Objavljeno: 21.8.2026.
Agencija za zaštitu osobnih podataka zaprimila je Vaš upit u kojem tražite stručno mišljenje u vezi s mogućnošću javne objave revizijskog izvješća koje se odnosi na poslovanje Javne ustanove u 2024. godini, a koje, prema Vašim navodima, sadržava osobne podatke fizičkih osoba, uključujući imena i prezimena zaposlenika, podatke o plaći, podatke povezane s javnom i ostalom nabavom te druge podatke koji mogu predstavljati osobne podatke u smislu Opće uredbe o zaštiti podataka.
Uvodno ističemo kako Agencija za zaštitu osobnih podataka nije ovlaštena davati prethodna odobrenja za pojedine aktivnosti obrade osobnih podataka, pa tako ni za javnu objavu konkretnih dokumenata, niti u okviru ovakvih upita daje individualizirane pravne savjete ili zamjenjuje procjenu koju je dužan provesti sam voditelj obrade. Odgovornost za zakonitost obrade osobnih podataka, uključujući i javnu objavu dokumenta koji sadržava osobne podatke, snosi voditelj obrade, sukladno načelu odgovornosti iz članka 5. stavka 2. Opće uredbe o zaštiti podataka.
S obzirom na to da se radi o javnoj ustanovi, dodatno napominjemo da je javno tijelo odnosno javna ustanova dužna imenovati službenika za zaštitu podataka sukladno članku 37. stavku 1. točki (a) Opće uredbe o zaštiti podataka. Službenik za zaštitu podataka treba biti pravodobno i na odgovarajući način uključen u sva pitanja u vezi sa zaštitom osobnih podataka te je njegova zadaća, među ostalim, informirati i savjetovati voditelja obrade o njegovim obvezama, pratiti poštovanje Opće uredbe o zaštiti podataka te davati savjete kada je to zatraženo. Stoga je u konkretnom slučaju potrebno da se prije donošenja odluke o javnoj objavi predmetnog revizijskog izvješća konzultirate sa službenikom za zaštitu podataka Javne ustanove.
Općenito govoreći, svaka obrada osobnih podataka, pa tako i javna objava dokumenta koji sadržava osobne podatke, mora biti u skladu s načelima obrade iz članka 5. Opće uredbe o zaštiti podataka, osobito načelima zakonitosti, poštenosti i transparentnosti, ograničavanja svrhe, smanjenja količine podataka, točnosti, ograničenja pohrane te cjelovitosti i povjerljivosti.
Također, za svaku obradu osobnih podataka mora postojati odgovarajuća pravna osnova iz članka 6. Opće uredbe o zaštiti podataka. U slučaju javnih tijela i javnih ustanova, pravna osnova za objavu određenih informacija može proizlaziti iz zakonske obveze ili izvršavanja zadaće od javnog interesa odnosno izvršavanja službene ovlasti voditelja obrade. Međutim, i kada postoji pravna osnova za objavu određenih informacija ili dokumenata, voditelj obrade i dalje mora procijeniti je li objava svih osobnih podataka sadržanih u dokumentu nužna i razmjerna svrsi koja se objavom želi postići.
Slijedom navedenog, prije eventualne javne objave revizijskog izvješća potrebno je provesti procjenu sadržaja dokumenta te utvrditi koji su podaci nužni za ostvarenje zakonite svrhe objave, a koje osobne podatke nije potrebno javno objaviti. Osobni podaci koji nisu nužni za ostvarenje svrhe objave trebaju se izostaviti, anonimizirati ili na drugi odgovarajući način zaštititi prije javne objave dokumenta.
Posebnu pažnju potrebno je obratiti na podatke o zaposlenicima, podatke o plaći, osobne identifikacijske podatke, potpise, privatne adrese, kontakt podatke, podatke koji se odnose na radnopravni status, eventualne podatke o disciplinskim, zdravstvenim ili drugim osjetljivim okolnostima te sve druge podatke čija bi objava mogla predstavljati nerazmjerno zadiranje u privatnost ispitanika. Podaci o korištenju javnih sredstava, javnoj nabavi i poslovanju javne ustanove mogu biti predmet javnog interesa, no to ne znači da je u svakom slučaju dopuštena javna objava svih osobnih podataka sadržanih u izvješću, već je potrebno primijeniti načelo smanjenja količine osobnih podataka.
U odnosu na podatke iz područja javne nabave i poslovanja, potrebno je razlikovati podatke koji se odnose na pravne osobe od podataka koji se odnose na fizičke osobe, obrtnike, odgovorne osobe, zaposlenike ili druge pojedince. Ako se u dokumentu navode podaci koji omogućuju izravnu ili neizravnu identifikaciju fizičke osobe, takvi podaci predstavljaju osobne podatke te je za njihovu objavu potrebno ispuniti sve uvjete iz Opće uredbe o zaštiti podataka.
Nadalje, ako se javna objava revizijskog izvješća razmatra u kontekstu propisa o pravu na pristup informacijama, potrebno je voditi računa i o posebnim pravilima iz tog područja, pri čemu je za pitanja ostvarivanja prava na pristup informacijama nadležan Povjerenik za informiranje. Međutim, činjenica da određeni dokument može biti predmet pristupa informacijama ne oslobađa voditelja obrade obveze da prije objave procijeni koje osobne podatke je zakonito, nužno i razmjerno javno objaviti.
Zaključno, Agencija nije u mogućnosti dati odobrenje za objavu revizijskog izvješća u cijelosti niti unaprijed utvrditi koje konkretne dijelove dokumenta treba objaviti, a koje anonimizirati, bez uvida u cjelokupni sadržaj dokumenta i bez provedbe odgovarajuće procjene od strane samog voditelja obrade. Takvu procjenu mora provesti voditelj obrade (u konkretnom slučaju javna ustanova). Javna ustanova kao voditelj obrade dužna je prije objave utvrditi pravnu osnovu i svrhu objave, procijeniti nužnost i razmjernost objave osobnih podataka, primijeniti načelo smanjenja količine podataka te se savjetovati sa svojim službenikom za zaštitu podataka.
Zaključno, ako se svrha javne objave može ostvariti objavom izvješća bez određenih osobnih podataka, odnosno uz anonimizaciju ili prekrivanje podataka koji nisu nužni za razumijevanje sadržaja izvješća i ostvarenje javnog interesa, tada bi takav pristup bio ispravan s aspekta zaštite osobnih podataka.
