Obrada osobnih podataka u svrhu izdavanja parkirnih karata 

Objavljeno 15.11.2023.

Nastavno na upit o obradi osobnih podataka vezano uz izdavanje parkirnih karata, Agencija za zaštitu osobnih podataka se očituje kako slijedi:

Prvenstveno ističemo da je za svako prikupljanje i obradu osobnih podataka u skladu s Općom uredbom o zaštiti podataka potrebno postojanje pravnog temelja iz članka 6. Opće uredbe o zaštiti podataka kojim je propisano da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

(b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;

(c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade;

(d) obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;

(e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;

(f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

Ako je pravni temelj za obradu osobnih podataka pravna obveza voditelja obrade, tada ta pravna osnova mora biti utvrđena u pravu Unije ili pravu države članice kojem voditelj obrade podliježe, a tom pravnom osnovom mora biti određena i svrha obrade.

Sukladno članku 4. stavku 1. Opće uredbe o zaštiti podataka „osobni podaci” znače svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.

S tim u vezi, podaci sadržani u osobnom dokumentu, primjerice osobnoj iskaznici, predstavljaju osobne podatke sukladno gore navedenoj definiciji.

Nadalje, sukladno članku 4. stavku 1. Opće uredbe o zaštiti podataka „obrada” znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.

Nadalje, sukladno članku 2. stavka 1. Opće uredbe o zaštiti podataka, ova Uredba se primjenjuje na obradu osobnih podataka koja se u cijelosti obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

Također, sukladno čl. 1. st.1. Zakona o osobnoj iskaznici (NN 62/15, 42/20, 144/20, 114/22) osobna iskaznica je elektronička javna isprava kojom hrvatski državljanin dokazuje identitet, hrvatsko državljanstvo, spol, datum rođenja i prebivalište u Republici Hrvatskoj.

U odnosu na sam uvid u osobni identifikacijski dokument u, primjerice, svrhu provjere identiteta osobe, napominjemo da se radi o neautomatiziranoj obradi osobnih podataka bez sustava pohrane odnosno o uvidu u osobne podatke pojedinaca koji nisu namijenjeni činiti dio sustava pohrane te se u tom slučaju ne radi o primjeni Opće uredbe o zaštiti podataka u smislu odredbe članka 2. stavka 1. iste.

Svaka daljnja radnja nakon uvida u osobnu iskaznicu, kao što je zabilježba broja osobne iskaznice, bi predstavljala obradu osobnih podataka te bi u tom slučaju morala postojati svrha obrade i pravni temelj za obradu iz čl. 6. Opće uredbe o zaštiti podataka. Temeljem članka 13. Opće uredbe o zaštiti podataka, voditelj obrade (parking d.o.o.) bi već u trenutku prikupljanja osobnih podataka ispitanika (osobne iskaznice, potvrde o prebivalištu, rješenja kojima ispitanici dokazuju da imaju pravo na povlaštene pretplatne karte) trebao ispitanika obavijestiti, između ostaloga, o svrsi i pravnom temelju za obradu.

Također, iz Vašeg upita vezano za utvrđivanje identiteta radi izvršavanja povrata sredstava možemo uputiti na načelo „smanjenja količine podataka“ koji navodi kako osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju te uz uvid u osobnu iskaznicu dovoljan bio IBAN ispitanika na kojeg se vrši povrat sredstava.

Zaključno, vezano uz uništavanja postojeće baze podataka u papirnatom obliku za davno izdane povlaštene i pretplatne karte koje ste izdali prije stupanja Opće uredbe o zaštiti podataka na snagu, napominjemo kako je na Vama kao voditelju obrade da odredite rok čuvanja određenih podataka koje obrađujete. Uvodna izjava 39 Opće uredbe o zaštiti podataka navodi da se radi osiguravanja osobni podaci ne drže duže nego što je nužno, voditelj obrade trebao bi odrediti rok za brisanje ili periodično preispitivanje. Trebalo bi poduzeti svaki razumno opravdani korak radi osiguravanja da se netočni osobni podaci isprave ili izbrišu. Osobne podatke trebalo bi obrađivati uz odgovarajuće poštovanje sigurnosti i povjerljivosti osobnih podataka, što obuhvaća i sprečavanje neovlaštenog pristupa osobnim podacima i opremi kojom se koristi pri obradi podataka ili njihove neovlaštene upotrebe.