Sredinom oktobra srpska štampa je opširno izveštavala o promovisanju proizvoda koji predstavljaju zamenu za majčino mleko, neposrednim obraćanjem porodiljama. Mediji su bili preplavljeni spekulacijama o tome da su kontakt podaci, neophodni za slanje promotivnih pisama, bili prodati distributeru ovih proizvoda, kao i da je privatnost porodilja time na izvestan način bila ugrožena. Ispostavilo se da do prodaje podataka – bilo na zakonit ili nezakonit način – uopšte nije došlo. Još uvek je međutim nejasno da li su drugi zakoni, oni kojima se ne uređuje zaštita podataka o ličnosti, u ovom slučaju bili prekršeni.
Tokom postupka nadzora koji je u nedelji nakon 12. oktobra sproveo Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti (“Poverenik”) nisu utvrđene nepravilnosti koje bi se ticale obrade podataka o ličnosti u ovom slučaju. Porodilje je kontaktirala marketinška agencija Care Direct, koju je distributer angažovao za sprovođenje kampanje. Porodilje su ovoj agenciji prethodno dale saglasnost da njihovi podaci o ličnosti budu upotrebljeni u svrhu direktnog marketinga. Preciznije rečeno, Care Direct raspolaže obrascima saglasnosti koje je Povereniku stavio na uvid. Međutim, Poverenik je u saopštenju za javnost nagovestio da bi potpisi na obrascima u priličnom broju slučajeva mogli biti falsifikovani, a što bi dalje trebalo da istraže drugi nadležni organi.
Ostavljajući po strani potencijalne povrede zakona predviđene drugim propisima, ovaj slučaj pokreće važno pitanje u oblasti zaštite podataka o ličnosti, tj. pitanje da li je prema Zakonu o zaštiti podataka o ličnosti (“ZZPL”) dozvoljeno da se podaci prodaju, te ako jeste, pod kojim uslovima to može da se radi.
Načelno, prodaja podataka o ličnosti jeste dozvoljena. Na to ukazuje sama priroda ove transakcije koja objedinjuje prenos podataka trećoj strani i plaćanje naknade za primljene podatke. Naime, samo prvi od dva elementa – prenos podataka trećoj strani – predstavlja obradu podataka o ličnosti, a takva je obrada dozvoljena, ukoliko su ispunjeni odgovarajući uslovi.
Prenos kojim se trećoj strani omogućava da koristi podatke predstavlja jednu od radnji obrade podataka. Posledično, on se prema ZZPL mora zasnivati bilo na odredbama zakona, bilo na saglasnosti lica o čijim se podacima radi. Ukoliko neki prenos podataka nije uređen posebnim zakonom, te ukoliko je zbog toga potrebna saglasnost lica, rukovalac podataka mora da obavesti lice o svim relevantnim aspektima prenosa pre nego što pristanak pribavi. Ova obaveza proističe iz opšte obaveze rukovalaca da obaveste lica o svim relevantnim aspektima obrade. Obaveštenje treba da obuhvati identitet (ili bar kategoriju) korisnika podataka, svrhu u koju će se podaci koristiti (npr. direktni marketing), pravo lica da opozove saglasnost za obradu, i druge elemente koje ZZPL izričito zahteva.
Što se tiče naknade koju korisnik plaća rukovaocu u zamenu za prenos podataka, čini se da obaveštavanje lica o tome i pribavljanje njegove saglasnosti ne predstavlja preduslov da bi se naknada naplatila. ZZPL definiše obradu podataka o ličnosti kao “svaku radnju preduzetu u vezi sa podacima” i nabraja brojne primere takvih radnji. U svim tim primerima (prikupljanje, beleženje, kopiranje, prenos, pretraživanje, razvrstavanje, razdvajanje itd.) podaci su neposredni “objekat” radnje. Nasuprot tome, primanje naknade samo sledi drugu aktivnost – prenos – koja je neposredno usmerena na podatke.
Štaviše, sam čin plaćanja naknade ne može uticati na privatnost lica, tako da ta činjenica dodatno slabi značaj naknade u kontekstu zaštite podataka o ličnosti.
Zaključak bi stoga bio da je prodaja podataka o ličnosti dozvoljena u skladu sa ZZPL, ukoliko su se fizička lica, nakon dobijanja adekvatnih obaveštenja, saglasila sa prenosom podataka trećoj strani da bi ih ona koristila u određenu svrhu, bez obzira na to da li sam prenos uključuje naknadu ili ne.
