Reforma varstva podatkov v EU: Svet potrdil dogovor z Evropskim parlamentom

Odbor stalnih predstavnikov (Coreper) je 18. decembra 2015 potrdil kompromisni besedili o reformi varstva podatkov, o katerih se je dogovoril z Evropskim parlamentom. Svet, Parlament in Komisija so dogovor dosegli 15. decembra in tako izpolnili zahtevo Evropskega sveta, da se morajo pogajanja o reformi varstva podatkov zaključiti do konca leta 2015.

Félix BRAZ, luksemburški minister za pravosodje in predsedujoči Svetu, je dejal: „Gre za temeljni dogovor s pomembnimi posledicami. Ta reforma ne krepi le pravic državljanov, temveč tudi prilagaja pravila za podjetja digitalni dobi in hkrati zmanjšuje upravno breme. Gre za ambiciozni in v prihodnost usmerjeni besedili. Lahko smo prepričani v uspeh.“  

Reforma varstva podatkov je zakonodajni sveženj, ki ga je leta 2012 predlagala Komisija zaradi posodobitve in prenovitve pravil o varstvu podatkov.  Zadeva dva zakonodajna instrumenta: splošno uredbo o varstvu podatkov (ki naj bi nadomestila Direktivo 95/46/ES) in direktivo o varstvu podatkov na področju kazenskega pregona (ki naj bi nadomestila okvirni sklep o varstvu podatkov iz leta 2008). 

Varstvo oseb pri obdelavi osebnih podatkov je temeljna pravica, določena v Listini EU o temeljnih pravicah (člen 8) in Pogodbi o delovanju Evropske unije (člen 16).

Splošna uredba o varstvu podatkov

Namen splošne uredbe o varstvu podatkov je izboljšati varstvo podatkov za posameznike in spodbuditi poslovne priložnosti na enotnem digitalnem trgu, med drugim z zmanjšanjem upravnega bremena. 

Višja raven varstva podatkov

Načela in pravila o obdelavi osebnih podatkov posameznikov morajo biti skladna s temeljnimi pravicami in svoboščinami, zlasti pravico do varstva osebnih podatkov. Okrepljene pravice glede varstva podatkov dajejo posameznikom, na katere se nanašajo osebni podatki, več nadzora nad svojimi osebnimi podatki: 

• konkretnejša pravila, ki upravljavcem podatkov (ki so odgovorni za obdelavo podatkov) omogočajo obdelavo osebnih podatkov, vključno z zahtevo, da je potrebna privolitev zadevnih posameznikov;
• lažji dostop do osebnih podatkov;
• boljše obveščanje o tem, kaj se zgodi z osebnimi podatki, potem ko se posredujejo; to vključuje obveščanje posameznikov o politiki varstva podatkov v jasnem in enostavnem jeziku, lahko tudi z uporabo standardiziranih ikon;
• pravica do izbrisa osebnih podatkov in pravica „biti pozabljen“: to posameznikom med drugim omogoča, da zahtevajo takojšnjo odstranitev osebnih podatkov, ki so bili zbrani ali objavljeni na družbenih omrežjih, ko so bili še otroci;
• če želi otrok, mlajši od 16 let, uporabljati spletne storitve, mora ponudnik storitev preveriti, ali so starši v to privolili; države članice lahko znižajo to starostno mejo, vendar na največ 13 let;
• pravica do prenosljivosti podatkov, ki omogoča lažji prenos osebnih podatkov od enega ponudnika storitev, na primer družbenega omrežja, do drugega; to ne bo le okrepilo pravic glede varstva podatkov, temveč tudi povečalo konkurenčnost med ponudniki storitev;
• pravica do ugovora obdelavi osebnih podatkov v povezavi z javnim interesom ali legitimnimi interesi upravljavca; ta pravica vključuje uporabo osebnih podatkov za namene oblikovanja profilov;
• skupni zaščitni ukrepi pri obdelavi osebnih podatkov za namene hranjenja, če je to v javnem interesu, in za znanstveno in zgodovinsko raziskovanje ter statistične namene.

Da bi zagotovili sodno varstvo v bližini, bodo imeli posamezniki, na katere se nanašajo osebni podatki, pravico, da zoper odločitve organa za varstvo podatkov vložijo pritožbo na sodišču svoje države, ne glede na to, v kateri državi članici ima upravljavec podatkov sedež. 

Več poslovnih priložnosti na enotnem digitalnem trgu

Uredba določa enoten sklop pravil, ki bodo veljavna v vsej EU in se bodo uporabljala za evropska in neevropska podjetja, ki v EU ponujajo spletne storitve. S tem bo mogoče preprečiti, da bi neskladna nacionalna pravila o varstvu podatkov ovirala čezmejno izmenjavo podatkov. Določa tudi tesnejše sodelovanje med državami članicami, da bi zagotovili usklajeno uporabo pravil za varstvo podatkov v EU. To bo omogočilo pošteno konkurenco in spodbudilo podjetja (zlasti mala in srednja), da čim bolje izkoristijo ugodnosti enotnega digitalnega trga. 

Da bi znižali stroške in zagotovili pravno varnost, bo v pomembnih čezmejnih primerih, v katerih bo sodelovalo več nacionalnih nadzornih organov, sprejeta enotna nadzorna odločitev. Zaradi takšnega mehanizma „vse na enem mestu“ bo lahko podjetje, ki deluje v več državah članicah, komuniciralo le z organom za varstvo podatkov iz države članice, v kateri ima glavni sedež. V primeru sporov ta mehanizem tudi predvideva en sam sklep, ki se uporablja na celotnem ozemlju EU. 

Da bi zmanjšali upravne stroške, je v uredbi uporabljen pristop na podlagi tveganja: upravljavci podatkov lahko izvajajo ukrepe glede na tveganje, povezano s postopki obdelave podatkov, ki jih izvajajo. Različna podjetja opravljajo različne dejavnosti, zato je različno tudi tveganje za varovanje zasebnosti. Uredba ne določa univerzalnega pristopa: večje kot je tveganje dejavnosti za osebne podatke, strožje so obveznosti. 

Številnejša in boljša orodja za zagotavljanje skladnosti s pravili o varstvu podatkov

Uredba določa vrsto ukrepov za večjo odgovornost upravljavcev podatkov, ki bodo zagotovili dosledno spoštovanje novih pravil o varstvu podatkov. Upravljavci podatkov morajo uvesti številne varnostne ukrepe, tako se v nekaterih primerih na primer od njih zahteva uradno obveščanje o kršitvi varstva osebnih podatkov. Da bi bila uredba dolgoročno ustrezna, vključuje načeli vgrajenega in privzetega varstva podatkov. Javni organi in podjetja, ki izvajajo tvegane postopke obdelave podatkov, morajo imenovati uradno osebo za varstvo podatkov, ki zagotavlja skladnost s pravili. 

Posamezniki, na katere se nanašajo osebni podatki, in – pod določenimi pogoji – organizacije za varstvo podatkov lahko v primeru nespoštovanja pravil o varstvu podatkov vložijo pritožbo pri nadzornem organu ali uveljavljajo pravno sredstvo na sodišču. Upravljavcem podatkov grozi kazen do 20 milijonov EUR ali 4 % njihovega skupnega letnega prometa. 

Zagotovila v zvezi s prenosom osebnih podatkov zunaj EU

Uredba določa pravila za prenos osebnih podatkov v tretje države in mednarodne organizacije. Do prenosa lahko pride, če je izpolnjenih več pogojev in zagotovljenih več zaščitnih ukrepov, zlasti če je Komisija odločila, da obstaja ustrezna raven varstva. Nove sklepe o ustreznosti bo treba pregledati vsaj vsake 4 leta. Obstoječi sklepi o ustreznosti in odobritve ostajajo v veljavi, dokler se ne spremenijo, nadomestijo ali razveljavijo.   

Direktiva o varstvu podatkov na področju kazenskega pregona

Cilj te direktive je varstvo osebnih podatkov, ki se obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred ogrožanjem javne varnosti in njegovim preprečevanjem. 

Ključno je zagotoviti skladno in visoko raven varstva osebnih podatkov za posameznike in olajšati izmenjavo osebnih podatkov med organi kazenskega pregona v različnih državah članicah. 

Širše področje uporabe

Poleg dejavnosti, namenjene preprečevanju, preiskovanju, odkrivanju in pregonu kaznivih dejanj, nova direktiva ureja tudi varovanje pred ogrožanjem javne varnosti in njegovo preprečevanje. 

Uporabljala se bo za čezmejno obdelavo osebnih podatkov, pa tudi za obdelavo osebnih podatkov, ki jo izvajajo policijski in pravosodni organi zgolj na nacionalni ravni. Okvirni sklep, ki bo nadomeščen, se je uporabljal le za čezmejno izmenjavo podatkov. 

Pravice posameznikov, na katere se nanašajo podatki

Pravila usklajujejo pravico do zasebnosti in potrebo policije, da se v zgodnji fazi preiskave ne razkrije, da se obdelujejo podatki. So pa v besedilu naštete informacije, do katerih je posameznik, na katerega se nanašajo podatki, vedno upravičen, da bi zaščitil svojo pravico, če se boji, da je prišlo do kršitve varnosti njegovih podatkov. 

Nova pravila bodo urejala tudi prenos osebnih podatkov v tretje države in mednarodne organizacije. 

Zagotavljanje skladnosti

Nova direktiva določa, da se imenuje uradna oseba za varstvo podatkov, ki pristojnim organom pomaga zagotavljati skladnost s pravili varstva podatkov. 

Drugo orodje za zagotavljanje skladnosti je ocena učinka. Če bi lahko neka vrsta obdelave pomenila veliko tveganje za pravice in svoboščine posameznikov, morajo pristojni organi narediti oceno morebitnega učinka določenega postopka obdelave, zlasti v primeru uporabe nove tehnologije.   

Spremljanje in nadomestilo

Besedilo direktive je usklajeno z besedilom uredbe, da bi zagotovili, da se bodo uporabljala približno enaka splošna načela. Poleg tega so zelo podobna pravila o nadzornem organu, saj lahko nadzorni organ, ustanovljen v skladu s splošno uredbo za varstvo podatkov, obravnava tudi zadeve, ki spadajo v področje uporabe direktive. Z novo direktivo bodo posamezniki, na katere se nanašajo osebni podatki, dobili tudi pravico do odškodnine, če bi utrpeli škodo zaradi obdelave, ki ni skladna s pravili.                        

NASLEDNJI KORAKI

Odbor Evropskega parlamenta za državljanske svoboščine, pravosodje in notranje zadeve je 17. decembra na izredni seji odobril besedili, ki sta bili potrjeni na trialogu. Tako je lahko danes Coreper potrdil končni kompromisni besedili uredbe in direktive. Potem ko ju bodo pregledali pravniki lingvisti, bosta predloženi v sprejetje Svetu, nato pa še Parlamentu. Uredba in direktiva bosta najverjetneje začeli veljati spomladi leta 2018.