj obradbe dužan je bez odgode, a najkasnije u roku od mjesec
dana dostaviti ispitaniku sve informacije u vezi s obradbom njegovih
osobnih podataka, a na koje ima pravo sukladno Općoj uredbi; u slučaju
složenosti i većeg broja zahtjeva taj se rok može produžiti za dodatna
dva mjeseca, ali tada je potrebno izvijestiti ispitanika o toj
činjenici u roku od mjesec dana od primitka zahtjeva s obrazloženjem
za produženje roka;
– u slučajevima da informacije nisu dobivene od ispitanika, voditelj
obradbe dužan je odmah kod prve komunikacije s ispitanikom, a
najkasnije u roku od mjesec dana od dobivanja osobnih podataka,
ispitanika obavijestiti o obradbi njegovih osobnih podataka sukladno
odredbama Opće uredbe;
– voditelj obradbe dužan je prilikom prve komunikacije s ispitanikom
obavijestiti ispitanika o pravu na prigovor;
– u slučaju povrede osobnih podataka, voditelj obradbe dužan je
izvijestiti nadzorno tijelo bez odgode, a najkasnije u roku od 72 sata
od spoznaje o nastaloj povredi; u slučaju kašnjenja izvješćivanja,
nadzornom je tijelu potrebno priopćiti razloge kašnjenja;
– u slučaju povrede osobnih podataka, koja bi prema procjeni voditelja
obradbe mogla biti rizična za prava i slobode pojedinca, voditelj
obradbe dužan je o istome bez odgode obavijestiti ispitanika;
– kada je vjerojatno da bi neka vrsta obradbe mogla imati visok rizik
glede ugroze prava i sloboda ispitanika, voditelj obradbe dužan je
procijeniti učinke obradbe na zaštitu podataka prije početka obradbe
podataka;
– ako se temeljem provedene procjene učinka na zaštitu podataka utvrdi
da bi obradba bez donošenja dodatnih mjera zaštite za ublažavanje
rizika dovela do visokog rizika za prava i slobode pojedinca, voditelj
obradbe dužan je prije obradbe savjetovati se s nadzornim tijelom;
– voditelj obradbe dužan je sve osobne podatke brisati (ili
anonimizirati) prestankom svrhe u koju su prikupljeni, povlačenjem
privole ispitanika, odnosno prestankom ugovornog odnosa i svim ostalim
slučajevima sukladno Općoj uredbi, a najkasnije po isteku svih
zakonskih obveza povezanih sa čuvanjem osobnih podataka, osim u
slučaju ako je pokrenut postupak prisilne naplate neplaćenih
potraživanja ili ako je uložen prigovor na proizvod ili uslugu u roku,
sve do konačnog dovršetka postupka po prigovoru u skladu s važećim
propisima;
– u slučajevima kada je na zahtjev ispitanika izvršena dopuna, izmjena
ili brisanje osobnih podataka, o izvršenom ispravku potrebno je
izvijestiti osobu na koju se osobni podatci odnose i primatelje
osobnih podataka i to u roku od 30 dana od ispravka.
Članak 13.
Zahtjevi ispitanika, kojima ispitanik od voditelja obradbe traži neko
od svojih prava iz Uredbe, moraju biti u pisanom obliku.
Na zahtjeve ispitanika voditelj obradbe dužan je odgovoriti u što
kraćem roku, ali najdulje u roku od mjesec dana od dana primitka
zahtjeva.
Prilikom podnošenja zahtjeva, uvidom u osobnu iskaznicu ili uvidom u
putovnicu, potrebno je utvrditi identitet osobe koja zahtjev podnosi.
Postupanje po zahtjevu prije nesumnjivog utvrđivanja identiteta
ispitanika nije moguće.
Voditelj obradbe osobi ne smije prenijeti niti jedan osobni podatak
prije negoli se utvrdi identitet.
Tehničke mjere zaštite
Članak 14.
Voditelj obradbe dužan je voditi računa o tome da pristup osobnim
podatcima imaju samo ovlaštene osobe, na sljedeće načine:
a.
redovito mijenjajući lozinke za „otključavanje“ računala, i to
najmanje jednom tromjesečno;
b.
čuvajući lozinke za otključavanje računala tako da pristup istima
imaju samo osobe koje voditelj obradbe zaduži odlukom;
c.
da lozinke brojem znakova i složenošću osiguraju što veću razinu
zaštite;
d.
onemogućujući da se istekle lozinke ponovno koriste;
e.
stvaranjem sustava koji će voditelja obradbe upozoriti u slučaju
neovlaštenog pristupa osobnim podatcima;
f.
da se nakon određenog broja pokušaja unošenja netočne lozinke
računalo automatski zaključa.
Članak 15.
Voditelj obradbe dužan je osigurati zaštitu informatičkog sustava i to
tako da su informatička mreža i dr. dijelovi sustava zaštićeni od:
– požara,
– poplave,
– gubitka napajanja,
– neovlaštenog pristupa,
te korištenjem:
– antivirusne zaštite,
– enkripcije, i
– pseudonimizacije podataka kada je to moguće, kao i drugih
odgovarajućih mjera kojima se jamči što veća razina informacijske
sigurnosti.
Da bi se izbjegao neovlašteni pristup osobnim podatcima, podatci u
pisanom obliku čuvaju se u registratorima, u zaključanim ormarima, u
sefovima, a podatci u računalu zaštićuju se dodjeljivanjem korisničkog
imena i lozinke poznate zaposlenicima koji obrađuju podatke, te se
radi daljnje sigurnosti i tajnosti pohranjuju na prenosive memorije i
„backup“ na serveru.
Povjerenik/službenik za zaštitu osobnih podataka
Članak 16.
Voditelj obradbe imenovat će povjerenika/službenika za zaštitu osobnih
podataka.
Povjerenik/službenik za zaštitu osobnih podataka može biti i osoba
koja nije zaposlenik voditelja obradbe osobnih podataka.
Povjerenik/službenik za zaštitu osobnih podataka izravno odgovara
odgovornoj osobi voditelja obradbe i ne smije primati upute od drugih
zaposlenika voditelja obradbe podataka; zadužen je za izravan kontakt
s nadležnim nadzornim tijelom.
Voditelj obradbe dužan je javno objaviti kontakt podatke
povjerenika/službenika za zaštitu osobnih podataka na svojim
web-stranicama i na drugi prikladan način.
Članak 17.
Povjerenik/službenik za zaštitu osobnih podataka treba posjedovati
vještine i stručnos, što podrazumijeva:
a.
stručnost u pogledu nacionalnih i europskih zakona i praksi u
području zaštite osobnih podataka, uključujući dubinsko
razumijevanje Uredbe,
b.
aktivno razumijevanje provedbe postupaka obradbe,
c.
razumijevanje informacijskih tehnologija i sigurnosti osobnih
podataka,
d.
poznavanje sustava poslovne i radne organizacije voditelja
obradbe,
e.
sposobnost promicanja kulture zaštite osobnih podataka unutar
djelatnosti voditelja obradbe.
Članak 18.
Ovisno o prirodi postupaka obradbe te djelatnosti i veličini voditelja
obradbe, povjereniku/službeniku za zaštitu podataka potrebno je
pružiti:
a.
aktivnu potporu višeg rukovodstva,
b.
dostatno vrijeme kako bi povjerenik/službenik za zaštitu osobnih
podataka ispunio svoje dužnosti,
c.
primjerenu potporu u pogledu financijskih sredstava,
infrastrukture (prostori, objekti, oprema) i, prema potrebi,
osoblja,
d.
službenu obavijest o imenovanju povjerenika/službenika za zaštitu
osobnih podataka upućenu svim osobama,
e.
pristup ostalim službama u okviru organizacije kako bi službenik
za zaštitu osobnih podataka mogao primiti nužnu potporu, doprinose
ili obavijesti od tih službi,
f.
kontinuirano osposobljavanje.
Članak 19.
Voditelj obradbe ne smije:
a.
povjereniku/službeniku za zaštitu osobnih podataka davati upute za
izvršavanje zadaća,
b.
povjerenika/službenika za zaštitu osobnih podataka razriješiti
dužnosti ili kazniti zbog izvršavanja zadaća,
c.
biti u sukobu interesa glede ostalih zadataka i dužnosti.
Povjerenik/službenik za zaštitu osobnih podataka ne smije biti:
a.
zakonski zastupnik voditelja obradbe,
b.
osoba koji prikuplja i obrađuje osobne podatke,
c.
voditelj odjela za marketing, javnost...,
d.
voditelj tzv. ljudskih resursa,
e.
voditelj odjela za informacijsku tehnologiju,
f.
osoba na položaju u višem rukovodstvu, niti osoba koja na svojem
položaju utvrđuje svrhu i način obradbe osobnih podataka.
Imenovanje vanjskog povjerenika/službenika za zaštitu osobnih podataka
Članak 20.
Voditelj obradbe za povjerenika/službenika za zaštitu osobnih podataka
može odrediti i imenovati vanjsku fizičku ili pravnu osobu koja nije
zaposlena kod voditelja obradbe na temelju ugovora o izvršavanju
poslova službenika za zaštitu osobnih podataka, zasnovanog na Uredbi i
ovom Pravilniku, posebice uvažavajući odredbe prethodnih članka ovoga
Pravilnika, koji se odnose na povjerenike/službenike za zaštitu
osobnih podataka.
Vanjski povjerenik/službenik za zaštitu osobnih podataka voditelju
obradbe mora jamčiti da ima stručna znanja, potrebne resurse i
pouzdanost za provedbu tehničkih i organizacijskih mjera koje se, pri
obradbi osobnih podataka u funkciji izvršenja ugovora, primjenjuju
sukladno propisima iz područja zaštite osobnih podataka, Uredbe i
ovoga Pravilnika, neposredno ili posredno putem vanjskih stručnih
suradnika.
Evidencija aktivnosti obradbe
Članak 21.
Voditelj obradbe, kao i izvršitelj obradbe ukoliko on postoji,
temeljem članka 30. Uredbe mora sastaviti i voditi evidenciju
aktivnosti obradbe, gdje će prikazati sljedeće:
a) ime i kontaktne podatke voditelja obradbe,
b) ime i kontaktne podatke službenika za zaštitu podataka,
c) svrhu obradbe,
d) opis kategorija ispitanika,
e) opis kategorija osobnih podataka,
f) kategorije primatelja kojima su osobni podatci otkriveni ili će im
biti otkriveni,
g) predviđene rokove za brisanje različitih kategorija podataka,
h) opći opis tehničkih i organizacijskih sigurnosnih mjera iz članka
32. stavka 1. 2. Uredbe.
Evidencija iz prednjeg stavka ovog članka Pravilnika mora biti u
pisanom obliku, uključujući elektronički oblik.
Obveze iz ovog članka Pravilnika primjenjuju se:
a.
na pravnu osobu u kojoj je zaposleno više od 250 ljudi,
b.
ako će obradba koju se provodi vjerojatno prouzročiti visok rizik
za prava i slobode ispitanika,
c.
ako obradba nije povremena i kada obradba uključuje posebne
kategorije podataka iz članka 9. stavka 1. Uredbe, ili pak
d.
kad je riječ o osobnim podatcima u vezi s kaznenim osudama i
kažnjivim djelima.
Za vođenje evidencije obradbe osobnih podataka osoba ovlaštena za
zastupanje voditelja obradbe imenovat će odgovornu osobu.
Procjene učinka na privatnost
Članak 22.
U slučaju ispunjenja uvjeta određenih Uredbom, voditelj obradbe, koji
je obvezan izraditi procjenu učinka na privatnost prilikom obradbe
osobnih podataka posebnih kategorija, kao i ako je utvrdio da osobni
podatci mogu prouzročiti visok rizik za prava i slobode pojedinaca,
izradit će predmetnu procjenu.
U slučaju novih vrsta obradbe, koje bi putem novih tehnologija i
uzimajući u obzir prirodu, opseg, kontekst i svrhe obradbe, mogle
prouzročiti visok rizik za prava i slobode pojedinaca, voditelj
obradbe prije obradbe obvezan je obaviti procjenu učinka predviđenih
postupaka obradbe na zaštitu osobnih podataka.
Prilikom procjene učinka na privatnost voditelj obradbe je dužan
zatražiti savjet od službenika za zaštitu osobnih podataka.
Pohrana i čuvanje osobnih podataka
Članak 23.
Glede načina i pohrane arhivske građe te vremena njenog čuvanja, a
sukladno zakonskim propisima i općem aktu kojim su obuhvaćeni osobni
podatci ispitanika, voditelj obradbe uređuje i utvrđuje potrebne
tehničke mjere, mjere zaštite, opremu i prostorije gdje se i kako
podatci čuvaju.
Evidencija zaposlenika počinje se voditi na dan zasnivanja radnog
odnosa, a prestaje se voditi na dan prestanka radnog odnosa. Osobni
podatci o zaposlenicima predstavljaju dokumentaciju trajne
vrijednosti, koja se čuva temeljem zakonskih propisa i općih akata
voditelja obradbe.
Evidenciju o članovima izvršnih i predstavničkih tijela počinje se
voditi na dan njihova imenovanja, a prestaje se voditi na dan
prestanka njihova mandata. Ovi osobni podatci predstavljaju
dokumentaciju trajne vrijednosti, koja se čuva temeljem zakonskih
propisa i općih akata voditelja obradbe.
Evidencija o građanima i vanjskim suradnicima vodi se od trenutka
podnošenja zahtjeva ili od trenutka sklapanja ugovora, a prestaje se
voditi ostvarenjem svrhe za koju su podatci prikupljeni. Podatci se
čuvaju temeljem zakonskih propisa i općih akata voditelja obradbe.
Davanje osobnih podataka na korištenje drugim korisnicima
Članak 24.
Osobni podatci koje prikuplja i obrađuje voditelj obradbe daju se na
korištenje na temelju pisanog zahtjeva drugim korisnicima ako je to
potrebno radi obavljanja poslova u okviru zakonom utvrđene djelatnosti
takvog korisnika.
Prije davanja osobnih podataka na korištenje drugim korisnicima
voditelj obradbe o tome će obavijestiti ispitanika (usmeno,
elektronskim putem).
O osobnim podatcima koji su dani na korištenje drugom korisniku, o
drugom korisniku i o svrsi za koju su dani podatci vodi se posebna
evidencija.
Odgovornost osobe koja prikuplja i obrađuje osobne podatke
Čanak 25.
Stručno i administrativno osoblje voditelja obradbe, koje prikuplja i
obrađuje osobne podatke (imenovanih i određenih od voditelja obradbe),
dužno je:
a.
postupati u skladu s Uredbom, ovim Pravilnikom i ostalim aktima i
odlukama koje se odnose na osobne podatke ispitanika;
b.
poduzimati sve mjere zaštite osobnih podataka potrebne da bi se
osobni podatci zaštitili od slučajnog gubitka ili uništenja, od
nedopuštenog pristupa ili nedopuštene promjene, nedopuštenog
objavljivanja i svake druge zloporabe, koji propust čini osobito
tešku povredu radne obveze zbog koje se može izreći izvanredni
otkaz radnog odnosa prema osobi počinitelju.
Navedene osobe dužne su potpisati izjavu o povjerljivosti kojom će se
obvezati:
a.
da će čuvati povjerljivost svih osobnih podataka kojima ima pravo
i ovlast pristupa, a koji se nalaze u zbirkama osobnih podataka,
b.
da će osobne podatke koristiti isključivo u točno određenu
(propisanu) svrhu,
c.
da će se osobnim podatcima služiti onoliko vremena koliko je to
nužno za ostvarenje svrhe za koju su uzeti te ih neće dalje
obrađivati u neku drugu svrhu,
d.
da osobne podatke na kojima imaju pravo i ovlast pristupa neće
dostavljati/davati na korištenje niti na bilo koji drugi način
učiniti dostupnima trećim (neovlaštenim) osobama, te
e.
da će povjerljivost osobnih podataka čuvati i nakon prestanka
ovlasti pristupa osobnim podatcima.
Ostale odredbe
Članak 26.
Za pitanja koja nisu navedena ovim Pravilnikom primjenjuju se odredbe
Uredbe (EU) broj 679/2016. Europskog parlamenta i vijeća od dana 27.
travnja 2016. godine o zaštiti pojedinca, a u vezi s obradbom osobnih
podataka i o slobodnom kretanju takvih podataka, Zakona o provedbi
Opće uredbe o zaštiti podataka (N.N. broj 42/2018.) od 9. svibnja
2018. godine i ostali pozitivni zakonski propisi Republike Hrvatske,
koji uređuju provedbu Uredbe ili se odnose na osobne podatke.
Članak 27.
Ovaj Pravilnik stupa na snagu osmog (8.) dana od dana objave na
oglasnoj ploči.
Ravnatelj: dr. sc. Boris Biletić
Urbroj: 559-18/18.
Rovinj, 16. srpnja 2018.
12