Objavljeno: 09.12.2022.
Nastavno na Vašu predstavku koja je zaprimljena u ovoj Agenciji , a u kojoj u bitnom ističete kako je portal xy na svojim mrežnim stranicama te društvenoj mreži Facebook objavio fotografiju Vašeg osobnog vozila sa registarskim oznakama, kao i fotografiju lica bez poduzimanja mjera zaštite te Vaše suglasnosti, a koja objava Vam je prouzrokovala niz neugodnosti u svakodnevnom životu, dajemo sljedeći odgovor:
Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) SL EU L119 u cijelosti je obvezujuća i izravno se primjenjuje u području zaštite osobnih podataka od 25. svibnja 2018. godine, a za čiju primjenu i provođenje na području Republike Hrvatske je nadležna Agencija za zaštitu osobnih podataka.
Sukladno članku 4. stavku 1. točki 1. Opće uredbe o zaštiti podataka osobni podaci znače svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.
U članku 5. Opće uredbe o zaštiti podataka propisano je kako osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika, prikupljeni u posebne, izričite i zakonite svrhe, primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koju se obrađuju (načelo smanjenja količine podataka), točni i prema potrebi ažurni, obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (načelo cjelovitosti i povjerljivosti).
Članak 6. stavak 1. Opće uredbe propisuje kako je obrada osobnih podataka zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećeg: ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha; obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora; obrada je nužna radi poštovanja pravnih obveza voditelja obrade; obrada je nužna kako bi se zaštitili ključni interesi pravnih obveza voditelja obrade; obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane.
Članak 25. stavak 2. Opće uredbe o zaštiti podataka propisuje kako voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.
Članak 32. stavak 2. Opće uredbe o zaštiti podataka propisuje kako se od strane voditelja i izvršitelja obrade prilikom procjene odgovarajuće razine sigurnosti u obzir posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.
Nužno je osvrnuti se i na uvodnu izjavu broj 26 uz normativni dio teksta Opće uredbe o zaštiti podataka, koja pojašnjava kako bi procjene može li se utvrditi identitet pojedinca trebalo uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. Kako bi se utvrdilo je li po svemu sudeći izgledno da se upotrebljavaju sredstva za utvrđivanje identiteta pojedinca, trebalo bi uzeti u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj.
Uvodna izjava broj 153 jasno ukazuje kako bi se u pravu država članica trebalo uskladiti pravila kojima se uređuje sloboda izražavanja i informiranja, među ostalim novinarskog, akademskog, umjetničkog i/ili književnog izražavanja s pravom na zaštitu osobnih podataka u skladu s ovom Uredbom. Na obradu osobnih podataka isključivo u novinarske svrhe ili u svrhe akademskog, umjetničkog ili književnog izražavanja trebalo bi primjenjivati odstupanja ili izuzeća od određenih odredaba ove Uredbe, ako je to potrebno kako bi se uskladilo pravo na zaštitu osobnih podataka s pravom na slobodu izražavanja i informiranja, kako je utvrđeno u članku 11. Povelje. To bi se posebno trebalo primjenjivati na obradu osobnih podataka u audiovizualnom području te u novinskim i medijskim arhivima. Stoga bi države članice trebale donijeti zakonodavne mjere kojima bi se predvidjela izuzeća i odstupanja potrebna radi usklađivanja tih temeljnih prava. Države članice trebale bi usvojiti takva izuzeća i odstupanja u pogledu općih načela, pravâ ispitanika, u pogledu voditelja obrade i izvršitelja obrade, prijenosa osobnih podataka u treće zemlje ili međunarodne organizacije, neovisnih nadzornih tijela, suradnje i usklađenosti te posebnih slučajeva obrade podataka.
Povodom Vaše predstavke Agencija je zatražila očitovanje društva xy kao voditelja obrade osobnih podataka te vlasnika portala, a osobito očitovanje glede zakonite svrhe i pravne osnove iz članka 5. i 6. Opće uredbe o zaštiti podataka temeljem kojih su objavljeni kako navodite u predstavci Vaši osobni podaci na mrežnim stranicama portala te društvenoj mreži Facebook, a osobito očitovanje o nužnosti objave registarske oznake vozila te o mjerama zaštite koje su poduzete kako bi se spriječilo utvrđivanje Vašeg identiteta sukladno člancima 25. i 32. Opće uredbe o zaštiti podataka.
U zaprimljenom očitovanju voditelj obrade u bitnom ističe kako karakteriziranje objave fotografije na mrežnim stranicama kao obradu osobnih podataka smatraju pogrešnom, budući da Opća uredba o zaštiti podataka propisuje kako se primjenjuje na obradu osobnih podataka koja se u cijelosti obavlja automatizirano te na neautomatiziranu obradu podataka koja čini ili je namijenjena da bude dio sustava pohrane. Voditelj obrade se nadalje poziva i na članak 4. stavak 1. točku 6. koja definira sustav pohrane kao svaki strukturirani skup osobnih podataka dostupan prema posebnim kriterijima.
U nastavku se navodi kako se kod fotografiranja kada se bilježi neki lik ili registarska oznaka vozila može samo kolokvijalno govoriti o obradi osobnih podataka, ali kako to sasvim sigurno nije intencija Opće uredbe o zaštiti podataka te kako se predmetna obrada osobnih podataka ne može smatrati obradom u smislu Opće uredbe o zaštiti podataka. Voditelj obrade navodi kako materijal objavljen na mrežnim stranicama sasvim izvjesno nije strukturirani skup osobnih podataka, a još manje strukturirani skup osobnih podataka dostupan prema posebnim kriterijima. Drugim riječima kada bi netko upisao ime i prezime osobe koja je podnijela pritužbu Agenciji ili bilo koji njegov osobni podatak, uključujući i registarsku oznaku vozila, ne postoji nijedan kriterij po kojem bi iz arhive mrežne stranice ti podaci mogli izaći ili biti pronađeni.
U skladu s navedenim, objavljeni materijal ne predstavlja sustav pohrane u smislu Opće uredbe o zaštiti podataka te se također navodi kako Opća uredba o zaštiti podataka u uvodnoj izjavi broj 153 predviđa izuzeće od primjene na obradu osobnih podataka isključivo u novinarske svrhe.
U očitovanju se također, između ostalog, dalje navodi kako se u konkretnom slučaju radi o tzv. “meme” uratku, odnosno šaljivoj montaži kakve su već postale uobičajene u komentiranju društvenih pojava i događaja. Na fotografiji je prikazan policajac i zaustavljeni automobil, fotografirani na javnoj površini, a montirani tekst predstavlja šaljivi komentar na tada uvedene e-propusnice. Svakoj razumnoj osobi je potpuno jasno kako je tekst montiran na fotografiju i da se ne radi o pravom razgovoru između podnositelja predstavke te policajca, već isti služi kao ilustracija za montirani tekst. Lice vozača je u sjeni automobila te se vide samo nejasni obrisi pri čemu je lice potpuno neprepoznatljivo. Što se tiče registarske oznake automobila, radi se o podatku koji je samo uvjetno osoban jer je dostupan isključivo policiji, na koju obradu se Opća uredba o zaštiti podataka ne primjenuje, a i ne garantira da je osoba koja vozi automobil ujedno i vlasnik istoga. Neovisno o navedenom, registarska oznaka vozila je uklonjena nakon što se javio podnositelj predstavke, odnosno ista je zamagljena.
Uzimajući u obzir sve gore navedene propise te iskazane navode iz očitovanja voditelja obrade, u nastavku ističemo kako se navod da se Opća uredba o zaštiti podataka ne primjenjuje u pogledu obrade osobnih podataka u novinarske svrhe ne može uzeti kao točna iz razloga što ista jasno pojašnjava u uvodnoj izjavi 153 kako bi države članice Europske unije trebale donijeti zakonodavne mjere koje bi predvidjele određena odstupanja glede primjene Opće uredbe o zaštiti podataka u novinarske svrhe. U tom smislu iznimno je bitno za napomenuti kako Republika Hrvatska nije iskoristila navedenu mogućnost iz Opće uredbe o zaštiti podataka te zakonodavnim putem uredila odgovarajuće iznimke glede obrade osobnih podataka u novinarske svrhe, stoga se na isto u potpunosti primjenuje Opća uredba o zaštiti podataka, uz uvažanje nužnosti postojanja medijskih sloboda u demokratskom društvu.
Navedeno znači da su mediji slobodni izvještavati javnost o svim događajima koji pobuđuju interes javnosti, kao i o ostalim stvarima koje spadaju u novinarsko informiranje (npr. “meme” uradak), no pri tome su u obvezi poštivati načelo smanjenja količine podataka te objavljivati isključivo one osobne podatke koji su apsolutno nužni za postizanje željene svrhe (npr. informiranje javnosti). O tome postoji i recentna judikatura Europskog suda, kao npr. presuda u predmetu C-136/17 GC, AF, BH, ED protiv Commission nationale de l’informatique et des libertes. Samim time nije istinit niti navod da se glede objave određenih osobnih podataka u medijima, odnosno bilježenje nečijeg lica ili registarske oznake vozila ne može smatrati sustavom pohrane u smislu Opće uredbe o zaštiti podataka, a osobito uzimajući u obzir da se putem kombinacije nečijeg jasno vidljivog lica i registarske oznake može na neizravni način utvrditi identitet ispitanika u smislu članka 4. stavka 1. točke 1. Opće uredbe o zaštiti podataka.
U povodu konkretne predstavke potrebno je naglasiti nekoliko determinističkih faktora. Iz svega gore navedenog te navoda iz predstavke razvidno je kako je voditelj obrade na Vaše traženje primijenio odgovarajuće tehničke mjere zaštite te zamaglio registarske oznake automobila čija fotografija je bila objavljena od strane voditelja obrade.
Nadalje, zamagljivanjem registarskih oznaka sa sporne fotografije nije moguće utvrditi Vaš identitet putem objektivnih/razumnih čimbenika koji stoje na raspolaganju prosječnoj osobi. Navedeno vrijedi tim više što je fotografija Vašeg lica pozicionirana na način da se nalazi u sjeni automobila te se iz iste ne može nedvojbeno utvrditi Vaš identitet. Budući da fotografija Vašeg lica nije jasno naznačena na spornoj fotografiji te da su registarske oznake zamagljene tako da nisu vidljive čitateljima predmetnog portala, sporna objava se ne može smatrati objavom u smislu odredbi članka 4. stavka 1. točke 1. Opće uredbe o zaštiti podataka.
