Reforma na področju varstva podatkov: Svet sprejel stališče v prvi obravnavi

Svet je 8. aprila 2016 sprejel stališče v prvi obravnavi o reformi varstva podatkov, kar utira pot dokončnemu sprejetju zakonodajnega svežnja na plenarnem zasedanju Evropskega parlamenta aprila letos.

Sveženj je bil uradno sprejet, potem ko je bil decembra 2015 sklenjen kompromisni dogovor z Evropskim parlamentom.

Po sprejetju je nizozemski minister za pravosodje Ard van der Steur povedal: „Evropski parlament se je zavezal, da bo to omogočilo glasovanje o svežnju o varstvu podatkov pa tudi o direktivi o evidenci podatkov o potnikih (PNR) aprila letos. Napadi, ki so se 22. marca zgodili v Bruslju, so še enkrat pokazali, kako nujno je sprejetje direktive o PNR.“

Reforma varstva podatkov je zakonodajni sveženj, namenjen posodobitvi in prenovitvi veljavnih pravil o varstvu podatkov. Zajema dva zakonodajna instrumenta: splošno uredbo o varstvu podatkov (ki naj bi nadomestila Direktivo 95/46/ES) in direktivo o varstvu podatkov na področju kazenskega pregona (ki naj bi nadomestila okvirni sklep o varstvu podatkov iz leta 2008).

Varstvo oseb pri obdelavi osebnih podatkov je temeljna pravica, določena v Listini EU o temeljnih pravicah (člen 8) in Pogodbi o delovanju Evropske unije (člen 16).

Splošna uredba o varstvu podatkov

Namen splošne uredbe o varstvu podatkov je izboljšati varstvo podatkov za posameznike in spodbuditi poslovne priložnosti na enotnem digitalnem trgu, med drugim z zmanjšanjem upravnega bremena.

Višja raven varstva podatkov

Načela in pravila o obdelavi osebnih podatkov posameznikov morajo biti skladna s temeljnimi pravicami in svoboščinami, zlasti pravico do varstva osebnih podatkov. Okrepljene pravice glede varstva podatkov dajejo posameznikom, na katere se nanašajo osebni podatki, več nadzora nad svojimi osebnimi podatki:

• konkretnejša pravila, ki upravljavcem podatkov (ki so odgovorni za obdelavo podatkov) omogočajo obdelavo osebnih podatkov, vključno z zahtevo, da je potrebna privolitev zadevnih posameznikov;
• lažji dostop do osebnih podatkov;
• boljše obveščanje o tem, kaj se zgodi z osebnimi podatki, potem ko se posredujejo; to vključuje obveščanje posameznikov o politiki varstva podatkov v jasnem in enostavnem jeziku, lahko tudi z uporabo standardiziranih ikon;
• pravica do izbrisa osebnih podatkov in pravica „biti pozabljen“: to posameznikom med drugim omogoča, da zahtevajo takojšnjo odstranitev osebnih podatkov, ki so bili zbrani ali objavljeni na družbenih omrežjih, ko so bili še otroci;
• če želi otrok, mlajši od 16 let, uporabljati spletne storitve, mora ponudnik storitev preveriti, ali so starši v to privolili; države članice lahko znižajo to starostno mejo, vendar na največ 13 let;
• pravica do prenosljivosti podatkov, ki omogoča lažji prenos osebnih podatkov od enega ponudnika storitev, na primer družbenega omrežja, do drugega; to ne bo le okrepilo pravic glede varstva podatkov, temveč tudi povečalo konkurenčnost med ponudniki storitev;
• pravica do ugovora obdelavi osebnih podatkov v povezavi z javnim interesom ali legitimnimi interesi upravljavca; ta pravica vključuje uporabo osebnih podatkov za namene oblikovanja profilov;
• skupni zaščitni ukrepi pri obdelavi osebnih podatkov za namene hranjenja, če je to v javnem interesu, in za znanstveno in zgodovinsko raziskovanje ter statistične namene.

Da bi zagotovili sodno varstvo v bližini, bodo imeli posamezniki, na katere se nanašajo osebni podatki, pravico, da zoper odločitve organa za varstvo podatkov vložijo pritožbo na sodišču svoje države, ne glede na to, v kateri državi članici ima upravljavec podatkov sedež.

Več poslovnih priložnosti na enotnem digitalnem trgu

Uredba določa enoten sklop pravil, ki bodo veljavna v vsej EU in se bodo uporabljala za evropska in neevropska podjetja, ki v EU ponujajo spletne storitve. S tem bo mogoče preprečiti, da bi neskladna nacionalna pravila o varstvu podatkov ovirala čezmejno izmenjavo podatkov. Določa tudi tesnejše sodelovanje med državami članicami, da bi zagotovili usklajeno uporabo pravil za varstvo podatkov v EU. To bo omogočilo pošteno konkurenco in spodbudilo podjetja (zlasti mala in srednja), da čim bolje izkoristijo ugodnosti enotnega digitalnega trga.

Da bi znižali stroške in zagotovili pravno varnost, bo v pomembnih čezmejnih primerih, v katerih bo sodelovalo več nacionalnih nadzornih organov, sprejeta enotna nadzorna odločitev. Zaradi takšnega mehanizma „vse na enem mestu“ bo lahko podjetje, ki deluje v več državah članicah, komuniciralo le z organom za varstvo podatkov iz države članice, v kateri ima glavni sedež. V primeru sporov ta mehanizem tudi predvideva en sam sklep, ki se uporablja na celotnem ozemlju EU.

Da bi zmanjšali upravne stroške, je v uredbi uporabljen pristop na podlagi tveganja: upravljavci podatkov lahko izvajajo ukrepe glede na tveganje, povezano s postopki obdelave podatkov, ki jih izvajajo. Različna podjetja opravljajo različne dejavnosti, zato je različno tudi tveganje za varovanje zasebnosti. Uredba ne določa univerzalnega pristopa: večje kot je tveganje dejavnosti za osebne podatke, strožje so obveznosti.

Številnejša in boljša orodja za zagotavljanje skladnosti s pravili o varstvu podatkov

Uredba določa vrsto ukrepov za večjo odgovornost upravljavcev podatkov, ki bodo zagotovili dosledno spoštovanje novih pravil o varstvu podatkov. Upravljavci podatkov morajo uvesti številne varnostne ukrepe, tako se v nekaterih primerih na primer od njih zahteva uradno obveščanje o kršitvi varstva osebnih podatkov. Da bi bila uredba dolgoročno ustrezna, vključuje načeli vgrajenega in privzetega varstva podatkov. Javni organi in podjetja, ki izvajajo tvegane postopke obdelave podatkov, morajo imenovati uradno osebo za varstvo podatkov, ki zagotavlja skladnost s pravili.

Posamezniki, na katere se nanašajo osebni podatki, in – pod določenimi pogoji – organizacije za varstvo podatkov lahko v primeru nespoštovanja pravil o varstvu podatkov vložijo pritožbo pri nadzornem organu ali uveljavljajo pravno sredstvo na sodišču. Upravljavcem podatkov grozi kazen do 20 milijonov EUR ali 4 % njihovega skupnega letnega prometa.

Zagotovila v zvezi s prenosom osebnih podatkov zunaj EU

Uredba določa pravila za prenos osebnih podatkov v tretje države in mednarodne organizacije. Do prenosa lahko pride, če je izpolnjenih več pogojev in zagotovljenih več zaščitnih ukrepov, zlasti če je Komisija odločila, da obstaja ustrezna raven varstva. Nove sklepe o ustreznosti bo treba pregledati vsaj vsake 4 leta. Obstoječi sklepi o ustreznosti in odobritve ostajajo v veljavi, dokler se ne spremenijo, nadomestijo ali razveljavijo.

Direktiva o varstvu podatkov na področju kazenskega pregona

Cilj te direktive je varstvo osebnih podatkov, ki se obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred ogrožanjem javne varnosti in njegovim preprečevanjem.

Ključno je zagotoviti skladno in visoko raven varstva osebnih podatkov za posameznike in olajšati izmenjavo osebnih podatkov med organi kazenskega pregona v različnih državah članicah.

Širše področje uporabe

Poleg dejavnosti, namenjene preprečevanju, preiskovanju, odkrivanju in pregonu kaznivih dejanj, nova direktiva ureja tudi varovanje pred ogrožanjem javne varnosti in njegovo preprečevanje.

Uporabljala se bo za čezmejno obdelavo osebnih podatkov, pa tudi za obdelavo osebnih podatkov, ki jo izvajajo policijski in pravosodni organi zgolj na nacionalni ravni. Okvirni sklep, ki bo nadomeščen, se je uporabljal le za čezmejno izmenjavo podatkov.

Pravice posameznikov, na katere se nanašajo podatki

Pravila usklajujejo pravico do zasebnosti in potrebo policije, da se v zgodnji fazi preiskave ne razkrije, da se obdelujejo podatki. So pa v besedilu naštete informacije, do katerih je posameznik, na katerega se nanašajo podatki, vedno upravičen, da bi zaščitil svojo pravico, če se boji, da je prišlo do kršitve varnosti njegovih podatkov.

Nova pravila bodo urejala tudi prenos osebnih podatkov v tretje države in mednarodne organizacije.

Zagotavljanje skladnosti

Nova direktiva določa, da se imenuje uradna oseba za varstvo podatkov, ki pristojnim organom pomaga zagotavljati skladnost s pravili varstva podatkov.

Drugo orodje za zagotavljanje skladnosti je ocena učinka. Če bi lahko neka vrsta obdelave pomenila veliko tveganje za pravice in svoboščine posameznikov, morajo pristojni organi narediti oceno morebitnega učinka določenega postopka obdelave, zlasti v primeru uporabe nove tehnologije.

Spremljanje in nadomestilo

Besedilo direktive je usklajeno z besedilom uredbe, da bi zagotovili, da se bodo uporabljala približno enaka splošna načela. Poleg tega so zelo podobna pravila o nadzornem organu, saj lahko nadzorni organ, ustanovljen v skladu s splošno uredbo za varstvo podatkov, obravnava tudi zadeve, ki spadajo v področje uporabe direktive. Z novo direktivo bodo posamezniki, na katere se nanašajo osebni podatki, dobili tudi pravico do odškodnine, če bi utrpeli škodo zaradi obdelave, ki ni skladna s pravili.

Naslednji ukrepi

Evropski parlament naj bi o tem glasoval v drugi obravnavi na plenarnem zasedanju, ki bo naslednji teden v četrtek, 14. aprila, in tako brez sprememb odobril stališče Sveta v prvi obravnavi, s tem pa zaključil zakonodajni postopek.

Pravna besedila bodo potem objavljena v Uradnem listu EU.

• Uredba o varstvu podatkov: stališče Sveta v prvi obravnavi
• Uredba o varstvu podatkov: utemeljitev Sveta
• Direktiva o varstvu podatkov: stališče Sveta v prvi obravnavi
• Direktiva o varstvu podatkov: utemeljitev Sveta
• Reforma varstva podatkov