Reforma zaštite podataka u EU-u: Vijeće potvrdilo sporazum s Europskim parlamentom

Odbor stalnih predstavnika (Coreper) potvrdio je 18. prosinca 2015. kompromisne tekstove o reformi zaštite podataka o kojima je postignut dogovor s Europskim parlamentom. Vijeće, Parlament i Komisija postigli su dogovor 15. prosinca. Taj je dogovor u skladu sa zahtjevom Europskog vijeća da se pregovori o reformi zaštite podataka zaključe do kraja 2015.

Luksemburški ministar pravosuđa i predsjednik Vijeća Félix BRAZ izjavio je: „Ovo je ključan dogovor s važnim posljedicama. Ovom reformom ne samo da se jačaju prava građana već se i pravila za poduzeća prilagođavaju digitalnom dobu, uz istovremeno smanjenje administrativnog opterećenja. Tekstovi su ambiciozni i usmjereni prema budućnosti. U potpunosti se možemo uzdati u rezultate.”  

Reforma zaštite podataka jest zakonodavni paket koji je Komisija predložila 2012. s ciljem ažuriranja i modernizacije pravila o zaštiti podataka.  Odnosi se na dva zakonodavna instrumenta: opću uredbu o zaštiti podataka (kojom se namjerava zamijeniti Direktiva 95/46/EZ) i direktivu o zaštiti podataka u području izvršavanja zakonodavstva (kojom se namjerava zamijeniti okvirna odluka o zaštiti podataka iz 2008.). 

Zaštita osoba u vezi s obradom njihovih osobnih podataka temeljno je pravo utvrđeno u Povelji EU-a o temeljnim pravima (članak 8.) i Ugovoru o funkcioniranju Europske unije (članak 16.).

Opća uredba o zaštiti podataka

Općom uredbom o zaštiti podataka nastoji se poboljšati razina zaštite podataka za pojedince čiji se osobni podaci obrađuju te povećati poslovne mogućnosti na jedinstvenom digitalnom tržištu, među ostalim smanjenjem administrativnog opterećenja. 

Povećana razina zaštite podataka

Načela i pravila obrade osobnih podataka pojedinaca moraju biti u skladu s temeljnim pravima i slobodama, posebno s pravom na zaštitu osobnih podataka. Tim ojačanim pravima na zaštitu podataka ispitanicima (pojedincima čiji se osobni podaci obrađuju) daje se veći stupanj kontrole nad njihovim osobnim podacima: 

• preciznija pravila prema kojima voditelji obrade (oni koji su odgovorni za obradu podataka) obrađuju osobne podatke, među ostalim putem zahtjeva za pristanak dotičnih pojedinaca;
• jednostavniji pristup osobnim podacima;
• bolja informiranost o tome što se događa s unesenim osobnim podacima, što uključuje obavješćivanje pojedinaca o politici zaštite privatnosti uporabom jasnog i jednostavnog jezika, što se također može učiniti putem standardiziranih ikona;
• pravo na brisanje osobnih podataka i „pravo na zaborav”. Time se, primjerice, ispitanicima omogućuje da zatraže da se osobni podataci prikupljeni ili objavljeni na društvenoj mreži u dječjoj dobi uklone bez odgode;
• ako se osoba mlađa od 16 godina želi služiti internetskim uslugama, pružatelj usluga mora pokušati provjeriti jesu li roditelji dali svoj pristanak. Najniža dobna granica koju države članice mogu odrediti jest 13 godina;
• pravo na prenosivost koje omogućuje lakši prijenos osobnih podataka od jednog pružatelja usluga, na primjer društvene mreže, drugome. Ne samo da će se time povećati prava na zaštitu podataka već će se unaprijediti tržišno natjecanje među pružateljima usluga;
• pravo prigovora na obradu osobnih podataka u vezi s javnim interesom ili zakonitim interesima voditelja obrade. Tim je pravom obuhvaćena uporaba osobnih podataka u svrhu „izrade profila”;
• zajedničke zaštitne mjere koje se odnose na obradu osobnih podataka u svrhu arhiviranja kada je to u javnom interesu te za znanstvena i povijesna istraživanja ili u statističke svrhe.

Kako bi se osigurala blizina pravne zaštite, ispitanici imaju pravo zatražiti da svaku odluku njihova tijela za zaštitu podataka preispita njihov nacionalni sud, neovisno o državi članici u kojoj voditelj obrade ima poslovni nastan. 

Povećanje poslovnih mogućnosti na jedinstvenom digitalnom tržištu

Uredbom se propisuju jedinstvena pravila koja vrijede diljem EU-a te su primjenjiva i na europska poduzeća i na poduzeća izvan Europe koja pružaju internetske usluge u EU-u. Time se izbjegava mogućnost da proturječna nacionalna pravila o zaštiti podataka poremete prekograničnu razmjenu podataka. Njome se također predviđa povećana suradnja među državama članicama kako bi se osigurala usklađena primjena pravila o zaštiti podataka diljem EU-a. To će dovesti do poštenog tržišnog natjecanja, a poduzeća, osobito mala i srednja, potaknut će se da na najbolji način iskoriste jedinstveno digitalno tržište. 

Kako bi se smanjili troškovi i pružila pravna sigurnost, za važne prekogranične predmete u koje je uključeno nekoliko nacionalnih nadzornih tijela donosi se jedinstvena nadzorna odluka. Zahvaljujući tom načelu, poznatom pod nazivom „sve na jednom mjestu”, poduzeće koje djeluje u više država članica odgovarat će samo tijelu za zaštitu podataka u državi članici u kojoj ima glavni poslovni nastan. Tim načelom predviđena je i jedinstvena odluka koja se u slučaju sporova primjenjuje na cijelom području EU-a. 

S ciljem smanjivanja administrativnih troškova u uredbi se primjenjuje pristup temeljen na riziku: voditelji obrade mogu provesti mjere u skladu s rizikom predviđenim u postupcima obrade podataka koje provode. Različita poduzeća imaju različite aktivnosti i rizici takvih aktivnosti u pogledu privatnosti mogu varirati. Uredbom se ne nudi univerzalno rješenje: što su značajniji rizici aktivnosti za osobne podatke, to su stože obveze. 

Više kvalitetnijih instrumenata za postizanje usklađenosti s pravilima o zaštiti podataka

Uredbom se predviđa niz mjera za povećanje odgovornosti voditelja obrade kako bi se osigurala potpuna usklađenost s novim pravilima o zaštiti podataka. Voditelji obrade moraju primijeniti niz sigurnosnih mjera, uključujući zahtjev za obavješćivanjem o kršenju tajnosti osobnih podataka u određenim slučajevima. Kako bi uredba bila otporna na promjene u budućnosti, uvode se tehnička i integrirana zaštita podataka. Javna tijela i poduzeća koja provode određenu rizičnu obradu podataka moraju imenovati službenika za zaštitu podataka kako bi se osigurala usklađenost s pravilima. 

Ispitanici i, pod određenim uvjetima, organizacije za zaštitu podataka mogu podnijeti žalbu nadzornom tijelu ili tražiti pravni lijek ako se ne poštuju pravila o zaštiti podataka. Voditelji obrade mogu se suočiti s novčanim kaznama u najvišem iznosu od 20 milijuna eura ili 4 % godišnjeg prometa na globalnoj razini. 

Jamstva za prijenos osobnih podataka izvan EU-a

Uredbom se utvrđuju pravila za prijenos osobnih podataka trećim zemljama i međunarodnim organizacijama. Podaci se mogu prenijeti ako je ispunjen niz uvjeta i zaštitnih mjera, to jest ako Komisija odluči da postoji odgovarajuća razina zaštite. Nove odluke o primjerenosti morat će se preispitivati najmanje svake četiri godine. Postojeće odluke o primjerenosti i odobrenja ostaju na snazi dok ne budu izmijenjeni, zamijenjeni ili stavljeni izvan snage.   

Direktiva o zaštiti podataka u području izvršavanja zakonodavstva

Cilj te direktive jest zaštita osobnih podataka koji se obrađuju u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje. 

Ključno je osigurati dosljednu i visoku razinu zaštite osobnih podataka pojedinaca te istovremeno omogućiti lakšu razmjenu osobnih podataka među tijelima za izvršavanje zakonodavstva u različitim državama članicama. 

Šire područje primjene

Osim što obuhvaća aktivnosti usmjerene na sprečavanje, istragu, otkrivanje i progon kaznenih djela, područje primjene nove direktive prošireno je na zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje. 

Nova direktiva primjenjivala bi se kako na prekograničnu obradu osobnih podataka tako i na obradu osobnih podataka koju izvršavaju policija i pravosudna tijela isključivo na nacionalnoj razini. Okvirna odluka, koja će biti zamijenjena, odnosila se samo na prekograničnu razmjenu podataka. 

Prava ispitanika

Pravilima se uspostavlja ravnoteža između prava na privatnost i potrebe da policija ne otkrije obradu podataka u ranoj fazi istrage. Međutim, u tekstu se navode informacije na koje ispitanik uvijek ima pravo radi zaštite svojeg prava ako sumnja da je došlo do kršenja tajnosti podataka. 

Novim će se pravilima ujedno obuhvatiti prijenos osobnih podataka trećim zemljama i međunarodnim organizacijama. 

Usklađenost

Novom se direktivom predviđa imenovanje službenika za zaštitu podataka kako bi pomogao nadležnim tijelima da osiguraju usklađenost s pravilima o zaštiti podataka. 

Drugi instrument za osiguravanje usklađenosti jest procjena učinka. Ako je vjerojatno da će određena vrsta obrade predstavljati visok rizik za prava i slobode pojedinaca, nadležna tijela moraju izvršiti procjenu mogućeg učinka određene obrade, osobito kada se služe novim tehnologijama.   

Praćenje i naknade

Tekst direktive usklađen je s tekstom uredbe kako bi se osigurala primjena istih općih načela u širem smislu. Osim toga, pravila o nadzornom tijelu u velikoj su mjeri slična jer se nadzorno tijelo iz opće uredbe o zaštiti podataka ujedno može baviti pitanjima obuhvaćenima direktivom. Novom direktivom ispitanicima bi se također dalo pravo primanja naknade ako su pretrpjeli štetu zbog obrade pri kojoj se nisu poštovala pravila.                        

SLJEDEĆI KORACI

Na izvanrednom sastanku 17. prosinca Odbor za građanske slobode, pravosuđe i unutarnje poslove Europskog parlamenta (LIBE) podržao je tekstove dogovorene trijalozima. Temeljem te potpore Coreper je danas mogao potvrditi konačne kompromisne tekstove uredbe i direktive. Nakon revizije pravnika lingvista tekstovi će se podnijeti na donošenje Vijeću, a zatim Parlamentu. Uredba i direktiva vjerojatno će stupiti na snagu u proljeće 2018.