Da, i to smo dočekali – u Hrvatskoj je izrečena prva upravna novčana kazna za kršenje Opće uredbe.
Na službenim stranicama AZOP-a objavljeni su anonimizirani podaci, sukladno članku 48. Zakona o provedbi Opće uredbe, jer rješenje kojim je utvrđeno kršenje, odnosno odluka o novčanoj kazni nisu pravomoćni.
Dakle, kažnjena je banka jer je sustavno odbijala ispitanicima pružiti kopije njihovih osobnih podataka, tj. kreditnu dokumentaciju koja se odnosi na sklopljene ugovore o kreditu u švicarskim francima.
Banka je uporno odbijala ispunjavanje zahtjeva za pristup i dostavljanje kopije podataka (članak 15., stavci 1. i 3. Opće uredbe) navodeći da se, prema Zakonu o potrošačkom kreditiranju i ostalim posebnim propisima, ne radi o pristupu osobnim podacima ispitanika, već o kreditnoj dokumentaciji za koju nema obveze dostavljanja jer se odnosi na otplaćene kredite i koja ne sadrži osobne podatke.
Hmmmm, big mistake!
Banka je prije svega pogriješila što je odlučila da kreditnu dokumentaciju neće smatrati osobnim podatkom, iako to ona po definiciji jeste, bez obzira na posebne propise koji reguliraju potrošačko kreditiranje.
Ova odluka važna je i zbog određenja pojma „kopije osobnih podataka“ jer ne postoji ujednačeno i jasno tumačenje na razini EU što podrazumijeva kopija podatka. Za primjer navodimo presudu suda u Nizozemskoj prema kojoj ispitanik nema pravo na kopiju dokumenata, već na kopiju osobnih podataka, odnosno informaciju koji su osobni podaci sadržani u dokumentima.
Slično je i tumačenje nadzornog tijela njemačke Savezne pokrajine Hessen. U godišnjem izvješću o radu (stranice 75. i 76.) ističe se kako kopiju osobnih podataka ne čine doslovno svi podaci o ispitaniku niti je to preslika svih dokumenata koji sadrže ispitanikove osobne podatke, već kopiju čini “sažetak osobnih podataka koji su smisleno strukturirani”. Međutim, u presudi prizivnog suda u Kölnu utvrđuje se da ispitanik ima pravo dobiti baš sve podatke koji se odnose na njega, uključujući čak i zabilješke o komunikaciji između zaposlenika voditelja obrade i ispitanika (klijenta).
U ovom pitanju treba naći razumnu sredinu. Sigurno ne možemo očekivati da će voditelji obrade sakupljati papire i izraditi presliku doslovno svakog dokumenta, rješenja, odluke, potvrde, korespondencije, zapisnika, maila… u kojem se nalazi osobni podatak ispitanika ili se ispitanika spominje, jer to i nije smisao prava na pristup i kopiju osobnih podataka.
Ali u predmetnom slučaju banka je mogla i morala pružiti kopiju kreditne dokumentacije, a posebno zato što je ista bila dostupna u strukturiranom obliku čija se kopija lako može osigurati.
Sigurni smo da će ova odluka utjecati na sve voditelje obrade, posebno one koji obrađuju velike količine osobnih podataka, da preispitaju ili tek uspostave procedure za ispunjavanje prava, te da svoje sustave prilagode zahtjevima za izradu kopije i druge radnje na osobnim podacima (brisanje, ispravak, blokiranje).