L'Agence pour la protection des données personnelles (AZOP) de Croatie a émis une réprimande à l'encontre de la Ville de Zagreb et a interdit la publication de la liste préliminaire des demandeurs de logements sociaux.
Cette intervention fait suite à la publication sur le site internet de la ville d'un document contenant le nom, le prénom et le numéro d'identification personnel (OIB) de 1 100 personnes. La Ville de Zagreb a invoqué une obligation légale découlant d'une décision locale sur la location de logements comme base juridique au sens de l'article 6, paragraphe 1, point c) du RGPD. L'AZOP a jugé cette base insuffisante, précisant qu'une telle obligation doit provenir d'une loi nationale ou d'un acte ayant une traçabilité législative formelle, ce qui n'est pas le cas d'une simple décision d'une collectivité locale. L'autorité a souligné que la publication aurait pu être effectuée de manière à empêcher l'identification des personnes concernées.

L'AZOP a également rappelé que, bien que la Loi sur le droit à l'accès à l'information oblige les autorités publiques à publier les résultats des procédures de concours, le volume des données divulguées doit être contrôlé. La publication doit respecter les principes de proportionnalité et de minimisation des données, en ne diffusant que les informations personnelles adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités.