Opća uredba o zaštiti podataka (GDPR) (EU) 2016/679 uredba je Europske unije kojom se regulira zaštita podataka i privatnost osoba unutar Europske unije, a donosi i propise vezane za iznošenje podataka u treće zemlje. Glavni su ciljevi GDPR-a vratiti građanima nadzor nad njihovim osobnim podacima i pojednostaviti regulatorno okruženje za međunarodne korporacije ujednačavanjem propisa u cijeloj Uniji.Predsjedništvo Vijeća: "Nekoliko djelomičnih općih pristupa imalo je ključnu ulogu u približavanju mišljenja Vijeća o Prijedlogu opće uredbe o zaštiti podataka u cijelosti. Tekst o Uredbi koji predsjedništvo dostavlja na odobrenje kao opći pristup nalazi se u Prilogu." http://data.consilium.europa.eu/doc/document/ST-9565-2015-INIT/en/pdf Stupanjem GDPR-a na snagu prestaje važiti Direktiva 95/46/EC.
Uredba je usvojena 27. svibnja 2016. godine, čime je počelo teći prijelazno razdoblje od dvije godine. GDPR na snagu stupa 25. svibnja 2018.
Za razliku od direktiva, uredbe stupaju na snagu bez potrebe za dodatnim glasanjem u parlamentima država članica pa je primjena GDPR-a od navedenog datuma obavezna.
Sažetak Zbog tehnološkog razvoja i novih načina obrade podataka javila se potreba za novim zakonom koji bi korisnicima dao više nadzora nad korištenjem njihovih podataka. Budući da se primjenjuje diljem EU-a, u svih 28 država članica, to bi trebalo pojednostaviti zakonodavni okvir i olakšati usklađivanje tvrtkama koje posluju u više država članica.
GDPR jača prava ispitanika i donosi opsežnije definicije novih pojmova važnih za privatnost. Propisi iz GDPR-a odnose se na tvrtke koje rukuju podacima EU-a, nevezano o državi u kojoj imaju poslovni nastan.
Sadržaj Uredba se sastoji od ovih ključnih propisa:
Područje primjene Uredba se primjenjuje na voditelje obrade, tj. organizacije koje prikupljaju podatke EU građana, i na izvršitelje obrade, tj. organizacije koje obrađuju podatke prema naputcima voditelja obrade, poput pružatelja usluga u oblaku ako su predmet obrade podaci ispitanika (osoba) iz EU-a. Uredba se primjenjuje i na organizacije sa sjedištem izvan EU-a koje prikpuljaju osobne podatke EU građana. Osobni su podaci, prema definiciji iz Uredbe, "svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca."
Uredba se ne primjenjuje na obradu u svrhu državne sigurnosti ili tijela za izvršavanje zakonodavstva; no interesne skupine oglasile su se oko potencijalnog sukoba zakona i pitanja oko čl. 48. GDPR-a. Države bi se na njega mogle pozvati kako bi spriječili voditelje obrade u njihovoj namjeri da postupe u skladu sa zakonima trećih zemalja, tj. nalozima od strane državnih ili sudskih vlasti trećih zemalja, neovisno o tome nalaze li se podaci unutar ili izvan EU-a. Prema čl. 48., presude sudova ili odluke administrativnih tijela trećih zemalja prema kojima voditelji obrade moraju prenijeti ili objaviti podatke nisu provedive unutar EU-a, osim ako se temelje na međunarodnim ugovorima (poput ugovora o uzajamnoj pravnoj pomoći) između treće zemlje i EU-a ili države članice.
Ujednačeni propisi i jedinstveni mehanizam U čitavoj Europskoj uniji primjenjivat će se isti, ujednačeni skup propisa. Svaka od država članica dužna je imenovati nezavisno nadzorno tijelo koje će obrađivati žalbe, izricati kazne itd. Nadzorna tijela dužna su surađivati s tijelima u ostalim državama članicama, međusobno si pomažući i koordinirajući zajedničke regulatorne aktivnosti. Ako tvrtka ima više poslovnih nastana diljem EU-a, dodijelit će joj se jedno nadzorno tijelo kao glavno, a ovisno o mjestu "glavnog poslovnog nastana" gdje se odvijaju glavne aktivnosti obrade. Glavno nadzorno tijelo predstavljat će jedinstveni mehanizam tako što će nadzirati aktivnosti obrade tvrtke diljem EU-aThe Proposed EU General Data Protection Regulation. A guide for in-house lawyers , Hunton & Williams LLP, svibanj 2015, str. 14 (čl. 46–55 GDPR-a). Europski odbor za zaštitu podataka (EDPB) koordinirat će rad nadzornih tijela, a zamijenit će Radnu skupinu za zaštitu podataka iz članka 29.
Postoje iznimke u vidu obrade podataka u kontekstu zaposlenja ili u svrhu nacionalne sigurnosti koji i dalje mogu podlijegati zasebnim propisima kod svake od država članica. (čl. 2. st. 2. i čl. 82. GDPR-a).
Odgovornost i transparentnost Povećavaju se obaveze koje se tiču izvješćivanja. Sada uključuju i vrijeme zadržavanja osobnih podataka te kontakt podatke voditelja obrade i službenika za zaštitu osobnih podataka.
Automatizirano donošenje odluka, uključujući i izradu profila (čl. 22), osobe imaju pravo osporavati, slično čl. 15. Direktive 95/46/EZ. Građani imaju pravo ispitati i žaliti se na odluke sa značajnim utjecajem na njih koje su napravljene isključivo na bazi algoritamskih odluka, ali prema pravnim stručnjacima, postojanje tog prava i dalje je nejasno bez pravnih ispita i u najboljem slučaju ograničeno. (engleski)
Da bi bio u stanju dokazati usklađenost s GDPR-om, voditelj obrade mora ugraditi mjere koje su u skladu s načelima tehničke integrirane zaštite podatka. Pod tehničkom i integriranom zaštitom podataka (čl. 25.) podrazumijeva se uvođenje mjera zaštite podataka u svaki dio razvojnog procesa proizvoda i usluga. Takve mjere uključuju pseudonimizaciju osobnih podataka od strane voditelja obrade što je prije moguće (uvodna izjava br. 78.).
Voditelj obrade odgovoran je za primjenu odgovarajućih mjera i dokazivanje usklađenosti čak i ako samu obradu vrši izvršitelj obrade u ime voditelja (uvodna izjava br. 74.).
Procjene učinka na zaštitu podataka (čl. 35.) moraju se provesti kad dolazi do posebnih rizika za prava i slobode ispitanika. Aktivnosti za smanjenje rizika potrebne su, uz prethodnu suglasnost nadzornih tijela, za obradu visokorizičnih podataka. Službenici za zaštitu osobnih podataka (čl. 37. – 39.) dužni su brinuti za usklađenost unutar organizacija u kojima djeluju.
Službenici se moraju imenovati u slučajevima: ako se radi o javnim tijelima, osim sudovima koji djeluju u sudbenom svojstvu ako su glavne poslovne aktivnosti voditelja ili izvršitelja obrade kako slijedi: aktivnosti obrade koje po svojoj prirodi, opsegu ili svrsi zahtijevaju redovni ili sistematični nadzor nad ispitanicima u velikoj mjeri aktivnosti obrade posebnih kategorija podataka u velikoj mjeri prema čl. 9., kao i kategorija osobnih podataka koje se tiču osuda ili dosjea prema čl. 10.
Pravne osnove za obradu Podaci se ne smiju obrađivati osim ako za to postoji barem jedna od sljedećih pravnih osnova (čl. 6. st. 1.): Ispitanik je dao privolu za obradu podataka u jednu ili više posebnih svrha. Obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora. Obrada je nužna radi poštovanja pravnih obveza voditelja obrade. Obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe. Obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade. Obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
Privola Ako se kao pravna osnova koristi privola, ona mora biti izričita za podatke koji su prikupljeni i svrhe u koje se koriste (čl.7; definirano u čl. 4.). Privola djeceČlanak 8. stavak 1.:"Kada se primjenjuje članak 6. stavak 1. točka (a), u pogledu nuđenja usluga informacijskog društva izravno djetetu, obrada osobnih podataka djeteta zakonita je ako dijete ima najmanje 16 godina. Ako je dijete ispod dobne granice od 16 godina takva je obrada zakonita samo ako i u mjeri u kojoj je privolu dao ili odobrio nositelj roditeljske odgovornosti nad djetetom." daje se od strane skrbnika ili roditelja djece, te mora biti provjerljiva (čl. 8.). Voditelji obrade moraju moći dokazati privolu, a ispitanici je mogu povući.
Službenik za zaštitu osobnih podataka Ako obradu vrši javno tijelo, osim sudova ili nezavisnih sudskih tijela ako djeluju u sudskoj nadležnosti ili ako se osnovne djelatnosti voditelja obrade u privatnom sektoru sastoje se od postupaka obrade koji zbog svoje prirode, opsega i/ili svrha iziskuju redovito i sustavno praćenje ispitanika u velikoj mjeri, odnosno ako aktivnosti obrade uključuju opsežnu obradu posebnih kategorija podataka, potrebno je imenovati stručnu osobu sa znanjima u području zaštite podataka koja će pomoći voditelju ili izvršitelju obrade nadzirati usklađenost s mjerama iz GDPR-a (čl. 37.).
Od službenika za zaštitu podataka očekuje se stručnost u upravljanju IT procesima, sigurnosti podataka (uključujući odgovor na cybernapade) i ostalim kritičnim pitanjima koja se tiču pohrane i obrade osobnih i osjetljivih podataka. Potrebna razina znanja šira je od samog razumijevanja zakonskih propisa.
Više podataka o pojedinostima i funkciji službenika za zaštitu podataka dani su 13. prosinca 2016. (revirdirano 5. travnja 2017.) u dokumentu smjernica izdanom od strane Radne skupine iz čl. 29.
Pseudonimizacija GDPR pseudonimizaciju definira kao postupak obrade podataka na način da se više ne mogu pripisati pojedinom ispitaniku bez korištenja dodatnih izvora podataka. Tu je i enkripcija, koja podatke čini nečitljivima za sve neovlaštene osobe bez pristupa ključu za dekripciju. GDPR propisuje da se dodatni podaci (poput ključa za dekripciju) drže podalje od pseudonimiziranih podataka.
Još jedan od pristupa jest i tokenizacija, što je nematematički pristup obradi podataka u kojem se osjetljivi podaci zamjenjuju neosjetljivim zamjenama pod nazivom tokeni. Tokeni nemaju važnost niti vrijednost kao podaci. Njima se ne mijenja vrsta ili dužina podataka, što znači da ih mogu obrađivati sustavi kao baze podataka koje brinu o vrstama i dužini podataka.
Tim se pristupom zahtijeva manje procesorskih resursa za obradu i zauzima manje mjesta za pohranu u bazama podataka u usporedbi s podacima enkriptiranim na tradicionalni način. To se omogućuje držanjem određenih podataka potpuno ili djelomično vidljivima za obradu i analitiku, dok se osjetljivi podaci skrivaju.
Pseduonimizacija se preporučuje kao metoda smanjenja rizika po ispitanike, ali i kao način da voditelji odnosno izvršitelji obrade ispune svoje obaveze vezane za zaštitu podataka (Uvodna odredba 28.).
Iako GDPR potiče korištenje pseudonimizacije u svrhu smanjenja rizika po ispitanike, pseudonimizirani se podaci i dalje smatraju osobnima (Uvodna odredba br. 28.) i tako i dalje spadaju pod nadzor GDPR-a.
Povrede podataka Prema GDPR-u, voditelj obrade dužan je o povredi obavijestiti nadzorno tijelo, osim ako je malo vjerojatno da bi povreda mogla negativno utjecati na prava i slobode pojedinaca Rok za prijavu povrede je 72 sata od saznanja o povredi. Ako povreda ima negativan utjecaj na ispitanike, o tome ih se mora obavijestiti (čl. 33. i 34.).
Ispitanike nije potrebno obavijestiti o povredi ako je voditelj obrade poduzeo odgovarajuće tehničke i organizacijske mjere zaštite podataka, osobito one koje osobne podatke čine nerazumljivima bilo kojoj osobi koja im nije ovlaštena pristupiti, kao što je enkripcija (čl. 34.).
Sankcije Nadzorna tijela mogu izreći sankcije kako slijedi: pismeno upozorenje u slučaju nenamjernog prekršaja (za prvi prekršaj) redovne revizije i preglede mjera zaštite podataka