Objavljeno: 1.2.20224.
Nastavno na upit u vezi zakonitosti dostavljanja podataka iz evidencije Ministarstva unutarnjih poslova pravnim osobama povodom podnesenog zahtjeva, i to podataka o broju šasije vozila te datumu prve registracije ili odjave vozila te drugih podataka za koje bi se moglo smatrati da mogu pobliže označavati vlasnika vozila, kao što su spol, godina rođenja, županija ili općina u kojoj je vozilo registrirano, Agencija za zaštitu osobnih podataka se očituje kako slijedi:
Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SL EU L119, u cijelosti je obvezujuća i izravno primjenjiva u području zaštite osobnih podataka od 25. svibnja 2018. godine, a odgovornost za praćenje primjene Opće uredbe o zaštiti podataka na području Republike Hrvatske je u nadležnosti Agencije za zaštitu osobnih podataka.
Prije svega ističemo kako je prilikom svake obrade osobnih podataka potrebno voditi računa o načelima obrade osobnih podataka, a za svako prikupljanje i obradu osobnih podataka u skladu s Općom uredbom o zaštiti podataka potrebno postojanje pravnog temelja.
Načela obrade osobnih podataka
Sukladno odredbi članka 5. Opće uredbe o zaštiti podataka, osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (načelo zakonitosti, poštenosti i transparentnosti); prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama (načelo ograničavanja svrhe); primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (načelo smanjenja količine podataka); točni i prema potrebi ažurni (načelo točnosti); čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju (načelo ograničenja pohrane); i obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (načelo cjelovitosti i povjerljivosti).
Opća uredba o zaštiti podataka izričito propisuje i načelo odgovornosti, tj. propisuje da će voditelj obrade biti odgovoran i morati moći dokazati poštivanje načela koja se odnose na obradu osobnih podataka iz članka 5. Opće uredbe o zaštiti podataka („načelo odgovornosti“).
Pravni temelj za obradu osobnih podataka
Za svako prikupljanje i obradu osobnih podataka u skladu s Općom uredbom o zaštiti podataka potrebno postojanje pravnog temelja iz odredbe članka 6. Opće uredbe o zaštiti podataka kojim je propisano da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
(b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
(c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade;
(d) obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;
(e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
(f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
Točka (f) prvog podstavka ne odnosi se na obradu koju provide tijela javne vlasti pri izvršavanju svojih zadaća.
Ako je pravni temelj za obradu osobnih podataka pravna obveza voditelja obrade, tada ta pravna osnova mora biti utvrđena u pravu Unije ili pravu države članice kojem voditelj obrade podliježe, a tom pravnom osnovom mora biti određena i svrha obrade.
Više informacija o pravnim temeljima za obradu osobnih podataka možete pronaći u brošuri koja je dostupna na poveznici internet stranice https://arc-rec-project.eu/wp-content/uploads/2022/07/ARC-Smjernice-o-pravnim-osnovama.pdf
Pravni temelj za obradu podataka iz evidencija Ministarstva unutarnjih poslova
Sukladno odredbi članka 238. stavka 1. Zakona o sigurnosti prometa na cestama (NN 67/08, 48/10, 74/11, 80/13, 158/13, 92/14, 64/15, 108/17, 70/19, 42/20, 85/22 i 114/22; dalje u tekstu: ZOSPNC) motorna i pruključna vozila smiju sudjelovati u prometu na cesti ako su registrirana i ako imaju važeću prometnu dozvolu, a sukladno stavku 4. navedenog članka o registriranim vozilima i označenim lakim prikolicama vodi se evidencija.
Sukladno odredbi članka 296. stavka 1. ZOSPNC-a, o izrečenim zaštitnim mjerama, negativnim prekršajnim bodovima, mjerama upozorenja, prometnim nesrećama i njihovim posljedicama te o vozačima i vozilima ministarstvo nadležno za unutarnje poslove vodi evidenciju.
Sukladno odredbi članka 296. stavka 6. ZOSPNC-a, podacima iz evidencija iz stavka 1.do 3. ovoga članka mogu se koristiti pravosudna tijela, upravna tijela koja vode prekršajni postupak te ministarstvo nadležno za unutarnje poslove, a podacima vozila mogu se koristiti stručna organizacija iz članka 273. ZOSPNC-a i stanice za tehnički pregled vozila ovlaštene za poslove registracije.
Sukladno odredbi članka 296. stavka 7. ZOSPNC-a, statističkim evidencijama o prometnim nesrećama te o vozačima i vozilima mogu se osim tijela iz stavka 6. ovoga članka koristiti i zdravstvene i druge institucije, organizacije i tijela koja se bave pitanjima sigurnosti prometa te pravne i fizičke osobe koje obavljaju javni prijevoz i prijevoz za vlastite potrebe te provode javne ovlasti na temelju ZOSPNC-a.
Sukladno odredbi članka 296. stavka 8. ZOSPNC-a, ministarstvo nadležno za unutarnje poslove dostavlja podatke o vozilima i vlasnicima vozila odnosno korisnicima vozila na temelju ugovora o leasingu nacionalnim kontakt-točkama drugih država članica Europske unije u svrhu istraživanja prometnih prekršaja vezanih uz sigurnost prometa na cestama, a sukladno stavku 9. navedenog članka, ministar nadležan za unutarnje poslove propisuje pravilnikom vrstu i način dostave podataka iz stavka 8. ovoga članka.
Identifikacijski broj vozila (VIN broj, broj šasije) kao osobni podatak
Sukladno uvodnoj izjavi 26. Opće uredbe o zaštiti podataka, načela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi. Osobne podatke koji su pseudonimizirani, a koji bi se mogli pripisati nekom pojedincu uporabom dodatnih informacija trebalo bi se smatrati informacijama o pojedincu čiji se identitet može utvrditi. Kako bi se odredilo može li se identitet pojedinca utvrditi, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. Kako bi se utvrdilo je li po svemu sudeći izgledno da se upotrebljavaju sredstva za utvrđivanje identiteta pojedinca, trebalo bi uzeti u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj. Načela zaštite podataka stoga se ne bi trebala primjenjivati na anonimne informacije, odnosno informacije koje se ne odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi ili na osobne podatke koji su učinjeni anonimnima na način da se identitet ispitanika ne može ili više ne može utvrditi. Ova se Uredba stoga ne odnosi na obradu takvih anonimnih informacija, među ostalim za statističke ili istraživačke svrhe.
Sukladno odredbi članka 4. točke 1. Opće uredbe o zaštiti podataka, osobni podaci znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik“); pojedinac čiji je identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.
Sukladno uvodnoj izjavi 26. Opće uredbe o zaštiti podataka kako bi se odredilo može li se identitet pojedinca utvrditi, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca.
U kontekstu upita smatra li se broj šasije vozila osobnim podatkom, ukazujemo na presudu Suda Europske unije od 24. veljače 2022., Valsts ieņēmumu dienests (C-175/20, EU:C:2022:124). mišljenje nezavisnog odvjetnika Michala Bobeka od 2. rujna 2021. (C-175/20, EU:C:2021:690) i presudu Suda Europske unije od 9. studenog 2023., Gesamtverband Autoteile-Handel (C-319/22, EU:C:2023:837) te mišljenje nezavisnog odvjetnika Manuela Camoposa Sanchez-Bordone od 4. svibnja 2023. (C-319/22, EU:C:2023:385).
Presuda Suda Europske unije i mišljenje nezavisnog odvjetnika u predmetu C-175/20
U mišljenju nezavisnog odvjetnika Michala Bobeka (t. 36) u navedenom predmetu, isti smatra kako informacije, poput brojeva telefona ispitanika ili brojeva šasije automobila, čine podatke koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi te da bi se brojevi šasije stoga mogli smatrati osobnim podacima u smislu odredbe članka 4. točke 1. Opće uredbe o zaštiti podataka jer te informacije omogućuju da se utvrde prodavatelji automobila te stoga i mogući porezni obveznici.
Sukladno presudi Suda Europske unije od 24. veljače 2022., Valsts ieņēmumu dienests (t. 36. i 37) omogućavanje pristupa određenim brojevima šasije vozila, kao i pružanje informacija o oglasima koje je određeni gospodarski subjekt objavio na internetskom portalu, kvalificirano je kao otkrivanje osobnih podataka kojim započinje postupak prikupljanja podataka u smislu odredbe članka 4. točke 2. Opće uredbe o zaštiti podataka.
Presuda Suda Europske unije i mišljenje nezavisnog odvjetnika u predmetu C-319/22
U mišljenju nezavisnog odvjetnika Manuela Camposa Sanchez-Bordone u navedenom predmetu (t. 35. i 36.) isti se slaže kako bi u predmetu Valsts ieņēmumu dienests, budući je sporne podatke, među kojima je bio i broj šasije vozila koji su bili oglašeni na internetskom portalu, tražila Porezna uprava, brojevi šasije vozila jasno predstavljali osobne podatke u smislu odredbe članka 4. točke 1. Opće uredbe o zaštiti podataka, odnosno podatke koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi. Budući je u predmetu Valsts ieņēmumu dienests sporne podatke tražila javna uprava, brojevi šasije vazila su mogli poslužiti za utvrđivanje vlasnika vozila s tim brojevima, a među svim sredstvima koje bi mogla opravdano koristiti javna uprava kako bi utvrdila identitet osobe nalazi se i pristup (javnoj) evidenciji potvrda o registraciji.
Nezavisni odvjetnik Manuela Camposa Sanchez-Bordone nadalje u navedenom predmetu (t. 39. i 42) navodi kako na temelju sudske prakse Suda Europske unije (presuda od 8. prosinca 2022., Inspektor v Inspektorata kam Visšia sabaden savet (Svrhe obrade osobnih podataka – kaznena istraga) (C‑180/21, EU:C:2022:967, t. 70.), s upućivanjem na presudu od 20. prosinca 2017., Nowak (C‑434/16, EU:C:2017:994, t. 35.) i presuda od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779, t. 42. i 43.), podatak koji načelno nije „osobni“ (jer samostalno, bez drugih podataka, ne sadržava informacije o pojedincu čiji je identitet utvrđen ili se može utvrditi) postaje osobni za onoga tko ima razumnu mogućnost uporabe sredstava koja omogućuju da se taj podatak poveže s određenom osobom. Isti smatra kako je broj šasije osobni podatak u smislu odredbe članka 4. točke 1. Opće uredbe o zaštiti podataka u dijelu u kojem osoba koja ima pristup broju šasije može na raspolaganju imati sredstva koja joj pružaju razumnu mogućnost da ga iskoristi kako bi utvrdila tko je vlasnik vozila s tim brojem.
Sukladno presudi Suda Europske unije od 9. studenog 2023., Gesamtverband Autoteile-Handel (t. 46., 49. i 50), podatak poput broja šasije koji je člankom 2. točkom 2. Uredbe br. 19/2011 definiran kao alfanumerički kod koji je proizvođač dodijelio vozilu kako bi se osigurala ispravna identifikacija tog vozila i koji kao takav nema „osobni“ karakter – postaje osobni za onoga tko ima razumnu mogućnost uporabe sredstava koja omogućuju da se taj podatak poveže s određenom osobom. Ako neovisni subjekti mogu razumno raspolagati sredstvima koja im omogućuju da broj šasije povežu s pojedincem čiji je identitet utvrđen ili se može utvrditi, taj broj šasije za njih predstavlja osobne podatke u smislu odredbe članka 4. točke 1. Opće uredbe o zaštiti podataka, a neizravno i za proizvođače automobila koji ga stavljaju na raspolaganje.
Zaključak
Slijedom svega naprijed navedenog, mišljenja smo kako u pogledu podataka koji se odnose na brojeve šasije vozila, ako pojedinac može razumno raspolagati sredstvima koja mu omogućuju da broj šasije poveže s pojedincem čiji je identitet utvrđen ili se može utvrditi, taj broj šasije za njega predstavlja osobni podataka u smislu odredbe članka 4. točke 1. Opće uredbe o zaštiti podataka te se isti mora obrađivati u skladu s Općom uredbe o zaštiti podataka.
Stoga bi u kontekstu podnesenog upita, voditelj obrade trebao voditi računa i prethodno utvrditi imaju li osobe kojima se dostavlja broj šasije vozila razumnu mogućnost raspolagati sredstvima i podacima koji bi omogućili da se podaci o broju šasije vozila povežu s određenom osobom.
Ako isti imaju razumnu mogućnost raspolagati sredstvima i podacima koji bi im omogućili da se podaci o broju šasije povežu s određenom osobom, tada isti za njih predstavlja osobni podatak i za dostavu broja šasije je potrebno postojanje valjanog pravnog temelja, a koji se ne razabire iz naprijed citiranih odredbi ZOSPNC-a u odnosu na zahtjeve pravnih osoba koje ste priložili u prilogu Vašeg upita.
Mišljenja smo kako je na tragu navedenog potrebno tumačiti i druge podatke koji naizgled nisu „osobni“, a koji postaju osobni za onoga tko ima razumnu mogućnost uporabe sredstava koja omogućuju da se ti podaci poveću s određenom osobom, a koji podaci se u tom slučaju moraju obrađivati u skladu s Općom uredbom o zaštiti podataka te je obrada takvih podataka moguća pod uvjetom postojanja valjanog pravnog temelja iz odredbe članka 6. stavka 1. Opće uredbe o zaštiti podataka.
S tim u vezi, a kao što je vidljivo iz gore predstavljene sudske prakse odluka se donosi s obzirom na konkretni slučaj, a odgovornost za kvalificiranje je li određeni podatak osobni podatak ili nije te postoji li zakonita svrha i pravni temelj za dijeljenje istih je na voditelju obrade.
Skrećemo pažnju kako bi se tijela javne vlasti za sva pitanja u pogledu donošenja odluke o pravnom temelju obrade osobnih podataka, kao i za sva pitanja u vezi obrade osobnih podataka, trebala primarno obraćati službeniku za zaštitu podataka, a čija je zadaća informiranje i savjetovanje voditelja obrade te zaposlenika koji obavljaju obradu o njihovim obvezama iz Opće uredbe o zaštiti podataka te općenito o propisima o zaštiti podataka.
Uvažavajući istaknuti značaj predmetne razmjene ukazanog opsega podataka o vozilima za gospodarstvo, a pritom imajući na umu sudsku praksu Suda Europske unije, mišljenja smo da je od strane Ministarstva unutarnjih poslova kao voditelja obrade uputno dodatno razmotriti dostavu/razmjenu statističkih podataka koji nisu ukazujući u odnosu na identitet vlasnika, a što bi (kako je i predloženo unutar zahtjeva pojedinih subjekta prema Ministarstvu) u konkretnom slučaju predstavljalo dostavu necjelovitog broja šasije, odnosno dostavu dijela koji je ukazujući samo na tehničke karakteristike vozila i ne omogućuje izravnu ni posrednu identifikaciju vlasnika/fizičke osobe.
