U zadnjih dvadesetak godina drastično se ubrzao protok podataka, a količine podataka koji se svakodnevno generiraju mjere se u terabajtima. Samim time pojavili su se novi izazovi u zaštiti osobnih podataka i potreba za uspostavljanjem novog zakonodavnog okvira jer onaj iz 1995. godine više nije mogao odgovoriti na izazove digitalnog doba. Tehnološki napredak i globalizacija u potpunosti su izmijenili načine prikupljanja i korištenja osobnih podataka.

Gospodarska i društvena integracija proizašla iz funkcioniranja unutarnjeg tržišta rezultirala je povećanim prekograničnim protokom podataka, razmjenom osobnih podataka između javnih i privatnih sudionika te su podaci u konačnici postali pokretač novog gospodarstva.

Nakon gotovo tri godine opsežnih pregovora u kojima su sudjelovale Europska komisija, Europski parlament i Vijeće Europe donešen je sveobuhvatni zakonodavni okvir za zaštitu osobnih podataka koji se primijenjuje od 25. svibnja 2018. godine: Opća uredba o zaštiti podataka i tzv. Policijska direktiva. (UREDBA (EU) 2016/679 EUROPSKOG PARLAMENTA I VIJEĆA od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ – Opća uredba o zaštiti podataka i DIREKTIVA (EU) 2016/680 EUROPSKOG PARLAMENTA I VIJEĆA od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP).

Opća uredba o zaštiti podataka (eng. General Data Protection Regulation, najpoznatija pod akronimom GDPR) je obvezujući zakonodavni akt koji se izravno u cijelosti primjenjuje u Republici Hrvatskoj i u ostalim državama članicama Europske unije od 25. svibnja 2018. godine.

Cilj Opće uredbe o zaštiti podataka je zaštiti osobne podatke fizičkih osoba, pružiti kontrolu građanima nad njihovim osobnim podacima te stvoriti visoku i ujednačenu razinu zaštite podataka u Europskoj uniji. Uz navedeno, namjera Opće uredbe je olakšati poduzećima poslovanje na jedinstvenom digitalnom tržištu  te olakšati prekogranični protok osobnih podataka i korištenje usluga informacijskog društva.

Opća uredba prijmjenjuje se direktno u svim državama članicama Europske unije odnosno zemljama Europskog gospodarskog prostora (to su uz zemlje članice EU Norveška, Island i Lihtenštajn) od 25. svibnja 2018. godine, a čime se otklanja mogućnost različitih interpretacija Uredbe, rješava problem neujednačenih nacionalnih propisa u zemljama EU i skupog administrativnog opterećenja. Sve navedeno trebalo bi pogodovati gospodarskom rastu i poticati inovacije u EU.

Opća Uredba o zaštiti podataka određuje koja su prava pojedinaca, a u skladu s tim i koje su obveze subjekata koji obrađuju osobne podatke te ovlasti i zadaće nadzornih tijela za zaštitu osobnih podataka.

Svi poslovni subjekti i pojedinci koji obavljaju određenu aktivnost prikupljanja i/ili obrade osobnih podataka moraju uskladiti svoje poslovne procese s odredbama Opće uredbe o zaštiti podataka i Zakona o provedbi Opće uredbe o zaštiti podataka, primjerice:  banke, bolnice, osiguravajuća društva, hoteli, turističke i marketinške agencije, udruge, društvene mreže.

Opća uredba primijenjuje se i na fizičke osobe kad obrađuju osobne podatke izvan okvira isključivo osobne ili kućne aktivnosti te ako je  ista povezana s profesionalnom ili komercijalnom djelatnošću (primjerice fizička osoba koja iznajmljuje apartmanski smještaj).

Tijela javne vlasti dužna su obrađivati osobne podatke u okviru odredbi Opće uredbe, osim u slučajevima kaznenopravnih aktivnosti, poput sprečavanja kaznenih djela ili progona počinitelja istih te u područjima izvan nadležnosti prava EU-a.

ISPITANIK je fizička osoba čiji se identitet može utvrditi izravno ili neizravno, posebno na osnovi jednog ili više obilježja specifičnih za njegov fizički, psihološki, mentalni, gospodarski, kulturni ili socijalni identitet.

OSOBNI PODACI su svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.

Osobni podaci su primjerice:

• ime i prezime, adresa fizičke osobe, e-mail adresa, podaci o zdravlju, identifikacijska oznaka građana, podaci o plaći, ocjena đaka u školi, ponašanje, bankovni računi, porezne prijave, podaci o posudbi, mrežni identifikator (IP adresa), podaci o lokaciji, biometrički podaci (npr. otisak prsta), broj putovnice, broj osobne iskaznice i sl.

Posebne kategorije osobnih podataka:

• Osobni podaci koji se odnose na rasno ili etničko podrijetlo
• Politička stajališta
• Vjerska ili druga uvjerenja
• Sindikalno članstvo
• Osobni podaci koji se odnose na zdravlje ili spolni život
• Osobni podaci o kaznenom i prekršajnom postupku

Osobni podaci nisu:

• matični broj pravne osobe,
• naziv pravne osobe,
• poštanska adresa pravne osobe,
• e-mail pravne osobe,
• financijski podaci pravne osobe,
• podaci o umrlima i sl.

OBRADA OSOBNIH PODATAKA

Obrada obuhvaća radnje poput prikupljanja, bilježenja, uporabe, korištenja, čuvanja, obavljanja uvida, otkrivanja trećim stranama, prenošenja ili uništavanja osobnih podataka. Primjerice obradom osobnih podataka smatra se već i sama pohrana  popisa klijenata (fizičkih osoba) s njihovim imenima i prezimenima, e-mail adresama u digitalnom ili papirnatom obliku.

SUSTAV POHRANE

Svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi

VODITELJ I IZVRŠITELJ OBRADE

Osobne podatke obrađuju voditelji i izvršitelji obrade odnosno to mogu biti fizičke ili pravne osobe, tijelo javne vlasti,  društvo, organizacija, poduzeća.

VODITELJ OBRADE je fizička ili pravna osoba koja određuje svrhe i sredstva obrade osobnih podataka.

IZVRŠITELJ OBRADE obrađuje osobne podatke u ime voditelja obrade. Obrada koju provodi izvršitelj obrade uređuje se ugovorom s voditeljem obrade ili drugim pravnim aktom.

Primjeri voditelja obrade: trgovačka društva ili obrti koji obrađuju podatke svojih radnika i/ili klijenata tj. korisnika usluga; financijske institucije koje obrađuju osobne podatke svojih stranaka/klijenata; udruge koje obrađuju podatke svojih članova; škole ili fakulteti koji obrađuju osobne podatke učenika, studenata ili nastavnika/svojih radnika; bolnice koje obrađuju osobne podatke svojih pacijenata; državna tijela ili tijela jedinica lokalne/regionalne samouprave koja obrađuju osobne podatke građana. Voditelji obrade mogu biti i fizičke osobe, primjerice iznajmljivači apartmanskog smještaja.

Primjeri izvršitelja obrade: knjigovodstveni servis koji obrađuje podatke o plaćama radnika za poslodavca;  trgovačka društva ovlaštena za obavljanje privatne zaštite.

„primatelj” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana.

„treća strana” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje nije ispitanik, voditelj obrade, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade

“pseudonimizacija” znači obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrdit

“povreda osobnih podataka” znači kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani