Politika privatnosti

GORICA STAKLO d.o.o. sa sjedištem u Velikoj Gorici (Grad Velika Gorica), Sisačka 43, MBS: 080335567, OIB: 93716144137, koje pojedinačno i samostalno zastupa direktor Robert Kos (dalje u tekstu označeno kao: Društvo)

donosi sljedeći

PRAVILNIK O ZAŠTITI I OBRADI OSOBNIH PODATAKA

Članak 1.

UVODNE ODREDBE

(1) Ovim Pravilnikom Društvo uređuje pitanja koja se odnose na obradu i zaštitu osobnih podataka unutar Društva sukladno Općoj uredbi o zaštiti podataka, Zakonu o provedbi Opće uredbe o zaštiti podataka i ostalim propisima koji se primjenjuju na obradu i zaštitu osobnih podataka.

Članak 2.

PRIMJENA

(1) Svi zaposlenici Društva dužni su postupati sukladno ovom Pravilniku te propisima kojima je uređeno područje obrade i zaštite osobnih podataka, a o čemu će ih Društvo upoznati najkasnije prilikom zasnivanja radnog odnosa, odnosno najkasnije do dana stupanja na snagu ovog Pravilnika.

(2) Društvo će i treće osobe koje se nalaze u ugovornom ili nekom drugom odnosu s Društvom upoznati s ovim Pravilnikom, a sve radi poštivanja istoga.

Članak 3.

POJMOVI

(1) Pojedini izrazi u ovom Pravilniku imaju sljedeće značenje:

1. ispitanik je pojedinac čiji je identitet utvrđen ili se može utvrditi; s time da pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć više identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;
2. osobni podaci su svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, odnosno ispitanika,;
3. obrada (osobnih podataka) znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
4. voditelj obrade znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;
5. izvršitelj obrade znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade;
6. treća strana znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje nije ispitanik, voditelja obrade, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade;
7. primatelj znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana;
8. privola ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavnom ili jasnom potvrdom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose.

Članak 4.

NAČELA

(1) Osobni podaci se obrađuju zakonito, pošteno i transparentno s obzirom na ispitanika.

(2) Osobni podaci moraju biti prikupljeni u posebne izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama.

(3) Osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju.

(4) Osobni podaci moraju biti točni i ažurni, te se mora poduzeti svaka razumna mjera radi osiguranja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe koje se obrađuju, bez odlaganja izbrišu ili isprave.

(5) Osobni podaci se čuvaju u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je to potrebno u svrhe radi kojih se osobni podaci obrađuju, te obrađuju na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera.

Članak 5.

ZAKONITOST OBRADE

(1) Obrada osobnih podataka je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećeg:

1. ispitanik je dao privolu za obradu svojih podataka u jednu ili više posebnih svrha;
2. obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
3. obrada je nužna radi poštovanja pravnih obveza Društva;
4. obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe;
5. obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti Društva;
6. obrada je nužna za potrebe legitimnih interesa Društva ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

Članak 6.

OBRADA TEMELJENA NA PRIVOLI

(1) Kada se obrada temelji na privoli, Društvo će u pravilu od ispitanika zahtijevati privolu u pisanom obliku.

(2) Ako ispitanik daje privolu u obliku pisane izjave, a koja pisana izjava se odnosi i na druga pitanja, zahtjev za privolu mora biti predočen tako da ga se može jasno razlučiti od drugih pitanja, te isti zahtjev mora biti u razumljivom i lako dostupnom obliku uz uporabu jasnog i jednostavnog jezika.

(3) Ispitanik ima pravo u svakom trenu povući svoju privolu. Povlačenje privole ne utječe na zakonitost obrade na temelju privole prije njezina povlačenja, a o čemu će se ispitanik obavijestiti prije davanja privole.

(4) Davanje i povlačenje privole mora biti jednostavno.

Članak 7.

OBRADA KOJA NE ZAHTIJEVA IDENTIFIKACIJU

(1) Ako se u svrhu u koju Društvo obrađuje osobne podatke ne zahtijeva ili više ne zahtijeva da Društvo identificira ispitanika, Društvo nije dužno zadržavati, stjecati ili obrađivati dodatne informacije radi identifikacije ispitanika.

Članak 8.

INFORMACIJE KOJE SE PRUŽAJU ISPITANIKU

(1) Društvo kada je voditelj obrade poduzima sve odgovarajuće mjere kako bi se ispitaniku u trenutku prikupljanja osobnih podataka pružile informacije o:

1. identitetu i kontaktnim podacima voditelja obrade i predstavnika voditelja obrade;
2. kontaktne podatke službenika za zaštitu podataka;
3. svrsi i pravnoj osnovi obrade osobnih podataka;
4. koji su to legitimni interesi voditelja obrade ili treće strane ako se obrada temelji na članku 5. stavku 1. točki 6. ovog Pravilnika;
5. primateljima ili kategorijama primatelja osobnih podataka ako postoje;
6. ako je primjenjivo, činjenicu da Društvo ima namjeru osobne podatke prenijeti trećoj zemlji ili međunarodnoj organizaciji;
7. razdoblju u kojem će osobni podaci biti pohranjeni ili ako isto nije moguće, o kriterijima kojima bi se moglo utvrditi to razdoblje,
8. postojanju prava da se od Društva zatraži pristup osobnim podacima i ispravak ili brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika ili prava na ulaganje prigovora na obradu takvih te prava na prenosivost podataka;
9. ako se obrada temelji na privoli, postojanje prava da se u bilo kojem trenutku povuče privola, a da to ne utječe na zakonitost obrade koja se temeljila na privoli prije nego što je ona povučena;
10. pravu na podnošenje prigovora nadzornom tijelu;
11. informaciju o tome je li pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet nužan za sklapanje ugovora te ima li ispitanik obvezu pružanja osobnih podataka i koje su moguće posljedice ako se takvi podaci ne pruže;
12. postojanje automatiziranog donošenja odluka, što uključuje izradu profila.

(2) Ako osobni podaci nisu dobiveni od ispitanika, Društvo će ispitaniku pružiti informacije navedene u stavku 1. ovog članka Pravilnika, i to one navedene u točkama od 1. do 10., te točki 12., kao i podatak o izvoru osobnih podataka i prema potrebi da li dolaze iz javno dostupnih izvora, te o kojim kategorijama osobnih podataka je riječ.

(3) Društvo informacije iz stavka 2. ovog članka Pravilnika, Društvo pruža:

• unutar razumnog roka nakon dobivanja osobnih podataka, a najkasnije u roku od jednog mjeseca, uzimajući u obzir posebne okolnosti obrade osobnih podataka;
• najkasnije u trenutku prve komunikacije ostvarene s ispitanikom, ako se osobni podaci trebaju upotrebljavati za komunikaciju s ispitanikom; ili
• ako je predviđeno otkrivanje podataka drugom primatelju, najkasnije trenutku kada su osobni podaci prvi put otkriveni.

(4) Podatke navedene u stavku 1. i 2. ovog članka Pravilnika Društvo nije dužno pružiti ako i u onoj mjeri u kojoj ispitanik već raspolaže informacijama.

Članak 9.

PRAVO ISPITANIKA NA PRISTUP

(1) Kada je Društvo voditelj obrade, ispitanik ima pravo dobiti potvrdu obrađuju li se podaci koji se odnose na ispitanika, te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i sljedećim informacija:

1. svrsi obrade;
2. kategorijama osobnih podataka o kojima je riječ;
3. primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama;
4. ako je moguće, o predviđenom razdoblju u kojem će osobni podaci biti pohranjeni, u suprotnom o kriterijima korištenima za utvrđivanje tog razdoblja;
5. postojanju prava da se od Društva zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade osobnih podataka koji se odnose na ispitanika ili prava na prigovor na takvu obradu;
6. pravo na podnošenje pritužbe nadzornom tijelu;
7. ako se osobni podaci ne prikupljaju od ispitanika, svakoj dostupnoj informaciji o njihovom izvoru;
8. postojanju automatiziranog donošenja odluka, što uključuje izradu profila.

Članak 10.

PRAVO NA ISPRAVAK

(1) Ispitanik ima pravo bez nepotrebnog odgađanja ishoditi od Društva ispravak netočnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade, ispitanik ima pravo dopuniti nepotpune osobne podatke, među ostalim i davanjem dodatne izjave. U istom slučaju, Društvo će o svakom ispravku ili dopuni osobnih podataka, obavijesti svakog primatelja, ako su istome otkriveni osobni podaci, osim ako se to pokaže nemogućim ili zahtijeva nerazmjeran napor.

Članak 11.

PRAVO NA BRISANJE

(„PRAVO NA ZABORAV“)

(1) Ispitanik ima pravo od Društva kada je voditelj obrade ishoditi brisanje osobnih podataka koji se odnose na ispitanika bez nepotrebnog odgađanja.

(2) U slučaju iz stavka 1. ovog članka Pravilnika, Društvo ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:

1. osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni;
2. ispitanik je povukao privolu na kojoj se obrada temelji i ne postoji druga osnova za obradu;
3. ispitanik je uložio prigovor na obradu koja se temelji na članku 5. stavku 1. točki 5. ili točki 6. ovog Pravilnika te ne postoje jači legitimni razlozi za obradu ili je ispitanik uložio prigovor na obradu osobnih podataka za potrebe izravnog marketinga;
4. osobni podaci su nezakonito obrađeni;
5. osobni podaci moraju se brisati radi poštovanja pravne obveze iz prava Unije ili prava države članice kojem podliježe Voditelj;
6. osobni podaci prikupljeni su u vezi s ponudom usluga informacijskog društva djetetu.

(3) Ako je Društvo kao voditelj javno objavilo osobne podatke i dužno je u skladu sa stavkom 1. ovog članka Pravilnika obrisati te osobne podatke, uzimajući u obzir dostupnu tehnologiju i trošak provedbe, Društvo će poduzeti razumne mjere, uključujući tehničke mjere, kako bi informirao voditelje obrade koji obrađuje osobne podatke da je ispitanik zatražio od tih voditelja da izbriše sve poveznice do njih ili kopiju ili rekonstrukciju tih osobnih podataka.

Članak 12.

PRAVO NA OGRANIČENJE OBRADE

(1) Ispitanik ima pravo od Društva kao voditelja obrade ishoditi ograničenja obrade ako je ispunjeno jedno od sljedećeg:

1. ispitanik osporava točnost osobnih podataka, na razdoblje kojim se Društvu omogućuje provjera točnosti osobnih podataka;
2. obrada je nezakonita i ispitanik se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe;
3. Društvo više ne treba osobne podatke za potrebe obrade, ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva;
4. ispitanik je uložio prigovor na obradu koja se temelji na članku 5. stavku 1. točki 5. ili točki 6. ovog Pravilnika očekujući potvrdu nadilaze li legitimni razlozi voditelja razloge ispitanika.

(2) Ako je obrada ograničena sukladno stavku 1. ovog članka Pravilnika, takvi osobni podaci smiju se obrađivati samo uz privolu ispitanika, uz iznimku pohrane, ili za postavljanje, ostvarivanje ili obranu pravnih zahtjeva ili zaštitu prava druge fizičke ili pravne osobe ili zbog važnog javnog interesa Unije ili države članice.

(3) Ispitanika koji je ishodio ograničenje obrade na temelju stavka 1. ovog članka Pravilnika Društvo izvješćuje prije nego što ograničenje obrade bude ukinuto.

Članak 13.

OBVEZA IZVJEŠĆIVANJA U VEZI S ISPRAVKOM

ILI BRISANJEM OSOBNIH PODATAKA ILI OGRANIČENJEM OBRADE

(1) Društvo priopćuje svaki ispravak ili brisanje osobnih podataka ili ograničenje obrade provedeno u skladu s člankom 10., člankom 11. stavkom 1. i člankom 12. ovog Pravilnika svakom primatelju kojem su otkriveni osobni podaci, osim ako se to pokaže nemogućim ili zahtijeva nerazmjeran napor.

(2) Društvo obavješćuje ispitanika o tim primateljima ako to ispitanik zatraži.

Članak 14.

PRAVO NA PRENOSIVOST PODATAKA

(1) Ispitanik ima pravo zaprimiti osobne podatke koji se odnose na njega, a koje je pružio Društvu u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu te ima pravo prenijeti te podatke drugom voditelju obrade bez ometanja od strane voditelja obrade kojem su osobni podaci pruženi, ako se:

1. obrada temelji na privoli ili ugovoru u kojem je ispitanik stranka;
2. obrada provodi automatiziranim putem.

(2) Prilikom ostvarivanja svojih prava na prenosivost podataka iz ovog članka Pravilnika, ispitanik ima pravo na izravni prijenos ako je to tehnički izvedivo.

(3) Ostvarivanjem prava na prenosivost podataka ne dovodi se u pitanje pravo na brisanje („pravo na zaborav“) iz članka 11. ovog Pravilnika.

Članak 15.

PRAVO NA PRIGOVOR

(1) Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 5. stavkom 1. točkom 5. I točkom 6. ovog Pravilnika, uključujući izradu profila koja se temelji na tim odredbama.

(2) Društvo kao voditelj obrade više ne smije obrađivati osobne podatke osim ako dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

(3) Ako se osobni podaci obrađuju za potrebe izravnog marketinga, ispitanik u svakom trenutku ima pravo uložiti prigovor na obradu osobnih podataka koji se odnose na njega za potrebe takvog marketinga, što uključuje izradu profila u mjeri koja je povezana s takvim izravnim marketingom.

(4) Ako se ispitanik protivi obradi za potrebe izravnog marketinga, osobni podaci više se ne smiju obrađivati u takve svrhe.

(5) Najkasnije u trenutku prve komunikacije s ispitanikom, ispitaniku se izričito mora skrenuti pozornost na pravo iz stavka 1. i stavka 2. ovog članka Pravilnika, te se to mora učiniti na jasan način i odvojeno od bilo koje druge informacije.

Članak 16.

AUTOMATIZIRANO POJEDINAČNO

DONOŠENJE ODLUKA, UKLJUČUJUĆI IZRADU PROFILA

(1) Ispitanik ima pravo da se na njega ne odnosu odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila, koja proizvodi pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu.

(2) Stavak 1. ovog članka Pravilnika se ne primjenjuje ako je odluka:

1. potrebna za sklapanje ili izvršenje ugovora između ispitanika i Društva;
2. dopuštena pravom Unije ili pravom države članice kojem podliježe Društvo te koje također propisuje odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika; ili
3. temeljena na izričitoj privoli.

Članak 17.

OBAVIJEST NADZORNOM TIJELU

O POVREDI OSOBNIH PODATAKA

(1) U slučaju povrede osobnih podataka Društvo kao voditelj obrade će bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi, obavijestiti nadzorno tijelo o povredi osobnih podataka, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca. Ako obavijest nije podnesena unutar 72 sata, Društvo će obavijest popratiti razlozima za kašnjenje.

(2) Ako je Društvo izvršitelj obrade, Društvo će bez nepotrebnog odgađanja obavijestiti voditelja obrade nakon što sazna za povredu osobnih podataka.

(3) U obavijesti mora se barem:

1. opisati priroda povrede osobnih podataka, uključujući, ako je moguće, kategorije i približan broj dotičnih ispitanika te kategorije i približan broj dotičnih evidencija osobnih podataka;
2. navesti ime i kontaktne podatke službenika za zaštitu podataka ili druge kontaktne točke od koje se može dobiti još informacija;
3. opisati vjerojatne posljedice povrede osobnih podataka;
4. opisati mjere koje je Društvo poduzelo ili predložio poduzeti za rješavanje problema povrede osobnih podataka, uključujući prema potrebi mjere umanjivanja njezinih mogućih štetnih posljedica.

(4) Ako i u onoj mjeri u kojoj nije moguće istodobno pružiti informacije, Društvo će informacije postupno pružati bez nepotrebnog daljnjeg odgađanja.

(5) Društvo kao voditelj obrade će dokumentirati sve povrede osobnih podataka, uključujući činjenice vezane za povredu osobnih podataka, njezine posljedice i mjere poduzete za popravljanje štete

Članak 18.

OBAVIJEST ISPITANIKU

O POVREDI OSOBNIH PODATAKA

(1) U slučaju povrede osobnih podataka koje će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, Društvo kao voditelj obrade će bez nepotrebnog odgađanja obavijestiti ispitanika o povredi osobnih podataka.

(2) U obavijesti ispitaniku iz stavka 1. ovog članka opisuje se priroda povrede osobnih podataka uporabom jasnog i jednostavnog jezika te ono sadržava barem informacije i mjere iz članka 17. stavka 3. točke 2., točke 3. i točke 4. ovog Pravilnika.

(3) Obavijest ispitaniku iz stavka 1. ovog članka Pravilnika nije obvezna ako je ispunjen bilo koji od sljedećih uvjeta:

1. Društvo kao voditelj obrade poduzelo je odgovarajuće tehničke i organizacijske mjere zaštite i te su mjere primijenjene na osobne podatke pogođene povredom osobnih podataka, posebno one koje osobne podatke čine nerazumljivima bilo kojoj osobi koja im nije ovlaštena pristupiti, kao što je enkripcija;
2. Društvo je poduzelo naknadne mjere kojima se osigurava da više nije vjerojatno da će doći do visokog rizika za prava i slobode ispitanika iz stavka 1.;
3. time bi se zahtijevao nerazmjeran napor. U takvom slučaju mora postojati javno obavješćivanje ili slična mjera kojom se ispitanici obavješćuju na jednako djelotvoran način.

Članak 19.

TRANSPARENTNE INFORMACIJE, KOMUNIKACIJA

I MODALITETI ZA OSTVARIVANJE PRAVA ISPITANIKA

(1) Društvo će poduzeti odgovarajuće mjere kako bi ispitaniku sve informacije i komunikacije u vezi s obradom, posebno one navedene u člancima 8. – 16., te članku 18. ovog Pravilnika, pružilo u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, osobito za svaku informaciju koja je posebno namijenjena djetetu.

(2) Informacije se pružaju u pisanom obliku, a ako je prikladno, pružaju se elektroničkim putem.

(3) Ako to zatraži ispitanik, informacije se mogu pružiti usmenim putem, pod uvjetom da je drugim sredstvima utvrđen identitet ispitanika.

(4) Društvo ispitaniku na zahtjev pruža informacije o poduzetim radnjama iz članka 9. do 16. ovog Pravilnika bez nepotrebnog odgađanja, i to u roku od mjesec dana od dana zaprimanja pisanog zahtjeva ispitanika. Isti rok Društvo može produžiti za daljnjih 2 mjeseca, a o čemu će Društvo ispitanika obavijestiti u roku od mjesec dana od dana zaprimanja zahtjeva, zajedno s razlozima odgađanja.

(5) Ako ispitanik zahtjev podnese elektroničkim putem, informacije se pružaju elektroničkim putem, osim ako ispitanik zatraži drukčije.

(6) Ako Društvo ne postupi po zahtjevu ispitanika, Društvo će bez odgađanja i najkasnije jedan mjesec od primitka zahtjeva izvijestiti ispitanika o razlozima zbog kojih nije postupio i o mogućnosti podnošenja pritužbe nadzornom tijelu i traženja pravnog lijeka.

(7) Informacije i komunikacije iz članka 8. do članka 16. ovog Pravilnika, te članka 18. ovog Pravilnika Društvo pruža ispitaniku bez naknade, osim ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobiti zbog njihova učestala ponavljanja.

(8) Ne dovodeći u pitanje članak 7. ovog Pravilnika, ako Društvo ima opravdane sumnje u pogledu identiteta pojedinca koji podnosi zahtjev iz članka 9. do članka 15. ovog Pravilnika, Društvo može tražiti pružanje dodatnih informacija neophodnih za potvrđivanje identiteta ispitanika.

Članak 20.

OBVEZE DRUŠTVA KAO VODITELJA OBRADE

(1) Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, Društvo kao voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osiguralo i moglo dokazati da se obrada provodi u skladu s ovim Pravilnikom i propisima koji se primjenjuju na predmetno područje.

(2) Mjere iz stavka 1. ovog članka Pravilnika se prema potrebi preispituju i ažuriraju.

Članak 21.

TEHNIČKA I INTEGRIRANA ZAŠTITA PODATAKA

(1) Uzimajući u obzir najnovija dostignuća, trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, Društvo i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere za omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, te uključenje zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz ove Uredbe i zaštitila prava ispitanika.

(2) Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Istim mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.

Članak 22.

IZVRŠITELJ OBRADE

(1) Društvo kao voditelj obrade može se koristiti izvršiteljima obrade koji u dovoljnoj mjeri jamče provedbu odgovarajućih tehničkih i organizacijskih mjera na način da je obrada u skladu sa zahtjevima iz ovog Pravilnika i propisima koji se primjenjuju na predmetno područje i da se njome osigurava zaštita prava ispitanika.

Članak 23.

EVIDENCIJA AKTIVNOSTI OBRADE

(1) Društvo, ako je primjenjivo, vodi evidenciju aktivnosti obrade za koje je odgovoran. Ta evidencija sadržava sve sljedeće informacije:

1. ime i kontaktne podatke voditelja obrade, predstavnika voditelja obrade i službenika za zaštitu podataka;
2. svrhe obrade;
3. opis kategorija ispitanika i kategorija osobnih podataka;
4. kategorije primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, uključujući primatelje u trećim zemljama ili međunarodne organizacije;
5. ako je primjenjivo, prijenose osobnih podataka u treću zemlju ili međunarodnu organizaciju, uključujući identificiranje te treće zemlje ili međunarodne organizacije te, u slučaju prijenosa koji je nužan za izvršavanje ugovora između ispitanika i voditelja obrade ili provedbu predugovornih mjera na zahtjev ispitanika, dokumentaciju o odgovarajućim zaštitnim mjerama;
6. ako je to moguće, predviđene rokove za brisanje različitih kategorija podataka;
7. ako je moguće, opći opis tehničkih i organizacijskih sigurnosnih mjera.

(2) Evidencija se vodi u pisanom obliku, uključujući elektronički oblik.

Članak 24.

PROCJENA UČINKA NA ZAŠTITU PODATAKA I

PRETHODNO SAVJETOVANJE

(1) Ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca, Društvo prije obrade provodi procjenu učinka predviđenih postupaka obrade na zaštitu osobnih podataka. Jedna procjena može se odnositi na niz sličnih postupaka obrade koji predstavljaju slične visoke rizike.

(2) Društvo će se prije obrade savjetovati s nadzornim tijelom prije obrade ako bi se procjenom učinka na zaštitu osobnih podataka iz stavka 1. ovog članka Pravilnika pokazalo da bi, u slučaju da Društvo ne donese mjere za ublažavanje rizika, obrada dovela do visokog rizika.

Članak 25.

SLUŽBENIK ZA ZAŠTITU OSOBNIH PODATAKA

(1) Društvo će o imenovanju službenika za zaštitu osobnih podataka donijeti odluku, odnosno sklopit će odgovarajući ugovor s osobom koja će obavljati poslove službenika za zaštitu osobnih podataka.

(2) Službenik za zaštitu podataka obavlja najmanje sljedeće zadaće:

1. informira i savjetuje Društvo te zaposlenike Društva koji obavljaju obradu o njihovim obvezama vezano uz zaštitu osobnih podataka;
2. prati poštovanja propisa kojima je uređena zaštita podataka i politika Društva u odnosu na zaštitu osobnih podataka, uključujući raspodjelu odgovornosti, podizanje svijesti i osposobljavanje osoblja koje sudjeluje u postupcima obrade te povezane revizije;
3. pruža savjeta, kada je to zatraženo, u pogledu procjene učinka na zaštitu podataka i praćenje njezina izvršavanja;
4. surađuje s nadzornim tijelom;
5. djeluje kao kontaktna točka za nadzorno tijelo o pitanjima u pogledu obrade, što uključuje i prethodno savjetovanje te savjetovanje, prema potrebi, o svim drugim pitanjima.

(3) Službenik za zaštitu podataka pri obavljanju svojih zadaća vodi računa o riziku povezanom s postupcima obrade i uzima u obzir prirodu, opseg, kontekst i svrhe obrade.

Članak 26.

OBVEZE DRUŠTVA PREMA SLUŽBENIKU

ZA ZAŠTITU OSOBNIH PODATAKA

(1) Društvo osigurava da je službenik za zaštitu podataka na primjeren način i pravodobno uključen u sva pitanja u pogledu zaštite osobnih podataka.

(2) Društvo podupire službenika za zaštitu podataka u izvršavanju njegovih zadaća pružajući mu potrebna sredstva za izvršavanje tih zadaća i ostvarivanje pristupa osobnim podacima i postupcima obrade te za održavanje njegova stručnog znanja.

(3) Društvo osigurava da službenik za zaštitu podataka ne prima nikakve upute u pogledu izvršenja tih zadaća.

(4) Društvo ne smije razriješiti službenika za zaštitu podataka ili kazniti zbog izvršavanja njegovih zadaća.

(5) Službenik za zaštitu podataka izravno odgovara upravi Društva.

Članak 27.

PRIMJENA OSTALIH PROPISA

(1) U dijelu o zaštiti, nadzoru nad prikupljanjem, obradi i korištenju osobnih podataka koji nije uređen ovim Pravilnikom, neposredno se primjenjuje Opća uredba o zaštiti podataka, Zakon o zaštiti osobnih podataka i ostali propisi kojima se uređuje predmetno područje.

Članak 28.

ZAVRŠNE ODREDBE

(1) Ovaj Pravilnik stupa na snagu istekom osmog dana od dana objave na oglasnoj ploči Društva.

U Velikoj Gorici, dana 17. svibnja 2018.

_________________________

Robert Kos, direktor

NAPOMENA: Pravilnik objavljen na oglasnoj ploči Društva dana 17. svibnja 2018.