7.6.2019.

Agencija za zaštitu osobnih podataka zaprimila je upit priređivača igara na sreću vezan za javnu objavu osobnih podataka dobitnika bez da je za takvu obradu/objavu prethodno pribavio izričitu privolu ispitanika. Nastavno na navedeno, iznosimo sljedeći odgovor:

Prije svega ističemo da je Uredba o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka  (SL EU L119 , dalje u tekstu Opća uredba o zaštiti podataka, eng. skraćeno GDPR) stupila na snagu 25. svibnja 2016. godine te se izravno primjenjuje i u potpunosti je obvezujuća u Republici Hrvatskoj od 25. svibnja 2018. godine.

Pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.

Obrada osobnih podataka je zakonita ako je ispunjen jedan od uvjeta propisanih člankom 6. Opće uredbe o zaštiti podataka, odnosno u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: (a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha; (b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora; (c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade; (d) obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe; (e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; (f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

U konkretnom slučaju je u primjeni Zakon o igrama na sreću (“Narodne novine”, broj: 87/09, 35/13, 158/13, 41/14 i143/14) kojim su u članku 69. definirane nagradne igre kao igre koje radi promidžbe svojih proizvoda i usluga priređuju trgovačka društva te druge pravne i fizičke osobe poduzetnici, pri čemu se priređivač obvezuje izvučenim dobitnicima podijeliti nagrade u robi ili uslugama, a da se od sudionika ne zahtijeva posebna uplata za sudjelovanje u igri.

Nadalje, detaljniji uvjeti priređivanja nagradnih igara propisani su Pravilnikom o priređivanju nagradnih igara („Narodne novine“, broj 8/10) u kojem je navedeno kako pravo priređivanja nagradne igre imaju trgovačka društva te druge pravne i fizičke osobe poduzetnici nakon dobivenog odobrenja Ministarstva financija, svrha kojih je promidžba njihovih proizvoda i usluga radi unapređenja prodaje proizvoda i korištenja usluge (članak 3. stavak 1. navedenog Pravilnika). Dok je u članku 8. određeno da je sudionik u nagradnoj igri fizička osoba koja prihvaća i ispunjava uvjete za sudjelovanje u nagradnoj igri utvrđene pravilima priređivača nagradne igre te radi sudjelovanja u nagradnoj igri sudionik pristaje na davanje svojih osobnih podataka (ime i prezime i adresa stanovanja).

Kada govorimo o objavi osobnih podatka dobitnika bitno je naglasiti da je priređivač dužan nagradnu igru organizirati tako da se na javnom izvlačenju nagrada obvezno izvuku dobitnici svih nagrada, a utvrđeni nagradni fond da se u cijelosti podijeli sudionicima nagradne igre (članak 13. citiranog Pravilnika).

Iz navedene odredbe proizlazi prije svega obveza informiranja sudionika da je izvlačenje nagrada javno te i ostale informacije u skladu s člankom 13. Opće uredbe o zaštitu podataka. Nadalje, s obzirom da je izvlačenje javno u svrhu transparentnosti cijelog postupka svake pojedine nagradne igre, osobito u smislu informiranja svih sudionika ali i javnosti smatramo da se objavom osobnih podataka dobitnika izvršava sama svrha javnog izvlačenja.

Vezano za objave osobnih podataka dobitnika navodimo kako osim svrhe mora postojati i relevantna pravna osnova u smislu članka 6. Opće uredbe o zaštiti podataka, a koju može biti privola, izvršavanje pravne obveze koja proizlazi iz posebnog propisa, legitimni interes priređivača i dr.

U slučaju da javna objava osobnih podataka dobitnika nije propisana posebnih zakonom, priređivač osim privole ispitanika/sudionika može zakonito obrađivati/objaviti osobne podatke ako je to nužno za potrebe njegovih legitimnih interesa, osim kada su od tih interesa jači interesi  ili temeljna prava ispitanika koji zahtijevaju zaštitu osobnih podataka.

U uvodnoj izreci 47. je navedeno kako legitimni interesi voditelja obrade, među ostalim onih interesa voditelja obrade kojem se osobni podaci mogu otkriti ili treće strane, mogu predstavljati pravnu osnovu za obradu pod uvjetom da interesi ili temeljna prava i slobode ispitanika nemaju prednost, uzimajući u obzir razumna očekivanja ispitanika koja se temelje na njihovom odnosu s voditeljem obrade. Takav legitiman interes mogao bi na primjer postojati u slučaju relevantnog i odgovarajućeg odnosa ispitanika i voditelja obrade u situacijama poput one kada je ispitanik klijent voditelja obrade ili u njegovoj službi. U svakom slučaju postojanje legitimnog interesa zahtijevalo bi pažljivu procjenu, među ostalim i toga može li ispitanik u vrijeme i u kontekstu prikupljanja osobnih podataka razumno očekivati obradu u dotičnu svrhu. Interesi i temeljna prava ispitanika posebno bi mogli nadvladati interes voditelja obrade ako se osobni podaci obrađuju u okolnostima u kojima ispitanici razumno ne očekuju daljnju obradu. Budući da je zakonodavac dužan zakonski odrediti pravnu osnovu za obradu osobnih podataka koju provode tijela javne vlasti, ta pravna osnova ne bi se smjela primjenjivati na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća. Obrada osobnih podataka koja je nužna u svrhe sprečavanja prijevara također predstavlja legitiman interes dotičnog voditelja obrade podataka. Može se smatrati da postoji legitiman interes kod obrade osobnih podataka provedene za potrebe izravnog marketinga.

Nadalje, kako bi se osobni podaci mogli zakonito obrađivati, osobito ako je obrada potrebna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade ili na temelju legitimnih interesa voditelja obrade ili treće strane, svaki bi ispitanik ipak trebao imati pravo prigovora na obradu bilo kojih osobnih podataka povezanih s njegovom posebnom situacijom. Voditelj obrade trebao bi pokazati da njegovi uvjerljivi legitimni interesi imaju prednost pred interesima temeljnih prava i sloboda ispitanika.

Osim navedenog je bitno naglasiti da tijela javne vlasti mogu koristiti legitimni interes kao pravni temelj za obradu osobnih podataka ispitanika, primjerice kada tijelo kao priređivač nagradne igre obrađuje osobne podatke sudionika, ako navedeno postupanje (nagradna igra) ne spada u domenu izvršavanje službenih zadaća tog tijela.

Zaključno, prilikom svake obrade osobnih podataka pa tako i javne objave svaki voditelj obrade, u konkretnom slučaju priređivač nagradne igre, mora poštovati sva načela obrade iz članka 5. Opće uredbe o zaštitu podataka, osobito da osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju („smanjenje količine podataka”).

Ističemo da je sukladno navedenom načelu razmjernosti u obradi podataka moguće učiniti dostupnim samo nužan opseg podataka koji omogućuje postizanje zakonom utvrđene svrhe, primjerice ime i prezime, mjesto stanovanja. Osim toga, načelo transparentnosti traži da svaka informacija i komunikacija u vezi s obradom osobnih podataka bude lako dostupna i razumljiva, a to se osobito odnosi na informacije iz članka 13. Opće uredbe o zaštiti podataka.