Pravilnik o zaštiti osobnih podataka

133. Temeljem odredbi Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti osobnih podataka SL L 119), Zakona o provedbi Opće uredbe o zaštiti podataka (NN, br: 42/18) te članka 37. Statuta Međimurske županije (“Službeni glasnik Međimurske 9. srpnja 2021. “SLUŽBENI GLASNIK MEĐIMURSKE ŽUPANIJE” Broj 11 - Stranica 2511 županije”, 26/10, 4/13, 6/13, 6/14, 2/18 i 10/18 - pročišćeni tekst, 2/20 i 3/21) župan Međimurske županije, donosi PRAVILNIK o zaštiti osobnih podataka I. UVODNE ODREDBE

Članak 1.

Članak 1. Ovim Pravilnikom o zaštiti osobnih podataka (dalje u tekstu: Pravilnik) uređuju se pravila zaštite osobnih podataka u odnosu na prikupljanje, obradu, korištenje i čuvanje osobnih podataka, obvezama Međimurske županije kao voditelja obrade, pravima ispitanika te provedbom organizacijskih, kadrovskih i tehničkih mjera zaštite osobnih podataka.
Članak 2. Riječi i pojmovi koji se koriste u ovom Pravilniku, a imaju rodno značenje, odnose se jednako na muški i ženski rod.
Članak 3. U smislu ovog Pravilnika, a na temelju Opće uredbe o zaštiti podataka pojedini izrazi koji se koriste u odredbama imaju sljedeće značenje: 1) „osobni podaci“ su svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (ispitanik). Pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su osobno ime, OIB, MBG, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca. 2) „obrada” znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.

Članak 3.

3) „voditelj obrade” je Međimurska županija koja sama ili zajedno s drugima, određuje svrhe i sredstva obrade osobnih podataka. 4) „izvršitelj obrade“ je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade. 5) „primatelj” je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana. 6) „treća strana” je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje nije ispitanik, voditelj obrade, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade. 7) „privola” ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose. 8) “sustav pohrane” znači svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi. 9) „biometrijski podaci“ znači osobni podaci dobiveni posebnom tehničkom obradom fizičkim, fiziološkim ili obilježjima ponašanja pojedinca koja omogućuju ili potvrđuju jedinstvenu identifikaciju tog pojedinca. 10) „nadzorno tijelo“ je Agencija za zaštitu osobnih podataka. II. OBRADA OSOBNIH PODATAKA

Članak 4.

Članak 4. Prilikom obrade osobnih podataka potrebno je postupati u skladu s načelima obrade, na sljedeći način: 1. osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika 2. mora postojati zakonska pravna osnova za obradu podataka 3. ispitanik mora biti informiran o postupku obrade i svrsi obrade njegovih osobnih podataka 4. osobni podaci prikupljeni u posebne, izričite i zakonite svrhe se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama 5. osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju 6. osobni podaci moraju biti točni i ažurirani, a podaci koji nisu točni, moraju se bez odlaganja izbrisati ili ispraviti 7. osobni podaci mogu biti čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se obrađuju, uz iznimku kada se obrađuju isključivo u svrhe arhiviranja u javnom interesu kada se mogu pohraniti na dulja razdoblja 8. osobni podaci moraju biti obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera.

Članak 5.

Članak 5. Međimurska županija podatke prikuplja i obrađuje samo ako je ispunjen najmanje jedan od sljedećih navedenih uvjeta: 1. da je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha 2. da je obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka 3. da je obrada nužna radi poštivanja zakonskih obveza voditelja obrade 4. da je obrada nužna radi zaštite ključnih interesa ispitanika ili druge fizičke osobe 5. da je obrada nužna radi zaštite javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade 6. da je obrada nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih Stranica 2512 - Broj 11 “SLUŽBENI GLASNIK MEĐIMURSKE ŽUPANIJE” 9. srpnja 2021. interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete. III. SUSTAV POHRANE

Članak 6.

Članak 6.
(1) Međimurska županija prikuplja i obrađuje podatke koji se odnose na zaposlenike Međimurske županije, građane, ugovorne ili poslovne subjekte kao fizičke osobe, sljedeće kategorije osobnih podataka ispitanika: 1. temeljeni osobni podaci ispitanika: ime i prezime, spol, sat, datum, mjesto i država rođenja, osobni identifikacijski broj, matični broj građana, zanimanje, prebivalište, kontakt podaci ispitanika (broj telefona/ mobitela, adresa elektroničke pošte), podaci iz osobne iskaznice/putovnice, podaci o bankovnom računu, podaci o obrazovanju te podaci o drugim znanjima i vještinama kao i povijesti zaposlenja 2. posebna kategorija osobnih podataka ispitanika: rasno ili etničko podrijetlo, politički stavovi, vjerska ili filozofska uvjerenja, podaci koji se odnose na sindikalno članstvo, podaci o zdravstvenoj sposobnosti, podaci iz kaznene evidencije, podaci o spolnoj orijentaciji osobe 3. biometrijski podaci (otisci papilarnih linija prstiju) koji se prikupljaju u svrhu evidentiranja radnog vremena i radi ulaska i izlaska iz službenih prostorija, uz uvjet da su zaposlenici dali izričitu privolu za takvu obradu biometrijskih podataka u skladu s odredbama Zakona o provedbi Opće uredbe o zaštiti podataka.
(2) Osobni podaci koji se odnose na maloljetne osobe smiju se prikupljati i obrađivati u skladu s odredbama Opće uredbe o zaštiti osobnih podataka te Zakona o provedbi Opće uredbe o zaštiti podataka i uz posebne mjere zaštite propisane posebnim zakonom.

Članak 7.

Članak 7.
(1) Za osobne podatke navedene u članku 5. ovog Pravilnika, voditelj obrade vodi Evidenciju aktivnosti obrade osobnih podataka koja sadrži najmanje sljedeće podatke: 1. naziv i kontaktne podatke voditelja obrade 2. ime i prezime službenika za zaštitu osobnih podataka 3. naziv evidencije 4. svrhu obrade podataka 5. opis kategorije ispitanika i kategorija osobnih podataka 6. opis kategorije primatelja 7. razdoblje pohrane 8. opis tehničkih i organizacijskih sigurnosnih mjera 9. zakonitost obrade.
(2) Evidencija iz prednjeg stavka ovog članka mora biti u pisanom obliku, uključujući elektronički oblik i sastavni je dio ovog Pravilnika. IV. PRAVA ISPITANIKA

Članak 8.

Članak 8. U slučajevima kada se osobni podaci ne prikupljaju temeljem važećih zakonskih propisa ili ugovora, voditelj obrade dužan je prilikom prikupljanja osobnih podataka pribaviti privolu od ispitanika za prikupljanje i obradu osobnih podataka.
Članak 9.
(1) Kada se obrada podataka temelji na privoli ispitanika, privola je izričita i dana s pozitivnim činom.
(2) Privola ispitanika mora biti informirana, dana za specifičnu svrhu, svi razlozi za obradu moraju biti jasno navedeni u obrascu privole, a jezik mora biti jasan, jednostavan i lako razumljiv.
(3) Privola se može dati u pisanom obliku ili na neki drugi odgovarajući način (ispunjavanje elektroničkog obrasca, slanje poruke e-pošte, učitavanje skeniranog dokumenta s potpisom ispitanika ili upotreba elektroničkog potpisa, te čak i usmeno ili telefonsko pribavljanje privole pod određenim okolnostima).
(4) Ako je ispitanik dijete mlađe od 16 godina, privolu za obradu njegovih osobnih podataka daje nositelj roditeljske skrbi (roditelj ili skrbnik djeteta).
(5) Ispitanik ima pravo u svakom trenutku povući svoju privolu. Povlačenje privole ispitanik je ovlašten dati na jednostavan način na koji je privolu i dao.

Članak 10.

Članak 10. U postupku obrade osobnih podataka voditelj obrade na odgovarajući način pisanim ili usmenim putem ispitaniku na njegov zahtjev pruža sve informacije vezano uz obradu njegovih osobnih podataka, a osobito o svrsi obrade podataka, pravnoj osnovi za obradu podataka, legitimnim interesima, namjeri predaje osobnih podataka trećim osobama, razdoblju u kojem će osobni podaci biti pohranjeni, o postojanju prava ispitanika na pristup osobnim podacima te prava na ispravak, brisanje ili ograničavanje obrade osobnih podataka, prava na podnošenje prigovora, povlačenje privole i drugo.

Članak 11.

Članak 11. Voditelj obrade prilikom obrade podataka dužan je ispitaniku omogućiti sljedeća prava: Pravo na informacije i pristup osobnim podacima U postupku obrade osobnih podataka, Međimurska županija na odgovarajući način pisanim ili usmenim putem ispitaniku na njegov zahtjev pruža sve informacije vezano uz obradu njegovih osobnih podataka, a osobito o svrsi obrade podataka, pravnoj osnovi za obradu podataka, legitimnim interesima, namjeri predaje osobnih podataka trećim osobama, razdoblju u kojem će osobni podatci biti pohranjeni, o postojanju prava ispitanika na pristup osobnim podacima, pravu na ispravak, brisanje ili ograničavanje obrade osobnih podataka, pravo na podnošenje prigovora, povlačenje privole i drugo. Pravo na ispravak Ispitanik ima pravo na ispravak netočnih osobnih podataka ili na dopunu nepotpunih osobnih podataka. Ispitanik ima pravo dopuniti osobne podatke, među ostalim i davanjem dodatne izjave. Pravo na brisanje Pravo podnijeti zahtjev za brisanje ili „pravo na zaborav“ ispitanik ima u slučajevima kada osobni podaci više nisu nužni u odnosu na svrhe u koje su prikupljeni ili kada ispitanik povuče 9. srpnja 2021. “SLUŽBENI GLASNIK MEĐIMURSKE ŽUPANIJE” Broj 11 - Stranica 2513 privolu, a ne postoji druga pravna osnova za obradu osobnih podataka, ili kada su osobni podaci nezakonito obrađeni ili više ne postoje legitimni interesi za obradu osobnih podataka i drugo. Ispitanik ima pravo ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja.

Članak 11.

Pravo na ograničenje obrade Ispitanik ima pravo tražiti ograničenje obrade u slučaju da osporava točnost osobnih podataka, kada smatra da je obrada nezakonita te se protivi brisanju osobnih podataka i umjesto toga traži ograničenje njihove upotrebe. Voditelj obrade može podatke pohranjivati, ali ih ne može dodatno upotrebljavati ili obrađivati. Ispitanika koji je ishodio ograničenje obrade, voditelj obrade dužan ga je o tome izvijestiti. Pravo na prenosivost podataka Ispitanik ima pravo prenositi osobne podatke koji se odnose na njega, a koje je pružio voditelju obrade u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu te ima pravo prenijeti te podatke drugom voditelju obrade. Pravo na prigovor Pravo ispitanika da u svakom trenutku uložiti prigovor na obradu osobnih podatka koji se odnose na njega. Ispitanici ostvaruju svoja prava podnošenjem odgovarajućeg zahtjeva službeniku za zaštitu osobnih podataka. Voditelj obrade u takvoj situaciji više ne smije obrađivati osobne podatke osim ako dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva. IV. SLUŽBENIK ZA ZAŠTITU OSOBNIH PODATAKA

Članak 12.

Članak 12.
(1) Međimurska županija ima službenika za zaštitu osobnih podataka.
(2) Službenik za zaštitu osobnih podataka imenuje se iz redova zaposlenika Međimurske županije te direktno odgovara odgovornoj osobi voditelja obrade. Imenuje se na temelju stručnih kvalifikacija, a osobito stručnog znanja o pravu i praksama u području zaštite podataka te sposobnosti izvršavanja zadaća utvrđenih Općom uredbom o zaštiti podataka.
(3) Službenik za zaštitu podataka obavlja zadaće u skladu s Općom uredbom o zaštiti podataka, pravom Europske unije i drugim važećim propisima Republike Hrvatske s područja zaštite osobnih podataka.
(4) Službenik za zaštitu osobnih podataka nadležan je za izravan kontakt s nadležnim nadzornim tijelom. V. TEHNIČKE I ORGANIZACIJSKO SIGURNOSNE MJERE

Članak 13.

Članak 13.
(1) Međimurska županija u svojem poslovanju koristi računalnu tehnologiju i digitalne informacijske resurse (hardver, softver, pristup internoj mreži, internetu), a korištenje tih resursa stavlja na raspolaganje zaposlenicima Međimurske županije za potrebe obavljanja njihovih radnih zadataka.
(2) Pohrana izvorne dokumentacije čuva se u posebno uređenom prostoru za pohranu sukladno posebnim propisima, u sefovima, registratorima i arhivskim mapama. Dio dokumentacije čuva se na elektroničkim ili optičkim medijima, a podaci u računalu zaštićuju se dodjeljivanjem korisničkog imena i lozinke koja je poznata zaposlenicima koji obrađuju te podatke, te se radi daljnje sigurnosti i tajnosti pohranjuju na prenosive memorije.

Članak 14.

Članak 14.
(1) Međimurska županija je dužna osigurati zaštitu informatičkog sustava, i to na način da osigura da su informatička mreža i sistemi zaštićeni.
(2) Pristup osobnim podacima koji se obrađuju i čuvaju u elektronskom obliku imaju samo ovlaštene osobe i to na način da se osigura: 1. postavljanje lozinki i prava pristupa podacima na računalu 2. redovna nadogradnja operativnog sustava i računalnih programa 3. postavljanje antivirusnog programa na računala 4. osiguravanje sigurnosnih kopija podataka 5. postavljanje vatrozida 6. zaštita pristupa mrežnoj infrastrukturi 7. zaštita internet usmjerivača od neovlaštenog pristupa.

Članak 15.

Članak 15.
(1) Web stranica Međimurske županije u svom radu koristi cookies datoteke (kolačiće).
(2) Podaci koji se prikupljaju su anonimni i ne sadrže identifikacijske podatke o pojedincu.
(3) Prikupljene podatke Međimurska županija koristi u svrhu obrade statističkih podataka, analize posjetitelja i poboljšanja iskustva pristupa stranici.
Članak 16.
(1) Zaposlenici Međimurske županije obvezni su postupati u skladu s Općom uredbom o zaštiti osobnih podataka, pravom Europske unije i drugim važećim propisima Republike Hrvatske s područja zaštite osobnih podataka.
(2) Pročelnici Upravnih odjela koji obrađuju osobne podatke dužni su poduzeti tehničke, kadrovske i organizacijske mjere zaštite osobnih podataka koje su potrebne da bi se osobni podaci zaštitili od slučajnog gubitka ili uništenja, od nedopuštenog pristupa ili nedopuštene promjene, nedopuštenog objavljivanja i svake druge zlouporabe te utvrditi obvezu osoba koje su zaposlene u obradi osobnih podataka.

Članak 17.

Članak 17.
(1) Obrada osobnih podataka putem video nadzora može se provoditi samo u svrhu koja je nužna i opravdana za zaštitu osoba i imovine.
(2) Međimurska županija je dužna označiti da je objekt odnosno pojedina prostorija pod video nadzorom, a oznaka treba biti vidljiva najkasnije prilikom ulaska u perimetar snimanja. Obavijest treba sadržavati sve relevantne informacije, a posebno jednostavnu i lako razumljivu sliku uz tekst kojim se ispitanicima pružaju propisane informacije da je prostor pod video nadzorom, podatke o Stranica 2514 - Broj 11 “SLUŽBENI GLASNIK MEĐIMURSKE ŽUPANIJE” 9. srpnja 2021. voditelju obrade, kontakt podatke putem kojih ispitanik može ostvariti svoja prava. VII. ČUVANJE OSOBNIH PODATAKA

Članak 18.

Članak 18.
(1) Međimurska županija osobne podatke čuva samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju, odnosno u rokovima koji su određeni važećim pravnim propisima Republike Hrvatske.
(2) Način čuvanja podataka, pohrana arhivske građe te rokovi čuvanja uređeni su Pravilima za upravljanje dokumentarnim gradivom Međimurske županije čiji je sastavni dio Popis dokumentarnog gradiva sa rokovima čuvanja Međimurske županije. VIII. ZAVRŠNA ODREDBA
Članak 19. Za pitanja koja nisu navedena ovim Pravilnikom primjenjuju se odredbe Opće uredbe o zaštiti podataka, odredbe Zakona o provedbi Opće uredbe o zaštiti podataka te ostalih važećih pravnih propisa RH koji uređuju provedbu Uredbe ili se odnose na osobne podatke.

Članak 20.

Članak 20. Ovaj Pravilnik stupa na snagu osmog dana od dana objave u „Službenom glasniku Međimurske županije“. ŽUPAN MEĐIMURSKE ŽUPANIJE KLASA: 080-01/21-02/3 URBROJ: 2109/1-01-21-1 Čakovec, 30. lipnja 2021. ŽUPAN Matija Posavec, mag. ing., v.r. AKTI ŽUPANIJSKE SKUPŠTINE