Agencija za zaštitu osobnih podataka je po službenoj dužnosti donijela rješenje kojim se jednoj od kreditnih institucija sa sjedištem u Zagrebu (dalje u tekstu: Banka), izriče upravno novčana kazna zbog povrede članka 15. st. 3. Opće uredbe o zaštiti podataka, točnije zbog odbijanja dostave osobnih podataka ispitanicima/građanima/klijentima Banke (dalje u tekstu: ispitanici).
Naime, još od listopada 2018. Agencija za zaštitu osobnih podataka (dalje u tekstu: AZOP) intenzivno zaprima pritužbe građana u kojima navode da su se obraćali Banci sa zahtjevom za dostavom podataka, da Banka na njihove podnesene zahtjeve i traženje, kontinuirano odbija dostavu njihovih osobnih podataka tj. dostavu kreditne dokumentacije koja se odnosi na sklopljene ugovore o kreditu u švicarskim francima (CHF) s predmetnom Bankom. Ispitanici su se obraćali Banci legitimno i s pretpostavkom poštivanja i primjene prava na pristup svojim osobnim podacima temeljem čl. 15. st. 1. i 3. Opće uredbe o zaštiti podataka, na način da su zatražili dostavu kopija kreditne dokumentacije (npr. knjigovodstvena kartica, otplatni plan, aneks ugovora o kreditu, pregled promjena kamatnih stopa), koja sadrži njihove osobne podatke.
Banka je, iako u svojstvu voditelja obrade na kojeg se primjenjuje Opća uredba o zaštiti osobnih podataka, odbila ispitanicima omogućiti pristup osobnim podacima/dostavu tražene dokumentacije, navodeći da se prema Zakonu o potrošačkom kreditiranju i ostalim posebnim propisima ne radi o pristupu osobnim podacima ispitanika, već o kreditnoj dokumentaciji za koju nema obveze dostavljanja jer se radi o otplaćenim kreditima te je uporno odbijala dostaviti ispitanicima presliku osobnih podataka koje o njima obrađuje.
Postupajući po pritužbama ispitanika AZOP je proveo postupak u kojem je utvrdio da dokumentacija čiju su dostavu zatražili sadrži njihove osobne podatke te su sukladno čl. 57. i 58. Opće uredbe o zaštiti podataka donesena rješenja (34) u kojima je Banci naložena dostava dokumentacije/ kopija osobnih podataka svim ispitanicima koji su to zatražili.
U postupku utvrđivanja povrede prava koji je AZOP proveo po službenoj dužnosti utvrđeno je kako je osim pojedinačno podnesenih pritužbi AZOP-u u razdoblju od 25. 05. 2018. do 30.04. 2019. Banka zaprimila znatno veći broj (oko 2500 ) takvih zahtjeva ispitanika kojima je također uskraćeno pravo na dostavu kopija osobnih podataka. zbog čega se AZOP odlučio provesti postupak po službenoj dužnosti i izreći najstrožu korektivnu mjeru – upravno novčanu kaznu.
Primarni razlog za izricanje upravno novčane kazne leži u činjenici kako, niti nakon već prethodno donesenih naloga u 34 rješenja AZOP nije uspio dovesti Banku u poziciju poštivanja prava ispitanika zajamčenih Općom uredbom o zaštiti podataka. Budući da izricanje blažih korektivnih mjera (nalog za dostavu osobnih podataka) nije uspjelo izvesti Banku na put poštivanja Opće uredbe o zaštiti podataka, AZOP je pristupio izricanju upravno novčane kazne kao jedine moguće efikasne mjere koja će biti dovoljno odvraćujuća i proporcionalna za učinjenu povredu.
AZOP se prilikom odmjeravanja visine kazne vodio sa kriterijima koji su izrijekom propisani u čl. 83. st. 1. Opće uredbe o zaštiti podataka; prije svega uzeto je u obzir da je opisanim postupanjem Banke došlo do teže povrede kršenja prava ispitanika koja je regulirana čl. 83. st. 5. b) Opće uredbe o zaštiti podataka za čije kršenje je propisana kazna do 20 000 000 EUR-a.
Također kao jedan od kriterija kod utvrđivanja visine upravno novčane kazne u konkretnom slučaju uzeto je u obzir da je povredom obuhvaćeno preko 2500 ispitanika/građana Republike Hrvatske koji su Banci podnijeli zahtjev za pristup svojim osobnim podacima, a kojima Banka kao voditelj obrade nije udovoljila. Isto tako, uzeta je u obzir činjenica da se radi o povredi dužeg vremenskog trajanja u razdoblju od 25. svibnja 2018. do 30. travnja 2019., tj. o dužem vremenskom razdoblju od skoro godinu dana u kojem su podnositelji zahtjeva bili onemogućeni u ostvarivanju svojih prava.
Iz takvog postupanja Banke jasno proizlazi kako je Banka bila svjesna činjenice da se na opisani način uskraćuje pristup osobnim podacima ispitanika, odnosno zaštita njihovih temeljnih prava koja su zajamčena Uredbom. Dakle, utvrđeno je da je Banka prilikom navedenog kršenja obveze iz Uredbe postupala svjesno i s namjerom, osobito iz razloga što se ne radi o izoliranom slučaju kršenja prava ispitanika, već o uskraćivanju ostvarivanja prava većem broju ispitanika (2577), o dužem vremenskom trajanju same povrede te da pristup osobnim podacima nije omogućen niti nakon donošenja pojedinačnih rješenja u kojima je Banci naloženo omogućavanje ostvarivanja prava sukladno čl. 15. st. 3. Uredbe u pojedinačnim slučajevima, a što svakako ukazuje na ozbiljnost učinjene povrede.
Upravo takvim ponašanjem, odnosno ne postupanjem Banke u skladu s obvezama iz Uredbe, evidentno je da Banka kao voditelj obrade nije, ni na koji način, aktivno uložila napor za ublažavanjem eventualno mogućih nastalih posljedica i rizika za prava i slobode ispitanika koji su obuhvaćeni predmetnom povredom.
Osim navedenog u ovoj upravnoj stvari prilikom utvrđivanja iznosa kazne uzeto je u obzir da je AZOP kao nadzorno tijelo za područje zaštite osobnih podataka u RH za navedeno kršenje saznalo od samih ispitanika, a točan broj ispitanika potvrdila je i Banka. Stoga se može smatrati kako je navedenim ne postupanjem po zahtjevima ispitanika Banka izravno izbjegla određene financijske troškove koji se mogu smatrati stjecanjem imovinske koristi na štetu ispitanika.
Isto tako kao jedan od kriterija uzeta je u obzir i činjenica da prema saznanjima AZOP-a, Banci nije do sada utvrđena povreda prava ispitanika sukladno čl. 15. st. 3. Uredbe, kao niti druga relevantna kršenja odredbi Uredbe te je navedeno uzeto u obzir prilikom utvrđivanja ove korektivne mjere i njezine visine. Također, prilikom utvrđivanja navedene kazne uzet je u obzir i stupanj suradnje s ovom Agencijom kao nadzornim tijelom, koja je u konkretnom slučaju bila u skladu s obvezama voditelja obrade koje proizlaze iz same Uredbe i Zakona.
