Milionske kazne i "pravo na zaborav" - Novi zakon donosi više mogućnosti građanima i stroža pravila za one koji obrađuju njihove podatke

Zaštita ličnih podataka u Crnoj Gori trebalo bi da dobije novi pravni okvir, nakon što je Vlada 7. avgusta utvrdila Predlog zakona o zaštiti podataka o ličnosti i dostavila ga Skupštini, uz sugestiju da bude donesen po hitnom postupku. Predložena rješenja donose niz novina koje će biti važne i građanima i institucijama i privredi - od prava na brisanje podataka i mogućnosti traženja naknade štete, do obaveze prijavljivanja bezbjednosnih incidenata i visokih novčanih kazni.

Suština predloženog zakona je da lični podaci ne mogu biti prikupljani i korišćeni bez jasnih pravila. Obrada mora biti zakonita, pravična i transparentna, podaci se moraju prikupljati za određene i legitimne svrhe, a njihov obim mora biti ograničen na ono što je neophodno za tu svrhu. Rukovalac podacima nije samo obavezan da poštuje ova pravila, već mora biti u stanju da dokaže da ih poštuje.

To je važno u vremenu kada građani ostavljaju podatke gotovo svakodnevno - prilikom korišćenja elektronskih usluga, komunikacije sa institucijama, kupovine, korišćenja digitalnih platformi, zapošljavanja ili ostvarivanja različitih prava. Lični podatak pritom nije samo ime i prezime. Predlog obuhvata podatke na osnovu kojih se osoba može identifikovati, uključujući identifikacione brojeve, podatke o lokaciji, mrežne identifikatore i druge informacije povezane sa identitetom pojedinca.

- Posebno je važno što se obrada podataka u Predlogu posmatra veoma široko. Ona ne podrazumijeva samo prikupljanje, već i evidentiranje, organizovanje, čuvanje, izmjenu, korišćenje, otkrivanje, prenos, širenje, ograničavanje, brisanje i uništavanje podataka. Rukovalac je onaj koji određuje svrhu i način obrade, dok obrađivač podatke obrađuje u njegovo ime - navodi se u Predlogu zakona.

Jedno od osnovnih pravila odnosi se na saglasnost građana. Kada je obrada zasnovana na saglasnosti, građanin je može povući u svakom trenutku, a povlačenje mora biti jednako jednostavno kao i njeno davanje. Time se dodatno naglašava da saglasnost ne bi smjela biti formalnost koju je lako dati, a teško opozvati.

Predlog posebnu pažnju posvećuje kategorijama podataka čija obrada može posebno ozbiljno zadirati u privatnost. Tu su podaci o rasnom ili etničkom porijeklu, političkim mišljenjima, vjerskim ili filozofskim uvjerenjima, članstvu u sindikatu, kao i genetski, biometrijski i zdravstveni podaci te podaci o seksualnom životu ili seksualnoj orijentaciji.

- Njihova obrada je načelno zabranjena, osim u slučajevima koje zakon posebno dopušta. Istovremeno, pojedina prava građana mogu biti ograničena kada je to neophodno radi nacionalne bezbjednosti, odbrane i javne bezbjednosti - stoji u dokumentu.

Jedna od najvidljivijih novina je pravo na brisanje, poznato i kao "pravo na zaborav". Građanin može tražiti brisanje podataka kada oni više nijesu potrebni za svrhu zbog koje su prikupljeni, kada povuče saglasnost i ne postoji drugi pravni osnov za obradu, kada uloži odgovarajući prigovor ili kada su podaci nezakonito obrađeni.

Ako je rukovalac podatke učinio javno dostupnim, njegova obaveza ne završava samim brisanjem iz sopstvene evidencije. Predlog predviđa da, uzimajući u obzir dostupnu tehnologiju i troškove, preduzme razumne mjere kako bi obavijestio druge rukovaoce da je zatraženo brisanje linkova, kopija ili reprodukcija tih podataka.

Pravo na zaborav, međutim, nije apsolutno.

- Ne može se koristiti kada je obrada neophodna radi ostvarivanja prava na slobodu izražavanja i informisanja, izvršavanja zakonske obaveze ili zadatka od javnog interesa, zaštite javnog zdravlja, arhiviranja, naučnog ili istorijskog istraživanja, kao i ostvarivanja ili odbrane pravnih zahtjeva. Upravo ova ograničenja pokazuju da Predlog pokušava da uspostavi ravnotežu između prava pojedinca na privatnost i drugih javnih interesa i prava - pojašnjeno je.

Novina koja direktno jača položaj građana jeste mogućnost da traže naknadu štete. Lice koje pretrpi materijalnu ili nematerijalnu štetu usljed povrede odredaba zakona ima pravo na naknadu od rukovaoca ili obrađivača.

- Ukoliko je u istoj obradi učestvovalo više odgovornih subjekata, prema predloženom rješenju svaki od njih može odgovarati za cjelokupnu štetu, kako bi oštećenom bila obezbijeđena potpuna naknada. Pravo na naknadu štete ostvaruje se pred nadležnim sudom, u skladu sa zakonom - navedeno je.

To znači da zaštita podataka ne ostaje samo na pravu građanina da podnese zahtjev ili prigovor nadzornom organu. Ako nezakonita obrada proizvede stvarnu materijalnu ili nematerijalnu štetu, predviđena je i mogućnost sudske zaštite i naknade.

Predlog postavlja jasne obaveze i za situacije kada dođe do povrede bezbjednosti. Rukovalac i obrađivač moraju primjenjivati tehničke i organizacione mjere koje odgovaraju riziku i štite podatke od uništenja, gubitka, izmjene, neovlašćenog otkrivanja ili pristupa.

- U slučaju povrede bezbjednosti podataka, rukovalac je dužan da bez nepotrebnog odlaganja obavijesti Agenciju za zaštitu ličnih podataka i slobodan pristup informacijama, a kada je moguće, najkasnije u roku od 72 časa od saznanja za povredu. Ako incident predstavlja visok rizik po prava i slobode građana, rukovalac mora bez nepotrebnog odlaganja obavijestiti i lice čiji su podaci ugroženi - navodi se dalje u Predlogu Zakona.

Predlog uvodi i procjenu uticaja na zaštitu podataka prije početka obrade kada određena obrada, posebno uz upotrebu novih tehnologija, može izazvati visok rizik po prava i slobode građana. Takva procjena treba da pokaže šta će se obrađivati, zbog čega je obrada neophodna i proporcionalna, koji rizici postoje i koje mjere će biti preduzete da se ti rizici smanje.

Predviđena je i zaštita osoba koje u dobroj vjeri prijave povredu zakona. Nadležni organi, rukovaoci i obrađivači dužni su da uspostave mehanizme za povjerljivo prijavljivanje, dok lice koje prijavi povredu Agenciji, nadležnom organu ili drugom ovlašćenom subjektu ne smije zbog toga biti izloženo odmazdi ili diskriminaciji.

- Ova odredba ima praktičan značaj jer osoba koja unutar institucije ili organizacije uoči nezakonito postupanje ne bi trebalo da bira između ćutanja i rizika od posljedica zbog prijavljivanja. Predlog nastoji da obezbijedi mehanizam kroz koji se takve povrede mogu prijaviti uz određeni stepen zaštite prijavitelja - stoji u dokumentu.

Agencija za zaštitu ličnih podataka i slobodan pristup informacijama predložena je kao nezavisni nadzorni organ koji prati i obezbjeđuje primjenu zakona, daje savjete i mišljenja, postupa po zahtjevima za zaštitu prava i prigovorima, sprovodi nadzor i sarađuje sa drugim nadzornim organima.

Predlog predviđa da Savjet Agencije čine predsjednik i dva člana, koje bira i razrješava Skupština Crne Gore na predlog nadležnog parlamentarnog odbora. Mandat traje pet godina, a ista osoba ne može biti imenovana više od dva puta.

Za predsjednika ili člana Savjeta predviđeni su, između ostalog, crnogorsko državljanstvo, završen fakultet u četvorogodišnjem trajanju, najmanje sedam godina radnog iskustva i stručna znanja i iskustvo u oblasti zaštite podataka o ličnosti. Predlog predviđa i ograničenja koja se odnose na obavljanje određenih političkih i javnih funkcija i uslov neosuđivanosti za krivična djela za koja se gonjenje preduzima po službenoj dužnosti.

Direktora Agencije imenuje Savjet na osnovu javnog konkursa na period od pet godina. Kandidat mora imati crnogorsko državljanstvo, završen pravni fakultet u četvorogodišnjem trajanju, najmanje pet godina radnog iskustva, najmanje tri godine iskustva na rukovodećim poslovima i stručna znanja i iskustvo u oblasti zaštite podataka o ličnosti.

Predlog uvodi administrativne i prekršajne novčane sankcije. Administrativne kazne izriče Agencija privrednim društvima, a njihova visina zavisi od prirode, težine i trajanja povrede, broja osoba na koje se podaci odnose, pretrpljene štete, toga da li je povreda učinjena namjerno ili iz nehata i kategorije podataka koje su pogođene.

Za određene povrede predviđena je administrativna kazna do dva miliona eura.

- To se odnosi, između ostalog, na kršenje osnovnih načela obrade ličnih podataka i uslova za davanje saglasnosti, nezakonit prenos podataka u treću zemlju ili međunarodnu organizaciju, povredu obaveze saradnje sa Agencijom ili nepostupanje po njenom aktu, kao i nepostupanje po nalogu o privremenom ili trajnom ograničenju obrade ili obustavi razmjene podataka - navodi se.

Pored toga, pravna lica mogu biti prekršajno kažnjena novčanom kaznom od 150 do 2.000 eura, između ostalog ako ne prijave Agenciji povredu bezbjednosti podataka u propisanom roku, ne čuvaju profesionalnu tajnu, ne omoguće inspektoru pristup podacima i dokumentaciji potrebnoj za nadzor ili ne uspostave mehanizme za povjerljivo prijavljivanje povreda. Za odgovorna lica u pravnom licu, preduzetnike i fizička lica predviđeni su posebni rasponi kazni.

Za građane, najvažnije je što Predlog širi i konkretizuje mehanizme zaštite: građanin može povući saglasnost, u zakonom propisanim slučajevima tražiti brisanje podataka, reagovati na nezakonitu obradu, a ako je zbog nje pretrpio materijalnu ili nematerijalnu štetu, tražiti naknadu pred sudom.

Za kompanije i institucije, s druge strane, predložena pravila znače veću odgovornost. Nije dovoljno samo imati evidenciju podataka. Potrebno je moći dokazati da postoji zakonita svrha obrade, da se prikuplja samo ono što je potrebno, da su podaci zaštićeni, da se incidenti prijavljuju na vrijeme i da se procijene rizici kada obrada može ozbiljno ugroziti prava građana.

Predlog takođe jasno pokazuje da zaštita podataka nije samo pitanje zaštite od hakerskog napada. Nezakonita obrada može nastati i pretjeranim prikupljanjem podataka, korišćenjem podataka izvan prvobitne svrhe, neadekvatnim čuvanjem, neovlašćenim pristupom ili propuštanjem da se građanin obavijesti o povredi koja može ugroziti njegova prava.

Predlog zakona o zaštiti podataka o ličnosti zato nije samo još jedan propis koji uređuje administrativne procedure. Njegov značaj je u tome što zadire u svakodnevni odnos građanina sa državom, poslodavcem, bankom, zdravstvenom ustanovom, trgovcem i digitalnim servisima. U centru tog odnosa nalazi se jednostavno pitanje: ko ima naše podatke, zašto ih ima, šta sa njima radi i koliko dugo ih može zadržati?

Od odgovora na ta pitanja zavisi i stvarna vrijednost nove regulative. Jer zaštita ličnih podataka nije samo pitanje evidencija i informacionih sistema, već pitanje privatnosti, dostojanstva i kontrole pojedinca nad informacijama koje se odnose na njegov život.