## Zakon o zaštiti osobnih podataka

### NN 103/2003 (26.6.2003.), Zakon o zaštiti osobnih podataka

# HRVATSKI SABOR

1364

Na teme­lju
članka 88. Ustava Republike Hrvatske, donosim

## ODLUKU

### O PROGLAŠENJU ZAKONA O ZAŠTITI OSOBNIH PODATAKA

Proglašavam
Zakon o zaštiti osobnih podataka, koji je donio Hrvatski sabor na sjednici 12.
lip­nja 2003.

Broj:
01-081-03-2253/2
Zagreb, 18. lip­nja 2003.

Predsjednik
Republike Hrvatske
**Stjepan Mesić,** v. r.

## ZAKON

### O ZAŠTITI OSOBNIH PODATAKA

I.
TEMELJNE ODREDBE

Članak
1.

Ovim se
Zakonom uređuje zaštita osobnih podataka o fizič­kim osobama te nadzor nad
prikupljanjem, obradom i korištenjem osobnih podataka u Republici Hrvatskoj.

Svrha
zaštite osobnih podataka je zaštita privatnog života i ostalih ljudskih prava i
temeljnih sloboda u prikupljanju, obradi i korištenju osobnih podataka.

Zaštita
osobnih podataka u Republici Hrvatskoj osigurana je svakoj fizičkoj osobi bez
obzira na državljanstvo i prebivalište te neovisno o rasi, boji kože, spolu,
jeziku, vjeri, političkom ili drugom uvjerenju, nacionalnom ili socijalnom
podrijetlu, imovini, rođenju, naobrazbi, društvenom položaju ili drugim
osobinama.

Članak
2.

Pojedini
izrazi u ovom Zakonu imaju sljedeće značenje:

1. *Osobni
podatak* je svaka informacija koja se odnosi na identificiranu fizičku osobu
ili fizičku osobu koja se može identificirati (u daljnjem tekstu: ispitanik);
osoba koja se može identificirati je osoba čiji se identitet može utvrditi
izravno ili neizravno, posebno na osnovi jednog ili više obilježja specifičnih
za njezin fizički, psihološki, mentalni, gospodarski, kulturni ili socijalni
identitet.

2. *Obrada osobnih podataka* je svaka radnja ili
skup radnji izvršenih na osobnim podacima, bilo automatskim sredstvima ili ne,
kao što je prikupljanje, snimanje, organiziranje, spremanje, prilagodba ili
izmjena, povlačenje, uvid, korištenje, otkrivanje putem prijenosa,
objavljivanje ili na drugi način učinjenih dostupnim, svrstavanje ili
kombiniranje, blokiranje, brisanje ili uništa­vanje, te provedba logičkih,
matematičkih i drugih operacija s tim podacima.

3. *Zbirka osobnih podataka* je svaki skup
osobnih podataka koji je dostupan prema posebnim kriterijima, bilo
centraliziranim, decentraliziranim, ili raspršenim na funkcionalnom ili
zemljopisnom temelju i bez obzira na to da li je sadržan u računalnim bazama
osobnih podataka ili se vodi primjenom drugih tehničkih pomagala ili ručno.

4. *Voditelj
zbirke osobnih podataka* je fizička ili pravna osoba, državno ili drugo
tijelo koje utvrđuje svrhu i način obrade osobnih podataka. Kada je svrha i
način obrade propisan zakonom, istim se zakonom određuje i voditelj zbirke
osobnih podataka.

5. *Korisnik*
je fizička ili pravna osoba, državno ili drugo tijelo kojem se osobni podaci
mogu dati na korištenje radi obavljanja redovitih poslova u okviru njegove
zakonom utvrđene djelatnosti.

6. *Privola
ispitanika* je slobodno dano i izričito očitovanje volje ispitanika kojom on
izražava svoju suglasnost s obradom njegovih osobnih podataka u određene svrhe.

 Pojedine radnje ili skupine radnji obuhvaćene
izrazom »obrada« osobnih podataka u točki 2. ovoga članka mogu se posebno
izdvojiti i navoditi u pojedinim odredbama ovoga Zakona kada se te odredbe ne
odnose na čitavu obradu u smislu točke 2. ovoga članka već na točno određene
pojedine radnje u obradi.

Članak
3.

Odredbe
ovoga Zakona primjenjuju se na obradu osobnih podataka od strane državnih
tijela, tijela lokalne i područne (regionalne) samouprave te pravnih i fizičkih
osoba koje obrađuju osobne podatke.

Odredbe ovoga Zakona ne primjenjuju se na obradu
osobnih podataka koju provode fizičke osobe isključivo za osobnu primjenu ili
za potrebe kućanstva.

Članak 4.

Odredbe ovoga Zakona odnose se na sve zbirke osobnih
podataka bez obzira jesu li predmet automatske ili ručne obrade.

II. OBRADA OSOBNIH PODATAKA

Članak
5.

Voditelj
zbirke osobnih podataka smije obrađivati osobne podatke samo uz uvjete određene
ovim Zakonom i posebnim zakonima.

Članak
6.

Osobni
podaci mogu se prikupljati u svrhu s kojom je ispitanik upoznat, koja je
izričito navedena i u skladu sa zakonom i mogu se dalje obrađivati samo u svrhu
u koju su prikupljeni, odnosno u svrhu koja je podudarna sa svrhom
prikupljanja. Daljnja obrada osobnih podataka u povijesne, statističke ili
znanstvene svrhe neće se smatrati nepodudarnom, pod uvjetom da se poduzmu
odgovarajuće zaštitne mjere.

Osobni podaci moraju biti bitni za postizanje
utvrđene svrhe i ne smiju se prikupljati u većem opsegu nego što je to nužno da
bi se postigla utvrđena svrha.

Osobni podaci moraju biti točni, potpuni i ažurni.

Osobni podaci moraju se čuvati u obliku koji dopušta
identifikaciju ispitanika ne duže no što je to potrebno za svrhu u koju se
podaci prikupljaju ili dalje obrađuju. Odgovarajuće mjere zaštite za osobne
podatke koji se pohranjuju na duže razdoblje za povijesnu, statističku ili
znanstvenu uporabu propisuju se posebnim zakonima.

Za postupanje u skladu s odredbama ovoga članka
odgovoran je voditelj zbirke osobnih podataka.

Članak
7.

Osobni
podaci smiju se prikupljati i daljeobrađivati:

– uz
privolu ispitanika ili

– u
slučajevima određenim zakonom.

U
slučaju prikupljanja i obrade osobnih podataka uz privolu ispitanika, osobni se
podaci smiju prikupljati i dalje obrađivati samo u svrhu za koju je ispitanik
dao privolu.

Bez
privole ispitanika osobni podaci smiju se prikupljati i dalje obrađivati:

–  u svrhu izvršavanja zakonskih obveza
voditelja zbirke osobnih podataka, ili

– u
svrhu zaštite života ili tjelesnog integriteta ispitanika ili druge osobe u
slučaju kada ispitanik fizički ili pravno nije u mogućnosti dati svoj
pristanak,ili

– ako
je obrada podataka nužna radi ispunjenja zadataka koji se izvršavaju u javnom
interesu ili u izvršavanju javnih ovlasti koje ima voditelj zbirke osobnih
podataka, ili

– ako
je ispitanik sam objavio te podatke.

U
slučaju iz stavka 1. podstavka 1. i stavka 3. podstavka 4. ovoga članka ispitanik
ima pravo u svako doba odustati od dane privole i zatražiti prestanak daljnje
obrade njegovih podataka, osim ako se radi o obradi podataka u statističke
svrhe kada osobni podaci više ne omogućuju identifikaciju osobe na koju se
odnose.

Osobni
podaci koji se odnose na maloljetne osobe smiju se prikupljati i dalje
obrađivati u skladu s ovim Zakonom i uz posebne mjere zaštite propisane
posebnim zakonima.

III.
OBRADA POSEBNIH KATEGORIJA OSOBNIH PODATAKA

Članak
8.

Zabranjeno
je prikupljanje i daljnja obrada osobnih podataka koji se odnose na rasno ili
etničko podrijetlo, politička stajališta, vjerska ili druga uvjerenja,
sindikalno članstvo, zdravlje ili spolni život i osobnih podataka o kaznenom i
prekršajnom postupku.

Iznimno,
podaci iz stavka 1. ovoga članka mogu se prikupljati i dalje obrađivati:

– u
slučajevima iz članka 7. stavka 1. podstavka 1. i stavka 3. podstavka 1., 2. i
4. ovoga Zakona, ili

– ako
se obrada provodi u okviru djelatnosti ustanove, udruženja ili bilo kojeg
drugog neprofitnog tijela s političkom, vjerskom ili drugom svrhom te pod
uvjetom da se obrada isključivo odnosi na njihove članove te da podaci ne budu
otkriveni trećoj strani bez pristanka ispitanika.

U
slučaju iz stavka 2. ovoga članka, obrada podataka mora biti posebno označena i
zaštićena.

Uredbom
Vlade, uz prethodno pribavljeno mišljenje Agencije za zaštitu osobnih podataka,
propisat će se način pohranjivanja i posebne mjere tehničke zaštite podataka iz
stavka 2. ovoga članka.

Članak 9.

Prije
prikupljanja bilo kojih osobnih podataka, voditelj zbir­ke osobnih podataka ili
izvršitelj obrade dužan je informirati ispitanika čiji se podaci prikupljaju o
identitetu voditelja zbirke osobnih podataka, o svrsi obrade u koju su podaci
namijenjeni, o korisnicima ili kategorijama korisnika osobnih podataka te da li
se radi o dobrovoljnom ili obveznom davanju podataka i o mo­gućim posljedicama
uskrate davanja podataka. U slučaju obveznog davanja osobnih podataka navodi se
i zakonska osnova za obradu osobnih podataka.

Prije
davanja osobnih podataka na korištenje drugim korisnicima voditelj zbirke
osobnih podataka dužan je o tome informirati ispitanika.

Informacije
iz stavka 1. i 2. ovoga članka daju se ispitaniku neovisno o tome prikupljaju
li se osobni podaci neposredno od ispitanika ili iz drugih izvora.

Iznimno,
informacije iz stavka 1. i 2. ovoga članka ne moraju se dati ispitaniku ako se
za potrebe obrade u statističke svrhe ili u svrhe povijesnog ili znanstvenog
istraživanja osobni podaci daju na korištenje ili se prikupljaju iz postojećih
zbirki osobnih podataka, ili ako je obrada osobnih podataka izričito određena
zakonom.

IV.
POVJERAVANJE POSLOVA OBRADE OSOBNIH PODATAKA

Članak
10.

Voditelj
zbirke osobnih podataka može na temelju ugovora pojedine poslove u svezi s
obradom osobnih podataka u okvirima svojeg djelokruga povjeriti drugoj fizičkoj
ili pravnoj osobi (u daljnjem tekstu: izvršitelj obrade).

Poslovi u svezi s obradom osobnih podataka mogu se
povjeriti samo izvršitelju obrade koji je registriran za obavljanje takve
djelatnosti i koji osigurava dovoljna jamstva u pogledu ostvarivanja
odgovarajućih mjera zaštite osobnih podataka.

Ugovorom iz stavka 1. ovoga članka uređuju se
međusobna prava i obveze voditelja zbirke osobnih podataka i izvršitelja
obrade, a osobito se obvezuje izvršitelja obrade:

– da obavlja poslove samo na temelju naloga voditelja
zbirke osobnih podataka,

– da ne smije osobne podatke davati na korištenje
drugim korisnicima, niti ih smije obrađivati za bilo koju drugu svrhu osim
ugovorene,

– da osigura provođenje odgovarajućih tehničkih,
organizacijskih i kadrovskih mjera zaštite osobnih podataka sukladno odredbama
ovoga Zakona.

V.
DAVANJE PODATAKA KORISNICIMA

Članak
11.

Voditelj
zbirke osobnih podataka ovlašten je osobne podatke dati na korištenje drugim
korisnicima na temelju pisanog zahtjeva korisnika ako je to potrebno radi
obavljanja poslova u okviru zakonom utvrđene djelatnosti korisnika.

Pisani zahtjev mora sadržavati svrhu i pravni temelj
za koriš­tenje osobnih podataka te vrstu osobnih podataka koji se traže.

Zabranjeno je davanje osobnih podataka na korištenje
drugim korisnicima za čiju obradu, odnosno korištenje nisu ovlašteni prema
odredbama članka 7. i članka 8. stavka 2. ovoga Zakona te ako je svrha za koju
se osobni podaci traže na korištenje suprotna odredbi članka 6. stavka 1. i 2.
ovoga Zakona.

Osobni podaci obrađeni u znanstveno-istraživačke i
statis­tičke svrhe ne smiju omogućiti identifikaciju osobe na koju se osobni
podaci odnose.

U slučaju iz stavka 1. ovoga članka, voditelj zbirke
osobnih podataka vodi posebnu evidenciju o osobnim podacima koji su dani na
korištenje, korisniku osobnih podataka i svrsi za koju su osobni podaci dani.

Članak 12.

Osobni
podaci mogu se koristiti samo u vremenu koje je nužno za ostvarenje određene
svrhe, osim ako posebnim zakonom nije određeno duže razdoblje.

Protekom
vremena iz stavka 1. ovoga članka osobni podaci moraju se brisati, ako se
posebnim zakonom što drugo ne odredi.

Odredbe
ovoga Zakona o davanju osobnih podataka na korištenje odnose se i na razmjenu
osobnih podataka između dr­žav­nih tijela, osim ako je posebnim zakonom
drugačije određeno.

VI.
IZNOŠENJE OSOBNIH PODATAKA IZ REPUBLIKE HRVATSKE

Članak
13.

Zbirke
osobnih podataka, odnosno osobni podaci sadržani u zbirkama osobnih podataka
smiju se iznositi iz Republike Hrvat­ske u svrhu daljnje obrade samo ako država
ili međunarodna organizacija u koju se osobni podaci iznose ima odgovarajuće
uređenu zaštitu osobnih podataka, odnosno osiguranu adekvatnu razinu zaštite.

Prije
iznošenja osobnih podataka iz Republike Hrvatske, voditelj zbirke osobnih
podataka dužan je, u slučaju kada postoji osnova za sumnju o postojanju
odgovarajuće uređene zaštite osob­nih podataka, pribaviti mišljenje Agencije za
zaštitu osobnih podataka.

VII.
ZBIRKE OSOBNIH PODATAKA, EVIDENCIJE I SREDIŠNJI REGISTAR

Članak
14.

Voditelj
zbirke osobnih podataka za svaku zbirku osobnih podataka koju vodi, uspostavlja
i vodi evidenciju koja sadrži temeljne informacije o zbirci, a osobito
sljedeće:

1. naziv zbirke,

2. naziv, odnosno osobno ime voditelja zbirke i
njegovo sjedište, odnosno adresu,

3. svrhu obrade,

4. pravni temelj uspostave zbirke podataka,

5. kategorije osoba na koje se podaci odnose,

6. vrste podataka sadržanih u zbirci podataka,

7. način prikupljanja i čuvanja podataka,

8. vremensko razdoblje čuvanja i uporabe podataka,

9. osobno ime, odnosno naziv korisnika zbirke,
njegovu adresu, odnosno sjedište,

10. naznaku unošenja, odnosno iznošenja podataka iz
Republike Hrvatske s naznakom države, odnosno međunarodne organizacije i
inozemnog korisnika osobnih podataka te svrhe za to unošenje, odnosno iznošenje
propisano međunarodnim ugovorom, zakonom ili drugim propisom, odnosno pisanim
pristankom osobe na koju se podaci odnose,

11.
naznaku poduzetih mjera zaštite osobnih podataka.

Članak
15.

Način
vođenja evidencije iz članka 14. ovoga Zakona i obrazac te evidencije propisuje
se uredbom Vlade, uz prethodno mišljenje Agencije za zaštitu osobnih podataka.

Članak
16.

Evidencije iz članka 14. ovoga Zakona dostavljaju se
Agenciji za zaštitu osobnih podataka i objedinjavaju se u Središnjem registru
kojeg vodi Agencija za zaštitu osobnih podataka.

U Središnjem registru ne moraju se objedinjavati
evidencije o zbirkama osobnih podataka koje vode nadležna državna tijela u
okviru aktivnosti obrade osobnih podataka radi državne sigurnosti, obrane i
suzbijanja pojava koje su Strategijom nacionalne sigurnosti Republike Hrvatske
određene kao sigurnosni rizik (korupcija, organizirani kriminal, terorizam).

Članak 17.

Voditelji zbirki osobnih podataka dužni su prije
uspostave zbirke osobnih podataka dostaviti Agenciji za zaštitu osobnih
podataka obavijest o namjeravanoj uspostavi zbirke osobnih podataka zajedno s
podacima iz članka 14. ovoga Zakona, a također i o svakoj daljnjoj namjeravanoj
obradi tih podataka, prije poduzimanja bilo kakvih aktivnosti obrade.

Obveza dostavljanja prethodne obavijesti Agenciji za
zaštitu osobnih podataka utvrđena u stavku 1. ovoga članka ne odnosi se na
uspostavu zbirki osobnih podataka u slučaju kada poseban zakon određuje svrhu
obrade, podatke ili kategorije podataka koji se obrađuju, kategoriju ili
kategorije ispitanika, korisnike ili kategorije korisnika kojima će podaci biti
otkriveni te vrijeme u kojem će podaci biti pohranjeni.

U slučaju iz stavka 2. ovoga članka, voditelji zbirki
osobnih podataka dužni su podatke o uspostavi zbirki osobnih podataka, kao i
promjene podataka o zbirci osobnih podataka dostaviti Agenciji za zaštitu
osobnih podataka, najkasnije u roku od 15 dana od dana uspostave ili promjene.

Evidencije iz Središnjeg registra dostupne su
javnosti.

Agencija za zaštitu osobnih podataka objavit će u
»Narodnim novinama« ili na drugi prikladan način evidencije iz Središ­njeg
registra.

Članak 18.

Osobni
podaci u zbirkamaosobnih podataka moraju biti odgovarajuće zaštićeni od
slučajne ili namjerne zlouporabe, uniš­tenja, gubitka, neovlaštenih promjena
ili dostupa.

Voditelj
zbirke osobnih podataka i korisnik dužni su poduzeti tehničke, kadrovske i
organizacijske mjere zaštite osobnih podataka koje su potrebne da bi se osobni
podaci zaštitili od slučajnog gubitka ili uništenja i od nedopuštenog pristupa,
nedo­puš­tene promjene, nedopuštenog objavljivanja i svake druge zlouporabe te
utvrditi obvezu osoba koje su zaposlene u obradi podataka, na čuvanje tajnosti
podataka.

VIII.
PRAVA ISPITANIKA I ZAŠTITA PRAVA

Članak
19.

Voditelj
zbirke osobnih podataka dužan je najkasnije u roku od 30 dana od podnošenja
zahtjeva, svakom ispitaniku na njegov zahtjev, odnosno njegovih zakonskih
zastupnika ili punomoćnika:

1.
dostaviti potvrdu o tome da li se osobni podaci koji se odnose na njega
obrađuju ili ne,

2. dati
obavijest u razumljivom obliku o podacima koji se odnose na njega čija je
obrada u tijeku te o izvoru tih podataka,

3.
omogućiti uvid u evidenciju zbirke osobnih podataka te uvid u osobne podatke
sadržane u zbirci osobnih podataka koji se odnose na njega te njihovo
prepisivanje,

4.
dostaviti izvatke, potvrde ili ispise osobnih podataka sadržanih u zbirci
osobnih podataka koji se na njega odnose, a koji moraju sadržavati i naznaku
svrhe i pravnog temelja prikupljanja, obrade i korištenja tih podataka,

5.
dostaviti ispis podataka o tome tko je i za koje svrhe i po kojem pravnom
temelju dobio na korištenje osobne podatke koji se odnose na njega,

6. dati
obavijest o logici bilo koje automatske obrade podataka koja se na njega
odnosi.

Članak
20.

Voditelj
zbirke osobnih podataka dužan je na zahtjev ispitanika, odnosno njegovih
zakonskih zastupnika ili punomoćnika dopuniti, izmijeniti ili brisati osobne
podatke ako su podaci nepotpuni, netočni ili neažurni te ako njihova obrada
nije u skladu s odredbama ovoga Zakona.

Neovisno
o zahtjevu ispitanika, u slučaju ako voditelj zbirke osobnih podataka utvrdi da
su osobni podaci nepotpuni, netočni ili neažurni, dužan ih je sam dopuniti ili
izmijeniti.

O
izvršenoj dopuni, izmjeni ili brisanju osobnih podataka voditelj zbirke osobnih
podataka dužan je najkasnije u roku od 30 dana izvijestiti osobu na koju se
osobni podaci odnose i korisnike osobnih podataka.

Članak
21.

Ispitanik
ima pravo usprotiviti se obradi osobnih podataka u svrhe marketinga i u tom se
slučaju osobni podaci koji se na njega odnose ne smiju obrađivati u tu svrhu.

Voditelj
zbirke osobnih podataka dužan je ispitanika unaprijed obavijestiti o
namjeravanoj obradi osobnih podataka u svrhe marketinga i o pravu da se takvoj
obradi usprotivi.

Članak
22.

Troškove
iz članka 19., 20. i 21. ovoga Zakona snosi voditelj zbirke osobnih podataka,
ako posebnim zakonom nije drugačije propisano.

Članak
23.

Obveze
i prava utvrđena odredbama članka 9. i 19. ovoga Zakona mogu se ograničiti na
način i pod uvjetima utvrđenim posebnim zakonima ako je to potrebno radi
zaštite sigurnosti države; obrane; javne sigurnosti; radi prevencije, istrage,
otkrivanja i gonjenja počinitelja kaznenih djela ili povreda etičkih pravila za
određene profesije; radi zaštite važnoga gospodarskog ili financijskog interesa
države, kulturnih dobara te radi zaštite ispitanika ili prava i sloboda drugih,
u opsegu koji je nužan za ostvarivanje svrhe radi koje je ograničenje određeno.

Obveze i prava utvrđena odredbama članka 19. i 20. ovoga
Zakona mogu se ograničiti posebnim zakonima ako se osobni podaci obrađuju
isključivo u svrhu znanstvenog istraživanja ili ako su prikupljeni isključivo u
svrhu utvrđivanja statistike i pohranjeni na duže razdoblje isključivo za
statističku uporabu.

Članak 24.

Svatko tko smatra da mu je povrijeđeno neko pravo
zajam­čeno ovim Zakonom može podnijeti zahtjev za utvrđivanje povrede prava
Agenciji za zaštitu osobnih podataka.

O povredi prava Agencija za zaštitu osobnih podataka
odlu­čuje rješenjem.

Rješenje
Agencije za zaštitu osobnih podataka je upravni akt.

Protiv
rješenja Agencije za zaštitu osobnih podataka žalba nije dopuštena, ali se može
pokrenuti upravni spor.

Članak
25.

Agencija
za zaštitu osobnih podataka može, na traženje osobe koja je podnijela zahtjev
za utvrđivanje povrede prava, privremeno rješenjem zabraniti obradu podataka na
koje se zahtjev odnosi do pravomoćnog okončanja postupka.

Protiv
rješenja iz stavka 1. ovoga članka nije dopuštena žalba, ali se može pokrenuti
upravni spor.

Članak
26.

Za
štetu koja je ispitaniku nastala zbog obrade osobnih podataka protivno
odredbama ovoga Zakona odgovara voditelj zbirke osobnih podataka, sukladno
općim propisima o naknadi štete.

Pravo
na naknadu štete od voditelja zbirke osobnih podataka ispitanik može tražiti i
u slučaju neovlaštenog korištenja, odnosno neovlaštenog davanja na korištenje
njegovih osobnih podataka drugim korisnicima ili fizičkim i pravnim osobama.

Pravo
na naknadu štete iz stavka 1. i 2. ovoga članka ostvaruje se pred sudom opće
nadležnosti.

IX. NADZOR NAD OBRADOM OSOBNIH PODATAKA

Članak 27.

Za
obavljanje nadzora nad obradom osobnih podataka ovim se Zakonom osniva Agencija
za zaštitu osobnih podataka.

Agencija
ima svojstvo pravne osobe.

Sjedište
Agencije je u Zagrebu.

Članak 28.

U
obavljanju poslova utvrđenih ovim Zakonom Agencija je samostalna i odgovara
Hrvatskom saboru.

Sredstva
za rad Agencije osiguravaju se u državnom prora­čunu Republike Hrvatske.

Ustrojstvo
i način rada Agencije uređuje se Statutom Agencije koji potvrđuje Hrvatski sabor.

Članak 29.

Radom
Agencije rukovodi ravnatelj kojeg na prijedlog Vlade Republike Hrvatske imenuje
i razrješava Hrvatski sabor.

Ravnatelj
Agencije ima zamjenika.

Zamjenika
ravnatelja imenuje i razrješava Hrvatski sabor na prijedlog Vlade Republike Hrvatske.

Ravnatelj
Agencije i zamjenik ravnatelja obavljaju poslove u Agenciji profesionalno.

Za
ravnatelja Agencije i zamjenika ravnatelja može biti imenovan hrvatski državljanin
visoke stručne spreme, s najmanje 10 godina radnog iskustva.

Ravnatelj
Agencije i zamjenik ravnatelja imenuju se na četiri godine i mogu biti ponovno
imenovani.

Na
ravnatelja Agencije i zamjenika ravnatelja odnose se odredbe Zakona o obvezama
i pravima državnih dužnosnika.

Plaća
ravnatelja Agencije i zamjenika ravnatelja određuje se kao za ravnatelja državne
upravne organizacije i zamjenika ravnatelja državne upravne organizacije.

Članak
30.

Agencija
ima svoju stručnu službu.

Na
zaposlene u stručnoj službi Agencije primjenjuju se opći propisi o radu.

Članak 31.

Agencija
je dužna podnijeti izvješće o svojem radu Hrvat­skom saboru na njegov zahtjev,
a najmanje jednom na godinu.

U
izvješću Agencija objavljuje cjelovitu analizu stanja u području zaštite
osobnih podataka te postupaka pokrenutih na temelju odredaba ovoga Zakona i
naloženih mjera te podataka o stupnju poštivanja prava građana u obradi osobnih
podataka.

Članak
32.

Agencija
obavlja sljedeće poslove kao javne ovlasti:

–
nadzire provođenje zaštite osobnih podataka,

–
ukazuje na uočene zloupotrebe prikupljanja osobnih podataka,

– sastavlja
listu država i međunarodnih organizacija koje imaju odgovarajuće uređenu
zaštitu osobnih podataka,

–
rješava povodom zahtjeva za utvrđivanje povrede prava zajamčenih ovim Zakonom,

– vodi
središnji registar.

Pojedina
važnija rješenja Agencija može objaviti u »Narodnim novinama«.

Agencija
nadzire provođenje zaštite osobnih podataka na zahtjev ispitanika, na prijedlog
treće strane ili po službenoj duž­nosti.

Agencija
je dužna razmotriti sve zahtjeve koji se odnose na utvrđivanje povrede prava u
obradi osobnih podataka i izvijestiti podnosioca zahtjeva o poduzetim mjerama.

Agencija ima pravo pristupa osobnim podacima sadržanim
u zbirkama osobnih podataka, neovisno jesu li evidencije o tim zbirkama
objedinjene u središnji registar ili nisu, ima pravo pristupa spisima i drugoj
dokumentaciji koja se odnosi na obradu osobnih podataka, kao i sredstvima
elektronske obrade te ima pravo prikupljati sve informacije potrebne za
izvršavanje njenih nadzornih dužnosti, bez obzira na stupanj njihove tajnosti.

Voditelj
zbirke osobnih podataka, korisnik ili izvršitelj obrade dužni su omogućiti
Agenciji pristup spisima i drugoj dokumentaciji kao i sredstvima elektronske
obrade te na pisani zahtjev Agencije dostaviti tražene spise i drugu
dokumentaciju.

Članak
33.

Osim poslova
iz članka 32. ovoga Zakona, Agencija obavlja i sljedeće poslove:

– prati
uređenje zaštite osobnih podataka u drugim zemljama i surađuje s tijelima nadležnim
za nadzor nad zaštitom osobnih podataka u drugim zemljama,

–
nadzire iznošenje osobnih podataka iz Republike Hrvatske,

–
izrađuje metodološke preporuke za unapređenje zaštite osobnih podataka i
dostavlja ih voditeljima zbirki osobnih podataka,

– daje
savjete u svezi s uspostavom novih zbirki osobnih podataka, osobito u slučaju
uvođenja nove informacijske tehnologije,

– daje
mišljenja, u slučaju sumnje, smatra li se pojedini skup osobnih podataka
zbirkom osobnih podataka u smislu ovoga Zakona,

– prati
primjenu organizacijskih i tehničkih mjera za zaštitu podataka te predlaže
poboljšanje tih mjera,

– daje prijedloge i preporuke za unapređenje zaštite
osobnih podataka,

– surađuje s nadležnim državnim tijelima u izradi
prijedloga propisa koji se odnose na zaštitu osobnih podataka,

– po primitku obavijesti voditelja zbirke osobnih
podataka daje prethodno mišljenje o tome predstavljaju li određeni načini
obrade osobnih podataka specifične rizike za prava i slobode ispitanika. U
slučaju sumnje o postojanju specifičnih rizika, voditelj zbirke osobnih
podataka mora zatražiti mišljenje Agencije,

– obavlja i druge poslove određene zakonom.

Članak 34.

Ukoliko prilikom obavljanja nadzora utvrdi da su
povrije­đene odredbe zakona kojima se uređuje obrada osobnih podataka, Agencija
ima pravo upozoriti ili opomenuti voditelja zbirke osobnih podataka na
nezakonitosti u obradi osobnih podataka te rješenjem:

– narediti da se nepravilnosti uklone u određenom
roku,

– privremeno zabraniti prikupljanje, obradu i
korištenje osobnih podataka koji se prikupljaju, obrađuju ili koriste suprotno
odredbama zakona,

– narediti brisanje osobnih podataka prikupljenih bez
pravne osnove,

– zabraniti iznošenje osobnih podataka iz Republike
Hrvat­ske ili davanje na korištenje osobnih podataka drugim korisnicima ako se
osobni podaci iznose iz Republike Hrvatske ili se daju na korištenje drugim
korisnicima suprotno odredbama ovoga Zakona,

– zabraniti povjeravanje poslova prikupljanja i
obrade osobnih podataka izvršiteljima obrade ako izvršitelj obrade ne ispunjava
uvjete u pogledu zaštite osobnih podataka, ili je povjeravanje navedenih
poslova provedeno suprotno odredbama ovoga Zakona,

Protiv rješenja Agencije iz prethodnog stavka nije
dozvolje­na žalba, ali se može pokrenuti upravni spor.

Osim mjera iz
stavka 1. ovoga članka, Agencija može pred­ložiti pokretanje postupka kaznene
ili prekršajne odgovornosti pred nadležnim tijelom.

Članak 35.

Ravnatelj Agencije, zamjenik ravnatelja te
zaposlenici struč­ne službe Agencijedužni su kaoprofesionalnutajnu, odnosno kao drugu odgovarajuću vrstu tajne sukladno zakonu kojim se
uređuje tajnost podataka, čuvati sve osobne i druge povjerljive podatke koje
saznaju u obavljanju svojih dužnosti.

Obveza iz stavka 1. ovoga članka traje i po prestanku
obna­šanja dužnosti ravnatelja Agencije i zamjenika ravnatelja, odnosno po
prestanku radnog odnosa u stručnoj službi Agencije.

X. KAZNENE ODREDBE

Članak
36.

Novčanom
kaznom od 20.000,00 do 40.000,00 kuna kaznit će se za prekršaj:

1.
izvršitelj obrade koji prekorači granice svojih ovlasti ili osobne podatke
prikuplja i obrađuje za drugu namjenu osim ugovorene ili ih daje na korištenje
drugim korisnicima ili ne osigura provođenje ugovorenih mjera zaštite osobnih
podataka (članak 10. stavak 3.),

2.
voditelj zbirke osobnih podataka koji ne uspostavi evidenciju koja sadrži
temeljne informacije o zbirci osobnih podataka ili evidenciju vodi nepotpuno
(članak 14.),

3.
voditelj zbirke osobnih podataka ili korisnik koji nije osigurao odgovarajuću
zaštitu osobnih podataka (članak 18.),

4.
voditelj zbirke osobnih podataka, korisnik ili izvršitelj obrade koji onemogući
Agenciju u obavljanju radnji iz članka 32. stavka 5. i 6. ovoga Zakona,

5.
voditelj zbirke osobnih podataka ili izvršitelj obrade koji ne postupi po
naredbi ili zabrani Agencije (članak 34. stavak 1.),

6.
ravnatelj Agencije, zamjenik ravnatelja te zaposlenici stručne službe Agencije
koji otkriju povjerljive podatke koje saznaju u obavljanju svojih dužnosti
(članak 35.).

Za
prekršaj iz stavka 1. ovoga članka kaznit će se i odgovorna osoba u pravnoj
osobi novčanom kaznom od 5.000,00 do 10.000,00 kuna.

XI.
PRIJELAZNE I ZAKLJUČNE ODREDBE

Članak
37.

 Vlada Republike Hrvatske će u roku od 60 dana
od dana stupanja na snagu ovoga Zakona podnijeti Hrvatskom saboru prijedlog za
imenovanje ravnatelja Agencije i zamjenika ravnatelja.

Agencija
je dužna u roku od 30 dana od dana imenovanja ravnatelja Agencije, donijeti
Statut i dostaviti ga na potvrdu Hrvatskom saboru.

Članak
38.

Vlada
Republike Hrvatske donijet će uredbe iz članka 8. stav­ka 4. i članka 15. ovoga
Zakona u roku od šest mjeseci od dana stupanja na snagu ovoga Zakona.

Članak
39.

Zbirke
osobnih podataka i evidencije ustrojene do stupanja na snagu ovoga Zakona
uskladit će se s njegovim odredbama u roku od godine dana od dana stupanja na
snagu ovoga Zakona.

Voditelji
zbirki osobnih podataka dužni su evidencije iz članka 14. ovoga Zakona
dostaviti Agenciji, u roku od 18 mjeseci od dana stupanja na snagu ovoga
Zakona.

Članak
40.

Ovaj
Zakon stupa na snagu osmoga dana od dana objave u »Narodnim novinama«.

Klasa:
220-05/02-01/01
Zagreb, 12. lipnja 2003.

HRVATSKI SABOR

Predsjednik
Hrvatskoga sabora  **Zlatko Tomčić,** v. r.

Zakon, NN 103/2003-1364