Objavljen je Nacrt zakona o zaštiti podataka o ličnosti – u nastavku sledi moj komentar s predlozima izmena koji sam poslao Ministarstvu pravde, kao svoj doprinos javnoj raspravi.
Komentar sam poslao u svojstvu građanina i on ne predstavlja stav mog poslodavca, već mišljenje koje samostalno iznosim imajući u vidu da mi je oblast bliska.
S obzirom na značaj koji zaštita podataka o ličnosti ima za ostvarivanje osnovnih prava i sloboda, ali i sve veći obim i složenost obrade podataka usled pojave novih tehnologija koje i Nacrt pokriva, smatram da bi prilikom donošenja novog zakona posebnu pažnju trebalo posvetiti tome da predložena rešenja budu dugoročno održiva i dovoljno fleksibilna da odgovore i na oblike obrade koji danas još nisu široko rasprostranjeni.
U tom smislu, komentar u nastavku usmeren je pre svega na nekoliko pitanja koja smatram suštinskim za efikasnost budućeg sistema: teritorijalni opseg primene zakona, princip tehnološke neutralnosti, ograničenje video-nadzora, pravilno definisanje legitimnog interesa, uspostavljanje efikasnog, srazmernog i odvraćajućeg sistema sankcija.
1. Teritorijalna primena zakona – član 3.
U Nacrtu se predlaže odstupanje od rešenja sadržanog u Važećem zakonu, koji je u ovom delu preuzeo pristup iz GDPR-a. Prema Nacrtu, teritorijalna primena zakona vezuje se za obradu koja se vrši „u okviru aktivnosti na teritoriji Republike Srbije“.
Ovako formulisano rešenje ne odgovara modernom načinu obrade podataka o ličnosti, jer primenu zakona suštinski vezuje za postojanje aktivnosti rukovaoca, odnosno obrađivača na teritoriji Republike Srbije. Time se iz domašaja zakona mogu izuzeti subjekti koji nemaju sedište ili fizičko prisustvo u Srbiji, ali građanima Srbije nude robu i usluge, prate njihovo ponašanje, vrše profilisanje ili na drugi način obrađuju njihove podatke o ličnosti, uključujući i u svrhu razvoja i unapređivanja sistema veštačke inteligencije, što je posebno problematično.
Upravo zato GDPR predviđa ekstrateritorijalnu primenu i na rukovaoce i obrađivače koji nemaju „establishment“ u EU, kada obrađuju podatke u vezi sa ponudom robe ili usluga licima u EU ili praćenjem njihovog ponašanja. Brisanjem sličnog pravila iz važećeg zakona stvara se rizik od pravne praznine, ali i mogućnost da se primena zakona zaobiđe formalnim izmeštanjem ili reorganizacijom poslovanja van teritorije Republike Srbije.
Zato predlažem da se teritorijalna primena u novom zakonu ne sužava u odnosu na važeće rešenje, odnosno da se član 3. Važećeg zakona zadrži, u relevantnom delu, u sledećoj formulaciji:
„Ovaj zakon primenjuje se na obradu podataka o ličnosti koju vrši rukovalac, odnosno obrađivač koji ima sedište, odnosno prebivalište ili boravište na teritoriji Republike Srbije, u okviru aktivnosti koje se vrše na teritoriji Republike Srbije, bez obzira da li se radnja obrade vrši na teritoriji Republike Srbije.
Ovaj zakon primenjuje se na obradu podataka o ličnosti lica na koje se podaci odnose koje ima prebivalište, odnosno boravište na teritoriji Republike Srbije od strane rukovaoca, odnosno obrađivača koji nema sedište, odnosno prebivalište ili boravište na teritoriji Republike Srbije, ako su radnje obrade vezane za:
- ponudu robe, odnosno usluge licu na koje se podaci odnose na teritoriji Republike Srbije, bez obzira da li se od tog lica zahteva plaćanje naknade za ovu robu, odnosno uslugu;
- praćenje aktivnosti lica na koje se podaci odnose, ako se aktivnosti vrše na teritoriji Republike Srbije.“
2. Tehnološka neutralnost kao osnovni princip
Jedna od značajnih prednosti GDPR-a, koja ga i dalje čini relevantnim regulatornim okvirom u neizmenjenom obliku, jeste princip tehnološke neutralnosti.
Odredbe GDPR-a koncipirane su tako da se primenjuju na radnje obrade podataka o ličnosti bez obzira na to koja se tehnologija koristi od strane rukovalaca i obrađivača. Centralno pitanje je da li se obrađuju podaci o ličnosti i kakve su posledice takve obrade, odnosno kakve rizike ona proizvodi po prava i slobode lica na koja se podaci odnose.
Zahvaljujući takvom pristupu, ista pravila GDPR-a ostaju relevantna i kako tehnologija evoluira, što je od izuzetnog značaja u uslovima ubrzanog tehnološkog razvoja.
Na ovaj način, GDPR ostaje relevantan regulatorni okvir koji se primenjuje bez konstantnih izmena i bez postavljanja pitanja da li neka nova tehnologija pada pod opseg njegove primene.
Nacrt, međutim, ne samo da prepoznaje, već detaljno reguliše pojedine tehnologije poput veštačke inteligencije i video-nadzora.
Iako je ovo veliki iskorak koji će omogućiti jasnoću primene u odnosu na pobrojane tehnologije, potencijalno stvara velike rizike.
U slučaju da se pojavi tehnologija koju zakon ne reguliše, sve do njegovih eventualnih izmena koje bi je obuhvatile, obrada podataka o ličnosti korišćenjem takve tehnologije ostaće zakonski nepokrivena, što potencijalno može dovesti do zloupotreba i velikih rizika u odnosu na lica na koja se podaci odnose.
Dodatni problem će predstavljati eventualna kolizija novog ZZPL-a sa zakonima koji su lex specialis u određenim oblastima, poput najavljenog Zakona o veštačkoj inteligenciji, ali i nekih drugih propisa, kao što je Zakon o informacionoj bezbednosti, a pogotovo kada se i ti drugi zakoni i podzakonski akti budu menjali.
U tom smislu, ako će se zadržati preciziranje određenih tehnologija, predlog je da se doda jedna opšta odredba koja će naznačiti da će se odredbe zakona primenjivati nezavisno od tehnologije, sredstva ili tehničke arhitekture putem kojih se obrada podataka o ličnosti vrši.
Dodatno, bilo bi dobro precizirati da odredbe koje se odnose na pojedine oblike obrade podataka o ličnosti predstavljaju konkretizaciju osnovnih načela zakona i ne isključuju primenu drugih odredaba zakona na ostale tehnologije i načine obrade koji nisu uređeni posebnim odredbama.
Na ovaj način bi rukovaocima i obrađivačima bilo jasno da će se novi zakon primenjivati i na tehnologije koje nisu pobrojane, dok bi posebno uređene tehnologije bile predmet dodatnih pravila pre svega zbog učestalosti njihove primene ili specifičnih rizika koje nose.
3. Video-nadzor
Nacrt detaljno uređuje video-nadzor i pohvalno je decidno ograničavanje njegovog korišćenja. U nastavku iznosim sugestiju u pogledu rokova čuvanja snimaka.
U članu 45, stav 4 Nacrta stoji sledeće:
„Snimci dobijeni putem sistema video-nadzora čuvaju se najduže do šest meseci*, osim ako je drugim zakonom propisan duži rok čuvanja ili ako isti predstavljaju dokaz u zakonom uređenom postupku.“*
Predlog je da maksimalna dužina čuvanja od šest meseci izričito važi samo izuzetno, a da se u samom stavu primeni načelo ograničenosti čuvanja na sledeći način:
„Snimci dobijeni putem sistema video-nadzora čuvaju se samo onoliko koliko je potrebno za ostvarivanje konkretne svrhe obrade, a u svakom slučaju ne duže od tri meseca, osim ako je drugim zakonom propisan duži rok čuvanja ili ako isti predstavljaju dokaz u zakonom uređenom postupku.“
Smernice EDPB 3/2019 kao zlatni standard čuvanja video-snimaka predviđaju 24–72 sata, pa predlažem da se maksimalni rok čuvanja skrati na 3 meseca, ali da se takav rok koristi samo izuzetno.
4. Legitimni interes – preusko definisanje
Nacrt, u članu 4, stav 1, tačka 36, legitimni interes definiše na sledeći način:
„36) „legitimni interes” je stvaran, konkretan i pravno dopušten interes rukovaoca ili treće strane, koji je poslovnog ili šireg društvenog karaktera, da u okviru uspostavljenog odnosa sa fizičkim licem obrađuje podatke o ličnosti tog lica, uključujući njihov prenos trećoj strani, bez pribavljene saglasnosti tog lica, uz poštovanje principa neophodnosti, podobnosti i srazmernosti u odnosu na ostvarivanje svrhe obrade (sprečavanje prevara, zaštita informacione bezbednosti i dr.), pod uslovom da nad tim interesom ne pretežu interesi ili osnovna prava i slobode lica na koje se podaci odnose, uzimajući u obzir razumna očekivanja tih lica zasnovana na njihovom odnosu sa rukovaocem.”
Definicija legitimnog interesa koja se odnosi samo na uspostavljen odnos sa fizičkim licem je preuska i suprotna pristupu u smernicama Evropskog odbora za zaštitu podataka i uvodnim odredbama GDPR-a.
Suženo definisanje samo na uspostavljen odnos sa fizičkim licem otežalo bi zakonitu obradu podataka u nekim čestim situacijama poput naplate štete od trećih lica (poznati slučaj pred Sudom pravde Evropske unije Rīgas satiksme, C-13/16), gde ne postoji uspostavljen odnos, a obrada nije poslovnog i šireg društvenog karaktera (u konkretnom slučaju u pitanju je bilo oštećenje službenog vozila).
Dodatno, GDPR u uvodnoj odredbi 47 izričito navodi da se obrada podataka o ličnosti u svrhu direktnog marketinga može smatrati legitimnim interesom, što je u nekim situacijama nespojivo sa odredbom Nacrta u kojoj se očekuje da je odnos već prethodno uspostavljen.
U tu svrhu, predlažem izmenu Nacrta u članu 4, stav 1, tačka 36, tako da definicija legitimnog interesa glasi:
„36) „legitimni interes” je stvaran, konkretan i pravno dopušten interes rukovaoca ili treće strane, koji je poslovnog ili šireg društvenog karaktera, za obradu podataka o ličnosti fizičkog lica, uključujući njihov prenos trećoj strani, bez pribavljene saglasnosti tog lica, uz poštovanje principa neophodnosti, podobnosti i srazmernosti u odnosu na ostvarivanje svrhe obrade (sprečavanje prevara, zaštita informacione bezbednosti i dr.), pod uslovom da nad tim interesom ne pretežu interesi ili osnovna prava i slobode lica na koje se podaci odnose, uzimajući u obzir sve okolnosti konkretnog slučaja obrade i razumna očekivanja lica na koje se podaci odnose.”
5. Kaznene odredbe
Iako se u obrazloženju Nacrta navodi da je postojeći sistem prekršajnih i krivičnih sankcija neadekvatan i neefikasan, Nacrt u suštini zadržava postojeći model kažnjavanja, uz relativno ograničene izmene.
Jedan od ključnih razloga efikasnosti sistema sankcija predviđenog GDPR-om nije samo visina novčanih kazni, koje za najteže povrede mogu dostići 20 miliona evra ili 4% ukupnog svetskog godišnjeg prometa, zavisno od toga koji je iznos veći, već i sama priroda tih sankcija. Reč je o administrativnim novčanim kaznama koje nadzorni organ može izreći u okviru svojih zakonskih ovlašćenja, što omogućava neposrednije i efikasnije sankcionisanje rukovalaca i obrađivača koji se ogluše o obaveze iz oblasti zaštite podataka o ličnosti.
Suština GDPR sistema sankcija je u principu efikasnog, srazmernog i odvraćajućeg ekonomskog kažnjavanja. Visina sankcije nije sama sebi cilj, već sredstvo kojim se obezbeđuje da kršenje propisa ne bude ekonomski isplativije od usklađivanja sa zakonom.
Pohvalno je što Nacrt detaljnije uređuje kriterijume za određivanje visine konkretne novčane kazne. Međutim, osnovni problem ostaje činjenica da se i dalje zadržava sistem prekršajnog kažnjavanja, koji podrazumeva vođenje prekršajnog postupka, sa svim ograničenjima koja takav postupak nosi u pogledu brzine i efikasnosti sankcionisanja.
Istovremeno, raspon propisanih novčanih kazni je neznatno povećan. Povećanje minimalne kazne sa 50.000 dinara na 200.000 dinara, samo po sebi, teško može proizvesti stvarni odvraćajući efekat, posebno u odnosu na velike privredne subjekte.
Nacrt uvodi mogućnost izricanja novčane kazne u srazmeri sa visinom pričinjene štete ili neizvršene obaveze koja je predmet prekršaja, najviše do dvadesetostrukog iznosa tih vrednosti, s tim što kazna ne može preći petostruki iznos najveće novčane kazne koja se može izreći po odgovarajućoj odredbi zakona. Iako ova odredba formalno omogućava izricanje viših kazni, njena primena otvara pitanje pravne izvesnosti, imajući u vidu nejasnoću kriterijuma na osnovu kojih bi se utvrđivala „visina pričinjene štete” ili vrednost „neizvršene obaveze”, kao i njihova neposredna povezanost sa konkretnim prekršajem.
Čak i u slučaju primene najvišeg mogućeg uvećanja, maksimalna kazna od 10.000.000 dinara ostaje neuporedivo manja od sankcija koje su moguće u sistemu GDPR-a. Ovakvo rešenje ne obezbeđuje jednak odvraćajući efekat u odnosu na različite kategorije rukovalaca i obrađivača. Naprotiv, fiksno ograničen sistem kazni može imati nesrazmerno veći uticaj na male i srednje domaće rukovaoce i obrađivače, dok za najveće, naročito multinacionalne kompanije, maksimalna novčana kazna može predstavljati zanemarljiv poslovni trošak.
Iz navedenih razloga, predlažem da se sistem kažnjavanja u potpunosti preispita i izmeni. Države iz okruženja, poput Crne Gore i Bosne i Hercegovine, usvojile su rešenja slična onima predviđenim GDPR-om.
Takođe, i domaći pravni okvir već poznaje model administrativnog kažnjavanja zasnovan na izricanju novčanih sankcija srazmernih prihodu pravnog lica. Takav pristup postoji, između ostalog, u oblasti zaštite konkurencije, gde Komisija za zaštitu konkurencije može izreći meru u visini do 10% ukupnog godišnjeg prihoda učesnika na tržištu, kao i u drugim oblastima u kojima nadzorni organi (poput Narodne banke Srbije) raspolažu ovlašćenjima za izricanje administrativnih sankcija.
Ovaj način kažnjavanja dao bi Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti mogućnost da zaista utiče na sprovođenje zakona, a kazne bi pre svega imale odvraćajuću ulogu koja bi omogućila suštinsko usklađivanje, što nije slučaj sa postojećim sistemom prekršajnog kažnjavanja.
Zaključak
Nacrt zakona je prilika da se sistem zaštite podataka o ličnosti dodatno unapredi i prilagodi sadašnjem i budućem tehnološkom napretku, ali i relevantnim međunarodnim standardima u ovoj oblasti. Zato je ključno obezbediti da zakon ostane tehnološki neutralan i da njegova teritorijalna primena omogući delotvornu zaštitu podataka o ličnosti građana Srbije, bez obzira na to gde se rukovalac ili obrađivač nalazi.
Istovremeno, trebalo bi dodatno ispitati pojedina rešenja, poput definicije legitimnog interesa, pravila o video-nadzoru i sistema sankcija, kako bi bila usklađena sa osnovnim principima zaštite podataka i evropskim standardima.
Cilj navedenih predloga je da novi zakon ne bude samo formalno usklađen sa GDPR-om, već da obezbedi stvarnu, delotvornu i dugoročno održivu zaštitu podataka o ličnosti u Republici Srbiji.