Prikupljanje preslike osobne iskaznice radnika od strane poslodavaca prema novom Pravilniku o sadržaju i načinu vođenja evidencija o radnicima. Agencija za zaštitu osobnih podataka (AZOP) ističe da se čuvanje preslike osobne iskaznice radnika od strane poslodavca ne može smatrati pravnom obvezom poslodavca temeljem Pravilnika o sadržaju i načinu vođenja evidencija o radnicima, a u smislu odredbe članka 6. stavka 1. točke c) Opće uredbe o zaštiti podataka. Ukoliko se poslodavac ipak odluči na prikupljanje i čuvanje preslika osobnih iskaznica radnika, za istu obradu mora imati pravni temelj iz članka 6. stavka 1. Opće uredbe o zaštiti podataka (zakonitost obrade). Jednako tako, sukladno članku 13. stavku 1. točki c) Opće uredbe o zaštiti podataka, poslodavac je u trenutku prikupljanja preslike osobne iskaznice dužan radnika izvijestiti, između ostalog, o svrsi obrade i pravnom temelju za obradu.

Europska komisija usvojila je 10. srpnja 2023. godine Odluku o primjerenosti okvira za zaštitu podataka između EU-a i SAD-a. U odluci o primjerenosti zaključeno je da Sjedinjene Američke Države osiguravaju odgovarajuću razinu zaštite – u usporedbi s onom EU-a – za osobne podatke koji se prenose iz EU-a u poduzeća iz SAD-a koja sudjeluju u okviru za zaštitu podataka između EU-a i SAD-a. Na temelju nove Odluke o primjerenosti osobni podaci mogu sigurno prenositi iz EU-a poduzećima iz SAD-a koja sudjeluju u Okviru, bez uvođenja dodatnih mjera za zaštitu podataka.

Privacy Shield je sporazum između Europske komisije i Ministarstva trgovine SAD-a. Njegova svrha je osigurati europskim i američkim tvrtkama mehanizam za usklađivanje s Općom uredbom o zaštiti podataka u slučaju da se podaci obrađuju u SAD-u (izvršitelj obrade je u SAD-u).

Sud Europske unije je donio presudu kojom je odluku Europske komisije (EU) 2016/1250 o adekvatnosti zaštite podataka pruženom putem Privacy Shield-a proglasio nevažećom. Prema tome, Privacy Shield više ne predstavlja važeći mehanizam pravnog usklađivanja pri prijenosu osobnih podataka iz EU u SAD.

Prema Općoj uredbi o zaštiti podataka, obrada osobnih podataka je zakonita ako je potrebna u svrhu očuvanja života ispitanika ili druge fizičke osobe, među ostalim za praćenje epidemija i njihovog širenja ili u humanitarnim krizama, posebno u slučajevima prirodnih katastrofa i katastrofa uzrokovanih ljudskim djelovanjem.

Poduzimaju se mjere za suzbijanje i ublažavanje epidemije COVID-19 što može uključivati obradu različitih vrsta osobnih podataka. Pravila o zaštiti podataka (poput GDPR-a) ne smiju ometati mjere poduzete u borbi protiv pandemije virusa COVID-19, ali čak i u ovim iznimnim vremenima, voditelj obrade mora osigurati zaštitu i zajamčiti zakonitu obrada osobnih podataka.

GDPR pruža zakonske osnove kako bi se poslodavcima i nadležnim javnozdravstvenim tijelima omogućilo da obrađuju osobne podatke u kontekstu epidemije, bez potrebe da dobiju suglasnost ispitanika. Ovo se primjenjuje kada je obrada osobnih podataka poslodavcima potrebna iz razloga javnog interesa za područje javnog zdravstva ili zaštite vitalnih interesa (čl. 6. i 9. GDPR-a) ili radi ispunjavanja druge zakonske obveze.

Poslodavac može zahtijevati od zaposlenika ili posjetitelja posebne zdravstvene podatke u kontekstu COVID-19 epidemije, ali je potrebno primijeniti načelo proporcionalnosti i minimiziranja podataka, odnosno potrebno je prikupljati samo one podatke koji su neophodni za ispunjavanje svrhe.

Poslodavci bi trebali obavijestiti osoblje o slučajevima COVID-19 zaraze i poduzeti zaštitne mjere, ali ne smiju priopćiti više podataka nego što je potrebno. U slučajevima kada je potrebno otkriti identitet zaposlenika koji su se zarazili virusom (npr. u preventivnom kontekstu), dotični zaposlenici moraju biti unaprijed obaviješteni, a njihovo dostojanstvo i integritet treba zaštiti.

Agencija za zaštitu osobnih podataka je pravna osoba s javnim ovlastima, koja samostalno i neovisno obavlja poslove u okviru djelokruga i nadležnosti utvrđenih Zakonom o provedbi Opće uredbe o zaštiti podataka („Narodne novine“, broj 42/18) kojim se osigurava provedba Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. 04. 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka (Opće uredbe o zaštiti podataka). Agencija je uspostavljena i djeluje samostalno i neovisno o izvršnoj i zakonodavnoj vlasti, ne primajući upute i naloge od bilo kojeg državnog tijela.

Glavni zadaci Agencije za zaštitu osobnih podataka su učinkovito djelovanje na ispunjavanje svih prava i obaveza iz područja zaštite osobnih podataka koje se Republici Hrvatskoj nameću kao punopravnoj članici Europske unije i Vijeća Europe, povećanje odgovornosti svih sudionika u procesu obrade osobnih podataka vezano za primjenu propisa koji su obuhvaćeni zakonskim okvirom zaštite osobnih podataka u Republici Hrvatskoj uz odgovarajuću primjenu mjera informacijske sigurnosti.

Trajna zadaća Agencije je podizanje razine svijesti dionika i svih ciljanih javnosti, o važnosti zaštite osobnih podataka i o njihovim pravima i obvezama, predlaganje mjera za stručno osposobljavanje i usavršavanje službenika za zaštitu osobnih podataka kao i ukupna provedba svih upravnih i stručnih poslova koji proizlaze iz Opće uredbe i Zakona o provedbi Opće uredbe o zaštiti podataka.

Hrvatski Sabor je na svojoj sjednici održanoj 27. travnja 2018. godine donio Zakon o provedbi Opće uredbe o zaštiti osobnih podataka, koji je stupio na snagu 25. svibnja 2018. godine, a objavljen je u Narodnim novinama br. 42/2018.

Europska unija donijela je 27. travnja 2016. godine novi regulatorni okvir za zaštitu privatnosti naziva Opća uredba o zaštiti podataka (General Data Protection Regulation, kraće GDPR). Uredba je stupila na snagu 25. svibnja 2018. i primjenjuje se u svim državama članicama Europske unije. Općom uredbom se osigurava ujednačeno i jednoobrazno postupanje nadzornih tijela za zaštitu osobnih podataka, što će imati za posljedicu jednostavniju i jednaku zaštitu prava svih pojedinaca u Europskoj uniji.

Uredba određuje koja su prava pojedinaca, a u skladu s tim i koje su obveze subjekata koji obrađuju osobne podatke poput voditelja obrade odnosno izvršitelja obrade. Uredba također propisuje koje su zadaće i ovlasti Agencije za zaštitu osobnih podataka (AZOP). Uredba se primjenjuje na sve tvrtke, na pojedince koji obavljaju određenu profesionalnu aktivnost, udruge, bolnice, klubove, na fizičke osobe kada obrađuju osobne podatke izvan okvira potreba kućanstva (npr. postavljanje video nadzora ispred ulaznih vrata kuće/stana). Uredba se primjenjuje na sve državne institucije koje su dužne obrađivati osobne podatke u okviru njenih odredaba, osim u slučajevima kaznenopravnih aktivnosti, poput sprečavanja kaznenih djela ili progona počinitelja istih te u područjima izvan nadležnosti prava EU-a.

Općom uredbom o zaštiti podataka (GDPR) određeni voditelji obrade i izvršitelji obrade dužni su imenovati službenika za zaštitu podataka (DPO). To vrijedi za sva tijela javne vlasti i javna tijela (bez obzira na to koje podatke obrađuju) i za ostale organizacije čija je osnovna djelatnost sustavno i opsežno praćenje pojedinaca ili koje obrađuju posebne kategorije osobnih podataka u velikoj mjeri. Čak i kad se Općom uredbom o zaštiti podataka izričito ne zahtijeva imenovanje službenika za zaštitu podataka, za organizacije može biti korisno dobrovoljno imenovanje službenika za zaštitu podataka.