Na koga se primjenjuje
GDPR se primjenjuje na svaku tvrtku, udrugu i javno tijelo koje obrađuje osobne podatke, neovisno o veličini, ako:
- ima poslovni nastan u EU-u, neovisno o tome gdje se obrada odvija
- nudi robu ili usluge osobama u EU-u ili prati njihovo ponašanje, čak i ako nema poslovni nastan u EU-u
Ne primjenjuje se na obradu koju pojedinac provodi isključivo u osobne ili kućne svrhe.
Načela (čl. 5.)
- zakonitost, poštenost i transparentnost
- ograničavanje svrhe
- smanjenje količine podataka
- točnost
- ograničenje pohrane
- cjelovitost i povjerljivost
- pouzdanost: voditelj obrade odgovoran je za usklađenost i mora je moći dokazati
Glavne obveze tvrtki
- obrađivati podatke samo uz pravnu osnovu iz čl. 6., primjerice izvršavanje ugovora, pravnu obvezu, legitimni interes ili privolu
- informirati ispitanike o obradi i omogućiti im ostvarivanje prava
- voditi evidenciju aktivnosti obrade, kad je to propisano
- sklopiti ugovor o obradi s izvršiteljima obrade
- provoditi tehničke i organizacijske mjere zaštite
- prijaviti povredu osobnih podataka AZOP-u najkasnije 72 sata nakon saznanja, osim ako nije vjerojatno da će prouzročiti rizik za prava i slobode pojedinaca
- provesti procjenu učinka za obrade visokog rizika
- imenovati službenika za zaštitu podataka, kad je to propisano
GDPR u Hrvatskoj
Nadzorno tijelo je Agencija za zaštitu osobnih podataka (AZOP). Hrvatski Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/18) uređuje, među ostalim, videonadzor, obradu biometrijskih podataka, dob djeteta za privolu za usluge informacijskog društva (16 godina) i postupak pred AZOP-om.
Za najteže povrede propisane su upravne novčane kazne do 20 milijuna eura ili 4 % ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome koji je iznos veći.