Informiranje ispitanika o obradi njegovih osobnih podataka (politika privatnosti)

Informiranje ispitanika o obradi osobnih podataka

Agencija je izradila predložak politike privatnosti, koji voditelji obrade mogu prilagoditi svojim aktivnostima obrade.

Detaljna pojašnjenja dostupna su u Smjernicama o transparentnosti, koje je potvrdio Europski odbor za zaštitu podataka.

Informacije o ostvarivanju pojedinih prava dostupne su na stranici Prava ispitanika.

Predložak može pomoći pri izradi, ali ga je uvijek potrebno prilagoditi stvarnim aktivnostima obrade. Samo preuzimanje i objava općenitog ili nepotpuno ispunjenog predloška ne znači da su ispunjene obveze transparentnosti.

Obavijest o privatnosti odnosno politika privatnosti

Svaka osoba ima pravo znati tko obrađuje njezine osobne podatke, koje podatke obrađuje, u koje svrhe i na kojoj pravnoj osnovi, koliko ih dugo čuva, kome ih otkriva te koja prava osoba može ostvariti.

Voditelj obrade dužan je ispitaniku pružiti informacije propisane člancima 12., 13. i 14. Opće uredbe o zaštiti podataka. Obveza se odnosi na sve voditelje obrade na koje se Opća uredba primjenjuje, primjerice trgovačka društva, obrtnike, udruge, ustanove, tijela javne vlasti i druge pravne ili fizičke osobe.

 

Što je obavijest o privatnosti?

Opća uredba ne propisuje da se informacije ispitanicima moraju nalaziti u dokumentu određenog naziva. Dokument ili mrežna stranica putem kojih se ispitanike informira o obradi osobnih podataka u praksi se najčešće nazivaju obavijest o privatnosti ili politika privatnosti.

Voditelj obrade može imati jednu opću obavijest ili više posebnih obavijesti prilagođenih pojedinim skupinama ispitanika i aktivnostima obrade, primjerice za:

• korisnike usluga
• zaposlenike i kandidate za zaposlenje
• članove udruge
• sudionike događanja
• korisnike mobilne aplikacije
• posjetitelje mrežne stranice
• osobe obuhvaćene videonadzorom.

Najvažnije je da obavijest odgovara stvarnim aktivnostima obrade i da je ispitaniku dostupna u propisanom trenutku.

 

Politika privatnosti nije pravna osnova niti privola

Politika privatnosti služi informiranju ispitanika. Ona sama po sebi:

• nije pravna osnova za obradu osobnih podataka
• ne može nezakonitu obradu učiniti zakonitom
• ne predstavlja privolu ispitanika
• ne zamjenjuje ugovor, uvjete korištenja ni obavijest o kolačićima.

Voditelj obrade mora prije početka obrade za svaku svrhu utvrditi odgovarajuću pravnu osnovu iz članka 6. stavka 1. Opće uredbe. Ako obrađuje posebne kategorije osobnih podataka, primjerice podatke o zdravlju, mora utvrditi i odgovarajući uvjet iz članka 9. stavka 2. Opće uredbe.

Ako se obrada temelji na privoli, privola se mora zatražiti odvojeno te mora biti dobrovoljna, posebna, informirana i nedvosmislena. Od ispitanika se ne treba tražiti da „prihvati politiku privatnosti” kao zamjenu za valjanu privolu.

 

Kako informacije moraju biti pružene?

Informacije moraju biti:

• sažete, transparentne, razumljive i lako dostupne
• napisane jasnim i jednostavnim jezikom
• prilagođene osobama kojima su namijenjene, osobito ako se obrada odnosi na djecu
• pružene bez naknade
• jasno odvojene od općih uvjeta, marketinških poruka i drugih sadržaja.

Objava politike privatnosti na mrežnoj stranici često je korisna, ali sama objava nije uvijek dovoljna. Ispitanika je potrebno aktivno uputiti na relevantnu obavijest u trenutku prikupljanja njegovih podataka, primjerice:

• uz mrežni ili papirnati obrazac
• tijekom registracije u aplikaciji
• pri telefonskom prikupljanju podataka
• u komunikaciji elektroničkom poštom
• putem jasno vidljive obavijesti kod videonadzora.

Informacije se mogu pružiti slojevito. U prvom sloju trebaju se istaknuti najvažnije informacije, osobito identitet voditelja obrade, svrhe obrade, prava ispitanika te obrade koje bi ispitanik mogao smatrati neočekivanima ili koje bi za njega mogle imati značajne posljedice. Cjelovita obavijest mora biti lako dostupna putem poveznice ili na drugi odgovarajući način.

 

Što obavijest o privatnosti treba sadržavati?

Ovisno o okolnostima obrade, ispitaniku treba pružiti sljedeće informacije:

1. Identitet i kontaktne podatke voditelja obrade te, ako je primjenjivo, njegova predstavnika.
2. Kontaktne podatke službenika za zaštitu podataka, ako je službenik imenovan. Objava osobnog imena službenika nije obvezni element obavijesti; važno je navesti funkcionalne kontaktne podatke koji omogućuju izravan i jednostavan kontakt.
3. Svrhe obrade i odgovarajuću pravnu osnovu za svaku svrhu. Nije dovoljno samo nabrojiti sve pravne osnove iz Opće uredbe bez povezivanja s konkretnim svrhama obrade. Kada se obrada temelji na zakonu, preporučljivo je navesti relevantni propis, a kada se obrađuju posebne kategorije podataka, potrebno je navesti i odgovarajući uvjet iz članka 9. stavka 2.
4. Legitimne interese voditelja obrade ili treće strane, ali samo ako se obrada temelji na članku 6. stavku 1. točki (f). Interes treba opisati konkretno i razumljivo. Samo navođenje legitimnog interesa u politici privatnosti ne dokazuje da je obrada zakonita; prije obrade potrebno je procijeniti svrhu, nužnost obrade i odnos interesa voditelja obrade prema pravima i slobodama ispitanika.
5. Kategorije osobnih podataka koji se obrađuju, osobito kada one ispitaniku nisu očite. Ako podaci nisu dobiveni izravno od ispitanika, navođenje kategorija osobnih podataka obvezno je.
6. Primatelje ili kategorije primatelja osobnih podataka. Informacija treba biti što određenija. Neodređene formulacije kao što su „poslovni partneri” ili „treće osobe” bez dodatnog objašnjenja u pravilu nisu dovoljno transparentne. Potrebno je razlikovati izvršitelje obrade, druge samostalne voditelje obrade i druge primatelje podataka.
7. Informacije o prijenosima osobnih podataka u treće zemlje ili međunarodne organizacije, uključujući postojanje ili nepostojanje odluke Europske komisije o primjerenosti odnosno primijenjeni mehanizam prijenosa i način dobivanja preslike odgovarajućih zaštitnih mjera.
8. Razdoblje čuvanja osobnih podataka ili, kada nije moguće navesti točan rok, dovoljno određene kriterije prema kojima se rok utvrđuje. Općenite formulacije poput „dok je potrebno” ili „do ispunjenja svrhe” najčešće nisu dovoljne bez dodatnog objašnjenja.
9. Prava ispitanika koja se mogu ostvariti u odnosu na konkretnu obradu, primjerice pravo na pristup, ispravak, brisanje, ograničenje obrade, prenosivost podataka i prigovor. Potrebno je objasniti kako se prava ostvaruju i navesti odgovarajuće kontaktne podatke. Budući da prava nisu apsolutna i ne primjenjuju se jednako na svaku obradu, ne treba ih samo mehanički nabrajati.
10. Pravo na povlačenje privole, kada se obrada temelji na privoli, uz objašnjenje da povlačenje ne utječe na zakonitost obrade provedene prije povlačenja.
11. Pravo na podnošenje pritužbe odnosno zahtjeva za utvrđivanje povrede prava Agenciji za zaštitu osobnih podataka.
12. Informaciju je li pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet potreban za sklapanje ugovora, je li ispitanik obvezan pružiti podatke te koje su moguće posljedice ako ih ne pruži.
13. Informacije o automatiziranom donošenju odluka, uključujući izradu profila iz članka 22. stavaka 1. i 4., kada takva obrada postoji. Potrebno je na razumljiv način objasniti glavne podatke i čimbenike koji utječu na odluku, važnost obrade te moguće posljedice za ispitanika. Općenita izjava da se „koristi umjetna inteligencija” ili „algoritam” nije dovoljna.

Ako obradu provode zajednički voditelji obrade, ispitaniku treba jasno navesti njihov identitet i uloge te učiniti dostupnom bit sporazuma kojim su, sukladno članku 26. Opće uredbe, uredili svoje odgovornosti za ispunjavanje obveza zaštite osobnih podataka.

Kada se podaci prikupljaju izravno od ispitanika – članak 13.

Ako voditelj obrade osobne podatke dobiva izravno od ispitanika, propisane informacije mora mu pružiti u trenutku prikupljanja podataka.

Primjerice, ako se podaci prikupljaju putem mrežnog obrasca, ispitaniku prije slanja obrasca treba omogućiti jednostavan pristup relevantnoj obavijesti o privatnosti. Poveznica ne bi smjela biti skrivena u općim uvjetima ili u teško dostupnom dijelu mrežne stranice.

Kada podaci nisu dobiveni od ispitanika – članak 14.

Ako osobni podaci nisu dobiveni izravno od ispitanika, potrebno je dodatno navesti:

• kategorije osobnih podataka koji se obrađuju
• izvor iz kojeg su osobni podaci dobiveni
• jesu li podaci dobiveni iz javno dostupnog izvora.

Informacije se moraju pružiti u razumnom roku, a najkasnije u roku od mjesec dana od dobivanja podataka. Ako se podaci prije isteka tog roka koriste za komunikaciju s ispitanikom, informacije se pružaju najkasnije pri prvoj komunikaciji. Ako se podaci ranije otkrivaju drugom primatelju, informacije se pružaju najkasnije pri prvom takvom otkrivanju.

Članak 14. stavak 5. Opće uredbe predviđa određene iznimke od obveze informiranja. Te iznimke treba tumačiti restriktivno, a voditelj obrade mora moći obrazložiti i dokumentirati zbog čega smatra da se određena iznimka primjenjuje. Kada je pružanje informacija nemoguće ili bi zahtijevalo nerazmjerne napore, potrebno je poduzeti druge odgovarajuće mjere zaštite prava i interesa ispitanika, uključujući javno objavljivanje informacija kada je to primjenjivo.

Promjena svrhe obrade

Ako voditelj obrade namjerava osobne podatke dalje obrađivati u svrhu različitu od one za koju su podaci prikupljeni, prije početka takve obrade mora ispitaniku pružiti informacije o novoj svrsi i sve druge relevantne informacije.

Sama izmjena politike privatnosti ne stvara pravnu osnovu za novu obradu. Voditelj obrade mora zasebno provjeriti je li daljnja obrada zakonita i dopuštena.

Kako izraditi kvalitetnu politiku privatnosti?

Politika privatnosti treba biti prilagođena konkretnom voditelju obrade i stvarnim aktivnostima obrade. Preporučuje se:

• povezati svaku svrhu obrade s pravnom osnovom, kategorijama podataka, primateljima i rokovima čuvanja
• izbjegavati neodređene izraze poput „poboljšanje usluga”, „poslovne potrebe” ili „dijeljenje s partnerima” bez dodatnog objašnjenja
• uskladiti sadržaj s evidencijom aktivnosti obrade, ugovorima s izvršiteljima, stvarnim poslovnim procesima i korištenim informacijskim sustavima
• prilagoditi obavijest ciljanoj skupini i načinu prikupljanja podataka
• osigurati pristupačnost osobama s invaliditetom i čitljivost na mobilnim uređajima
• navesti datum posljednjeg ažuriranja i čuvati prethodne verzije
• o bitnim promjenama aktivno i pravodobno obavijestiti ispitanike
• redovito provjeravati je li obavijest i dalje točna i potpuna.

Predložak može pomoći pri izradi, ali ga je uvijek potrebno prilagoditi stvarnim aktivnostima obrade. Samo preuzimanje i objava općenitog ili nepotpuno ispunjenog predloška ne znači da su ispunjene obveze transparentnosti.