12.

Na temelju odredaba Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. godine o zaštiti pojedinaca u vezi s obradom osobnih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) te odredbama Zakona o provedbi Opće uredbe o zaštiti podataka (NN 42/18) i članka 34. Statuta Grada Raba (»Službene novine Primorsko-goranske županije« br. 27/09, 13/13, 31/13-pročišćeni tekst, 19/15, 4/18 i 40/18) gradonačelnik Grada Raba donio je dana 7. ožujka 2019. godine slijedeći

PRAVILNIK O ZAŠTITI OSOBNIH PODATAKA

I. UVOD

Članak 1.

(1) Općom uredbom o zaštiti podataka utvrđena su pravila povezana sa zaštitom pojedinaca u

pogledu obrade osobnih podataka i pravila povezana sa slobodnim kretanjem osobnih podataka te kojom se štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.

(2) Odredbama Opće uredbe o zaštiti podataka utvrđeno je da termin osobni podaci znači sve podatke koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, a koji pojedinac jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator i sl.

(3) Odredbama Opće uredbe o zaštiti podataka utvrđeno je da obrada osobnih podataka znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.

(4) Iz tako utvrđenog područja primjene Opće uredbe o zaštiti podataka odnosno činjenice da Grad Rab obrađuje osobne podatke, proizlazi obveza Grada Raba primjenjivati prvenstveno Opću uredbu o zaštiti podataka te s time u vezi i provedbene propise Opće uredbu o zaštiti podataka od kojih naročito Zakon o provedbi Opće uredbe o zaštiti podataka, no izuzev toga i drugo materijalno pravo u vezi sa zaštitom osobnih podataka bilo da se radi o europskoj pravnoj stečevini bilo da se radi o zakonodavstvu Republike Hrvatske - kako pravu na snazi u trenutku donošenja ovog Pravilnika tako i dopunama odnosno izmjenama zakonodavstva u budućnosti.

II. PREDMET PRAVILNIKA

Članak 2.

(1) Prepoznajući obvezu primjene zakonodavstva kako je pisano u članku 1. Grad Rab donosi ovaj pravilnik kojim utvrđuje prava ispitanika u odnosu na koje obrađuje osobne podatke te definira postupke obrade osobnih podataka.

(2) Grad Rab donosi ovaj Pravilnik kako bi, u svjetlu zakonodavstva navedenog u članku 1., zaštitilo osobne podatke osoba navedenih u prethodnom stavku ovog članka koje isto zakonodavstvo prepoznaje i štiti pravo na zaštitu osobnih podataka i svrstava u temeljna prava i slobode pojedinaca.

III. POJMOVI I DEFINICIJE

Članak 3.

Pojedini izrazi u ovom Pravilniku referiraju se na odgovarajuće izraze sadržane u Općoj uredbi o zaštiti podataka te imaju istovjetno značenje, a za potrebe sastava ovog Pravilnika pojedini pojmovi prikladno se definiraju na slijedeći način:

- »voditelj obrade« je Grad Rab;

- »ispitanik« je osoba u odnosu na koju Grad Rab obrađuje osobne podatke;

- »izvršitelj obrade« znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime Voditelja obrade.

IV. OPĆENITO O OBRADI OSOBNIH PODATAKA

Članak 4.

(1) Osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika.

(2) Osobni podaci moraju biti prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama.

(3) Osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju.

(4) Osobni podaci moraju biti točni i prema potrebi ažurni.

(5) Osobni podaci moraju se čuvati u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju.

(6) Osobni podaci moraju biti obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera.

(7) Voditelj obrade prepoznaje dužnosti navedene u prethodnim stavcima te:

- obrađuje osobne podatke zakonito, pošteno i transparentno s obzirom na ispitanika;

raščlanjujući zakonitost obrade Voditelj obrade zakonitom obradom podrazumijeva obradu uvjetovanu ispunjenjem barem jednog od slijedećih čimbenika:

.da je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

.da je obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;

.da je obrada nužna radi poštovanja pravnih obveza Voditelja obrade;

.da je obrada nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe;

.da je obrada nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti Voditelja obrade;

.da je obrada nužna za potrebe legitimnih interesa Voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

- prikuplja osobne podatke od zaposlenika u svrhu zasnivanja radnog odnosa te osobne podatke korisnika usluga, klijenata i dobavljača u svrhu obavljanja poslova iz svoje registrirane djelatnosti i isključivo u te svrhe;

- prikuplja osobne podatke koji su primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju, a navedene su u prethodnoj točki;

- osigurava točnost odnosno ažurnost osobnih podataka te poduzima mjere radi osiguravanja da se osobni podaci koji nisu točni bez odlaganja izbrišu ili isprave;

- osobne podatke čuva onoliko dugo koliko je potrebno u svrhu radi koje ih prikuplja.

V. INFORMIRANJE ISPITANIKA

Članak 5.

(1) Voditelj obrade prikuplja osobne podatke ispitanika isključivo od samih ispitanika.

(2) Voditelj obrade prilikom prikupljanja osobnih podataka od ispitanika iste obavještava o:

- identitetu i kontakt podacima o sebi kao Voditelju obrade;

- svrsi obrade radi koje se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu;

- legitimnim interesima Voditelja obrade ili treće strane kada da je obrada nužna za potrebe legitimnih interesa Voditelja obrade ili treće strane;

- razdoblju u kojem će osobni podaci biti pohranjeni;

- pravu ispitanika da od Voditelja obrade zatraži pristup osobnim podacima i ispravak ili brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika ili prava na ulaganje prigovora na obradu takvih te prava na prenosivost podataka;

- pravu na podnošenje prigovora Agenciji za zaštitu osobnih podatka kao nadzornom tijelu;

- informaciju o tome je li pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet.

VI. PRAVA ISPITANIKA

Članak 6.

Pravo ispitanika na pristup

(1) Ispitanik ima pravo dobiti od Voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i svrsi obrade kao i predviđenom razdoblju u kojem će osobni podaci biti pohranjeni.

Pravo na ispravak

(2) Ispitanik ima pravo bez nepotrebnog odgađanja ishoditi od Voditelja obrade ispravak netočnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade, ispitanik ima pravo dopuniti nepotpune osobne podatke, među ostalim i davanjem dodatne izjave.

Pravo na brisanje (»pravo na zaborav«)

(3) Ispitanik ima pravo od Voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose te Voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja.

Pravo na ograničenje obrade

(4) Ispitanik ima pravo od Voditelja obrade ishoditi ograničenje obrade ako je ispunjeno jedno od sljedećeg:

- ispitanik osporava točnost osobnih podataka, na razdoblje kojim se Voditelju obrade omogućuje provjera točnosti osobnih podataka;

- obrada je nezakonita i ispitanik se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe;

- Voditelj obrade više ne treba osobne podatke za potrebe obrade, ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva;

Pravo na prigovor

(5) Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor Voditelju obrade na obradu osobnih podataka koji se odnose na njega.

(6) U slučaju kada ispitanik ostvari neko od prava predviđenih ovim člankom Voditelj obrade:

- ne smije odbiti postupiti po zahtjevu ispitanika uz prethodno utvrđenje identiteta ispitanika;

- poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, u pisanom obliku ili drugim sredstvima (elektroničkim putem). Ako to zatraži ispitanik, informacije se mogu pružiti i usmenim putem;

- Voditelj obrade ispitaniku na zahtjev pruža informacije bez nepotrebnog odgađanja i u svakom slučaju u roku od mjesec dana od zaprimanja zahtjeva. Taj se rok može prema potrebi produljiti za dodatna dva mjeseca, uzimajući u obzir složenost i broj zahtjeva. Voditelj obrade obavješćuje ispitanika o svakom takvom produljenju u roku od mjesec dana od zaprimanja zahtjeva, zajedno s razlozima odgađanja. Ako ispitanik podnese zahtjev elektroničkim putem, informacije se pružaju elektroničkim putem ako je to moguće, osim ako ispitanik zatraži drugačije.

- ako ne postupi po zahtjevu ispitanika bez odgađanja i najkasnije jedan mjesec od primitka zahtjeva izvješćuje ispitanika o razlozima zbog kojih nije postupio i o mogućnosti podnošenja pritužbe nadzornom tijelu i traženja pravnog lijeka.

(7) Kada postupa u skladu s prethodnim stavkom Voditelj obrade usluge pruža bez naknade. Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, Voditelj obrade može:

- naplatiti razumnu naknadu uzimajući u obzir administrativne troškove pružanja informacija ili obavijesti ili postupanje po zahtjevu; ili

- odbiti postupiti po zahtjevu.

VII. EVIDENCIJA AKTIVNOSTI OBRADE

Članak 7.

(1) Voditelj obrade vodi evidenciju aktivnosti obrade za koje je odgovoran.

(2) Evidencija aktivnosti obrade sastavljena je kao zasebni akt temeljen na ovom Pravilniku.

VIII. SLUŽBENIK ZA ZAŠTITU OSOBNIH PODATAKA I PROSLIJEĐIVANJE OSOBNIH PODATAKA

Članak 8.

(1) Voditelj obrade je imenovao službenika za zaštitu osobnih podataka zasebnom odlukom temeljenom na važećem zakonodavstvu i ovom Pravilniku.

(2) Voditelj obrade, uzimajući u obzir poslovne potrebe, sklapa s pojedinim subjektima ugovor o obradi osobnih podataka, u pisanom obliku, temeljem kojeg poslove u vezi s obradom osobnih podataka koji izlaze iz okvira djelatnosti Voditelj obrade ustupa osobi iz istog ugovora.

(3) Kada sklopi ugovor opisan u prethodnom stavku Voditelj obrade jamči da je osoba s kojom je takav ugovor sklopljen ovlaštena obavljati djelatnost u odnosu na koju mu je povjerena obrada podataka te da osigurava zaštitu osobnih podataka na razini koja je minimalno istovjetna s onom koju pruža Grad kao Voditelj obrade.

(4) Kada sklopi ugovor opisan u prethodnom stavku Grad Rab kao Voditelj obrade jamči da osobni podaci koji su proslijeđeni drugom izvršitelju obrade neće biti korišteni izvan svrhe za koju su proslijeđeni te neće biti dalje prosljeđivani.

IX. SIGURNOST OSOBNIH PODATAKA

Članak 9.

Voditelj obrade će u skladu s mogućnostima provesti odgovarajuće tehničke i organizacijske mjere kako bi se osigurala odgovarajuća razina sigurnosti, a uključujući prema potrebi:

- pseudonimizaciju i enkripciju osobnih podataka;

- sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade;

- sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka i pristupa istima u slučaju fizičkog ili tehničkog incidenta;

- proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade.

X. POSTUPANJE U SLUČAJU POVREDE OSOBNIH PODATAKA

Članak 10.

Izvješćivanje nadzornog tijela o povredi osobnih podataka

(1) U slučaju povrede osobnih podataka Voditelj obrade bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi, izvješćuje Agenciju za zaštitu osobnih podataka o povredi osobnih podataka, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca. Ako izvješćivanje nije učinjeno unutar 72 sata, mora biti popraćeno razlozima za kašnjenje.

(2) Izvješćivanje Agencije za zaštitu osobnih podataka izvršava se na propisanom obrascu.

Voditelj obrade dokumentira sve povrede osobnih podataka, uključujući činjenice vezane za povredu osobnih podataka, njezine posljedice i mjere poduzete za popravljanje štete.

Obavješćivanje ispitanika o povredi osobnih podataka

(3) U slučaju povrede osobnih podataka koje će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, Voditelj obrade bez nepotrebnog odgađanja obavješćuje ispitanika o povredi osobnih podataka.

XI. ZAVRŠNE ODREDBE

Članak 11.

Ovaj Pravilnik stupa na snagu osmog dana od dana objave u »Službenim novinama Primorsko-goranske županije«.

KLASA: 023-01/19-01/35.

URBROJ: 2169-01-01-19-2-1.

Rab, 7. ožujka 2019.

Gradonačelnik
Nikola Grgurić, dipl. oec.