Načela obrade osobnih podataka predstavljaju temeljni okvir Opće uredbe o zaštiti podataka. Radi se o obvezujućim pravilima koja prožimaju cijelu Uredbu i primjenjuju se na svaku fazu obrade osobnih podataka: od njihova prikupljanja, korištenja i pohrane, do dostave drugim primateljima i brisanja.
Važnost načela posebno se očituje u tome što služe kao polazište za pravilnu primjenu svih drugih obveza iz Opće uredbe o zaštiti podataka, uključujući određivanje pravnog temelja obrade, informiranje ispitanika, ostvarivanje prava ispitanika, provedbu odgovarajućih sigurnosnih mjera, sklapanje ugovora s izvršiteljima obrade, procjenu učinka na zaštitu podataka te dokazivanje usklađenosti.
Drugim riječima, obrada osobnih podataka ne može se promatrati samo kroz pojedinačne formalne obveze, već uvijek mora biti usklađena s temeljnim načelima iz članka 5. Opće uredbe o zaštiti podataka. Upravo ta načela pomažu voditeljima obrade da osobne podatke obrađuju zakonito, pošteno, transparentno, razmjerno i sigurno, uz puno poštovanje prava i sloboda pojedinaca.
- zakonitost, poštenost i transparentnost obrade: to znači da obrada treba biti u skladu s određenim pravnim temeljem, a načelima poštene i transparentne obrade zahtijeva se da je pojedinac informiran o postupku obrade i njegovim svrhama, te voditelj obrade je obvezan ispitaniku pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka, a osim toga ispitanik bi trebao biti informiran o postupku izrade profila i posljedicama takve izrade profila;
- ograničavanje svrhe: to znači da podaci trebaju biti prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; ali je moguća daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe;
- smanjenje količine podataka: to znači da podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju;
- točnost: to znači da podaci moraju biti točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave;
- ograničenje pohrane: to znači da podaci moraju biti čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; na dulja razdoblja čuvanja su moguća samo ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe uz provedbu primjerenih mjera zaštite propisanih Uredbom;
- cjelovitost i povjerljivost: to znači da podaci moraju biti obrađivani na način kojim se osigurava odgovarajuća razina sigurnosti, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja;
- pouzdanost: to znači da je voditelj/izvršitelj obrade odgovoran za poštovanje načela i da je mora biti u mogućnosti dokazati usklađenost s odredbama Opće uredbe.
Agencija ističe da svaka obrada osobnih podataka mora biti u skladu s načelima Opće uredbe o zaštiti podataka iz članka 5. Opće uredbe o zaštiti podataka:
1. Zakonitost, poštenost i transparentnost
Osobni podaci smiju se obrađivati samo ako za to postoji odgovarajući pravni temelj, na pošten način i tako da je ispitaniku jasno tko obrađuje njegove podatke, u koju svrhu i koja prava ima.
Primjer: Poslodavac prilikom zapošljavanja kandidatu pruža jasnu obavijest o tome koji se podaci prikupljaju, zašto se prikupljaju, koliko će se čuvati i kome se mogu dostaviti.
2. Ograničavanje svrhe
Osobni podaci moraju se prikupljati u posebne, izričite i zakonite svrhe te se ne smiju dalje obrađivati na način koji nije u skladu s tim svrhama.
Primjer: Ako je internetska trgovina prikupila adresu kupca radi dostave naručenog proizvoda, tu adresu ne smije naknadno koristiti za druge, nepovezane svrhe, primjerice za izradu korisničkog profila ili slanje marketinških ponuda, osim ako za takvu obradu postoji odgovarajući pravni temelj i ako je ispitanik o tome pravodobno informiran.
3. Smanjenje količine podataka
Smiju se obrađivati samo oni osobni podaci koji su primjereni, relevantni i nužni za konkretnu svrhu obrade.
Primjer: Za prijavu na edukaciju u pravilu su dovoljni ime, prezime, kontakt i organizacija sudionika. Nije opravdano tražiti OIB, presliku osobne iskaznice ili druge podatke koji nisu potrebni za tu svrhu.
4. Točnost
Osobni podaci moraju biti točni i, prema potrebi, ažurni. Netočni podaci moraju se bez odgađanja ispraviti ili izbrisati, uzimajući u obzir svrhu obrade.
Primjer: Ako korisnik obavijesti organizaciju da je promijenio adresu e-pošte, organizacija treba ažurirati taj podatak kako obavijesti ne bi slala na pogrešnu adresu.
5. Ograničenje pohrane
Osobni podaci smiju se čuvati samo onoliko dugo koliko je potrebno za svrhu zbog koje su prikupljeni, osim ako je dulje čuvanje propisano zakonom ili je opravdano drugom zakonitom svrhom.
Primjer: Životopisi kandidata koji nisu odabrani u natječajnom postupku ne bi se trebali čuvati neograničeno, već samo u roku koji je potreban za provedbu postupka i eventualnu zaštitu pravnih interesa.
6. Cjelovitost i povjerljivost
Osobni podaci moraju se obrađivati na način koji osigurava odgovarajuću sigurnost, uključujući zaštitu od neovlaštenog pristupa, gubitka, uništenja ili oštećenja, primjenom odgovarajućih tehničkih i organizacijskih mjera.
Primjer: Organizacija koja vodi evidenciju korisnika treba ograničiti pristup tim podacima samo ovlaštenim osobama, koristiti snažne lozinke, redovito izrađivati sigurnosne kopije i voditi računa o fizičkoj sigurnosti dokumentacije.
7. Pouzdanost
Voditelj obrade odgovoran je za usklađenost s načelima obrade osobnih podataka i mora moći dokazati da postupa u skladu s Općom uredbom o zaštiti podataka.
Primjer: Organizacija treba imati evidenciju aktivnosti obrade, jasne interne procedure, ugovore s izvršiteljima obrade, pravila čuvanja podataka, odgovarajuće sigurnosne mjere te, kada je primjenjivo, imenovanog službenika za zaštitu podataka.
Poštovanje ovih načela nije jednokratna obveza, već kontinuirani proces. Voditelji obrade trebaju redovito preispitivati svoje aktivnosti obrade, osobito kada uvode nove tehnologije, digitalne usluge ili sustave koji uključuju automatiziranu obradu osobnih podataka.
