Uloga AZOP-a
Agencija za zaštitu osobnih podataka nadzorno je tijelo iz čl. 51. GDPR-a za Republiku Hrvatsku. Njezin položaj i postupke uređuje Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/18). AZOP je samostalan i neovisan u radu, a za svoj rad odgovara Hrvatskom saboru.
AZOP sudjeluje u radu Europskog odbora za zaštitu podataka (EDPB) i surađuje s nadzornim tijelima drugih država članica u prekograničnim predmetima.
Ovlasti
| Vrsta ovlasti | Primjeri |
|---|---|
| Istražne | najavljeni i nenajavljeni nadzor, pristup prostorijama, opremi i dokumentaciji, traženje informacija od voditelja i izvršitelja obrade |
| Korektivne | upozorenja, službene opomene, nalog za usklađivanje obrade ili brisanje podataka, privremeno ili konačno ograničenje obrade, upravne novčane kazne |
| Savjetodavne | mišljenja, prethodno savjetovanje nakon procjene učinka, smjernice i edukativne aktivnosti |
Za najteže povrede GDPR-a AZOP može izreći upravnu novčanu kaznu do 20 milijuna eura ili, za poduzetnika, do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome koji je iznos veći. Za ostale povrede najviša je kazna 10 milijuna eura ili 2 % prometa. Najveća dosad objavljena kazna iznosi 5,47 milijuna eura (2023.).
Zahtjev za utvrđivanje povrede prava
Svatko tko smatra da mu je povrijeđeno pravo iz GDPR-a ili Zakona o provedbi Opće uredbe o zaštiti podataka može AZOP-u podnijeti zahtjev za utvrđivanje povrede prava. AZOP o povredi odlučuje rješenjem. Protiv rješenja žalba nije dopuštena, ali se može pokrenuti upravni spor pred upravnim sudom (čl. 34. Zakona o provedbi).
Prijava povrede osobnih podataka
Voditelj obrade povredu osobnih podataka prijavljuje AZOP-u bez nepotrebnog odgađanja i, ako je to izvedivo, najkasnije u roku od 72 sata od saznanja, osim ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode pojedinaca (čl. 33. GDPR-a). Prijava sadrži opis povrede, kategorije i približan broj ispitanika, kontaktne podatke službenika za zaštitu podataka ili druge kontaktne točke, vjerojatne posljedice i poduzete ili predložene mjere.
Primjer
Bivši zaposlenik zatraži od poslodavca kopiju svojih osobnih podataka i ne dobije odgovor u roku od mjesec dana. Može AZOP-u podnijeti zahtjev za utvrđivanje povrede prava, nakon čega AZOP utvrđuje činjenice i rješenjem odlučuje je li pravo povrijeđeno.