Prikupljanje i obrada osobnih podataka zaposlenika poslovnih subjekata od strane edukacijskog centra
Agencija za zaštitu osobnih podataka zaprimila je upit edukacijskog centra koji navodi da provodi edukacije/seminare kao dio cjeloživotnog obrazovanja za svoje klijente, između ostalog, poslovne subjekte koji na edukacije upućuju svoje zaposlenike. U tu svrhu edukacijski centar prikuplja i obrađuje osobne podatke zaposlenika svojih klijenata koji ih šalju na pojedine edukacije/seminare. Obzirom da u navedenim situacijama klijenti edukacijskog centra smatraju da je edukacijski centar u tom poslovnom odnosu s njima izvršitelj obrade, u nastavku navodimo sljedeće:
Članak 4. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SL EU L119 definira osobne podatke kao sve podatke koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.
Obrada osobnih podataka znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje (članak 4. Opće uredbe).
Voditelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka (članak 4. Opće uredbe).
Izvršitelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade. Obrada koju provodi izvršitelj obrade uređuje se ugovorom ili drugim pravnim aktom (članak 4. Opće uredbe).
Vezano za postavljeni upit navodimo kako iz opisa poslova i djelatnosti edukacijskog centra proizlazi da edukacijski centar pruža uslugu edukacije kroz razne seminare te na taj način utvrđuje svrhe i načine obrade osobnih podataka polaznika čime se sukladno članku 4. Opće uredbe o zaštiti podataka smatraju samostalnim voditeljem obrade za poslove edukacija. Stoga u opisanom slučaju za svoje klijente edukacijski centar nije izvršitelj obrade, nego voditelj obrade koji pruža usluge edukacija odnosno obrazovanja te se na isti primjenjuju sve obveze koje se primjenjuju na voditelje obrade. Osobito se primjenjuju obveze pružanja informiranja pojedincima koje se manifestiraju kroz članak 13. ako se podaci prikupljaju izravno od ispitanika ili članak 14. ako su podaci zaposlenika dobiveni od njihovih poslodavaca koji ih upućuju na edukacije i koji su uslugu sa edukacijskim centrom izravno ugovorili.
