10 STVARI KOJE BI TREBALO DA ZNATE O GDPR-U

Novi gostujući autor na PraviLaw blogu (više o autoru na dnu teksta), sa veoma zanimljivom temom, a to je naravno, sada već popularni, GDPR (General Data Protection Regulation).

Autentični tekst možete čitati i na LawIT platformi, ali svakako uživajte u usvajanju znanja koja nam pruža autor i urednik LawIT platforme:

GDPR (General Data Protection Regulative) je donet u formi uredbe (regulative), što znači da je ovo opšti pravni akt koji donose organi EU i koji se primenjuje u svim državama EU od dana stupanja na snagu bez potrebe za posebnom ratifikacijom. Osnovni cilj ovog pravnog akta je zaštita ličnih podataka. Lični podatak je svaki podatak koji upućuje na tačno određeno fizičko lice: lično ime, JMBG, broj telefona, fotografija na kojoj se može prepoznati određeno lice, email adresa, IP adresa, broj tablice i dr. Ako prikupljate podatke ili ih obrađujete, ovo su 10 stvari koje morate znati o novog GDPR-u (iz ugla pravnika):

1. GDPR se primenjuje na privredne subjekte koji posluju na teritoriji Srbije (kao i drugih zemalja van EU).

Ovaj akt je netipičan jer se primenjuje i izvan granica EU koja je donela ovaj akt, a u skladu sa članom 3 GDPR-a. U članu 3 stav 2 GDPR-a propisano je da će se ovaj akt koristiti na sve kompanije izvan EU pod uslovima da oni svoje robu i usluge prezentuju potencijalnim klientima u EU i da se iz njihovog ponašanja može zaključiti da robu i usluge nude u EU.

Naime, ovim aktom se štite lični podaci građana EU bez obzira gde se prostorno njihovi podaci prikupljaju ili gde se podacima upravlja. Tako u Republici Srbiji privredni subjekti (preduzetnici, privredna društva, firme, kompanije itd.) koji u poslovanju prikupljaju, obrađuju i upravljaju podacima državljana EU moraju to činiti u skladu sa GDPR-om, a pod pretnjom kazne.

Kada GDPR se primenjuje na kompanije iz srbije?

Neke od situacija kada se GDPR primenjuje na kompanije iz Srbije su sledeće:

• kada koriste internet domene država EU,
• kada koriste načine reklamiranja svojih proizvoda i usluga na tržištu EU (Google Adwords npr.)
• kada koriste jezik ili valutu EU, a tako da se može zaključiti da imaju nameru da usluge i proizvode plasiraju na tržište EU i kada imaju mogućnost dostavljanja na teritoriju EU.

2. GDPR se primenjuje i na podatke koji su prikupljeni pre njegovog donošenja.

GDPR je na snagu stupio 25.05.2018. godine, ali ovaj pravni akt će se primenjivati i na podatke koji su prikupljeni pre ovog datuma. Svi privredni subjekti koji su prikupljali podatke pre ovog datuma na način koji nije u skladu sa GDPR-om, moraju da ponovo prikupe date podatke ili da jednostavno pošalju upit svojim klientima, partnerima i drugim subjektima čije su podatke skladištili kako bi dobili potvrdu ovih lica da se slažu da privredni subjekt zadrži već prikupljene podatke i nastavi da ih koristi u skladu sa GDPR-om, Privacy Policy i drugim dokumentima.

3. Email adresa jeste lični podatak

Obzirom da email upućuje na određenu ličnost, fizičko lice, odnosno da na osnovu emaila možemo detektovati određenu ličnost, email jeste lični podatak. Posledica ove činjenice jeste ta da i samo prikupljanje emailova mora biti sprovedeno u skladu sa GDPR-om.

Poznat je vid marketinga pod nazivom newsletter marketing, gde privredno društvo prikuplja emailove, a u cilju da na iste prosleđuje tipske poruke kojima nudi svoje proizvode i usluge. Obzirom da se ovo prikupljanje emailova mora vršiti u skladu sa GDPR-om i ovaj vid marketinga pretrpeće određene promene. Naime, privredni subjekti moraju obavestiti subjekte čije podatke prikupljaju o tome da njihove podatke skladište i o razlozima zbog kojih to rade, te tražiti dozvolu za prikupljanje podataka. Dozvola mora biti data aktivnom radnjom subjekta i bezuslovno.

4. Bitno je isticati koji podaci se prikupljaju i kako se koriste (poseban osvrt na sajt).

Licu čiji se podaci obrađuju u svakom momentu mora biti poznato koji se njegovi podaci prikupljaju i u kojem cilju, tj. kako će biti korišćeni. Kod onih pravnih lica koja rade putem sajtova i prikupljaju podatke putem istih postoje posebne poteškoće.

U zavisnosti od svrhe sajta, sajt može prikupljati podatke posetioca sajta pri samoj poseti li pri obavljanju određenih radnji na sajtu. Prikupljanje podataka na sajtu obično se izvršava pomoću kontakt forme, a svi prikupljeni podaci čuvaju se u bazama podataka sajta. Ceo postupak prikupljanja i upravljanja podacima mora biti u skladu sa GDPR-om.

Dakle, u trenutku prikupljanja podataka, licima čiji se podaci prikupljaju (subjekti) mora biti predočeno koji se podaci prikupljaju, na koji način, kako će se postupati sa tim podacima, odnosno za šta će biti korišćeni.

Opšte prihvaćen način da se subjekti informišu o ovome jeste kroz pisani ugovor koji potpisuju pri stupanju na sajt, registraciji. Ovi ugovori zaključuju se u elektronskom obliku i mogu imati više različitih formi, naziva, pa će se tako najčešće pojavljivati Privacy Policy, ali nije isključeno da odredbe vezane za Privacy Policy pronađete inkorpirirane u ugovore pod nazivom Terms&Conditions, Terms of Agreement.

Ono što je bitno je da aktivnom radnjom subjekt mora označiti da prihvata ugovorne uslove takvi kakvi su ponuđeni od strane urednika sajta. U tom momentu smatra se da je lice potpisalo ugovor i da je informisano o sadržaju istog. Ugovor mora biti na raspolaganju stranci uvek da ga pročita. Na sajtu se svako prikupljanje podataka mora vršiti u skladu sa onim što je naznačeno u ugovoru.

Predlog je da se ne prikupljaju nepotrebni i suvišni podaci, te da kontakt forma bude kratka, jasna i pripremljena tako da prikuplja samo neophodne podatke za koje je u ugovoru navedeno da se prikupljaju. Bitno je napomenuti da mnogi sajtovi koriste alate (tools, npr. CRM) i kolačiće (cookies). U ugovoru mora biti navedeno koje alate i kolačiće koristi sajt i koje podatke oni prikupljaju i u koje svrhe.

Vlasnik sajta bi trebalo da pazi da koristi samo one alate i kolačiće koji su u skladu sa GDPR-om.

Obavezno je da posetilac sajta aktivnom radnjom prihvati zaključenje ugovora sa vlasnikom sajta.

5. Sa transkriptima četova se mora postupati kao sa podacima o ličnosti

Način na koji se čuvaju sadržaji četova, te kako se istima upravlja moraju biti u skladu sa GDPR-om. Vlasnik sajta na kojem se koriste četovi drugih provajdera moraju proveriti da li se ti četovi vode u skladu GDPR-om, jer su oni odgovorni za povrede odredaba GDPR-a korisnicima. xUpravljanje transkriptima ovakvih četova dakle mora biti unapred poznato korisniku koji pristupa sajtu.

6. Baze podataka moraju biti osigurane od stranog pristupanja

Pravila vezana za prikupljanje podataka pogađaju sve vrste bazi podataka koje sadrže lične podatke subjekata. Vlasnik baze podataka je dužan da za svaki ilegalan pristup podacima o istome obavesti stranke, te učini sve da zaštiti podatke koje je prikupio o korisniku, ili obriše podatke ukoliko to stranka zahteva.

Neka od rešenja kojima se može garantovati sigurnost podataka jesu pseudonimizacija i enkripcija. Pseudonimizacija se vrši tako što se stvara više baza podataka u kojima se čuvaju različiti podaci korisnika, a koji se podaci povezuju pomoću ključeva.

7. Obim prava data subjekata je proširen

Generalno GDPR-om se propisana pravila koja se primenjuju na sve vidove prikupljanja podataka, a koji se obzirom na tehnologiju prikupljanja moraju prilagoditi svakom načinu prikupljanja i obrade istih.

GDPR-om su tako proklamovana određena prava subjekata koja im moraju biti zagarantovana u svakom i najmanjem sistemu koji se bavi prikupljanjem i upravljanjem podacima. Neka od prava zagarantovanih subjektima su sledeća:

• pravo subjekta da bude obavešten o razlozima prikupljanja podataka i načinima upravljanja istih,
• pravo da bude obavešten u svakom momentu o tome koje podatke poseduje onaj ko ih prikuplja,
• pravo da podaci budu tačni, ispravljeni, dopunjeni,
• pravo da bude obavešten o svakoj kompromitaciji podataka u sistemu,
• pravo na zaborav (right to be forgoten).

Šta ako vlasnik privrednog subjekta proda taj privredni subjekt?

[BONUS] Pravo vlasnika privrednog subjekta je da proda taj privredni subjekt, ali prodajom subjekta najčešće se prodaje i imovina u šta spadaju i baze podataka. Ostaje upitno da li će sa prodajom privrednog subjekta biti moguće na novog vlasnika preneti i baze podataka koje ovaj subjekt poseduje.

Ovaj problem rešava se kvalitetnim sačinjavanjem ugovora, Terms of Agreement, pri prikupljanju podataka, jer bi najsigurnije bilo kada bi subjektima bilo poznato da privredni subjekt može biti prodat sa svojom imovinom koju čine i baze podataka.

Naravno podaci se moraju nastaviti koristiti u skladu sa ugovorenim, odnosno predstavljenim u trenutku potpisivanja ugovora. Ovo je posebna tematika koja se javlja u okviru diskursa o pravu subjekta da bude obavešten o mogućim načinima upravljanja njegovim podacima.

8. Za kršenje propisa u poslovanju privrednih subjekata utvrđene su teške kazne

GDPR je propisao dve grupe kazni koje se izriču za određena kršenja ovog akta:

• 1. 2% godišnjeg globalnog obrta novca, ili maksimalno 10 miliona evra, za sledeća kršenja GDPR-a: kršenje podataka, nekorišćenje usluga DPO-a (Data Protection Operator), nesprovođenje DPIA (Data Protection Impact Assessment), nečuvanje odgovarajućih zapisa.
• 2. 4% godišnjeg globalnog obrta novca, ili maksimalno 20 miliona evra, za sledeća kršenja GDPR-a: nedobijanje pristanka, neuvažavanje prava korisnika propisanih GDPR-om, izmeštanje podataka izvan EU opisano u poglavlju 5 GDPR-a.

U praksi smo bili svedoci nekih već izrečenih kazni. Npr. Google je kažnjen novčanom kaznom u iznosu od 50 miliona evra.

9. Kazne će moći da budu izvršene u državama izvan EU, kao što je Republika Srbija

Da li će ove kazne biti uspešno naplaćivane na teritoriji RS u izostanku dobrovoljnog izvršenja ostaje da se vidi, ali politika okrenuta ka evropskim integracijama jeste jak predznak da će domaći sudovi takvim odlukama kroz postupak legalizacije stranih odluka davati snagu domaćih, odnosno izvršnost.

Ovim putem će odluke ulaziti u pravni sistem Republike Srbije i biće omogućeno da se sistem prinudnog izvršenja i institucije koje predstavljaju nosioce ovog postupka stave na raspolaganje EU. Na koncu konca, Republika Srbija se potpisom na Sporazum o stabilizaciji i pridruživanju potpisanim sa EU, obavezala da će svoje zakonodavstvo uskladiti sa zakonodavstvom EU.

10. Postavljanje DPO-a ne oslobađa privredni subjekt odgovornosti za kršenje GDPR-a

Svaki privredni subjekt može postaviti DPO (Data Protection Operator). Ovo bi trebalo da pomogne da se zaštita podataka ličnosti u poslovanju podigne na viši nivo, ali ukoliko privredni subjekt prekrši prava podataka ličnosti, privredni subjekt će odgovarati za ta kršenja obavezujućih odredaba GDPR-a i potencijalno biti kažnjen, a ne fizičko lice koje je na poziciji DPO-a u privrednom subjektu. Ovo lice će eventualno odgovarati za materijalnu štetu prouzrokovanu privrednom subjektu u skladu sa odredbama o odgovornosti zaposlenog u skladu sa važećim Zakonom o radu.

Zaključak autora

Svaki privredni subjekt registrovan u Srbiji, a koji posluje na tržištu EU, odnosno prikuplja podatke građana EU mora to raditi u skladu sa GDPR-om ili izabrati da ignoriše ovo tržište. Moguće je ignorisati građane EU na brojne načine koji su bliži IT stručnjacima (npr. blokiranjem lica koja sajt posećuju sa IP adresa registrovanih u EU), ali danas kada je Srbija okružena državama članicama EU ovo nije najefikasniji način da se suoči sa problematikom zaštite ličnih podataka.

Zato predlažemo da ne ignorišete ovo veliko tržište već da radite na pronalasku pravne podrške, pripremi kvalitetnih elektronskih ugovora (Terms and Conditions, Terms of Agreement, Privacy Policy) koje ćete ponuditi svojim klientima, korisnicima, posetiocima sajtova, partnerima i na opštem usklađivanju poslovanja sa GDPR-om.

Napomene:

• Novi Zakon o zaštiti podataka o ličnosti počinje da se primenjuje od 21.08.2019. godine i o njemu i njegovoj usklađenosti sa GDPR-om će biti reči drugom prilikom.
• Ovaj tekst sadrži predloge i savete date nakon pravne analize teksta GDPR-a, ali ovaj tekst ne predstavlja zamenu za angažovanje DPO-a u vašem privrednom subjektu, te pravnu konsultaciju ili pravnu pomoć, a što bi trebalo biti individualizovano za svaki poseban poslovni projekat, firmu, sajt i dr.

Autor pruža zahvalnost dvojici saradnika:

• Ivan Andrejević, diplomirani pravnik, za pruženu stručnu pomoć u istraživanju i tumačenju literature i razmeni mišljenja.
• Ivan Belić, stručnjak u oblasti prava zaštite podataka ličnosti, za pružene savete i obezbeđenu literaturu.