L'autorité croate de protection des données (AZOP) a émis un avis concernant la communication d'informations sur les paiements d'heures supplémentaires à des agents municipaux, dans le cadre d'une demande d'accès à des documents publics.

Saisie sur la divulgation des noms des agents, des montants versés et des motifs de ces paiements, l'autorité a clarifié que ces informations constituent des données personnelles. Toutefois, leur communication est licite car elle se fonde sur une obligation légale, conformément à l'article 6, paragraphe 1, point c du RGPD, en lien avec la loi nationale sur l'accès à l'information. Cette dernière prévoit que les informations relatives à l'utilisation des fonds publics, incluant les rémunérations, sont accessibles au public. Le consentement des employés n'est donc pas requis pour cette transmission. La municipalité est tenue de fournir les documents existants justifiant les heures supplémentaires, sans être obligée de créer une nouvelle analyse.

L'AZOP a souligné que le principe de minimisation des données de l'article 5, paragraphe 1, point c du RGPD doit être respecté. Ainsi, si les noms, le nombre d'heures, les montants bruts et les motifs officiels peuvent être divulgués, toutes les autres données personnelles non pertinentes (numéro d'identification personnel, adresse, IBAN, informations fiscales ou de santé) doivent être occultées. La municipalité, en tant que responsable du traitement, reste seule décisionnaire quant à l'étendue exacte des informations à communiquer, en s'appuyant sur les conseils de son délégué à la protection des données.