Možemo li imati web stranicu bez Cookie bannera? Naravno da možemo i odluka je u cijelosti na vlasniku web stranice ili mobilne aplikacije. Jednostavno je: ako imamo web stranicu ili mobilnu aplikaciju koja instalira isključivo kolačiće NUŽNE za funkcionalnost stranice bez marketinških ili analitičkih kolačića, bez raznih trackera, bez Google Analytics, Meta Pixel, Google Ads, Facebook trackera, videozapisa ili sadržaja trećih strana, dodataka društvenih mreža i sličnog, tada nam Cookie banner uopće nije potreban. I posjetitelji takve stranice će biti presretni. Takva je i službena web stranica GDPR Croatia na www.biconsult.hr. Sve to možemo uz par minuta investiranog vremena naučiti iz službene objave AZOP-a: https://azop.hr/kolacici-gdpr/ iz koje izdvajamo: „Ističemo da činjenica da je stranicu tehnički izradio ili održava vanjski web dizajner ne oslobađa vlasnika stranice (voditelja obrade) odgovornosti da utvrdi koji su kolačići i drugi alati ugrađeni, koje osobne podatke prikupljaju, u koje svrhe, kome se podaci dostavljaju i koliko dugo se čuvaju. Stoga je prije svega potrebno od web dizajnera zatražiti tehničku provjeru i potpuni popis kolačića, programskih oznaka i drugih tehnologija koje se aktiviraju prilikom posjeta stranici. Posebno je potrebno provjeriti jesu li ugrađeni alati kao što su Google Analytics, Meta Pixel, Google Ads, videozapisi ili sadržaji trećih strana, dodaci društvenih mreža i slične usluge. Sama tvrdnja u politici kolačića da se koriste analitički i marketinški kolačići nije dokaz da su oni zaista instalirani, ali politika mora točno odgovarati stvarnom načinu rada stranice. Ako internetska stranica koristi isključivo tehnički nužne kolačiće, odnosno kolačiće bez kojih se ne može pružiti usluga koju je korisnik izričito zatražio, za njih nije potrebno tražiti privolu. U tom slučaju nije potrebno prikazivati banner kojim se od korisnika traži prihvaćanje kolačića. Korisnike je ipak potrebno na jasan i transparentan način obavijestiti o uporabi takvih kolačića. Politiku kolačića potrebno je uskladiti sa stvarnim stanjem i iz nje ukloniti tvrdnje o analitičkim ili marketinškim kolačićima ako se oni ne koriste. Ako se, međutim, koriste analitički, marketinški ili drugi kolačići koji nisu tehnički nužni, isti se ne smiju postaviti niti aktivirati prije nego što korisnik za njih dade valjanu privolu. Privola mora biti dobrovoljna, posebna, informirana i nedvosmislena te dana jasnom potvrdnom radnjom, u skladu s člankom 4. točkom 11. i člankom 7. Opće uredbe o zaštiti podataka. Unaprijed označene opcije, nastavak pregledavanja stranice, šutnja ili neaktivnost korisnika ne predstavljaju valjanu privolu. Banner koji sadrži samo gumb „Prihvaćam” nije odgovarajući ako se na stranici koriste kolačići koji nisu nužni i putem kojih se obrađuju osobni podaci posjetitelja stranice. Posjetiteljima internetske stranice (korisnicima) se već na prvoj razini bannera mora omogućiti da jednako jednostavno prihvate ili odbiju kolačiće koji nisu nužni. Opcije „Odbijam kolačiće” i „Prihvaćam kolačiće” trebaju biti prikazane i dizajnirane na jednak način, bez zavaravajućeg dizajna kojim bi se korisnika poticalo na prihvaćanje. Korisniku se može omogućiti i zasebno upravljanje pojedinim kategorijama kolačića, primjerice analitičkim i marketinškim kolačićima. Nužni kolačići mogu biti unaprijed aktivni, dok sve ostale kategorije moraju ostati neaktivne do davanja privole. Odbijanje kolačića ne smije korisniku onemogućiti pristup osnovnom sadržaju i funkcionalnostima stranice. Također, korisniku mora biti omogućeno da privolu naknadno povuče jednako jednostavno kao što ju je dao. Ako se na stranicu ugradi Meta Pixel ili sličan alat radi praćenja posjetitelja, mjerenja konverzija, izrade publike ili personaliziranog oglašavanja, takav se alat u pravilu ne smije aktivirati prije dobivanja privole korisnika. Korisnike je tada potrebno jasno obavijestiti i o vrstama podataka koji se prikupljaju, svrsi obrade, primateljima podataka, razdoblju čuvanja te mogućim prijenosima podataka u treće zemlje. Slijedom navedenoga, preporučujemo da: od web dizajnera zatražite pisanu specifikaciju svih ugrađenih kolačića i alata za praćenje; provedete tehničku provjeru učitavaju li se kolačići koji nisu nužni prije izbora korisnika; uklonite analitičke i marketinške alate ako Vam nisu potrebni; uskladite politiku privatnosti i politiku kolačića sa stvarnim stanjem; ako se nenužni kolačići koriste, uvedete mogućnosti „Prihvaćam” i „Odbijam” koje su jednako dostupne i jednako istaknute; omogućite naknadnu promjenu izbora i povlačenje privole. Zaključno, ako stranica ne koristi tzv. “nenužne” kolačiće, banner za privolu nije potreban, ali obavijest o kolačićima mora biti točna. Ako se analitički ili marketinški kolačići koriste, banner s jednim gumbom „Prihvaćam” nije dovoljan te korisniku mora biti omogućeno njihovo jednako jednostavno odbijanje prije nego što se takvi kolačići aktiviraju. U svrhu usklađivanja obrade osobnih podataka putem kolačića na internetskim stranicama, preporučamo korištenje alata kojeg je izradio Europski odbor za zaštitu podataka: https://www.edpb.europa.eu/documents/support-pool-of-experts/edpb-website-auditing-tool_en.“ Hvala AZOP 🍀 Image from Magnific #gdprcroatia

Jesmo li izloženi kazni ako nam netko skine postavljene oznake videonadzora? Već treći put je u određenom razdoblju netko lokalnom kafiću u Španjolskoj skinuo oznake videonadzora, a u posljednjem slučaju je odmah istog dana po "nestanku" oznaka nadzorno tijelo za zaštitu osobnih podataka dobilo prijavu o nepostojanju oznaka. Vrlo zločesto, zar ne? Ipak, nadzorno tijelo nije kaznilo lokalni kafić jer su postojali dokazi da je kafić svaki put odmah i bez odlaganja reagirao i naručio izradu novih obavijesti o videonadzoru, što se vidjelo iz priloženih računa za izradu naljepnica. Više detalja o slučaju: https://gdprhub.eu/index.php?title=AEPD_(Spain)_-_PS-00436-2021&mtc=today #gdprcroatia

Uzimanje otiska prsta zaposlenika i klijenata mora biti predmetom slobodnog izbora pojedinca Fitness klub došao je na ideju da dolaske članova kluba i zaposlenika kluba prati putem otiska prsta. No, učinili su ključnu pogrešku ne dajući mogućnost članovima i zaposlenicima kluba da za istu svrhu ne moraju dati otiske svojih prstiju, već da mogu normalno i bez dodatnih ograničenja koristiti usluge i dolaziti na radno mjesto. Iako su finskom nadzornom tijelu tvrdili da su omogućili privole članova i zaposlenika, iz navedenog je bilo jasno da te privole nisu bile predmetom potpuno slobodne volje, odnosno, da su članovi i zaposlenici MORALI dati svoju slobodnu privolu. Uz nepostojanje jasne informiranosti članova i zaposlenika o samoj obradi otisaka prstiju, ogriješili su se i o dodatne GDPR obveze te im je izrečena kazna od 5.700 EUR. Ta kazna je relativno mala jer je i promet fitness kluba uslijed pandemije bitno opao Više o slučaju iz Finske: https://gdprhub.eu/index.php?title=ADA_(Lithuania)_-_UAB_VS_FITNESS&mtc=today Biometrijski podaci su podaci koji pripadaju posebnim kategorijama osobnih podataka i čije neovlašteno otkrivanje, krađa, kopiranje, mogu uzrokovati značajne materijalne i nematerijalne štete za kompromitirane pojedince, da ne spominjemo krađu identiteta. Obrada biometrijskih podataka u RH dozvoljena je u strogo ograničenom okviru prema Zakonu o obradi biometrijskih podataka i to samo od strane nadležnih tijela javne vlasti. GDPR je odredio da se otisci prstiju, kao vrsta biometrijskih podataka, odnosno, jedna od posebnih kategorija osobnih podataka iz članka 9. GDPR-a, ne smiju prikupljati niti na drugi način obrađivati, osim ukoliko nije zadovoljen jedan od točno 10 uvjeta izuzeća iz članka 9. stavka 2. GDPR-a. Ako organizacije želi uvesti obradu biometrijskih podataka, mora u tu svrhu dobiti IZRIČITU PRIVOLU pojedinca, koja mora biti jasna, specifična, informirana i dana slobodnom voljom pojedinca koji je uvijek može i mora moći povući u svakom trenutku bez posljedica, pod uvjetom da je takva obrada zaista nužna i da ne postoje drugi načini postizanja iste svrhe. No, osim obveze dobivanja slobodnih i izričitih privola pojedinaca, organizacija je dužna ispuniti još niz drugih preduvjeta: - Osigurati punu informiranost pojedinaca o svrhama prikupljanja biometrijskih podataka, rokovima zadržavanja, tko ima pristup istima te pravima pojedinaca, prema članku 13. GDPR-a - Osigurati najviše standarde informacijske sigurnosti radi zaštite prikupljenih biometrijskih podataka - Provesti i dokumentirati Procjenu učinka na zaštitu podataka (DPIA, Data Protection Impact Assessment) i osigurati minimiziranje rizika na prava i slobode pojedinaca na prihvatljive, odnosno, niske ili umjerene #gdprcroatia

Žena, u ulozi voditelja obrade, koristila je intimne fotografije svog supruga (ispitanika) i njegove ljubavnice u brakorazvodnoj parnici. Također je podijelila fotografije i s trećom stranom, odnosno suprugom ljubavnice svog supruga. Da stvar bude zanimljivija, fotografije intimnog karaktera je na Cloud pohranio sam suprug a lozinke za pristup datotekama u Cloudu zabilježio je u bilježnicu koju je držao pored računala, a koja je bila dostupna svim članovima obitelji. Suprug, preljubnik a ujedno i korisnik Cloud usluga je podnio pritužbu austrijskom nadzornom tijelu za zaštitu podataka, koje je odbacilo tužbu zauzevši stav da GDPR nije prekršen i da je otkrivanje fotografija bilo nužno za dokazivanje odgovornosti supruga u procesu razvoda. Međutim, dijeljenje intimnih fotografija nije dozvoljeno trećoj osobi, odnosno, suprugu ljubavnice, što je potvrdio i austrijski Savezni upravni sud. Što se tiče dijeljenja intimnih fotografija u brakorazvodnoj parnici, takve fotografije spadaju u posebne kategorije osobnih podataka prema članku 9. stavku 1. GDPR-a, odnosno u kategoriju podataka o seksualnom životu i spolnoj orijentaciji, čija je obrada općeniti zabranjena. No, članak 9. stavak 2. GDPR-a daje točno 10 iznimki od opće zabrane, a u konkretnom slučaju se primjenjuje iznimka iz točke (f) kad je obrada osobnih podataka (fotografija) nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva ili kad god sudovi djeluju u sudbenom svojstvu Sud je naglasio da bi, kako bi se primijenila iznimka, obrada trebala biti "nužna" za svrhu navedenu u ovoj odredbi, što znači da sudski zahtjev ili obrana ne bi bili mogući bez obrade fotografija. Ipak, takav se zahtjev nužnosti i opravdanosti ne smije tumačiti preusko. Prema mišljenju Suda, kada sudac smatra da otkrivanje u sudskom postupku nije relevantno, to ne znači automatski kršenje članka 9. GDPR-a. Jedini slučaj u kojem se članak 9. stavak 2. točka (f) GDPR-a ne primjenjuje je kada stranka u postupku svjesno i samovoljno otkrije osjetljive podatke koji nisu povezani s predmetnim činjenicama. Stoga je Savezni upravni sud potvrdio odluku nadzornog tijela i smatrao da je obrada, odnosno, otkrivanje intimnih fotografija, zakonita. Više o slučaju: https://gdprhub.eu/index.php?title=BVwG_-_W292_2259696-1&mtc=today Image from FreePik #gdprcroatia

Svi znamo za naše pravo pristupa svojim osobnim podacima iz članka 15. GDPR-a i da pri tom moramo dobiti sve relevantne informacije KOJE naše osobne podatke KAKO i U KOJU svrhu s KOJIM pravnim temeljem obrađuje neki voditelj obrade, s KIM ih dijeli, odakle mu, KAKO dugo ih zadržava i KOJA su nam ostala prava iz GDPR-a. Pri tom imamo pravo dobiti i kopiju naših osobnih podataka. No, u članku 15. stavku 4. navedena je iznimka od prava na dobivanje kopije, ako bi se njenim davanjem negativno utjecalo na "prava i slobode drugih". Jedna od situacija kad je takva iznimka primjenjiva je slučaj davanja kopije snimke videonadzora, kad bi voditelj obrade morao zamutiti, odnosno, zamagliti ili zablurati druge osobe na snimci na kojoj se treba prikazati samo osobu koja traži pristup svojim osobnim podacima, odnosno, toj snimci. No, definicija iznimke radi sprječavanja negativnog utjecaja na prava i slobode drugih ima i širi spektar "primjene". Slučaj iz Njemačke nam daje takav primjer. Fizička osoba polagala je ispit iz znanja stranog jezika i pala je na istome. Pozvala se na svoje pravo na pristup osobnim podacima i pravo na dobivanje kopije osobnih podataka prema članku 15. stavku 3. GDPR-a, što je organizacija koja organizira takve testove odbila. Ponudili su fizičkoj osobi da može ostvariti osobni uvid u svoj test, s obzirom da samo manji dio testa sadrži osobne podatke fizičke osobe i da bi se davanjem kopije cijelog testa ugrozila tajnost samog testa. Stvar je završila na lokalnom sudu u Frankfurtu, utvrdivši nedvosmisleno da svi odgovori fizičke osobe jesu njezini osobni podaci, ali sama testna pitanja to nisu. Istovremeno je sud odvagnuo čiji je interes jači između interesa fizičke osobe za pristupom vlastitim osobnim podacima i interesa organizacije za osiguranjem tajnosti samih pitanja u testu. S obzirom da su utvrdili da razvoj takvih jezičnih testova iziskuje složen proces uz ulaganje značajnih napora, a sami testovi koriste se u svrhu naturalizacije stranaca i izostanak tajnosti testova može uzrokovati da se takvi testovi proglase neprimjerenima za utvrđivanje jezičnih vještina, da bi se otkrivanjem kopije testnih pitanja ugrozila poduzetnička sloboda organizacije koja provodi testove. Stoga su dali za pravo organizaciji kao voditelju obrade da ima pravo odbiti dati kopiju testa temeljem članka 15. stavka 4. GDPR-a, a pri tom pravo na pristup osobnim podacima nije u cijelosti uskraćeno davanjem mogućnosti uvida fizičkoj osobi u njen primjerak testa. Više o slučaju: https://gdprhub.eu/index.php?title=AG_Frankfurt_am_Main_-_31_C_2043/22_(78)&mtc=today Image by pressfoto on Freepik #gdprcroatia

Kazna 25.000 EUR iznajmljivačima za uzimanje dvostrane kopije osobne iskaznice Gost apartmana rezervirao je smještaj online i tada je ostavio svoje podatke, od imena svih gostiju, email adrese, telefonske brojeve, ali je i prema zahtjevu iznajmljivača morao dostaviti i dvostrane kopije osobnih iskaznica. Jao. Pri tom iznajmljivač očigledno nije poznavao GDPR i obvezu prema njegovom članku 5. da se osobni podaci uvijek moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju. Osobna iskaznica sadrži više osobnih podataka od onih koji su nužni za korištenje u apartmanu. U Hrvatskoj je opseg osobnih podataka koje iznajmljivači smiju i moraju uzeti određen Pravilnikom o sustavu eVisitor. Naravno, gost se požalio nadzornom tijelu za zaštitu podataka, koje nije imalo druge nego zaključiti isto što smo mi maloprije ovdje napisali. Dodatno su kaznili iznajmljivača zbog izostanka transparentne obavijesti o postupanju s osobnim podacima gostiju u skladu s člankom 13. GDPR-a, posebice o identitetu iznajmljivača, njegovim kontaktima za ostvarivanje GDPR prava ispitanika, pravnim temeljima i svrhama obrade pojedinih osobnih podataka, rokovima obrade, s kime se dijele i sl. Time je ukupna kazna iznosila čak 75.000 EUR, a za samo kopiranje osobne iskaznice 25.000 EUR. Više o slučaju iz Španjolske kakav se itekako može primijeniti i kod nas: https://gdprhub.eu/index.php?title=AEPD_(Spain)_-_PS/00499/2022&mtc=today Image by katemangostar on Freepik https://www.facebook.com/share/1BQA4TzjxM/ #gdprcroatia

AZOP: IZNAJMLJIVAČI NE SMIJU KOPIRATI OSOBNE DOKUMENTE GOSTIJU 🔔 To je sažetak već poznatih uputa koje je AZOP ponovio i u okviru EU ARC radionice o zastiti osobnih podataka u turizmu.Više o toj temi može se pročitati i u prezentaciji: 👉https://arc-rec-project.eu/wp-content/uploads/2023/07/turizam-5-7.pdf #gdprcroatia #iznajmljivaci #gosti #osobnidokumenti #kopiranje #odmor