Šta se prema nacrtu zaista menja u odnosu na važeći zakon?
Početkom avgusta je objavljen Nacrt novog Zakona o zaštiti podataka o ličnosti, kojim bi trebalo da bude zamenjen važeći Zakon o zaštiti podataka o ličnosti iz 2018. godine („Službeni glasnik RS“, br. 87/2018), koji se primenjuje od 22. avgusta 2019. godine.
Već na prvo čitanje Nacrta, jasno je da se ne radi o nekoliko parcijalnih, niti tehničkih intervencija. Međutim, iako važeći zakon ima 102 člana, dok Nacrt ima 175, ipak, značajan deo novih članova nastao je tako što su postojeća pravila razdvojena, detaljnije uređena ili sistematizovana na drugačiji način. Sa druge strane, Nacrt zaista uvodi i nekoliko potpuno novih pravnih režima, od kojih su za praksu posebno značajni video nadzor, obrada podataka korišćenjem veštačke inteligencije, detaljnije upravljanje rizicima i bezbednošću podataka, pojedina pravila o biometrijskim podacima, kao i izmene sistema pravnih sredstava i kaznene politike.
U obrazloženju Nacrta kao razlozi za donošenje novog zakona navode se iskustva iz višegodišnje primene važećeg ZZPL-a, potreba preciziranja postojećih normi, razvoj novih tehnologija, posebno veštačke inteligencije, nedovoljna uređenost bezbednosti podataka i procene rizika, kao i ocena da su postojeće prekršajne kazne preniske. Istovremeno se naglašava da novi tekst ne treba da napusti osnovna načela i dostignuti nivo prava iz važećeg zakona, već da ih precizira i učini delotvornijim.
Sa tih razloga, Nacrt treba posmatrati na tri nivoa: kao skup potpuno novih rešenja, zatim kao izmenu ili proširenje postojećih rešenja, i konačno kao novu sistematizaciju pravila koja u suštini već postoje.
I Nova struktura zakona
Jedna od kritika važećeg ZZPL-a jeste njegova struktura. On je istovremeno koncipiran po uzoru na Opštu uredbu EU o zaštiti podataka – GDPR, ali i na Direktivu (EU) 2016/680, koja uređuje obradu podataka od strane policije i drugih nadležnih organa u krivičnopravne svrhe. Zbog toga su kroz važeći zakon opšta pravila i posebna pravila za nadležne organe često isprepletana.
Nacrt konačno menja ovaj pristup.
Opšti režim zaštite podataka se sada nalazi u prvom delu zakona, dok je obrada koju nadležni organi vrše u posebne svrhe izdvojena u zaseban drugi deo. U obrazloženju se izričito navodi da je cilj takve sistematike lakša i jednostavnija primena zakona.
To je značajno poboljšanje sa stanovišta preglednosti. Za najveći broj privrednih društava i drugih rukovalaca više neće biti potrebno da prilikom čitanja gotovo svakog instituta odvajaju opšte pravilo od posebnog režima policijskih, pravosudnih i drugih nadležnih organa.
Međutim, veći broj članova Nacrta posledica je upravo ovakvog „raspakivanja“ postojećeg zakona. Zbog toga nije pravilno zaključiti da svaki novi član predstavlja i novu obavezu.
To je naročito važno kod instituta kao što su procena uticaja na zaštitu podataka – DPIA, lice za zaštitu podataka – DPO, evidencije radnji obrade, prijavljivanje povrede podataka ili sertifikacija. Svi ovi instituti već postoje u važećem zakonu. Na primer, važeći ZZPL već propisuje obavezu izrade DPIA kada obrada može prouzrokovati visok rizik, uključujući ista tri karakteristična slučaja – automatizovanu procenu pojedinca, obradu posebnih kategorija podataka u velikom obimu i sistematski nadzor javno dostupnih površina. Važeći zakon takođe već propisuje rok od 72 časa za prijavljivanje određenih povreda podataka Povereniku.
Nacrt uglavnom zadržava ove institute, s tim što ih detaljnije uređuje.
II Teritorijalna primena zakona
Prva važna materijalna promena pojavljuje se već kod teritorijalne primene zakona.
Važeći ZZPL, pored rukovalaca i obrađivača sa sedištem u Srbiji, primenjuje se i na određene strane rukovaoce i obrađivače ako su njihove radnje obrade povezane sa ponudom robe ili usluga licima na teritoriji Srbije ili praćenjem njihovih aktivnosti na toj teritoriji.
Nacrt koristi drugačiju konstrukciju. Kada rukovalac ili obrađivač nema sedište, prebivalište, boravište ili odobren boravak u Srbiji, zakon bi se primenjivao na obradu podataka lica koje ima prebivalište, boravište ili odobren boravak u Srbiji ako se radnje obrade vrše „u okviru aktivnosti na teritoriji Republike Srbije“.
U obrazloženju se ova promena izričito kvalifikuje kao proširenje primene zakona, jer više nema samo dva dosadašnja kriterijuma – nuđenje robe ili usluga i praćenje ponašanja.
Ipak, nova formulacija zahteva pažljivo tumačenje. Pojam obrade koja se vrši „u okviru aktivnosti na teritoriji Republike Srbije“ moraće da dobije dovoljno određeno značenje kako bi strani subjekti mogli unapred da procene da li potpadaju pod srpski zakon. Drugim rečima, namera zakonodavca da proširi zaštitu je jasna, ali će domet takve eksteritorijalne primene u praksi zavisiti od tumačenja ove formulacije.
Nacrt takođe izričito utvrđuje da se zakon ne primenjuje na podatke o preminulim licima i eksplicitno isključuje neautomatizovanu obradu podataka koji ne čine deo zbirke niti su namenjeni zbirci. Kod poslednjeg pitanja radi se pre svega o preciziranju onoga što je već proizlazilo iz opšteg pravila o predmetu primene.
III Novi i precizniji pojmovi
Važeći ZZPL sadrži 26 osnovnih pojmova. Nacrt uvodi, između ostalog, definicije anonimizacije, kriptozaštite, rizika, upravljanja rizicima bezbednosti podataka o ličnosti, video nadzora, sertifikacionog tela, obavljanja poslova u javnom interesu i legitimnog interesa. Preciziraju se i pojmovi multinacionalnog privrednog društva i organa vlasti.
Neke od tih definicija imaju daleko veći značaj od terminološkog, jer direktno utiču na tumačenje i primenu ostalih odredbi ovog akta.
Legitimni interes
Nacrt prvi put zakonski definiše legitimni interes kao stvaran, konkretan i pravno dopušten interes rukovaoca ili treće strane, poslovnog ili šireg društvenog karaktera, za obradu podataka u okviru uspostavljenog odnosa sa fizičkim licem, uz poštovanje neophodnosti, podobnosti i srazmernosti i pod uslovom da ne pretežu prava i slobode lica, uz posebno uzimanje u obzir njegovih razumnih očekivanja.
Razumljivo je zašto je zakonodavac pokušao da precizira ovaj pravni osnov, jer je to bio možda i najklizaviji teren u primeni odredbi još uvek važećeg zakona. A i u obrazloženju Nacrta se upravo legitimni interes navodi kao jedan od pojmova koji je u praksi izazivao najviše nedoumica.
Ipak, definicija može otvoriti i nova pitanja. Posebno je interesantna formulacija da legitimni interes postoji „u okviru uspostavljenog odnosa sa fizičkim licem“. Ako bi se tumačila restriktivno, mogla bi da suzi mogućnost oslanjanja na legitimni interes u situacijama u kojima između rukovaoca i lica još ne postoji neposredan odnos. To je recimo pitanje koje će, ukoliko ova formulacija ostane u konačnom zakonu, zahtevati dodatno razjašnjenje kroz praksu Poverenika i sudova.
Sa druge strane, eksplicitno uvođenje razumnih očekivanja lica, testa neophodnosti, podobnosti i srazmernosti približava sam zakonski tekst onome što se u dobro razvijenoj praksi zaštite podataka već podrazumeva pod testom legitimnog interesa.
Profilisanje više nije nužno automatizovano?
Još jedna naizgled mala, ali potencijalno veoma značajna promena nalazi se u definiciji profilisanja.
Važeći zakon profilisanje definiše kao „svaki oblik automatizovane obrade“ koji se koristi radi ocenjivanja određenih svojstava fizičkog lica.
U Nacrtu je reč „automatizovane“ izostavljena: profilisanje je „svaki oblik obrade“ koji se koristi radi ocene određenih svojstava fizičkog lica.
Ako ovakva formulacija ostane, pojam profilisanja u srpskom pravu bio bi širi nego do sada i mogao bi obuhvatiti i određene procene fizičkih lica koje nisu rezultat automatizovane obrade. To nije samo jezička promena, jer se za profilisanje vezuje niz posebnih pravila – od prava na prigovor do automatizovanog odlučivanja i DPIA.
Organ vlasti
Nacrt šire određuje i pojam organa vlasti. Pored klasičnih državnih i lokalnih organa i pravnih lica sa javnim ovlašćenjima, definicija obuhvata javna preduzeća, ustanove, privredna društva i druga pravna lica čiji je osnivač ili član Republika Srbija, autonomna pokrajina ili jedinica lokalne samouprave, kao i pravna lica i preduzetnike koji obavljaju delatnosti od opšteg interesa.
Ovo može imati veoma konkretne posledice, jer se za organe vlasti vezuje čitav niz posebnih pravila – uključujući ograničenja oslanjanja na legitimni interes u okviru vršenja njihove nadležnosti i određene obaveze u vezi sa DPO.
„Nadležni organi“ i prekršaji
Kod nadležnih organa Nacrt više ne govori samo o sprečavanju, istrazi i otkrivanju krivičnih dela, već izričito uključuje i prekršaje. Time se područje posebnog režima obrade podataka nadležnih organa proširuje.
IV Načela obrade
Važeći zakon gotovo sva osnovna načela obrade smešta u jedan član.
Nacrt ih razdvaja u posebne članove: zakonitost, poštenje, transparentnost, ograničenje svrhe, minimizacija, tačnost, ograničenje čuvanja, integritet i poverljivost i odgovornost za postupanje.
Suštinski model se ne menja, ali pojedina načela dobijaju dodatni normativni sadržaj.
Tako se kod načela zakonitosti naglašava usklađenost sa Ustavom, potvrđenim međunarodnim ugovorima, opšteprihvaćenim pravilima međunarodnog prava i zakonom. Kod načela poštenja izričito se uvodi obaveza vođenja računa o opravdanim interesima i razumnim očekivanjima lica. Kod minimizacije se navodi da se pri oceni podataka posebno uzimaju u obzir potreba, podobnost i srazmernost u odnosu na svrhu obrade.
Dakle, osnovna načela nisu nova, ali postaju više od kratkih deklarativnih normi. Zakonodavac pokušava da u sam tekst zakona unese elemente metodologije njihove praktične primene.
V Pravni osnovi za obradu ostaju isti
Nacrt ne uvodi nove opšte pravne osnove za obradu, što je jako važno jer ostaje na putu koju je GDPR utabao.
I dalje postoji šest poznatih osnova: zakonska obaveza, javni interes ili vršenje ovlašćenja, životno važni interesi, pristanak, ugovor i legitimni interes.
Razlika je pre svega u tome što se svaki od ovih osnova dalje razrađuje u posebnom članu.
Ni standard pristanka nije suštinski snižen. Iako je njegova definicija u članu 4. kraća nego u važećem zakonu, član 17. ponovo zahteva da pristanak bude dobrovoljan, određen i nedvosmislen, dat izjavom ili jasnom potvrdnom odnosno konkludentnom radnjom na osnovu potpunih informacija. Zadržani su i pravo na opoziv i pravilo da opoziv mora biti jednako jednostavan kao davanje pristanka.
Granica od 15 godina za samostalno davanje pristanka maloletnog lica pri korišćenju usluga informacionog društva takođe ostaje nepromenjena.
Najveća promena u oblasti pravnih osnova zato nije u njihovom broju, već u već pomenutom zakonskom definisanju legitimnog interesa.
VI Posebne vrste podataka i posebni slučajevi obrade
Nacrt zadržava osnovnu strukturu zaštite posebnih kategorija podataka, ali uvodi nekoliko zanimljivih preciziranja.
Kod političkih podataka, pored političkog mišljenja, izričito se pominje i članstvo u političkom subjektu.
Posebno je uređen JMBG, što je do sada otvaralo prostor za tumačenja. Nacrt izričito zabranjuje radnju obrade kojom se jedinstveni matični broj građana čini javno dostupnim neograničenom broju lica.
U oblasti rada i zapošljavanja i dalje se upućuje na radno zakonodavstvo i kolektivne ugovore, ali se zahteva da posebna pravila obezbede zaštitu dostojanstva, legitimnih interesa i osnovnih prava zaposlenih, posebno u pogledu transparentnosti, prenosa podataka unutar multinacionalnih grupa i sistema nadzora na radnom mestu.
Obrada radi pravnog zahteva
Za pravnu praksu je posebno značajan član 44. Nacrta, kojim se kao zaseban slučaj uređuje obrada koja je neophodna radi podnošenja, ostvarivanja ili odbrane pravnog zahteva u pravno uređenom postupku.
Takva obrada mora se vršiti u skladu sa pravilima odgovarajućeg postupka, ali uz istovremeno poštovanje načela minimizacije i zaštite podataka.
Iako se ostvarivanje i odbrana pravnih zahteva i danas pojavljuju na više mesta u ZZPL-u, izdvajanje ovog pitanja kao samostalnog pravila predstavlja korisno razjašnjenje za sudske, arbitražne, upravne i druge pravno uređene postupke.
VII Video nadzor
Jedna od najočiglednijih i praktično najvažnijih novina jeste posebno poglavlje posvećeno video nadzoru, čl. 45–51.
Važeći ZZPL nema sistemski uređena pravila o tome gde se video nadzor može postavljati, kako se obeležava, koliko dugo se snimci čuvaju, kako se uređuje video nadzor zaposlenih, zajedničkih delova zgrada ili javnih površina. Upravo to obrazloženje Nacrta navodi kao jedan od razloga za novu regulativu.
Nacrt postavlja opšte pravilo da je video nadzor dopušten samo kada je neophodan i opravdan radi zaštite lica, imovine, tajnih podataka ili poslovne tajne, uz balansiranje sa interesima lica koja se snimaju.
Zabranjuje se video nadzor u prostorijama za odmor, ličnu higijenu i presvlačenje i drugim prostorima u kojima postoji opravdano očekivanje višeg nivoa privatnosti. Prostor mora biti jasno obeležen. Snimci se, po pravilu, mogu čuvati najduže šest meseci, osim ako poseban zakon propisuje duži rok ili snimak predstavlja dokaz u pravno uređenom postupku. Pristup i korišćenje snimaka dozvoljeni su samo za svrhu koja je postojala u trenutku njihovog nastanka.
Obaveštenje mora biti vidljivo najkasnije pri ulasku u perimetar snimanja i mora omogućiti licu da sazna ko je rukovalac i gde može dobiti dodatne informacije.
Za poslovni prostor propisuje se donošenje pisane odluke o uvođenju video nadzora, osim ako je njegovo uvođenje neposredno propisano zakonom. Pre uvođenja nadzora unutar poslovnog prostora rukovalac mora razmotriti postoje li druga sredstva kojima se ista svrha može ostvariti uz manje zadiranje u prava zaposlenih i drugih lica.
Posebna pravila uređuju video nadzor zaposlenih, pristupa poslovnim prostorijama, zajedničkih delova stambenih zgrada i javnih površina, kao i evidenciju pristupanja snimcima.
Posebno je značajna zabrana daljinske, masovne i neselektivne biometrijske identifikacije lica putem sistema video nadzora.
Za veliki broj kompanija ovo će biti jedna od prvih oblasti u kojoj će biti potrebno proveriti postojeću praksu odmah nakon donošenja zakona. Dosadašnja činjenica da je video nadzor eventualno mogao da se opravda opštim pravilima ZZPL-a više neće biti dovoljna: Nacrt uvodi konkretne materijalne, proceduralne i tehničke uslove.
VIII Veštačka inteligencija
Članovi 52. i 53. uvode potpuno novo poglavlje – obradu podataka o ličnosti korišćenjem veštačke inteligencije.
Važeći ZZPL poznaje automatizovano donošenje odluka i profilisanje, ali nema poseban režim obrade podataka radi razvoja, testiranja ili korišćenja AI sistema. Važeći član 38. štiti lice od odluka donetih isključivo automatizovanom obradom koje proizvode pravne posledice ili značajno utiču na njegov položaj.
Nacrt ide znatno dalje.
Obrada podataka radi razvoja i testiranja AI
Član 52. predviđa da se podaci mogu obrađivati radi primene, razvoja i testiranja sistema veštačke inteligencije i modela veštačke inteligencije opšte namene ako je takva obrada u skladu sa prvobitnom svrhom prikupljanja. U izuzetnim slučajevima predviđa se i mogućnost obrade na osnovu legitimnog interesa rukovaoca ili trećeg lica koji preteže nad pravima i slobodama lica.
Posebno se naglašavaju minimizacija, pseudonimizacija i anonimizacija.
Međutim, možda najosetljivije rešenje nalazi se u stavu 4. istog člana. Kod ove obrade ne primenjuju se prava na ispravku i dopunu, ograničenje obrade, određena prava u vezi sa automatizovanim odlučivanjem, pravo na brisanje i pravo na prenosivost podataka. Lice zadržava pravo pristupa i prigovora, ali čak i ona mogu biti ograničena ako bi njihovo ostvarivanje značajno otežalo svrhu obrade ili rukovalac ne može da identifikuje lice. Nakon ispunjenja svrhe podaci se brišu.
To je veoma značajna intervencija u postojeći sistem prava lica i verovatno jedno od rešenja Nacrta koje će zahtevati najviše stručne rasprave. Ovde se više ne radi samo o prilagođavanju postojećeg ZZPL-a novoj tehnologiji, već o uspostavljanju posebnog režima u kojem se pojedina prava lica neposredno isključuju radi razvoja i primene AI.
Visokorizični sistemi, transparentnost i sintetički sadržaj
Član 53. razlikuje visokorizične AI sisteme, sisteme koji neposredno komuniciraju sa pojedincem i sisteme minimalnog rizika.
Kod visokorizičnih sistema zahteva se procena uticaja na zaštitu podataka, koja može biti deo šire procene uticaja AI sistema na osnovna prava predviđene posebnim zakonom, a na osnovu koje Poverenik daje mišljenje.
Kod sistema koji neposredno komuniciraju sa fizičkim licem ono mora biti obavešteno da komunicira sa AI sistemom, odnosno da se radi o sintetičkom audio ili video sadržaju ili sistemu za prepoznavanje emocija. Informacija se daje najkasnije prilikom prve interakcije ili prvog izlaganja sadržaju. Pravila se primenjuju i na modele veštačke inteligencije opšte namene.
Nacrt dalje predviđa da obrada isključivo AI sistemom, bez učešća fizičkog lica, nije dozvoljena ako može proizvesti štetne posledice ili značajno uticati na položaj lica, dok je posebno dopušta za statističke, naučne i istorijske svrhe. Sintetički audio i video sadržaj mora biti označen kao generisan odnosno modifikovan.
Ovde će biti važno i usklađivanje sa budućim srpskim propisima o veštačkoj inteligenciji. Nacrt koristi kategorije kao što su „visokorizični sistem“, „minimalni rizik“, „model veštačke inteligencije opšte namene“ i procena uticaja na osnovna prava, čija puna pravna sadržina zavisi i od posebnog regulatornog okvira za AI.
Drugim rečima, ZZPL bi po ovom modelu prestao da bude tehnološki neutralan propis u punom smislu te reči. Veštačka inteligencija bi postala tehnologija kojoj se posvećuje poseban zakonski režim.
IX Prava lica uglavnom ostaju ista, ali se postupak njihovog ostvarivanja formalizuje
Osnovni katalog prava se ne menja bitno: pravo na pristup, ispravku, brisanje, ograničenje obrade, prenosivost, prigovor i zaštitu od određenog automatizovanog odlučivanja ostaju deo sistema.
Međutim, Nacrt znatno detaljnije reguliše kako se ta prava ostvaruju.
Član 65. utvrđuje sadržinu zahteva. Zahtev sadrži podatke o identitetu podnosioca – ime i prezime i adresu prebivališta, boravišta odnosno odobrenog boravka – a može sadržati telefon i e-mail, kao i što preciznije određenje podataka na koje se odnosi. Ako je zahtev nerazumljiv ili nepotpun, rukovalac u roku od 15 dana mora obavestiti podnosioca o potrebi da nedostatke otkloni i pružiti mu pomoć. Ako nedostaci ne budu otklonjeni u narednih 15 dana i zbog toga po zahtevu nije moguće postupiti, rukovalac nije dužan da postupi.
Rok za postupanje ostaje 30 dana, uz mogućnost produženja za još najviše 60 dana zbog složenosti i broja zahteva.
Dakle, sami rokovi nisu suštinski nova stvar. Novina je formalizacija zahteva i postupka otklanjanja njegovih nedostataka.
Još jedna praktična novina postoji kod prigovora. Ako se prigovor podnese zbog obrade zasnovane na javnom ili legitimnom interesu, Nacrt propisuje da rukovalac izvrši proveru navoda i o rezultatima, uključujući preduzete radnje, obavesti podnosioca u roku od 60 dana. Takav poseban rok i obaveza dokumentovane provere nisu sadržani u sadašnjem članu 37. ZZPL-a.
Kod automatizovanog donošenja odluka osnovni model ostaje gotovo isti: lice ima pravo da se na njega ne primenjuje isključivo automatizovana odluka sa pravnim ili sličnim značajnim posledicama, uz izuzetke za ugovor, zakon i izričit pristanak i uz obavezne zaštitne mere.
X Rukovalac i obrađivač
Obaveze rukovalaca i obrađivača i dalje se zasnivaju na odgovornosti za postupanje, privacy by design/default pristupu i upravljanju rizikom.
Nacrt u članu 67. objedinjuje i detaljnije formuliše obaveze rukovaoca da, uzimajući u obzir prirodu, obim, okolnosti, svrhu, tehnološka dostignuća, troškove i rizik, primenjuje odgovarajuće tehničke, organizacione i kadrovske mere. Izričito se pominju pseudonimizacija, minimizacija, ograničavanje dostupnosti i donošenje internih akata kada je to srazmerno obradi.
Osnovna koncepcija, međutim, već postoji u važećim čl. 41. i 42. ZZPL-a.
Isto važi za predstavnika stranog rukovaoca ili obrađivača. Iako obrazloženje Nacrta na pojedinim mestima govori o „uvođenju“ predstavnika, taj institut već postoji u članu 44. važećeg zakona.
Ovo je dobar primer zbog čega obrazloženje Nacrta ne treba čitati kao doslovan spisak novih instituta, već svaki navod proveriti u odnosu na važeći tekst.
XI Evidencije radnji obrade
Ni obaveza vođenja evidencija radnji obrade nije nova. Važeći član 47. već detaljno propisuje evidenciju rukovaoca.
Nacrt zadržava isti koncept i izuzetak za privredne subjekte i organizacije sa manje od 250 zaposlenih, osim kada je obrada rizična, nije povremena ili uključuje posebno osetljive podatke odnosno podatke o kažnjivim delima.
Ali postoji važna praktična dopuna: evidencija rukovaoca sada izričito treba da sadrži i pravni osnov obrade.
Za organizacije koje već imaju dobro postavljen GDPR/ZZPL registar obrada ovo neće zahtevati promenu koncepta dokumenta, ali će zahtevati proveru njegovog sadržaja.
XII Bezbednost podataka i upravljanje rizicima postaju mnogo konkretniji
Važeći zakon već poznaje pristup zasnovan na riziku. Član 50. zahteva odgovarajući nivo bezbednosti i, prema potrebi, pseudonimizaciju i kriptozaštitu, sposobnost obezbeđenja poverljivosti, integriteta, raspoloživosti i otpornosti, obnovu sistema i periodično testiranje mera.
Nacrt, međutim, ide znatno detaljnije.
Prvo, uvodi zakonske definicije „rizika“ i „upravljanja rizicima bezbednosti podataka o ličnosti“. Zatim čl. 78–81 razrađuju opšte bezbednosne mere i posebno mere u sistemima elektronske obrade i kod obrade podataka na drugim nosačima.
Time se bezbednost podataka pomera iz relativno otvorenog standarda ka detaljnijem compliance režimu.
Praktična posledica je važna: više neće biti dovoljno da organizacija u pravilniku samo navede da primenjuje „odgovarajuće tehničke i organizacione mere“. Moraće mnogo jasnije da pokaže koji su rizici identifikovani, kako su procenjeni, koje su kontrole određene i kako se njihova efikasnost proverava.
Takav pristup je posebno važan zbog sve veće povezanosti zaštite podataka sa propisima o informacionoj i sajber bezbednosti.
XIII Data breach, DPIA i DPO
Na ovom mestu je potrebno napraviti još jedno važno razgraničenje.
Prijavljivanje povrede podataka Povereniku u roku od 72 časa nije nova obaveza, jer već postoji u članu 52. važećeg ZZPL-a.
Isto važi za procenu uticaja na zaštitu podataka. Važeći član 54. već propisuje DPIA kod visokorizične obrade i praktično iste tri osnovne kategorije obavezne procene.
Međutim, Nacrt u čl. 84–87 taj sistem reorganizuje i detaljnije uređuje. Posebno je korisna formulacija da se prethodno mišljenje Poverenika traži kada procena pokaže da je preostali rizik i nakon primene mera i dalje visok.
To preciznije izražava logiku DPIA: nije presudno samo da je neka obrada inicijalno visokorizična, već šta ostaje od rizika nakon planiranih mera za njegovo ublažavanje.
Ni DPO naravno nije novi institut. Nacrt ga zadržava i detaljnije sistematizuje njegov položaj, nezavisnost, resurse, pristup podacima, izbegavanje sukoba interesa i savetodavnu ulogu. Čak i samo obrazloženje Nacrta, kada govori o sertifikaciji, priznaje da se kod pojedinih instituta radi o njihovom preciziranju zbog slabe primene u praksi.
XIV Sertifikacija
Važeći zakon već poznaje dobrovoljnu sertifikaciju i predviđa da sertifikat može izdati sertifikaciono telo ili Poverenik, prema kriterijumima koje određuje Poverenik. Sertifikat se izdaje na period do tri godine.
Problem je što ovaj mehanizam u praksi nije zaživeo, što potvrđuje i obrazloženje Nacrta.
Nacrt zbog toga gradi znatno ozbiljniji institucionalni sistem sertifikacije.
Predviđena su sertifikaciona tela koja moraju biti akreditovana, u postupak se uključuje Akreditaciono telo Srbije, detaljnije se uređuju kriterijumi za rukovaoce i obrađivače, postupak izdavanja i oduzimanja sertifikata i nadzor Poverenika.
Dakle, novina nije ideja sertifikacije, već pokušaj da se od postojećeg, praktično neaktivnog instituta napravi operativan sistem ocenjivanja usaglašenosti.
Slično važi za kodekse postupanja. Oni postoje i danas, dok Nacrt pre svega detaljnije uređuje njihovo odobravanje, kontrolu primene i akreditaciju tela koja kontrolišu poštovanje kodeksa. I samo obrazloženje ova pravila opisuje kao preciziranje važećih rešenja.
XV Međunarodni transferi
Osnovna arhitektura međunarodnih prenosa se u principu ne menja.
I dalje postoje prenos u države i međunarodne organizacije sa primerenim nivoom zaštite, prenos uz odgovarajuće mere zaštite – uključujući standardne ugovorne klauzule, obavezujuća poslovna pravila, kodekse i sertifikaciju – i izuzeci za posebne situacije.
Nacrt zadržava i postojeće pravilo prema kojem se primereni nivo smatra obezbeđenim u državama i međunarodnim organizacijama obuhvaćenim odgovarajućom Konvencijom Saveta Evrope i tamo gde je Evropska unija utvrdila primeren nivo. Međutim, izričito se dodaje i da se primereni nivo smatra obezbeđenim kada je sa drugom državom ili međunarodnom organizacijom zaključen međunarodni sporazum o prenosu podataka, uz prethodnu ocenu odgovarajućih uslova zaštite.
Kod standardnih ugovornih klauzula Nacrt preciznije propisuje da one mogu uređivati različite odnose učesnika u transferu – controller-to-controller, controller-to-processor, processor-to-processor i processor-to-controller.
Zanimljivo je i sistematsko izdvajanje izuzetnog, neponavljajućeg prenosa ograničenog broja lica zbog pretežnog legitimnog interesa rukovaoca u poseban član 108, uz obaveznu prethodnu procenu okolnosti, dokumentovanje i obaveštavanje Poverenika i lica.
Dakle, za kompanije koje već imaju uređene međunarodne transfere neće biti potrebno graditi sistem od početka, ali će postojeće mehanizme i dokumentaciju biti potrebno uskladiti sa novom sistematikom i pojedinim dodatnim pravilima.
XVI Nadležni organi
Drugi deo Nacrta, čl. 112–149, u celini je posvećen obradi podataka koju nadležni organi vrše u posebne svrhe.
To ne znači da je čitav ovaj režim nov. Veliki deo pravila već postoji u važećem ZZPL-u, ali je raspoređen kroz ceo zakon.
Nova sistematika ipak olakšava odgovor na osnovno pitanje: kada policija, tužilaštvo ili drugi nadležni organ obrađuje podatke u okviru posebnih ovlašćenja, primenjuje se poseban režim; kada isti organ podatke obrađuje za druge potrebe, primenjuje se opšti režim. Sam Nacrt to izričito određuje.
Posebno su značajna pravila o genetičkim i biometrijskim podacima. Obrada radi jedinstvene identifikacije lica načelno nije dopuštena osim kada je zakonom predviđena radi zaštite javnog interesa u demokratskom društvu, uz test neophodnosti, pretežnosti javnog interesa i srazmernosti. Zabranjuje se daljinska, masovna i neselektivna biometrijska identifikacija putem video nadzora.
Detaljno se uređuju i evidencije i beleženje aktivnosti u automatizovanim sistemima, tako da mora biti moguće utvrditi, između ostalog, razlog, vreme i, kada je moguće, identitet lica koje je pristupilo ili otkrilo podatke.
XVII Pritužba Povereniku i predstavka
Jedna od promena koja može ostati u senci AI i video nadzora, a pravno je veoma značajna, odnosi se na sistem pravnih sredstava.
Po važećem članu 82, lice može podneti pritužbu Povereniku ako smatra da je obrada njegovih podataka izvršena suprotno zakonu. Dakle, pritužba je postavljena široko kao opšte pravno sredstvo zbog nezakonite obrade.
Nacrt pravi jasnije razdvajanje.
Pritužba se vezuje za situaciju u kojoj je lice prethodno podnelo rukovaocu zahtev za ostvarivanje prava, a smatra da po tom zahtevu nije pravilno postupljeno. Uz pritužbu se dostavlja i zahtev upućen rukovaocu i raspoloživa dokumentacija.
Za druge informacije o mogućim povredama zakona uvodi se institut predstavke, na osnovu koje Poverenik može sprovesti nadzor.
To nije samo terminološka promena. Menja se procesna arhitektura zaštite: jedan put namenjen je zaštiti konkretnog subjektivnog prava lica nakon obraćanja rukovaocu, a drugi pokretanju nadzorne aktivnosti Poverenika zbog drugih mogućih nezakonitosti.
U praktičnoj primeni biće važno utvrditi i razliku u pravnoj prirodi odluka i obaveštenja koja Poverenik donosi odnosno daje u ova dva postupka, kao i mogućnosti dalje sudske zaštite.
XVIII Kazne se neznatno povećavaju
Niska kaznena politika važećeg ZZPL-a označena je u obrazloženju kao jedan od problema postojećeg sistema. Posebno se pravi poređenje sa GDPR-om i njegovim kaznama do 20 miliona evra odnosno, za određene povrede, do 4% godišnjeg svetskog prometa.
Važeći ZZPL za pravno lice za veliki broj prekršaja predviđa kaznu od 50.000 do 2.000.000 dinara.
Nacrt donju granicu za pravna lica podiže na 200.000 dinara, dok osnovni maksimum ostaje 2.000.000 dinara.
Međutim, uvodi se i pravilo prema kojem se, u određenim okolnostima, kazna može odrediti u odnosu na vrednost nastale štete ili neispunjene obaveze, do dvadesetostruke vrednosti, ali uz ograničenje na petostruki iznos najveće propisane novčane kazne. Time bi u odgovarajućem slučaju zakonski plafon po toj osnovi mogao biti znatno viši od osnovnih dva miliona dinara.
Povećavaju se i pojedine fiksne kazne, dok zastarelost za pokretanje i vođenje prekršajnog postupka iznosi pet godina. Za preduzetnike Nacrt predviđa raspon od 200.000 do 500.000 dinara, a za fizička i odgovorna lica od 50.000 do 150.000 dinara.
Ipak, važno je naglasiti šta Nacrt ne radi.
Srbija ne uvodi GDPR sistem administrativnih kazni zasnovanih na procentu ukupnog godišnjeg prometa kompanije. Čak i nakon povećanja, kazneni sistem ostaje zasnovan na domaćem prekršajnom modelu i novčanim iznosima određenim zakonom.
To je značajna razlika u odnosu na evropski sistem, uprkos tome što obrazloženje kao jedan od razloga za promenu navodi upravo nesrazmeru između domaćih kazni i kazni prema GDPR-u.
XIX Prelazne odredbe
Možda najveće praktično pitanje Nacrta nalazi se na njegovom samom kraju.
Kada je važeći ZZPL donet 2018. godine, stupio je na snagu osmog dana od objavljivanja, ali je njegova primena odložena za devet meseci.
Nacrt, međutim, trenutno predviđa da važeći ZZPL prestaje da važi danom stupanja na snagu novog zakona, a da novi zakon stupa na snagu osmog dana od objavljivanja u „Službenom glasniku Republike Srbije“.
Drugim rečima, prema sadašnjem tekstu Nacrta nema posebnog odloženog početka primene.
Istovremeno, podzakonski akti mogu se doneti u roku od devet meseci, a drugi zakoni treba da budu usklađeni sa novim ZZPL-om u roku od godinu dana.
Ako ovakvo rešenje ostane u konačnom tekstu, to može predstavljati ozbiljan praktičan problem.
Osam dana je izuzetno kratak period za prilagođavanje potpuno novim pravilima o video nadzoru, AI obradi, bezbednosti, evidencijama, procedurama ostvarivanja prava, sertifikaciji i drugim oblastima. Posebno je teško očekivati punu primenu pojedinih instituta pre donošenja podzakonskih pravila koja sam Nacrt predviđa.
Zbog toga će upravo prelazni režim biti jedno od pitanja koje bi trebalo pažljivo pratiti u daljem zakonodavnom postupku.
XX Šta je zapravo novo?
Ako se zanemari drugačija numeracija i sistematika, najznačajnije promene mogu se svesti na nekoliko grupa:
- sistematsko uređivanje video nadzora, uključujući poslovne prostorije, zaposlene, stambene zgrade, javne površine, rokove čuvanja i zabranu određenih oblika biometrijske identifikacije;
- poseban zakonski režim obrade podataka korišćenjem veštačke inteligencije, uključujući razvoj i testiranje AI, visokorizične sisteme, GPAI, sintetički sadržaj i posebna ograničenja prava lica;
- zakonsko definisanje legitimnog interesa, javnog interesa, rizika, anonimizacije, kriptozaštite i drugih pojmova, uz potencijalno značajno proširenje pojma profilisanja;
- širenje i preciziranje teritorijalne primene zakona;
- formalizovanje postupka ostvarivanja prava lica i novi rok za postupanje po prigovoru;
- posebno uređivanje JMBG-a, obrade radi pravnih zahteva i pojedinih aspekata obrade zaposlenih;
- znatno detaljniji režim upravljanja rizicima i bezbednosti podataka;
- institucionalno preuređenje sertifikacije i kontrole kodeksa postupanja;
- jasnije razdvajanje pritužbe i predstavke pred Poverenikom;
- stroži kazneni režim, ali bez preuzimanja GDPR procentualnih administrativnih kazni;
- izdvajanje obrade nadležnih organa u poseban deo zakona i dodatno uređivanje njihove obrade biometrijskih i genetičkih podataka;
- potencijalno veoma kratak period za usklađivanje, ukoliko ostane sadašnja odredba o stupanju zakona na snagu osmog dana od objavljivanja.
Nacrt novog Zakona o zaštiti podataka o ličnosti nije nikakav raskid sa sistemom uspostavljenim 2018. godine, jer osnovna načela, pravni osnovi obrade, većina prava lica, koncept odgovornosti rukovaoca, DPO, DPIA, prijavljivanje povreda podataka, međunarodni transferi, kodeksi postupanja i sertifikacija uglavnom ostaju deo istog regulatornog modela.
Zbog toga novi zakon ne bi trebalo predstavljati kao potpuno novi sistem zaštite podataka.
Ali isto tako ne bi bilo tačno ni svesti ga na tehničko popravljanje postojećeg ZZPL-a.
Nacrt prvi put sistemski uređuje oblasti koje su proteklih godina predstavljale neke od najvećih praktičnih problema (pre svega video nadzor) i pokušava da odgovori na tehnološki razvoj uvođenjem posebnih pravila o veštačkoj inteligenciji. Istovremeno, zaštitu podataka znatno čvršće povezuje sa upravljanjem rizicima i informacionom bezbednošću, detaljnije uređuje postupke pred rukovaocem i Poverenikom i pokušava da oživi institute, poput sertifikacije, koji su u važećem zakonu ostali gotovo neprimenjeni.
Neke od ovih promena nesumnjivo povećavaju pravnu sigurnost. Posebno se to može reći za video nadzor, detaljnije uređivanje bezbednosti i jasnije razdvajanje opšteg režima od obrade koju nadležni organi vrše u posebne svrhe.
Sa druge strane, pojedina rešenja tek otvaraju nova pitanja.
Tu se pre svega izdvajaju posebna pravila o obradi podataka radi razvoja i testiranja veštačke inteligencije i isključivanje određenih prava lica u tim slučajevima, nova definicija legitimnog interesa sa zahtevom postojanja „uspostavljenog odnosa“, proširena definicija profilisanja, nova formula teritorijalne primene zakona, procesna razlika između pritužbe i predstavke, kao i praktična mogućnost da čitav novi sistem počne da se primenjuje samo osam dana nakon objavljivanja zakona.
Zato će za konačnu ocenu novog režima biti podjednako važno ono što Nacrt uvodi kao i način na koji će pojedina od ovih rešenja biti precizirana tokom javne rasprave i zakonodavnog postupka.
Za rukovaoce i obrađivače još nije trenutak za formalno menjanje svih internih akata samo na osnovu Nacrta. Jeste, međutim, trenutak da se identifikuju procesi koji će najverovatnije biti pogođeni – pre svega video nadzor, korišćenje i razvoj AI sistema, obrada biometrijskih podataka, postojeće procedure za zahteve lica, evidencije radnji obrade, procene rizika i mere informacione bezbednosti.
Jer, ako osnovna struktura Nacrta ostane ista, usklađivanje sa novim zakonom neće se svesti na promenu brojeva članova u postojećoj GDPR/ZZPL dokumentaciji. U pojedinim oblastima biće potrebno stvarno preispitati način na koji se podaci obrađuju.
