Šta je politika privatnosti – kako je tačno izraditi? (korak po korak)

Potrebno je imati na umu da je ovaj tekst čisto inspirativan i da je ono što je u njemu napisano podložno promenama, naričito što više bude vreme odmicalo.

Sadržaj ove objave:

• Šta je to Politika privatnosti?
  • Šta je adhezioni ugovor?
• Zašto je Politika Privatnosti važna?
  • Zakonistost obrade – čl.12. st 1 tač. 1) i 2)
  • Pristanak – čl. 15.
  • Transparentnost – čl 21. st. 1;
• Kako izgleda Politika Privatnosti?
  • Elementi Politika Privatnosti;
• Hints and tips;
  • Preporuke Article 29 WP (Radna grupa 29);
  • Primeri loše / dobre prakse;
• Statistika u Srbiji bazirana na Otisak.org
• Zaključak

Šta je to tačno Politika Privatnosti?

Politika Privatnosti može se posmatrati kao ugovor! Jeste, kao ugovor, koliko god to čudno zvučalo na prvu loptu. I to kakav ugovor? Politika privatnosti bi trebalo da se posmatra kao adhezioni ugovor!

Mimo toga, Politika privatnosti je ugovor koji štiti privatnost korisnika koji posećuju sajtove firmi, kompanija ili organa javne vlasti koji prikupljaju podatke o ličnosti tih korisnika. Dakle politika privatnosti se bavi zaštitom podataka o ličnosti. E sada, hajde da vidimo šta je to adhezioni ugovor?

Šta mu dođe adhezioni ugovor?

Adhezioni ugovor je ugovor u kojem strane imaju takvu nesrazmernu pregovaračku moć da strana slabije pregovaračke moći nije mogla da pregovara o varijacijama u uslovima ugovora. Ovo sad možda deluje konfuzno, ali zapravo je vrlo jednostavno.

Ovo znači da jedna strana je postavila uslove ugovora, pa druga strana ako hoće da koristi sajt na čijem se nalazi takav ugovor (u ovom sluačju Politika privatnosti) jednostavno mora da se složi sa apsolutno svime što piše u ugovoru. Dakle, ono što piše u Politici privatnosti, korisnik sajta nikako ne može da utiče na činjenično stanje, već ako želi da koristi sajt, mora se složiti sa istim.

Ok, ovo je sve do sada bila teorija, koja može malo da zbuni, pa hajdemo sada da pređemo na praksu, koja je daleko jednostavnija i prijemčivija za čitanje.

Zašto je Politika privatnosti važna?

Važnost i neophodnost posedovanja Politike Privatnosti (PP) ogleda se pre svega u Zakonu o zaštiti podataka o ličnosti (ZZPL-u), ali i Opštoj povelji EU o zaštiti podataka o ličnosti (GDPR-u).

Osim zakonske obaveze, ovo je važno kako bismo potencijalno svojim klijentima ulili poverenje da naš biznis nije tu samo zbog profita, već i da brinemo o svojim korisnicima, o njihovoj privatnosti i opštem blagostanju u društvu (CSR) – to je ono što nas, izdvaja od drugih i pokazuje koliko je naša kompanija, firma ili organ vlasti determinisan da bude naklonjen pojedincu, običnom čoveku i demokratskim vrednostima koje smo, berem mi u Srbiji, počeli da gajimo još od 1835. godine Sretenjskim ustavom – jednim od najliberalnijih ustava tadašnjice.

Kako bismo istakli legalnu, tj. zakonsku važnost imanja PP na našim sajtovima, možemo da počnemo sa pregledom načela koja su predviđena u samom zakonu:

U odeljku II Načela ZZPL-a, član 12. bavi se temom “Zakonitost obrade”. Ovde su naročito interesantne tačke 1) i 2), stava 1, koje kažu:

1) Obrada je zakonita samo ako lice na koje se podaci o ličnosti odnose je pristalo na obradu svojih podataka o ličnosti za jednu ili više posebno određenih svrha;

• Gotovo svaki sajt koji prikuplja, a skoro svi prikupljaju, neke vrste podataka, obrađuje ih u neku posebnu svrhu, zar ne? Bilo da je to analitika, ili radi ostvarivanja neke funkcije/usluge koju sajt nudi, ili nešto sasvim treće – dakle, postoji neka svrha obrade;

2) Obrada je zakonita samo ako je neophodna za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili za preduzimanje radnji, na zahtev lica na koje se podaci odnose, pre zaključenja ugovora;

• Ovo je naročito interesantno za one sajtove koji se bave pružanjem nekih usluga, odnosno prodajom nekih proizvoda; Zakon o zaštiti potrošača je ovde u koliziji sa ZZPL-om, te nam je ovo načelo iz navedenog razloga zato potrebno da shvatimo, zašto moramo imati PP na sajut;

Član 15 – PRISTANAK!

Možda najpopularniji među svim načelima, definitivno je važan za PP.

Zavisno od našeg sajta, možda je priroda funkcije sajta takva da zahteva pristanak lica čiji se podaci obrađuju, da se zapravo njihovi podaci obrađuju, pa je zbog toga zgodno da imamo jasan pristanak na obradu istih (ovo je posebno istakla Article 29 Working Party – o čemu ćemo nešto kasnije). Kod onih sajtova koji nude nekakve usluge, naročito je važan stav 4 ovog člana…

Kako ne bismo pretvorili ovo predavanje u monotono i dosadno tumačenje načela koja možemo vrlo lako pročitati bilo u zakonu, bilu u autentičnim tumačenjima istog, pređimo na poslednji i možda najinteresantniji i najkonkretniji razlog za postojanje PP-a – Transparentnost.

Stav 1 je ovde ključan, a koji glasi:

“Rukovalac je dužan da preduzme odgovarajuće mere da bi licu na koje se podaci odnose pružio sve informacije iz čl. 23. i 24. (što su informacije koje se pružaju kad se podaci o ličnosti (ne)prikupljaju od lica na koje se odnose), odnosno informacije u vezi sa ostvarivanjem prava iz člana 26, čl. 29. do 31, člana 33, čl. 36. do 38. (što su pravo na ispravku, dopunu, brisanje, ograničenje i prenosivost, kao i automatizovano donošenje pojedinačnih odluka i profilisanje) i člana 53. ovog zakona, na sažet, transparentan, razumljiv i lako dostupan način, korišćenjem jasnih i jednostavnih reči, a posebno ako se radi o informaciji koja je namenjena maloletnom licu. Te informacije pružaju se u pismenom ili drugom obliku, uključujući i elektronski oblik, ako je to pogodno. Ako lice na koje se podaci odnose to zahteva, informacije se mogu pružiti usmeno, pod uslovom da je identitet lica nesumnjivo utvrđen.”

Dakle ovde vidimo da bez PP ne možemo da ispunimo ovu zakonsku obavezu na našem sajtu ili profilu društvene mreže (za slučaj nemanja sajta)!

Kako izgleda Politika Privatnosti (KORAK PO KORAK)

U skladu sa ZZPL-om, ali i GDPR-om (za slučaj da poslujemo sa korisnicima koji su stanovnici i rezidenti na teritoriji EU), moramo u svoju politike privatnosti uvrstiti nekoliko neophodnih i neizostavnih elemenata (bitna napomena, nije nužno da elementi idu onim redosledom kojim ću ih pobrojavati, mada će vrlo verovatno delovati da je logično da idu tim redosledom jer se nadovezuju jedan na drugog).

Pre nego krenemo na konretne segmente naše politike, važno je voditi se onime što zakon od nas i zahteva, a to je da ispunjava sledeće preduslove:

• Vaša PP treba da bude jasna, direktna i lako razumljiva (pisana jezikom koji mogu svi razumeti, bez obzira na edukativnu, starosnu ili kakvu drugu pozadinu).
• Smanjite tehnički žargon (skraćenice) i pravnu terminologiju na minimum. Politike privatnosti us user-centric, a ne legal-centric, dakle usmerene na korisnika, a ne ka pravnoj terminologiji.
• Ako i kada odlučite da izmenite način na koji koristite lične podatke, morate obavestiti svoje korisnike.
• Politika privatnosti kompanije je jaka onoliko koliko je sposobno osoblje koje je sprovodi. Zato treba voditi računa o tome kome se dodeljuje uloga odgovornog lica za ZZPL – da li će to biti neki od zaposlenih ili pak angažovati profesionalca koji će biti u ulozi obrađivača i DPO-a. Neki od idealnih primera: To može biti IT osoba koja je prošla neophodne obuke kako bi razvila visok stepen pravne pismenosti, usmerene na ovu oblast prava, a najidealniji scenario je da to bude pravnik koji se bavi IT pravom. Tim povodom ideja ovog kongresa je idealna za ovu temu, jer ukazuje na važnost da se pravnici bave modernim tehnologijama i usmeravaju svoje usavršavanje u tom smeru.

Segmenti politike privatnosti

UVOD

Logično je da se počinje od Uvoda, koji ovde ima zadatak da upozna sve posetioce sajta kome tačno pripada sajt – ko je vlasnik sajta, odnosno ko je rukovalac kome poveravaju svoju privatnost. U ovom delu je poželjno najaviti šta sve sadrži PP i šta sve korisnici mogu izvući od informacija, čitajući PP.

Odgovorno lice za zaštitu podataka o ličnosti ispred firme/kompanije/organa vlasti.

Vrlo je važno upoznati posetioce, ko je odgovorno lice koje se bavi zaštitom podataka o ličnosti u firmi čiji sajt posećujemo. Kada izrađujemo PP, važno je da ostavimo ne samo ime odgovorne osobe, već i kontakt podatke u smislu, službeni mejl ili službeni telefon na koji se posetioci mogu obraititi odgovornom licu, radi ostvarivanja nekih svojih prava garantovanih ZZPL-om.

Podaci koje obrađujemo i/ili prikupljamo na sajtu

Ovde je možda najbolje kategorizovati podatke koje prikupljate. Najvažnije je da u ovom segmentu PP istaknete apsolutno sve podatke koje prikupljate – primera radi:

• Možemo prikupljati “Elektronski identifikacione podatke“- šta mu to dođe: to mogu biti:
  • Vrstu pretraživača koji posetioci koristite (Browser) na svom uređaju sa kog pristupaju sajtu firme/kompanije
  • Operativni sistem koji koristite na svom računaru;
  • Kategorija uređaja koji koristite (lap top, pametni telefon, računar, i slično).
• Mogu se takođe prikupljati i “Identifikacioni podaci”:
  • Ime i prezime;
  • Email adresa (adresu elektronske pošte);
  • Mesto stanovanja: Država, grad, ulica i broj;
  • Broj telefona;
  • Dodatne podatke koji su neophodni za pružanje željene usluge za koju se korisnik opredeli u okviru aktuelnih projekata;
  • Ostale podatke koje korisnik svojevoljno ostavi putem kontakt forme ili putem forme ostavljene za određene usluge koje firma nudi.

COOKIES POLICY – POLITIKA KOLAČIĆA

Jedan od segmenata od ogromne važnosti jeste cookie policy, ili politika kolačića. Naročito je važno istaći da postoji orgroman broj kolačića koji mogu obavljati razne funkcije prikupljanja podataka o ličnosti. Neki su bezazleni, prikupljaju samo najopštije analitičke podatke, dok imamo i one vrlo diskutabilne kolačiće poput Hotjar kolačića – to je, recimo, alatka za uvid u bihevioralnu analizu korisnika, gde se analizira šta korisnik prvo gleda kada uđe na sajt i daje nam dublje razumevanje naših korisnika – ovo se može koristiti na način da se sadržaj koji želimo da najviše istaknemo stavimo baš na ono mesto na koje najčešće korisnici prvo gledaju kada uđu na naš sajt – međutim, tu može biti ogromnih zloupotreba, naročito kod nekih senzitivnih tema/usluga kojima se bavimo (recimo ako na sajtu promovišemo kockanje, a sajt nam mogu posećivati ljudi koji su na odvikavanju od ovog poroka).

ZAŠTITA PRIKUPLJENIH PODATAKA

Ovde se misli na tehničke i organizacione sposobnosti kako će prikupljeni podaci o ličnosti sa našeg sajta biti čuvani, obrađivani i kako će se rukovati njima. Dakle, gde će se čuvati, na koji način, koliko dugo, i tome slično. Pirmer:

“Platforma Otisak.org ne prikuplja, niti zadržava Vaše lične podatke u suvišnoj meri, osim onoliko koliko je neophodno za nesmetano funkcionisanje platforme. Koriste se tehničke i organizacione mere u skladu sa dobrom poslovnom praksom kako bi se osigurale prikladne tehničke i organizacione mere za zaštitu Vaših ličnih podataka od slučajnog ili nezakonitog gubitka, promene, krađe, neovlašćenog uvida, otkrivanja i/ili pristupa, neovlašćenog i nezakonitog korišćenja, kao i od drugih nezakonitih vidova obrade.“

RUKOVALAC I OBRAĐIVAČ PODATAKA

Ovde je veoma važno objasniti ko je u ulozi rukovaoca podacima koji se prikupljaju sa našeg sajta – to je najčešće pravno lice u čijem je vlasništvu i sajt. Takođe je veoma važno istaći i ko je obrađivač. Obrađivač sam po sebi može biti i rukovalac istovremeno, ali može biti i zaseban entitet (stručno lice ili firma koja se bavi ovom vrstom poslova). Ono što se ne sme zaboraviti u ovom delu jeste da nije dovoljno reći naša firma je rukovalac, ova firma je obrađivač, već je od izuzetne važnosti pružiti i jasne opise šta znači kada je neko rukovalac, a šta znači kada je neko obrađivač, baš zbog onoga što smo pomenuli na početku ovog segmenta, a to je da je neophodno da PP bude pisana razumno i tako da bez obzira na pozadinu posetioca sajta (edukativna, starosna, i druge pozadine), on/ona može razumeti ko ima koju ulogu, kada je reč o obradi podataka o ličnosti na našem sajtu.

JASNO ISTICANJE PRAVA KORISNIKA KOJI POSEĆUJU NAŠ SAJT

Ovaj podnaslov u našoj PP je od izuzetnog značaja i zakon je ovde vrlo jasan – ovo MORA da bude potpuno jasno istaknuto da svim čitaocima politike privatnosti bude jasno, koja sve prava uživaju po pitanju zaštite svojih podataka o ličnosti koje nam poveravaju na obradu, kao i to šta sve mogu uraditi u skladu sa tim pravima. Ovde je najčešće istaknuto 8 osnovnih prava korisnika, koja nećemo sada pominjati jer bismo onda morali da ih objašnjavamo, ali je poenta da u ovom delu, korisnike moramo uputiti na kontakt osobu (odgovorno lice), kome je neophodno obratiti se u slučaju želje da se neko pravo ostvari, kao i uputiti posetioce na službu Poverenika kome mogu uložiti pritužbu na naš rad u slučaju da smo povredili neka njihova prava ili ih uskratili istih, te i ako smo postupili na način koji je suprotan zakonu i drugim pravnim aktima.

Poslednja 3 segmenta PP su:

• Koliko dugo čuvamo prikupljene podatke, kada će i da li će biti brisani?
• Sa kim delimo i da li delimo prikupljene podatke, dakle da li ih delimo sa trećim licima, kao i to da li ih “izvozimo” za inostranstvo, odnosno u neku državu, koja nije matična država našeg pravnog lica, odnosno sajta;
• Završne odredbe PP u kojima se objašnjava na koji način ćemo postupati u slučaju da dođe do nekih izmena u našim PP. Ovde takođe treba objasniti i istaći šta će se desiti sa podacima u slučaju da se promeni vlasnička struktura naše firme, šta će se desiti ako ugasimo firmu i/ili ako se promeni primarna delatnost firme, kao i ako se promeni forma firme (Primera radi: u smislu ako je registrovana preduzetnička radnja koja prerasta u D.O.O)

Preporuke – primeri dobre i loše prakse

Pre nego krenemo sa preporukama, ovde je ključno da se upoznamo sa jendom vrlo važnom radnom grupom koju je formirala Evropska komisija još mnogo pre početka primene GDPR-a, kako bi nam olakšala snalaženje sa ovom (tada) novom opštom poveljom o zaštiti podataka. Radi se Radnoj grupu član 29 – Ova radna grupa osnovana je članom 29. Direktive Evropskog parlamenta i Evropskog Saveta 95/46/EZ, nezavisna u svom radu, imala je savetodavni položaj i svojim stavovima koje dostavlja Evropskoj komisiji u velikoj meri uticala je na kreiranje politike Evropske unije u oblasti zaštite podataka o ličnosti.

Za početak, preporuka bi bila da se, a što smo ujedno i u obavezi, da PP bude na jasnom i vidljivom mestu na sajtu. To su dakle header ili footer, eventualno negde na početnoj strani ili u stranici “o nama”, ali gde je jasno istaknuto i vidljivo da korisnik može jednim klikom da dođe na našu PP.

Ono što je takođe preporuka, a ujedno i obaveza, jeste da je politika privatnosti posebna, zasebna stranica na sajtu. Dakle nije deo neke stranice (poput “o nama” pa u nastavku teksta ide PP), već mora biti posebna stranica, jer tehnički gledano predstavlja svojevrstan dokument i time bi morala biti zasebna stranica. U suprotnom bi bilo kao da kupoprodajni ugovor bude i ugovor o radu… jednostavno neophodno je da dokument za sebe zapravo bude i stranica za sebe posvećena samo ovoj temi.

Direktna preporuka Article 29 WorkingParty “Guidelines on transparency under Regulation 2016/679” jeste sledeće:

“Svaka organizacija koja poseduje web stranicu treba da objavi svoju PP na toj web stranici. Direktna veza (link) ka PP treba da bude jasno vidljiva na svakoj stranici ove web stranice pod uobičajenim terminom (kao što je „Privatnost“, „Politika privatnosti“ ili „Obaveštenje o zaštiti podataka“). Pozicioniranje ili šeme boja koje čine tekst ili vezu manje uočljivim ili ih je teško pronaći na veb stranici, ne smatraju se lako dostupnim.” (Ovo je i kod nas jasno utvrđeno od strane službe Poverenika – sve informacije se mogu čak pronaći na sajtu Poverenika, vrlo lako).

Još jedna preporuka ove radne grupe iz 2016. godine jeste da pre ulaska na sajt, korisnici potvrde da su pročitali PP, kako bismo njihova prava u startu zaštitili ili im ukazali (ako se ne slažu sa načinom naše obrade i prikupljanja podataka) da jednostavno ne ulaze na naš sajt. Ovo je pre svega fer, a ujedno nas i štiti od potencijalnih pritužbi da je PP teško dostupna na našem sajtu. Trebalo bi da ovo u tehničkom smislu bude izvedeno tako da korisnik mora da svojim klikom potvrdi da je pročitao celu politiku privatnosti, dakle da postoji neka akcija bez koje se ne može dalje pristupiti sajtu.

Jako je važno imati na umu da politika privatnosti mora da bude potpuno besplatna i upoznavanje sa svojim pravima vezana za privatnost moraju biti besplatna na svakom sajtu (verovali ili ne, bilo je primera gde su neke stranice tražile naknadu ako hoćemo da pročitamo PP – do duše ne u Srbiji).

Kada pišemo PP, najbolje je početi od nule. Svaki sajt je jedinstven, zavisno od njegove funkcije, dizajna, namene, pa sve do programera koji ga je kucao (stvarao). Zato je jako važno da izbegavamo koiršćenje pelcera/template-ova ili PP generatora koji nam stvaraju neke generičke politike. Ovo je jako važno jer samo rukovaoci i stručno lice, zajedničkim snagama – razgovorom, mogu da dođu do tačne informacije šta je to što se prikuplja, kako i gde se čuva, i uopšte mogu da utvrde činjenično stanje, koje je potom potrebno predstaviti na svojoj PP.

Treba imati na umu da je neophodno da bude pisana na jednostavnom jeziku, naročito ako se i kada odnosi na maloletna lica. Važno je da PP bude razumljiva svim profilima korisnika, bez obzira na edukativnu, starosnu ili koju drugu karakteristiku i pozadinu naših korisnika

Article 29 Working Party je ovde takođe dao jasne i vrlo korisne primere preporuka šta je dobra a šta loša praksa:

Ono što bi bila jedna od mojih ključnih preporuka jeste da se usled svake nedoumice ili nesigurnosti obratite službi Poverenika za informacija od javnog značaja i zaštitu podataka o ličnosti. Moje lično iskustvo je fantastično sa ovom službom još od 2018. godine i samo mogu da pohvalim rad čitave službe koja, za razliku od mnogih drugih institucija, obavlja svoj posao izuzetno efikasno, efektivno i revnosno, ali što je najbitnije, bez trunke gubitke kvaliteta u radu.

Statistika

Ostaje još da govorimo o statistici u Srbiji (konkretnije Jug i Istok Srbije):

Podaci sa početka 2022. godine nam govore da oni organi javne vlasti koji imaju web sajtove, 55% takvih OJV imaju PP, ali kada govorimo o njihovom kvalitetu u skladu sa smernicama Article 29 Working Party, ali i kontrolnim listama Poverenika, statistika je sledeća:

Statistika je rađena na 2525 organa javne vlasti gde po novom katalogu Poverenika spadaju apsolutno svi organe javne vlasti na teritoriji Juga i Istoka Srbije, gde živi preko 1.500.000 građana Srbije.

U pogledu pravnih lica u privatnom vlasništvu tu je situacija vrlo razuđena.

• Naime, najbolje se kotiraju najveće kompanije, banke (ne sve) i osiguravajuće kuće – ovde gotovo da sve kompanije imaju politiku privatnosti od kojih su čak 88% potpuno adekvatne i usklađene sa ZZPL-om i GDPR-om;
• Zatim idu srednja preduzeća kod kojih je situacija 50/50 u pogledu imanja politike privatnosti, od kojih su 72% potpuno adekvatne;
• Dok najgore stoje mala preduzeća koja u najčešćoj meri nemaju politike privatnosti, ali oni koji imaju zapravu su vrlo kvalitetno odrađene;

Zaključak koji bi mogao da se izvuče

Za vreme Korone, imali smo dosta propusta u pogledu zaštite podataka o ličnosti, gde ni sada situacija nije sjajna, ali ide na bolje definitivno. Projektima koji su sprovedeni od strane PraviLaw udruženje, uspešno smo inspirisali preko 100 organa javne vlasti da zapravo donesu pravilnike o zaštiti podataka o ličnosti u njihovim organizacionim jedinicama, kao i da postave politike privatnosti na svojim sajtovima ili zvaničnim profilima društvenih mreža.

Velika zahvalnost na ukazanom poverenju od strane KEC grupe na mogućnosti da se ova tema razrađuje na ovako bitnom događaju pred ovoliko ljudi iz struke ili srodnih struka.

Čitajte još naših tekstova koji se tiču zaštite podataka o ličnosti:

Autor teksta: Tadija Mitić