ICT I PRAVNA PRAKSA

Iznošenje osobnih podataka iz RH

PRIPREMIO: TIHOMIR KATULIĆ

Kako često ističemo, osobni podaci nemaju samo važnost za ispitanike, niti je njihova korisnost iscrpljena kad ih prikupi i obradi voditelj zbirke osobnih podataka.
Trgovačko društvo, državna institucija ili fizička osoba (naprimjer, obrtnik) koja prikuplja i obrađuje osobne podatke može ustupiti te podatke nekom drugom subjektu, bez obzira je li riječ o ustupanju radi (dodatne) obrade i analize, u kojem slučaju govorimo o povjeravanju poslova obrade osobnih podataka ili - što je sve češće i raširenije kako informacijska tehnologija prodire u sve pore modernog poduzetništva - zbog trgovine osobnim podacima koji mogu biti zanimljivi i drugim subjektima, a ne samo onima koji su ih inicijalno prikupili u okviru usluge koju nude ispitanicima-klijentima.

Ako postoji osnova za sumnju u postojanje odgovarajuće uređene zaštite osobnih podataka voditelj zbirke dužan je prije iznošenja osobnih podataka iz Hrvatske pribaviti mišljenje Agencije za zaštitu osobnih podataka

Dakako, pitanje smiju li se podaci dati na obradu ili korištenje nekom drugom treba sagledati u kontekstu zakonskih odredbi. Zakon o zaštiti osobnih podataka u čl. 7 regulira pod kojim se uvjetima osobni podaci mogu prikupljati i dalje obrađivati – uz privolu ispitanika samo u svrhu za koju je ispitanik dao privolu, u slučajevima određenim zakonom, u svrhu izvršavanja zakonskih obveza voditelja zbirke osobnih podataka itd. Treba napomenuti, kad je ispitanik dao privolu za prikupljanje i obradu podataka ima pravo u svakom trenutku odustati od privole i tražiti prestanak daljnje obrade, osim ako se podaci obrađuju u statističke svrhe pa ne omogućuju identifikaciju osobe na koju se odnose. Osim toga, ispitanik ima pravo tražiti prestanak daljnje obrade čak i kad je sam objavio svoje osobne podatke.
U redovnom poslovanju, osobito u uvjetima sve veće umreženosti globalnog gospodarstva, pri suradnji domaćih i stranih gospodarskih subjekata i slobodnom protoku rada, kapitala, roba i usluga, lako je zamisliti situacije kad će osobni podaci biti prikupljani na teritoriju jedne zemlje, a obrađivani i analizirani u drugoj državi. U našem slučaju to će u pravilu biti države s kojima Hrvatska dijeli pravne standarde zaštite osobnih podataka, u prvom redu kroz zakonodavnu aktivnost Europske unije i nacionalne implementacije unijine Direktive iz 1995. godine. No i među zemljama članicama postoje razlike u nacionalnim zakonodavstvima, a neke europske države poput Švicarske i Norveške nisu ni članice EU. SAD, Japan, Kina i druge zemlje imaju vlastite sustave zaštite osobnih podataka čija se rješenja razlikuju od europskoga koje je široko prihvaćeno kao najsustavnije i s najvišom razinom zaštite ispitanika.


Član 13. ZZOP-a regulira iznošenje osobnih podataka iz Republike Hrvatske. Zbirke osobnih podataka, odnosno osobni podaci koje sadrže mogu se iznositi iz Hrvatske zbog daljnje obrade samo ako država ili međunarodna organizacija u koju se iznose ima odgovarajuće uređenu zaštitu osobnih podataka, odnosno osiguranu adekvatnu razinu zaštite. Dalje, čl. 13 kaže - ako postoji osnova za sumnju u postojanje odgovarajuće uređene zaštite osobnih podataka voditelj zbirke dužan je prije iznošenja osobnih podataka iz Hrvatske pribaviti mišljenje Agencije za zaštitu osobnih podataka.
U načelu ta bi se odredba mogla tumačiti u skladu s ranijenavedenim – za zemlje izvanpravnog kruga EU koje nisu bile obvezne implementirati odredbe­ europske Direktive može se zaključiti da postoji sumnja o postojanju odgovarajuće uređene zaštiteosobnih podataka uz moguće iznimke; naime, neke države su prihvatile europske standarde zaštite iako nisu članice EU. Jedna od njih bila je i Hrvatska koja je to učinila još 2003. usvajanjem ZZOP-a, deset godina prije pristupanja Europskoj uniji.
U praksi se može pojaviti dvojba treba li, prema odredbama član 13. ZZOP-a tražiti mišljenje Agencije u slučaju da je riječ o prijenosu podataka između dva povezana trgovačka društva - jednog sa sjedištem u Hrvatskoj, a drugog u inozemstvu. U smislu odredaba ZZOP-a, iznošenje osobnih podataka u inozemstvo podliježe istim odredbama zakona bez obzira je li riječ o slučaju povezanih ili nepovezanih društava.