Regulatorni okviri za uništavanje dokumentacije

1.1. Nastanak otpada i gospodarenje otpadom

Prema članku 3. stavku 1. točki 48. Zakona o gospodarenju otpadom (NN 84/21, 142/23) (u nastavku: Zakon), otpad je svaka tvar ili predmet koji posjednik odbacuje, namjerava ili mora odbaciti. Povjerljiva dokumentacija smatra se dakle otpadom u smislu Zakona od trenutka kada je posjednik donio odluku da se dokumentacija više neće koristiti te ju je namijenio za ili predao na uništavanje.

Nadalje, članak 21. Zakona uređuje sljedeće:

(1) Proizvođač otpada i posjednik otpada dužan je osigurati obradu otpada postupkom pripreme za ponovnu uporabu, recikliranjem ili oporabom sukladno člancima 5. i 6. ovoga Zakona, a kad navedeno nije moguće, dužan je osigurati zbrinjavanje otpada na siguran način u skladu s člankom 5. ovoga Zakona.

(2) Proizvođač otpada i posjednik otpada dužan je izvršiti obvezu iz stavka 1. ovoga članka na način da sam obradi vlastiti otpad ili da obradu otpada povjeri osobi kojoj je sukladno ovom Zakonu dozvoljena obrada otpada ili da otpad isporuči iz Republike Hrvatske na oporabu odnosno zbrinjavanje u skladu s Uredbom (EZ) 1013/2006.

Postupci oporabe otpada prema Dodatku II. uključuju:

R 12 razmjena otpada radi primjene bilo kojeg od postupaka oporabe navedenim pod R 1 do R 11

(ako nijedna druga oznaka R nije odgovarajuća, ova može obuhvatiti prethodne postupke prije oporabe, uključujući prethodnu preradu kao što su, među ostalim, rasklapanje, sortiranje, drobljenje, sabijanje, peletiranje, sušenje, usitnjavanje, kondicioniranje, ponovno pakiranje, odvajanje, uklapanje ili miješanje prije podvrgavanja bilo kojem od postupaka navedenim pod R1 do R11)

R 13 Skladištenje otpada prije bilo kojeg od postupaka oporabe navedenim pod R 1 do R 12 (osim privremenog skladištenja otpada na mjestu nastanka, prije sakupljanja).

Stoga postupak sigurnog uništavanja dokumentacije i dokumentarnog gradiva nije samo pitanje fizičkog uništenja dokumenata, već uključuje i odgovarajuće postupanje s njom kao otpadom, sukladno propisima o gospodarenju otpadom.

1.2. Ovlaštenja izvođača

Sukladno članku 27. Zakona, pravna osoba ili fizička osoba obrtnik ovlaštena je preuzeti pošiljku otpada u posjed samo ako posjeduje dozvolu za gospodarenje otpadom, upravlja reciklažnim dvorištem, je upisana u Očevidnik osoba koje obavljaju djelatnost gospodarenja otpadom kao sakupljač otpada ili oporabitelj bez dozvole ili kao trgovac otpadom koji može preuzeti otpad u posjed, je preuzimanje određenog otpada u posjed dopušteno propisom kojim se uređuju posebne kategorije otpada, je korisnik otpadnog mulja u poljoprivredi čime je ovlašten preuzeti pošiljku otpadnog mulja sukladno pravilniku kojim se uređuje korištenje mulja u poljoprivredi ili upravlja grobljem ili krematorijem čime je ovlašten preuzeti pošiljku patološkog otpada sukladno pravilniku kojim se uređuje gospodarenje medicinskim otpadom.

Pritom se, sukladno stavku 2. istog članka, osoba koja je upisana u Evidenciju kao prijevoznik otpada samim tim upisom ne smatra ovlaštenom preuzeti pošiljku otpada u posjed.

Nadalje, člankom 29. stavkom 1. Zakona propisano je da pravna osoba može započeti i obavljati djelatnost oporabe i zbrinjavanja otpada tek nakon što ishodi dozvolu za gospodarenje otpadom za djelatnost za koju je dozvola izdana.

Prema članku 30. Zakona dozvolom za gospodarenje otpadom se određuje:

• osoba kojoj se dopušta obavljanje djelatnosti oporabe odnosno zbrinjavanja otpada
• lokacija gospodarenja otpadom
• vrste i količine otpada sukladno Katalogu otpada
• djelatnost i postupak gospodarenja otpadom s pripadajućim tehnološkim procesima
• način obavljanja postupka gospodarenja otpadom uključujući tehničke i sve druge bitne uvjete za rad na lokaciji za svaki pojedini postupak
• sigurnosne i preventivne mjere
• mjere nadzora i upravljanja
• obveza postupanja s otpadom koji nastaje, odnosno preostaje nakon obavljanja postupka gospodarenja otpadom
• rok važenja dozvole za gospodarenje otpadom
• mjere nakon zatvaranja, odnosno prestanka obavljanja postupaka za koje je izdana dozvola uključujući i uklanjanje svog otpada s lokacije gospodarenja otpadom.

Slijedom navedenog, za potrebe ugovaranja usluge uništavanja povjerljive dokumentacije nije dovoljno utvrditi da izvođač formalno pruža uslugu uništavanja dokumentacije. Potrebno je provjeriti da je izvođač, u skladu s važećim propisima o gospodarenju otpadom, ovlašten preuzeti predmetnu dokumentaciju u posjed te da njegovo ovlaštenje obuhvaća konkretnu vrstu otpada i konkretne postupke gospodarenja otpadom koje će primjenjivati pri njezinu preuzimanju i/ili oporabi.

1.3. Prateći list za otpad kao obvezni element sljedivosti pošiljke otpada

Naime, člankom 24. stavkom 1. Zakona propisano je da je posjednik otpada koji predaje pošiljku otpada dužan uz pošiljku osobi koja preuzima otpad predati ispunjeni pisani ili elektronički Prateći list (PLO) koji sadrži podatke o otpadu te podatke o osobama uključenima u gospodarenje tim otpadom.

Članak 24. stavak 3. navodi kako je osoba koja prevozi otpad dužna uz pošiljku imati ispunjeni i ovjereni prateći list te stavak 4. uređuje kako ovjera pratećeg lista u sustavu e-ONTO predstavlja potvrdu predaje odnosno preuzimanja pošiljke otpada.

Dodatno je u Pravilniku o gospodarenju otpadom uređen sadržaj pratećeg lista te prema članku 7. sadrži podatke o pošiljci otpada, toku otpada, pošiljatelju, prijevozniku, primatelju, posredniku odnosno trgovcu i konačnom obrađivaču otpada.

Nadalje, članak 8. Pravilnika propisuje podatke o ovlastima sudionika za preuzimanje otpada u posjed, prijevoz odnosno posredovanje ili trgovanje u gospodarenju otpadom.

Stoga je kod ugovaranja usluge uništavanja dokumentacije potrebno osigurati potpunu dokumentacijsku sljedivost otpada tijekom cijelog procesa.

U postupku odabira Izvršitelja usluge uništavanja dokumentarnog gradiva i ostale papirnate dokumentacije koja sadržava ili može sadržavati osobne podatke, važno je osigurati da Voditelj obrade kao i odabrani Izvršitelj posluju u skladu s važećim propisima Republike Hrvatske i Europske unije, osobito s odredbama Opće uredbe o zaštiti podataka (EU) 2016/679 (GDPR).

Sukladno članku 28. stavak 1. Opće uredbe, Voditelj obrade može povjeriti obradu osobnih podataka isključivo Izvršitelju obrade koji pruža dostatna jamstva za provedbu odgovarajućih tehničkih i organizacijskih mjera kojima se osigurava zakonita obrada i zaštita prava ispitanika. Istodobno, članak 32. Opće uredbe navodi obvezu provedbe odgovarajućih sigurnosnih mjera radi zaštite osobnih podataka tijekom cijelog procesa obrade, uključujući u konačnici i njihovo uništavanje.

Agencija za zaštitu osobnih podataka (AZOP) na svojim službenim stranicama navodi sljedeće:

Naime Opća uredba daje mogućnost voditelju obrade da povjeri izvršitelju obrade obavljanje samo nekih točno ugovorenih poslova u ime i za račun voditelja obrade. Ugovorom ili drugim pravnim aktom potrebno je detaljno regulirati međusobna prava i obveze između voditelja obrade i izvršitelja obrade (članak 28. Opće uredbe).

Ističemo kako izvršitelj obrade mora jamčiti zaštitu i povjerljivost obrade osobnih podataka te provoditi odgovarajuće mjere zaštite kako bi osigurao i mogao dokazati da se obrada provodi u skladu sa Općom uredbom.

Izvor: azop.hr

Za predmetnu situaciju osobito je relevantna uvodna izjava br. 146. Opće uredbe, kojom se naglašava načelo potpune i učinkovite naknade štete te široko tumačenje odgovornosti Voditelja obrade i Izvršitelja obrade te je isto normirano u članku 82. koji navodi sljedeće:

(…)

2. Svaki Voditelj obrade koji je uključen u obradu odgovoran je za štetu prouzročenu obradom kojom se krši ova Uredba. Izvršitelj obrade je odgovoran za štetu prouzročenu obradom samo ako nije poštovao obveze iz ove Uredbe koje su posebno namijenjene izvršiteljima obrade ili je djelovao izvan zakonitih uputa Voditelja obrade ili protivno njima.

(…)

4. Ako je u istu obradu uključeno više od jednog voditelja obrade ili izvršitelja obrade ili su u istu obradu uključeni i voditelj obrade i izvršitelj obrade i ako su, u skladu sa stavcima 2. i 3., odgovorni za bilo kakvu štetu prouzročenu obradom, svaki voditelj obrade ili izvršitelj obrade smatra se odgovornim za cjelokupnu štetu kako bi se osigurala učinkovita naknada ispitaniku.

(…)

Iz navedene odredbi proizlazi kako odgovornost za zakonitost obrade osobnih podataka nije ograničena isključivo na Izvršitelja obrade, već da i Voditelj obrade snosi odgovornost za štetu nastalu uslijed odabira Izvršitelja koji ne posluje u skladu sa zakonom propisanim uvjetima ili ne postupi u skladu s odredbama Opće uredbe.

Posebno ističemo da se ovlaštenost za postupanje s otpadom ne može promatrati isključivo kao svojstvo jednog društva uključenog u cijeli lanac gospodarenja otpadom.

Člankom 24. stavkom 5. Zakona o gospodarenju otpadom propisano je da su pošiljatelj, primatelj i, kada je primjenjivo, posrednik dužni razmijeniti sve informacije potrebne za ispunjavanje Pratećeg lista, uključujući podatke o ovlaštenju za preuzimanje otpada, načinu obrade otpada i odredištu za obradu otpada. Nadalje, člankom 21. stavkom 2. Zakona propisano je da se obrada otpada povjerava osobi kojoj je, sukladno Zakonu, dopuštena obrada otpada.

Slijedom navedenog, potrebno je provjeriti svaki subjekt koji u konkretnom lancu gospodarenja otpadom stvarno obavlja pojedinu reguliranu radnju te utvrditi postoji li za takvo postupanje odgovarajuće zakonsko ovlaštenje.

Primjerice, ako ugovoreni izvođač:

• preuzima dokumentaciju,
• organizira ili obavlja njezin prijevoz,
• provodi uništavanje dokumentacije,
• preuzima otpad nastao nakon uništavanja,
• skladišti tako nastali otpad,
• predaje ga drugom obrađivaču ili
• organizira njegovu daljnju oporabu

potrebno je za svaku pojedinu fazu utvrditi tko je stvarni izvršitelj predmetne radnje te na temelju kojeg zakonskog ovlaštenja, odnosno dozvole ili drugog odgovarajućeg upisa, tu radnju obavlja.

Stoga nije dostatno navesti da „podizvršitelj ima važeću Dozvolu za gospodarenje otpadom“ ako ugovoreni izvođač sam obavlja radnju za koju je, prema Zakonu, potrebno odgovarajuće ovlaštenje. U slučaju društva koje neposredno pruža uslugu preuzimanja, prijevoza i uništavanja papirnate dokumentacije, potrebno je stoga utvrditi da to društvo samo ispunjava sve zakonske uvjete i raspolaže odgovarajućim ovlaštenjem za radnje koje stvarno obavlja, neovisno o tome što je za pojedine faze postupka angažiralo podizvršitelja.

Posebno naglašavamo da se dozvola ili drugo ovlaštenje jednog društva ne može automatski smatrati ovlaštenjem drugog društva niti se na njega prenosi samim ugovaranjem ili angažiranjem podizvršitelja.

Ako voditelj obrade ugovori obavljanje određene usluge s društvom A, a društvo A neposredno preuzima otpad u posjed ili obavlja određenu radnju obrade otpada, potrebno je provjeriti je li upravo društvo A za takvu konkretnu radnju ovlašteno sukladno Zakonu o gospodarenju otpadom. Pri tome nije dostatno provjeriti ovlaštenje društva B kojem će društvo A eventualno naknadno predati otpad nastao nakon obrade.

Zakon o gospodarenju otpadom razlikuje različite uloge i subjekte uključene u gospodarenje otpadom, među ostalim posjednika otpada, prijevoznika otpada, posrednika te osobe koje obavljaju obradu otpada, pri čemu se za pojedine radnje propisuju različiti uvjeti i oblici ovlaštenja.

Posebno ističemo da sam upis u Evidenciju prijevoznika otpada prema članku 47. Zakona o gospodarenju otpadom ne predstavlja ujedno i ovlaštenje za preuzimanje otpada u posjed. Zakon izričito propisuje da se osoba koja je upisana u Evidenciju kao prijevoznik otpada na temelju tog upisa ne smatra ovlaštenom preuzeti pošiljku otpada u posjed.

Slijedom navedenog, prilikom angažiranja podizvršitelja potrebno je provjeriti njegov pravni status i opseg ovlaštenja upravo u odnosu na konkretnu radnju koju će stvarno obavljati, a ne samo utvrditi postojanje općeg upisa u odgovarajuću evidenciju ili postojanje dozvole koja se odnosi na drugu osobu, drugu radnju ili drugi postupak gospodarenja otpadom.

S aspekta zaštite osobnih podataka, dodatno se pitanje usklađenosti s primjenjivim propisima o zaštiti osobnih podataka postavlja u slučaju kada društvo kojem je povjerena dokumentacija za njezino preuzimanje, prijevoz, uništavanje ili drugu vrstu obrade angažira drugo društvo.

Naime, člankom 28. stavkom 1. Opće uredbe o zaštiti podataka propisano je da voditelj obrade koristi samo izvršitelje obrade koji pružaju dostatna jamstva za provedbu odgovarajućih tehničkih i organizacijskih mjera na način da obrada ispunjava zahtjeve Opće uredbe i osigurava zaštitu prava ispitanika. Nadalje, člankom 28. stavkom 2. Opće uredbe izričito je propisano da izvršitelj obrade ne smije angažirati drugog izvršitelja obrade bez prethodnog posebnog ili općeg pisanog odobrenja voditelja obrade.

U slučaju angažiranja drugog izvršitelja obrade, člankom 28. stavkom 4. Opće uredbe propisano je da se na tog drugog izvršitelja obrade, putem ugovora ili drugog pravnog akta, moraju prenijeti iste obveze zaštite podataka koje su ugovorom ili drugim pravnim aktom između voditelja obrade i prvog izvršitelja obrade utvrđene za prvog izvršitelja obrade. To uključuje i obvezu provedbe odgovarajućih tehničkih i organizacijskih mjera zaštite osobnih podataka.

Slijedom navedenog, kod povjerljive dokumentacije koja sadržava osobne podatke potrebno je posebno voditi računa o tome da se obrada povjeri samo subjektima koji pružaju odgovarajuća jamstva za zaštitu osobnih podataka te da se angažiranje dodatnih podizvršitelja provodi u skladu s uvjetima propisanima člankom 28. Opće uredbe.

Stoga je, s aspekta kontrole nad obradom i zaštite povjerljivosti dokumentacije, opravdano ograničiti uključivanje dodatnih podizvršitelja na slučajeve u kojima je njihovo angažiranje nužno za izvršenje ugovorene usluge. Ako se podizvršitelj ipak angažira, potrebno je unaprijed jasno utvrditi njegovu ulogu i opseg aktivnosti obrade, osigurati odgovarajuće odobrenje voditelja obrade kada je ono potrebno te provjeriti ispunjava li podizvršitelj odgovarajuće organizacijske, tehničke, sigurnosne i regulatorne uvjete za obavljanje konkretne aktivnosti.

Zakonski okvir gospodarenja otpadom prvenstveno se temelji na odgovarajućim dozvolama, upisima i drugim propisanim ovlastima.

Certifikati poput:

• ISO 9001: sustav upravljanja kvalitetom,
• ISO/IEC 27001: sustav upravljanja informacijskom sigurnošću,

mogu predstavljati vrlo važan dokaz organiziranosti i sigurnosti pružatelja usluge, odnosno mogu biti zahtijevani ugovorom, natječajem ili internim pravilima voditelja obrade, ali ih ne treba predstavljati kao univerzalnu zakonsku zamjenu za dozvolu za gospodarenje otpadom.

Dakle, certifikat ne može zamijeniti zakonsku dozvolu odnosno ovlaštenje kada je ono potrebno za konkretnu radnju s otpadom.

4.1. Preporuka voditelju obrade

Radi smanjenja regulatornog, sigurnosnog i reputacijskog rizika potrebno je da se prije ugovaranja usluge od izvođača zatraži sljedeće:

• dokaz o registraciji i identitetu društva,
• dokaz o odgovarajućoj dozvoli za gospodarenje otpadom,
• provjera vrsta otpada i postupaka obuhvaćenih dozvolom,
• primjer odnosno obrazac Pratećeg lista,
• primjer obrasca Annex VII s podacima o konačnom obrađivaču otpada,
• ugovorne odredbe o povjerljivosti i zaštiti osobnih podataka,
• odgovarajuće dokaze o sigurnosti postupka cijelog procesa,
• odgovarajući dokaz o razini uništavanja prema Europskom standardu DIN 66399.
• po potrebi certifikate sustava upravljanja i informacijske sigurnosti

Smatramo da kod ugovaranja usluge uništavanja papirnate dokumentacije nije dovoljno utvrditi samo da izvođač raspolaže strojem za uništavanje papira ili da papir nakon uništavanja predaje na recikliranje.

Potrebno je provjeriti cjelokupni pravni okvir i operativni lanac postupanja.

Kod uništavanja povjerljive dokumentacije, za voditelja obrade najvažnije je osigurati sljedivost, zakonitost i kontrolu cijelog procesa, a ne samo sami čin fizičkog uništavanja dokumentacije.