Zaštita osobnih prava građana spada u ustavnu kategoriju. Ustavom se propisuje da se svakom građaninu bez obzira na državljanstvo i prebivalište te neovisno o vjeri, rasi, socijalnom podrijetlu, imovini, naobrazbi ili drugim osobinama jamči zaštita ljudskih prava i temeljnih sloboda, a tu spada i zaštita osobnih podataka, odnosno njihove sigurnosti i tajnosti. Isto tako, zabranjuje se uporaba osobnih podataka suprotno utvrđenoj svrsi njihova prikupljanja (članak 14. u vezi sa člankom 37. Ustava).
Republika Hrvatska preciznije je uredila zaštitu osobnih podataka građana još 2003. godine donošenjem Zakona o zaštiti osobnih podataka. Najvećim dijelom to područje je već usklađeno s pravnom stečevinom Europske unije, no kroz dosadašnju primjenu Zakona uočena su neka odstupanja zbog kojih je bilo potrebno pristupiti njegovim izmjenama.
Radi pojašnjenja, neki od temeljnih pojmova uređenih ovim Zakonom su:
- osobni podatak; svaka informacija koja se odnosi na fizičku osobu (ispitanika), a može se odnositi na ime i prezime, OIB, telefonski broj, datum rođenja, e-mail adresu, vjersko uvjerenje, etničku pripadnost, spolni život, zdravlje, broj bankovnog računa, fotografiju osobe i slično. To je svaki podatak kojim se izravno ili neizravno može utvrditi nečiji identitet
- osobni podaci nalaze se u zbirkama osobnih podataka koje podrazumijevaju svaki strukturirani skup osobnih podataka koji je dostupan prema posebnim kriterijima, bilo da se vodi u računalnim bazama ili ručno, što znači da svatko tko skuplja osobne podatke stvara i zbirku osobnih podataka. Primjerice, to mogu biti podaci o članovima neke udruge, osobni očevidnici radnika i sl. Svaka zbirka osobnih podataka mora biti registrirana pri Agenciji za zaštitu osobnih podataka
- voditelj zbirke osobnih podataka; fizička ili pravna osoba, državno ili drugo tijelo koje utvrđuje svrhu i način obrade osobnih podataka. Primjerice, voditelji zbirke osobnih podataka su i doktori dentalne medicine jer imaju zakonsku obvezu voditi detaljnu, točnu i datiranu stomatološku dokumentaciju o stanju pacijenta i njegovu liječenju.
Napominjemo da se odredbe o prikupljanju i zakonskoj zaštiti osobnih podataka ne primjenjuju na obradu onih osobnih podataka koju provode fizičke osobe isključivo za svoju osobnu primjenu ili za potrebe kućanstva.
Novelom Zakona, uz postojeće pojmove, dodane su definicije kojima se utvrđuje treća strana - fizička ili pravna osoba, državno ili drugo tijelo (osim ispitanika, voditelja zbirke te ostalih osoba koje rade na vođenju zbirke) koje voditelj zbirke ili izvršitelj obrade izravno ovlasti na obradu osobnih podataka, te izvršitelj obrade - fizička ili pravna osoba, državno ili drugo tijelo, koje obrađuje osobne podatke u ime voditelja zbirke osobnih podataka. Ukratko, treća strana je osoba (pravna ili fizička) kojoj voditelj „baze podataka“ ima pravo radi obrade podataka, u skladu sa zakonom, otkriti podatke o ispitaniku, dok je izvršitelj obrade, kao što mu i naziv kaže, osoba koja voditelju „baze podataka“ vrši obradu (prikupljanje, spremanje, brisanje, izmjenu i sl.) osobnih podataka ispitanika.
Riješena je situacija u slučajevima kada voditelj zbirke osobnih podataka nema prebivalište ili sjedište u jednoj od država članica Europske unije, a za potrebe obrade podataka koristi opremu koja se nalazi na području RH, na način da na području RH mora imenovati zastupnika.
Prošireni su slučajevi u kojima je dozvoljeno prikupljati i dalje obrađivati osobne podatke ispitanika (članak 7.) i na situaciju kada je obrada podataka nužna u svrhu zakonitih interesa voditelja zbirke osobnih podataka ili treće strane, osim kada prevladavaju interesi zaštite temeljnih prava ispitanika.To znači da se ispitanik ima pravo usprotiviti obradi osobnih podataka kada su interesi zaštite njegovih temeljnih prava i sloboda iznad javnog ili zakonitog interesa.
Preciznije su utvrđeni iznimni slučajevi kada se „osjetljivi podaci“ mogu prikupljati i dalje obrađivati (članak 8. stavak 2.). Ovo je posebna kategorija osobnih podataka čije je prikupljanje i obrada inače zabranjena, a odnose se na rasno ili etničko podrijetlo, vjerska uvjerenja, politička stajališta, zdravlje ili spolni život, sindikalno članstvo te na podatke o kaznenom i prekršajnom postupku. Obrada ove kategorije osobnih podataka mora biti posebno označena i zaštićena (Uredba o načinu pohranjivanja i posebnim mjerama tehničke zaštite posebnih kategorija osobnih podataka, NN 139/04), dok je obrada svih ostalih podataka propisana Uredbom o načinu vođenja i obrascu evidencije o zbirkama osobnih podataka (NN 105/04).
Također je određeno da se osobni podaci koji se odnose na prekršajnu i kaznenu evidenciju smiju obrađivati isključivo pod kontrolom nadležnih tijela.
Nadalje, mijenjane su i odredbe koje se odnose na informiranje ispitanika te se utvrđuje da je voditelj zbirke osobnih podataka obvezan informirati ispitanika i o postojanju prava na pristup podacima kao i prava na ispravak podataka koji se na njega odnose. Dodan je još jedan izuzetak od obveze dostavljanja informacija ispitaniku, koji propisuje da se informacije iznimno ne moraju dati ispitaniku, ako bi za potrebe obrade podataka u statističke, povijesne ili znanstvene svrhe davanje ovih informacija predstavljalo nerazmjeran napor. Primjerice, ako se uzme u obzir starost podataka koji se obrađuju ili broj osoba čiji se podaci obrađuju u povijesne svrhe, voditelju zbirke bi prikupljanje tih informacija za ispitanika predstavljalo neravnomjeran napor.
U cilju kvalitetnijeg obavljanja zadataka, detaljnije je uređeno imenovanje službenika za zaštitu osobnih podataka, te su jasnije određene njegove dužnosti (članak 18.a). Dakle, službenikom za zaštitu osobnih podataka ne može biti imenovana osoba protiv koje se vodi postupak zbog povrede službene dužnosti, protiv koje je izrečena mjera povrede službene dužnosti (radne obveze), te kojoj je izrečena mjera povrede normi etičkog kodeksa i drugih pravila ponašanja donesenih od strane poslodavca.
Za obavljanje nadzora nad obradom osobnih podataka osnovana je Agencija za zaštitu osobnih podataka sa sjedištem u Zagrebu. Agencija je samostalna i odgovara Hrvatskom saboru. Agencija je do sada imala pravo pristupa osobnim podacima sadržanim u zbirkama osobnih podataka, bez obzira na njihov stupanj tajnosti pa je tu odredbu bilo potrebno uskladiti sa Zakonom o tajnosti podataka koji za pristup klasificiranim podacima propisuje obvezu posjedovanja Uvjerenja o obavljenoj sigurnosnoj provjeri. Prema tome, dodana je odredba koja propisuje da ravnatelj, zamjenik ravnatelja te zaposlenici Agencije imaju pravo na pristup klasificiranim podacima s utvrđenim stupnjem tajnosti u skladu s posebnim propisima koji uređuju zaštitu tajnosti podataka.
Dopunjene su kaznene odredbe, pa je određeno da će se novčanom kaznom od 20.000,00 do 40.000,00 kuna kazniti za prekršaj voditelj zbirke ako ne dostavi Agenciji evidenciju o zbirci osobnih podataka u roku od 15 dana od dana uspostave te zbirke, ako ne dostavi prethodnu obavijest o namjeravanoj uspostavi zbirke ili o svakoj daljnjoj namjeravanoj obradi tih podataka, ako zapošljava više od 20 radnika, a ne imenuje službenika za zaštitu osobnih podataka, te ako na zahtjev ispitanika ne dopuni ne izmijeni ili ne izbriše nepotpune, netočne ili neažurne podatke.
Bitno je napomenuti da u skladu sa Zakonom, ispitanici, odnosno osobe čiji su podaci prikupljeni, načelno uvijek imaju kontrolu nad svojim podacima. Obavezno prikupljanje osobnih podataka može se provoditi samo po izričito navedenoj zakonskoj osnovi. Isto tako, osobni podaci ne smiju se koristiti dulje od vremena koje je nužno za ostvarenje svrhe zbog koje su prikupljeni, te se po isteku tog vremena podaci obavezno moraju obrisati.
Voditelj zbirke osobnih podataka, odnosno onaj koji prikuplja osobne podatke, dužan je na zahtjev ispitanika dati mu obavijest o tome koji se podaci obrađuju, u koju svrhu i od kuda su ti podaci prikupljeni. Ispitanik se ima pravo usprotiviti obradi svojih osobnih podatka u svrhe marketinga te može tražiti njihovo uklanjanje iz takve evidencije.
U slučaju sumnje na kršenje zakonskih odredbi, svatko se može obratiti Agenciji za zaštitu osobnih podataka sa zahtjevom za zaštitu prava ili s upitom za mišljenje.
Marina Turković