Na tragu našeg prethodnog blog posta, nastavljamo da analiziramo sporne odredbe nacrta srpskog Zakona o zaštiti podataka o ličnosti (“Nacrt“).
1) Rukovaoci koji obrađuju posebne podatke preplavljeni su vođenjem brojnih evidencija i obavezama registracije
Nacrt uvodi značajne novine u odnosu na tri povezana pitanja: procenu uticaja na zaštitu podataka, obaveštavanje Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti (“Poverenik“) o nameri započinjanja obrade, i registraciju uspostavljene zbirke podataka. Ukupni efekat novih odredbi je da rukovaoci koji obrađuju posebne podatke moraju da odvoje znatno vreme za papirologiju – više nego što to zahteva Nacrt EU Uredbe, ali takođe, sve u svemu, i više nego što to zahteva model Zakona o zaštiti podataka o ličnosti koji je izradio srpski Poverenik (“Model“).
Nacrt EU Uredbe zahteva od rukovaoca (ili – u verziji iza koje je stao Evropski parlament – obrađivača koji postupa u ime rukovaoca) da sprovede procenu uticaja na zaštitu podataka ukoliko je verovatno da priroda, obim i svrha nameravane obrade stvaraju stvarni rizik u odnosu na prava i slobode pojedinaca. Procena mora da bude izneta u dokumentu koji opisuje predviđene radnje obrade, procenu rizika u odnosu na prava i slobode pojedinaca, te mere za rešavanje rizika i pokazivanje usklađenosti sa Uredbom. Ukoliko procena ukazuje na verovatnoću visokog rizika, rukovalac mora da se obrati organu nadležnom za zaštitu podataka o ličnosti (ili, prema verziji Evropskog parlamenta, licu za zaštitu podataka – pod uslovom da je rukovalac imenovao takvo lice) i organ za zaštitu podataka može da zabrani takvu nameravanu obradu.
Poverenikov Model zahteva od rukovaoca da preduzme sličan redosled koraka, ukoliko obrada uključuje osetljive podatke ili podatke (osetljive ili “obične”) koji se odnose na više od 500 lica. Rukovalac mora da obavesti Poverenika o nameravanoj obradi.
Nacrt nameće rukovaocu još jednu obavezu koja ne postoji u Nacrtu EU Uredbe i u Modelu: obavezu da registruje uspostavljenu zbirku podataka kada se obrađuju posebni podaci. Redosled koraka koje treba preduzeti je, stoga, sledeći:
- Rukovalac ili obrađivač (po svoj prilici, kada obrađivač postupa u ime rukovaoca) mora da sprovede procenu uticaja na zaštitu podataka ukoliko su priroda, način ili cilj nameravane obrade takvi da radnje obrade mogu da prouzrokuju povredu prava, sloboda ili zaštićenih socijalno-ekonomskih interesa lica (član 50(1) Nacrta). Ovo može da bude slučaj ako podaci koje treba obraditi spadaju u posebne podatke, kao i u drugim situacijama (kao kada se planira da se na površinama u javnoj upotrebi vrši video nadzor većeg broja lica, ili se obrada odnosi na podatke o deci, ili kada automatska obrada podataka uključuje sveobuhvatnu analizu ekonomskog stanja, kretanja, sklonosti i ponašanja lica). Na osnovu ove procene, rukovalac, odnosno obrađivač, mora da donesu dokument koji se sadržinski poklapa sa onim koji je predviđen u Nacrtu EU Uredbe i u Modelu.
- Ukoliko radnje obrade za posledicu mogu imati povredu prava, sloboda ili zaštićenih socijalno-ekonomskih interesa lica, rukovalac mora da obavesti Poverenika o nameri započinjanja obrade, odnosno o uspostavljanju zbirke podataka.
- Nacrt, zatim, uvodi jedan dodatni obavezni korak: rukovalac (ili obrađivač) koji obrađuje posebne podatke mora da podnese Povereniku odvojeni zahtev za registraciju (uspostavljene) zbirke podataka, koji sadrži informacije o obradi tih podataka
Poslednja obaveza (registracija zbirke podataka) slična je obavezi iz važećeg Zakona o zaštiti podataka o ličnosti da se registruje (u odvojenom postupku) zbirka podataka nakon što je Poverenik prethodno obavešten o nameravanoj obradi. Ovaj sistem u dva koraka bio je nepraktičan i zastareo još u vreme uvođenja 2008. godine, i zakoni o zaštiti podataka o ličnosti većine zemalja, uključujući Francusku, Italiju, Belgiju, Holandiju, Crnu Goru, Makedoniju, Hrvatsku i Bosnu i Hercegovinu, ne poznaju ovaj dodatni korak u postupku registracije. Jedina obaveza koju rukovalac ima u ovim zemljama, kao i prema Direktivi 95/46/EC, je da obavesti organ nadležan za zaštitu podataka o ličnosti o nameri da obrađuje podatke, i to obaveštenje je dovoljno da organ nadležan za zaštitu podataka o ličnosti sačini registar zbirki podataka.
2) Mesna nadležnost suda u odnosu na zahtev za naknadu štete
Za razliku od važećeg Zakona o zaštiti podataka o ličnosti, Nacrt izričito propisuje da lice može da tuži za naknadu štete nastale povredom prava garantovanih zakonom. Ali Nacrt se tu zaustavlja: ne omogućava licu da tuži u mestu svog prebivališta (ili boravišta) i time umanji neprijatnosti koje proizlaze iz pokretanja sudskog postupka.
Suprotno tome, Poverenikov Model propisuje da je, pored suda opšte mesne nadležnosti, nadležan i sud na čijem području lice ima prebivalište ili boravište. Ova odredba treba da bude preneta i u Nacrt. Dozvoljavanje tužiocu da tuži u mestu svog prebivališta ili boravišta je način na koji pravo štiti ekonomski slabiju stranu u odnosu sa kompanijom ili organom javne vlasti. Slične odredbe se nalaze u propisima koji regulišu zaštitu potrošača.
