Uzimanje otiska prsta zaposlenika i klijenata mora biti predmetom slobodnog izbora pojedinca Fitness klub došao je na ideju da dolaske članova kluba i zaposlenika kluba prati putem otiska prsta. No, učinili su ključnu pogrešku ne dajući mogućnost članovima i zaposlenicima kluba da za istu svrhu ne moraju dati otiske svojih prstiju, već da mogu normalno i bez dodatnih ograničenja koristiti usluge i dolaziti na radno mjesto. Iako su finskom nadzornom tijelu tvrdili da su omogućili privole članova i zaposlenika, iz navedenog je bilo jasno da te privole nisu bile predmetom potpuno slobodne volje, odnosno, da su članovi i zaposlenici MORALI dati svoju slobodnu privolu. Uz nepostojanje jasne informiranosti članova i zaposlenika o samoj obradi otisaka prstiju, ogriješili su se i o dodatne GDPR obveze te im je izrečena kazna od 5.700 EUR. Ta kazna je relativno mala jer je i promet fitness kluba uslijed pandemije bitno opao Više o slučaju iz Finske: https://gdprhub.eu/index.php?title=ADA_(Lithuania)_-_UAB_VS_FITNESS&mtc=today Biometrijski podaci su podaci koji pripadaju posebnim kategorijama osobnih podataka i čije neovlašteno otkrivanje, krađa, kopiranje, mogu uzrokovati značajne materijalne i nematerijalne štete za kompromitirane pojedince, da ne spominjemo krađu identiteta. Obrada biometrijskih podataka u RH dozvoljena je u strogo ograničenom okviru prema Zakonu o obradi biometrijskih podataka i to samo od strane nadležnih tijela javne vlasti. GDPR je odredio da se otisci prstiju, kao vrsta biometrijskih podataka, odnosno, jedna od posebnih kategorija osobnih podataka iz članka 9. GDPR-a, ne smiju prikupljati niti na drugi način obrađivati, osim ukoliko nije zadovoljen jedan od točno 10 uvjeta izuzeća iz članka 9. stavka 2. GDPR-a. Ako organizacije želi uvesti obradu biometrijskih podataka, mora u tu svrhu dobiti IZRIČITU PRIVOLU pojedinca, koja mora biti jasna, specifična, informirana i dana slobodnom voljom pojedinca koji je uvijek može i mora moći povući u svakom trenutku bez posljedica, pod uvjetom da je takva obrada zaista nužna i da ne postoje drugi načini postizanja iste svrhe. No, osim obveze dobivanja slobodnih i izričitih privola pojedinaca, organizacija je dužna ispuniti još niz drugih preduvjeta: - Osigurati punu informiranost pojedinaca o svrhama prikupljanja biometrijskih podataka, rokovima zadržavanja, tko ima pristup istima te pravima pojedinaca, prema članku 13. GDPR-a - Osigurati najviše standarde informacijske sigurnosti radi zaštite prikupljenih biometrijskih podataka - Provesti i dokumentirati Procjenu učinka na zaštitu podataka (DPIA, Data Protection Impact Assessment) i osigurati minimiziranje rizika na prava i slobode pojedinaca na prihvatljive, odnosno, niske ili umjerene #gdprcroatia

Žena, u ulozi voditelja obrade, koristila je intimne fotografije svog supruga (ispitanika) i njegove ljubavnice u brakorazvodnoj parnici. Također je podijelila fotografije i s trećom stranom, odnosno suprugom ljubavnice svog supruga. Da stvar bude zanimljivija, fotografije intimnog karaktera je na Cloud pohranio sam suprug a lozinke za pristup datotekama u Cloudu zabilježio je u bilježnicu koju je držao pored računala, a koja je bila dostupna svim članovima obitelji. Suprug, preljubnik a ujedno i korisnik Cloud usluga je podnio pritužbu austrijskom nadzornom tijelu za zaštitu podataka, koje je odbacilo tužbu zauzevši stav da GDPR nije prekršen i da je otkrivanje fotografija bilo nužno za dokazivanje odgovornosti supruga u procesu razvoda. Međutim, dijeljenje intimnih fotografija nije dozvoljeno trećoj osobi, odnosno, suprugu ljubavnice, što je potvrdio i austrijski Savezni upravni sud. Što se tiče dijeljenja intimnih fotografija u brakorazvodnoj parnici, takve fotografije spadaju u posebne kategorije osobnih podataka prema članku 9. stavku 1. GDPR-a, odnosno u kategoriju podataka o seksualnom životu i spolnoj orijentaciji, čija je obrada općeniti zabranjena. No, članak 9. stavak 2. GDPR-a daje točno 10 iznimki od opće zabrane, a u konkretnom slučaju se primjenjuje iznimka iz točke (f) kad je obrada osobnih podataka (fotografija) nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva ili kad god sudovi djeluju u sudbenom svojstvu Sud je naglasio da bi, kako bi se primijenila iznimka, obrada trebala biti "nužna" za svrhu navedenu u ovoj odredbi, što znači da sudski zahtjev ili obrana ne bi bili mogući bez obrade fotografija. Ipak, takav se zahtjev nužnosti i opravdanosti ne smije tumačiti preusko. Prema mišljenju Suda, kada sudac smatra da otkrivanje u sudskom postupku nije relevantno, to ne znači automatski kršenje članka 9. GDPR-a. Jedini slučaj u kojem se članak 9. stavak 2. točka (f) GDPR-a ne primjenjuje je kada stranka u postupku svjesno i samovoljno otkrije osjetljive podatke koji nisu povezani s predmetnim činjenicama. Stoga je Savezni upravni sud potvrdio odluku nadzornog tijela i smatrao da je obrada, odnosno, otkrivanje intimnih fotografija, zakonita. Više o slučaju: https://gdprhub.eu/index.php?title=BVwG_-_W292_2259696-1&mtc=today Image from FreePik #gdprcroatia

Svi znamo za naše pravo pristupa svojim osobnim podacima iz članka 15. GDPR-a i da pri tom moramo dobiti sve relevantne informacije KOJE naše osobne podatke KAKO i U KOJU svrhu s KOJIM pravnim temeljem obrađuje neki voditelj obrade, s KIM ih dijeli, odakle mu, KAKO dugo ih zadržava i KOJA su nam ostala prava iz GDPR-a. Pri tom imamo pravo dobiti i kopiju naših osobnih podataka. No, u članku 15. stavku 4. navedena je iznimka od prava na dobivanje kopije, ako bi se njenim davanjem negativno utjecalo na "prava i slobode drugih". Jedna od situacija kad je takva iznimka primjenjiva je slučaj davanja kopije snimke videonadzora, kad bi voditelj obrade morao zamutiti, odnosno, zamagliti ili zablurati druge osobe na snimci na kojoj se treba prikazati samo osobu koja traži pristup svojim osobnim podacima, odnosno, toj snimci. No, definicija iznimke radi sprječavanja negativnog utjecaja na prava i slobode drugih ima i širi spektar "primjene". Slučaj iz Njemačke nam daje takav primjer. Fizička osoba polagala je ispit iz znanja stranog jezika i pala je na istome. Pozvala se na svoje pravo na pristup osobnim podacima i pravo na dobivanje kopije osobnih podataka prema članku 15. stavku 3. GDPR-a, što je organizacija koja organizira takve testove odbila. Ponudili su fizičkoj osobi da može ostvariti osobni uvid u svoj test, s obzirom da samo manji dio testa sadrži osobne podatke fizičke osobe i da bi se davanjem kopije cijelog testa ugrozila tajnost samog testa. Stvar je završila na lokalnom sudu u Frankfurtu, utvrdivši nedvosmisleno da svi odgovori fizičke osobe jesu njezini osobni podaci, ali sama testna pitanja to nisu. Istovremeno je sud odvagnuo čiji je interes jači između interesa fizičke osobe za pristupom vlastitim osobnim podacima i interesa organizacije za osiguranjem tajnosti samih pitanja u testu. S obzirom da su utvrdili da razvoj takvih jezičnih testova iziskuje složen proces uz ulaganje značajnih napora, a sami testovi koriste se u svrhu naturalizacije stranaca i izostanak tajnosti testova može uzrokovati da se takvi testovi proglase neprimjerenima za utvrđivanje jezičnih vještina, da bi se otkrivanjem kopije testnih pitanja ugrozila poduzetnička sloboda organizacije koja provodi testove. Stoga su dali za pravo organizaciji kao voditelju obrade da ima pravo odbiti dati kopiju testa temeljem članka 15. stavka 4. GDPR-a, a pri tom pravo na pristup osobnim podacima nije u cijelosti uskraćeno davanjem mogućnosti uvida fizičkoj osobi u njen primjerak testa. Više o slučaju: https://gdprhub.eu/index.php?title=AG_Frankfurt_am_Main_-_31_C_2043/22_(78)&mtc=today Image by pressfoto on Freepik #gdprcroatia

Kazna 25.000 EUR iznajmljivačima za uzimanje dvostrane kopije osobne iskaznice Gost apartmana rezervirao je smještaj online i tada je ostavio svoje podatke, od imena svih gostiju, email adrese, telefonske brojeve, ali je i prema zahtjevu iznajmljivača morao dostaviti i dvostrane kopije osobnih iskaznica. Jao. Pri tom iznajmljivač očigledno nije poznavao GDPR i obvezu prema njegovom članku 5. da se osobni podaci uvijek moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju. Osobna iskaznica sadrži više osobnih podataka od onih koji su nužni za korištenje u apartmanu. U Hrvatskoj je opseg osobnih podataka koje iznajmljivači smiju i moraju uzeti određen Pravilnikom o sustavu eVisitor. Naravno, gost se požalio nadzornom tijelu za zaštitu podataka, koje nije imalo druge nego zaključiti isto što smo mi maloprije ovdje napisali. Dodatno su kaznili iznajmljivača zbog izostanka transparentne obavijesti o postupanju s osobnim podacima gostiju u skladu s člankom 13. GDPR-a, posebice o identitetu iznajmljivača, njegovim kontaktima za ostvarivanje GDPR prava ispitanika, pravnim temeljima i svrhama obrade pojedinih osobnih podataka, rokovima obrade, s kime se dijele i sl. Time je ukupna kazna iznosila čak 75.000 EUR, a za samo kopiranje osobne iskaznice 25.000 EUR. Više o slučaju iz Španjolske kakav se itekako može primijeniti i kod nas: https://gdprhub.eu/index.php?title=AEPD_(Spain)_-_PS/00499/2022&mtc=today Image by katemangostar on Freepik https://www.facebook.com/share/1BQA4TzjxM/ #gdprcroatia

AZOP: IZNAJMLJIVAČI NE SMIJU KOPIRATI OSOBNE DOKUMENTE GOSTIJU 🔔 To je sažetak već poznatih uputa koje je AZOP ponovio i u okviru EU ARC radionice o zastiti osobnih podataka u turizmu.Više o toj temi može se pročitati i u prezentaciji: 👉https://arc-rec-project.eu/wp-content/uploads/2023/07/turizam-5-7.pdf #gdprcroatia #iznajmljivaci #gosti #osobnidokumenti #kopiranje #odmor