Pravilnik o zaštiti, nadzoru nad prikupljanjem, obradi i korištenju osobnih podataka

I. Opće odredbe

Članak 1. Predmet i područje primjene

Ovim Pravilnikom uređuju se organizacijske i tehničke mjere te postupci kojima Društvo osigurava zakonitu, poštenu i transparentnu obradu osobnih podataka.

Pravilnik se primjenjuje na sve zaposlenike, članove uprave, vanjske suradnike i druge osobe koje obrađuju osobne podatke pod nadležnošću Društva, neovisno o obliku zapisa i mjestu obrade.

Ovaj Pravilnik ne zamjenjuje obavijesti o privatnosti za ispitanike, evidencije aktivnosti obrade, ugovore s izvršiteljima obrade, raspored rokova čuvanja ni posebne politike za informacijski sustav, videonadzor ili kolačiće. Ti se dokumenti donose i održavaju kada su primjenjivi.

Članak 2. Načela i pravne osnove

Društvo osobne podatke obrađuje samo u mjeri potrebnoj za određenu, izričitu i zakonitu svrhu te poštuje načela zakonitosti, poštenosti i transparentnosti, ograničenja svrhe, smanjenja količine podataka, točnosti, ograničenja pohrane, cjelovitosti i povjerljivosti te odgovornosti.

Za svaku aktivnost obrade prije početka obrade mora biti utvrđena najmanje jedna odgovarajuća pravna osnova iz članka 6. GDPR-a. Privola se koristi samo kada je dobrovoljna, posebna, informirana i nedvosmislena te kada ispitanik može jednako jednostavno odbiti ili povući privolu bez štetnih posljedica.

U radnim odnosima obrada se u pravilu temelji na zakonskoj obvezi, ugovoru ili nužnosti za ostvarivanje prava i obveza iz radnog odnosa, a ne na privoli radnika. Društvo u pravilniku o radu, ako je primjenjivo, određuje podatke radnika koje obrađuje te svrhe i primatelje takvih podataka.

Članak 3. Uloge i odgovornost

Društvo je voditelj obrade za obrade za koje samo ili zajedno s drugima određuje svrhe i sredstva obrade, osobito za podatke svojih radnika, kandidata, poslovnih kontakata, korisnika vlastitih usluga i posjetitelja vlastitih mrežnih stranica.

Društvo je izvršitelj obrade samo za onu obradu koju provodi u ime i prema dokumentiranim uputama drugog voditelja obrade. Naziv ugovornih strana, naziv usluge ili činjenica da druga strana dostavlja podatke sami po sebi ne određuju ulogu u obradi. Ako Društvo i druga strana zajedno određuju svrhe i sredstva obrade, njihove se odgovornosti uređuju dogovorom iz članka 26. GDPR-a.

Uprava osigurava sredstva, nadzor i dokazivu usklađenost. Imenovanje službenika za zaštitu podataka ili druge ovlaštene osobe ne oslobađa Upravu odgovornosti voditelja obrade.

Pri uvođenju ili bitnoj izmjeni usluge, sustava, postupka ili ugovora Društvo prije početka obrade primjenjuje zaštitu podataka ugrađenu u dizajn i zadanu zaštitu podataka iz članka 25. GDPR-a. U zadanim postavkama obrađuju se samo podaci nužni za konkretnu svrhu.

II. Ovlaštenja i sigurnost obrade

Članak 4. Ovlaštene osobe i povjerljivost

Pristup osobnim podacima odobrava se pojedinačno, prema radnom zadatku i načelu najmanjih potrebnih ovlasti. Uprava ne smije imati neograničen pristup samo zbog funkcije; pristup se odobrava samo ako je nužan za konkretnu zakonitu svrhu.

Svaka osoba s pristupom osobnim podacima mora prije dobivanja pristupa biti upoznata s ovim Pravilnikom i obvezom čuvanja povjerljivosti. Obveza povjerljivosti traje i nakon prestanka rada ili suradnje.

Društvo vodi ažurnu evidenciju odobrenih pristupa i najmanje jednom godišnje, te pri promjeni radnog mjesta ili prestanku rada, preispituje i bez odgode mijenja odnosno ukida ovlasti. Za evidenciju ovlasti ne prikuplja se OIB zaposlenika ako za to ne postoji posebna potreba i pravna osnova.

Članak 5. Tehničke i organizacijske mjere

Društvo primjenjuje mjere iz članka 32. GDPR-a razmjerne riziku, osobito:

• individualne korisničke račune, upravljanje lozinkama i, kada je primjereno riziku, višefaktorsku autentifikaciju;
• ograničenje pristupa po ulogama, evidentiranje značajnih pristupa i redoviti pregled ovlasti;
• zaštitu prijenosa i pohrane podataka odgovarajućim kriptografskim mjerama, gdje je to primjereno;
• odvojene, provjerene sigurnosne kopije i postupke oporavka;
• ažuriranja sustava, zaštitu od zlonamjernog softvera, upravljanje ranjivostima i fizičku zaštitu opreme i dokumentacije;
• edukaciju osoba koje obrađuju podatke i redovito provjeravanje učinkovitosti mjera.

Osobni podaci ne šalju se na privatne adrese elektroničke pošte, ne pohranjuju se na neodobrene uređaje ili usluge te se ne dijele zaporke. Ako se podaci šalju elektronički, bira se kanal koji odgovara osjetljivosti i količini podataka; zaporka ili ključ ne šalju se istim nezaštićenim kanalom kao datoteka.

Članak 6. Posebne kategorije, biometrijski podaci i podaci o kaznenim djelima

Obrada posebnih kategorija osobnih podataka iz članka 9. GDPR-a dopuštena je samo uz pravnu osnovu iz članka 6. GDPR-a, iznimku iz članka 9. stavka 2. GDPR-a i dodatne zaštitne mjere. Obrada podataka o kaznenim osudama i kažnjivim djelima dopuštena je samo u uvjetima iz članka 10. GDPR-a.

Biometrijski podaci obrađuju se samo kada je to dopušteno hrvatskim propisima i GDPR-om, nužno za jasno određenu svrhu te nakon dokumentirane procjene nužnosti, razmjernosti i rizika. Ako je obrada vjerojatno visokorizična, prije njezina početka provodi se procjena učinka na zaštitu podataka.

III. Obrada za druge voditelje obrade

Članak 7. Ugovor i dokumentirane upute

Kada Društvo djeluje kao izvršitelj obrade, s voditeljem obrade mora prije početka obrade sklopiti pisani ugovor ili drugi pravni akt koji ispunjava uvjete iz članka 28. stavka 3. GDPR-a. Ugovor najmanje uređuje predmet i trajanje obrade, prirodu i svrhu obrade, vrste osobnih podataka, kategorije ispitanika, obveze i prava voditelja obrade te obveze Društva kao izvršitelja obrade.

Društvo obrađuje podatke samo prema dokumentiranim uputama voditelja obrade, osim ako pravo Unije ili Republike Hrvatske zahtijeva drukčije. Ako smatra da je uputa protivna propisima o zaštiti podataka, o tome bez odgode obavještava voditelja obrade, osim ako je to zakonom zabranjeno.

Ugovor posebno uređuje povjerljivost ovlaštenih osoba, sigurnosne mjere, angažiranje podizvršitelja, pomoć voditelju u ostvarivanju prava ispitanika, prijavljivanju povreda i procjenama učinka, revizije i provjere te vraćanje ili brisanje podataka nakon završetka usluge.

Članak 8. Podizvršitelji, dostave i prijenosi

Društvo ne uključuje podizvršitelja bez prethodnog posebnog ili općeg pisanog odobrenja voditelja obrade. U slučaju općeg odobrenja Društvo voditelja unaprijed obavještava o svakoj namjeravanoj promjeni kako bi on imao mogućnost prigovora. Podizvršitelj ugovorom preuzima najmanje jednake obveze zaštite podataka.

Dostava podataka primatelju provodi se samo ako postoji odgovarajuća pravna osnova, svrha, ovlaštenje primatelja i siguran način dostave. Zahtjev tijela javne vlasti provjerava se s obzirom na nadležnost, pravnu osnovu, opseg i autentičnost. Podaci se dostavljaju samo u nužnom opsegu.

Prijenos osobnih podataka izvan Europskog gospodarskog prostora dopušten je samo ako su ispunjeni uvjeti iz poglavlja V. GDPR-a. Za prijenose u ulozi izvršitelja obrade potrebna je i dokumentirana uputa voditelja obrade, osim kada obvezu prijenosa nalaže pravo Unije ili Republike Hrvatske.

IV. Evidencije, rokovi i prava ispitanika

Članak 9. Evidencije i obavijesti o privatnosti

Društvo vodi evidenciju aktivnosti obrade u pisanom, uključujući elektronički oblik, sukladno članku 30. GDPR-a. U ulozi voditelja obrade vodi evidenciju iz članka 30. stavka 1., a u ulozi izvršitelja obrade evidenciju iz članka 30. stavka 2. GDPR-a, kada je primjenjivo. Evidencije moraju odgovarati stvarnom stanju i na zahtjev biti dostupne AZOP-u.

Prije prikupljanja podataka, odnosno u roku propisanom člankom 14. GDPR-a kada podaci nisu prikupljeni od ispitanika, Društvo ispitaniku pruža jasnu obavijest o privatnosti. Obavijest sadržava sve informacije iz članaka 13. ili 14. GDPR-a, uključujući voditelja, svrhe, pravne osnove, primatelje, rokove čuvanja, prava ispitanika, pravo pritužbe AZOP-u i, prema potrebi, prijenose u treće zemlje, automatizirano odlučivanje i izvor podataka.

Članak 10. Zahtjevi ispitanika

Društvo uspostavlja postupak za zaprimanje, evidentiranje i rješavanje zahtjeva ispitanika za pristup, ispravak, brisanje, ograničenje obrade, prenosivost podataka, prigovor i prava vezana uz automatizirano odlučivanje. Identitet podnositelja provjerava se samo mjerama koje su razmjerne riziku.

U ulozi voditelja obrade Društvo odgovara bez nepotrebnog odgađanja, u pravilu najkasnije u roku od jednog mjeseca od zaprimanja zahtjeva. Ako se rok produljuje u uvjetima iz članka 12. stavka 3. GDPR-a, ispitanik se o tome obavještava u zakonskom roku. Ako se obrada temelji na privoli, povlačenje privole mora biti jednako jednostavno kao njezino davanje.

Društvo ne donosi odluku koja se temelji isključivo na automatiziranoj obradi, uključujući profiliranje, ako proizvodi pravne učinke za ispitanika ili na njega slično značajno utječe, osim kada su ispunjeni uvjeti iz članka 22. GDPR-a i osigurane propisane zaštitne mjere.

U ulozi izvršitelja obrade Društvo zahtjev bez nepotrebnog odgađanja prosljeđuje voditelju obrade te mu pruža ugovorenu pomoć. Ne odgovara ispitaniku u ime voditelja, osim ako je to voditelj izričito i zakonito ovlastio.

Članak 11. Rokovi čuvanja i brisanje

Osobni podaci čuvaju se samo onoliko dugo koliko je potrebno za svrhu obrade, osim ako dulje čuvanje zahtijeva propis ili je potrebno radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva. Društvo održava zaseban raspored rokova čuvanja s navedenom aktivnošću obrade, kategorijom podataka, pravnom osnovom roka, početkom roka i načinom brisanja, uništenja ili anonimizacije.

Podaci zaposlenika ne čuvaju se automatski trajno. Rokovi se utvrđuju za svaku vrstu dokumentacije prema radnim, poreznim, računovodstvenim, arhivskim i drugim primjenjivim propisima.

Po završetku usluge izvršitelja obrade Društvo, prema izboru i dokumentiranoj uputi voditelja obrade, vraća ili briše osobne podatke i postojeće kopije, osim kada čuvanje zahtijeva pravo Unije ili Republike Hrvatske. Brisanje i uništenje provode se na siguran i dokaziv način, uz uvažavanje rokova prepisivanja sigurnosnih kopija.

V. Povrede podataka i procjene učinka

Članak 12. Postupanje u slučaju povrede osobnih podataka

Svaka osoba koja posumnja na gubitak, neovlašteni pristup, otkrivanje, izmjenu, nedostupnost ili drugo ugrožavanje osobnih podataka mora to odmah prijaviti na gdpr@eburza.hr. Društvo vodi internu evidenciju svih povreda i poduzetih radnji.

Kada Društvo djeluje kao voditelj obrade, procjenjuje rizik za prava i slobode ispitanika te, ako je vjerojatno da postoji rizik, prijavljuje povredu AZOP-u bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata od saznanja za povredu. Ako je vjerojatno da povreda prouzročuje visok rizik, bez nepotrebnog odgađanja obavještava i ispitanike, osim ako se primjenjuje iznimka iz članka 34. stavka 3. GDPR-a.

Kada Društvo djeluje kao izvršitelj obrade, bez nepotrebnog odgađanja obavještava voditelja obrade o svakoj povredi i pruža mu ugovorenu pomoć. Društvo kao izvršitelj obrade ne prijavljuje povredu AZOP-u umjesto voditelja, osim ako je to propisano ili ga voditelj za to posebno ovlasti.

Članak 13. Procjena učinka i prethodno savjetovanje

Prije obrade koja će vjerojatno prouzročiti visok rizik za prava i slobode ispitanika Društvo provodi procjenu učinka na zaštitu podataka sukladno članku 35. GDPR-a i objavljenom popisu AZOP-a. Procjena osobito se razmatra pri opsežnoj obradi posebnih kategorija podataka, sustavnom praćenju javno dostupnog područja, sustavnoj procjeni ili profiliranju osoba, uporabi novih tehnologija i biometrijskoj identifikaciji.

Ako se utvrđeni visoki rizik ne može ublažiti raspoloživim mjerama, Društvo prije obrade provodi prethodno savjetovanje s AZOP-om u skladu s člankom 36. GDPR-a.

VI. Službenik za zaštitu podataka i posebna pravila

Članak 14. Službenik za zaštitu podataka i nadzor nad podacima radnika

Društvo imenuje službenika za zaštitu podataka kada je to obvezno prema članku 37. GDPR-a ili kada to odluči dobrovoljno. Odluka o tome ispunjavaju li se uvjeti za obvezno imenovanje mora biti dokumentirana i redovito preispitivana.

Službenik za zaštitu podataka mora imati potrebna stručna znanja, neovisno obavljati zadaće iz članka 39. GDPR-a, biti pravodobno uključen u pitanja zaštite podataka te ne smije imati sukob interesa. Njegovi se kontaktni podaci objavljuju i dostavljaju AZOP-u u skladu s člankom 37. stavkom 7. GDPR-a.

Ako Društvo zapošljava najmanje dvadeset radnika, imenuje i osobu ovlaštenu nadzirati zakonitost obrade podataka radnika u skladu sa Zakonom o radu. Ta uloga može biti spojena s ulogom službenika za zaštitu podataka samo ako su ispunjeni svi uvjeti za obje uloge, uključujući neovisnost i izostanak sukoba interesa.

Članak 15. Mrežne stranice, kolačići i izravni marketing

Ako Društvo upravlja mrežnom stranicom ili internetskom uslugom, obavijest o privatnosti i obavijest o kolačićima moraju odgovarati stvarno ugrađenim alatima i stvarnim prijenosima podataka.

Kolačići i slične tehnologije koji nisu tehnički nužni ne smiju se postaviti niti aktivirati prije valjane privole korisnika. Izbor za prihvaćanje i odbijanje mora biti jednako dostupan, a povlačenje privole jednostavno. Tehnički nužni kolačići ne zahtijevaju privolu, ali korisnik mora biti jasno obaviješten o njihovoj uporabi.

Za izravni marketing Društvo poštuje pravila GDPR-a, propise o elektroničkim komunikacijama i pravo ispitanika na prigovor. Nakon prigovora se podaci više ne obrađuju za tu svrhu.

VII. Završne odredbe

Članak 16. Edukacija, nadzor i preispitivanje

Društvo redovito educira ovlaštene osobe, provjerava poštovanje ovog Pravilnika i najmanje jednom godišnje, kao i nakon svake značajne promjene obrade, tehnologije, propisa ili incidenta, preispituje njegove mjere i povezane evidencije.

Za provedbu ovog Pravilnika nadležna je Uprava Društva, uz podršku osobe zadužene za zaštitu osobnih podataka. Nepoštovanje Pravilnika može predstavljati povredu radnih ili ugovornih obveza te može dovesti do odgovarajućih mjera u skladu s primjenjivim propisima i ugovorima.

Članak 17. Stupanje na snagu

Ovaj Pravilnik stupa na snagu dana 8. rujna 2026. Danom stupanja na snagu prestaju važiti svi raniji interni akti Društva koji uređuju isto pitanje, u dijelu u kojem su s njime nesuglasni.

Osoba zadužena za zaštitu podataka

dr. sc. Alen Šimec

Kontakt

gdpr@eburza.hr • 099 477 1700

Doneseno

U Zagrebu, 1. rujna 2026.

Za Društvo

eBurza Grupa d.o.o. — dr. sc. Alen Šimec, direktor