Bo kar nekaj pravne telovadbe

Besedilo: Simon Šubic
Kategorija: GG Plus / ponedeljek, 7. maj 2018 / 08:39  

Bliža se 25. maj, ko stopi v uporabo uredba Evropske unije o varstvu podatkov, ki zaostruje pravila za upravljavce zbirk osebnih podatkov, posameznikom pa nudi večji nadzor nad njimi. O bistvenih novostih in dilemah, ki jih prinaša uredba, smo se pogovarjali z informacijsko pooblaščenko Mojco Prelesnik.

Kaj je namen uredbe o varstvu podatkov?

»Bistveni namen nove evropske uredbe je poenotenje pravil varstva osebnih podatkov v vseh državah članicah Evropske unije in hkrati poenotenje nadzora nad izvajanjem teh pravil. Prav tako pa uredba zaradi tehnološkega napredka, ki zahteva tudi modernizacijo pravil varstva podatkov glede na nove oblike obdelav in izzive modernih tehnologij, prinaša tudi nekatere novosti. To so na primer strožja opredelitev privolitve za obdelavo osebnih podatkov, v določenih primerih obveznost imenovanja pooblaščenih oseb za varstvo osebnih podatkov, obveznost izvedbe ocen učinkov na varstvo osebnih podatkov, načelo vgrajenega in privzetega varstva osebnih podatkov. Informacijski pooblaščenec je bistvene novosti povzel v desetih točkah, ki bi jih morali preveriti vsi upravljavci in so dostopne na naši spletni strani. Poleg že omenjenih sem sodijo še preverjanje ustreznosti pogodb z zunanjimi izvajalci o pogodbeni obdelavi osebnih podatkov, popis zbirk v evidenci obdelav, pregled varnostnih politik in kanalov poročanja o varnostnih incidentih ter pregled načinov oziroma postopkov za uveljavljanje pravic posameznikov.«

Uredba bi morala biti prenesena tudi v novi zakon o varstvu osebnih podatkov, ki pa do 25. maja najverjetneje ne bo sprejet ...

»Uredba se bo v vsakem primeru 25. maja začela uporabljati neposredno. Če nov zakon ne bo sprejet, bo to tako za podjetja kot tudi posameznike in ne nazadnje tudi za informacijskega pooblaščenca brez dvoma pomenilo precejšen izziv in nemalo dilem tudi z vidika pravne varnosti. Presojati bo namreč treba, katere določbe starega zakona o varstvu osebnih podatkov veljajo, katere pa so z uredbo v nasprotju in se zato ne uporabljajo več. Kar nekaj pravne telovadbe torej, ki pa nikakor ni dobra.«

Kako so podjetja pripravljena na novo uredbo?

»V praksi zaznavamo, da številna, predvsem mala podjetja kljub dolgoletni veljavnosti sicer zelo dobrega zakona o varstvu osebnih podatkov sedaj prvič slišijo, da to pravno področje sploh obstaja. Veliki sistemi so bolj pripravljeni na uredbo, predvsem zato, ker so že doslej sledili zahtevam obstoječega zakona, uredba pa v resnici pomeni njegovo nadgradnjo.«

Kako bodo morali uredbo upoštevati mediji?

»Kot upravljavci osebnih podatkov, npr. zbirke podatkov o naročnikih, so tudi medijske hiše v enakem položaju kot druga podjetja. V delu, ki pa se nanaša na novinarsko poročanje in torej pravico do svobode izražanja, pa bo še naprej treba iskati ustrezno ravnovesje in tehtati med obema pravicama. Evropsko uredbo mora prav vsaka država članica Evropske unije, torej tudi Slovenija, uporabljati neposredno. Prav zaradi nacionalnega urejanja razmerij med različnimi pravicami pa določena področja splošna uredba prepušča v samostojno ureditev državam članicam. Taka področja so npr. razmerje med pravico do svobode izražanja in varstvom osebnih podatkov, del področja varstva osebnih podatkov v zvezi z arhiviranjem in še nekatera. V tem delu torej, ki se nanaša na razmerje med pravico do svobode izražanja in varstvom osebnih podatkov, do sprejema novega zakona še vedno veljajo tako določbe zakona o medijih kot tudi zakona o dostopu do informacij javnega značaja. Sicer pa bodo o teh vprašanjih odločala sodišča. Informacijski pooblaščenec je namreč pristojen zgolj za vprašanje varstva osebnih podatkov, ki izvirajo iz posameznih zbirk, ne pa za varovanje širše pravice do zasebnosti. Ta je v domeni sodišč, ki bodo morala od primera do primera skrbno tehtati med temi pravicami.«

V naši časopisni hiši smo prejeli že več zahtev po izbrisu člankov s spletne strani. Nekdo je npr. želel, da umaknemo prilogo z oglasom politične stranke, na katerem je bil objavljen kot njen kandidat. Kako naj ravna medij?

»Pravica do pozabe, ki se je marsikatero podjetje in medij boji, je, pogledano od bliže, predvsem nadgradnja oziroma nekoliko drugačno poimenovanje sicer že obstoječe pravice do izbrisa oz. popravka. Njen bistveni namen pa je zagotavljanje izbrisa nezakonito pridobljenih podatkov ali podatkov, katerih namen je resnično izpolnjen, izčrpan in nima več nobenega pomena. Prav nobena pravica pa ni absolutna. Zato tudi ta pravica tudi po novem ne bo prišla v poštev v primerih, ko hrambo določenih podatkov zahteva zakon. V praksi pa bo morala biti skrbno uravnotežena tudi s pravico do svobode izražanja in obveščanja. To pomeni, da bo moral vsak medij zahtevo presojati upoštevajoč vse okoliščine. Vsekakor pa namen te pravice ni izvajanje množične cenzure in brisanje zgodovine ali vsakega članka, ki omenja posameznika in ga zmoti. To, da je npr. nekdo kandidiral na lokalnih ali državnozborskih volitvah, je dejstvo, ki ga ni mogoče izbrisati, a enotnega pravila ni. Spremljati bo treba tudi sodno prakso. Nasploh opažamo, da je prav področje pravic posameznikov pogosto predmet nesporazumov. Poudariti želim, da pravice posameznikov že obstajajo in ne nastajajo s 25. majem, ampak jih v slovenski ustavi in tudi zakonu poznamo že dolgo.«

Ali je medij dolžan na zahtevo iz spletnega arhiva npr. izbrisati članek o obsodbi nekoga, ki se mu je kazen že izbrisala iz kazenske evidence? Kaj tedaj storiti s tiskano verzijo članka?

»Odgovor je v celoti zajet v sodbi Google Spain ali primer Costeja. Nikakor ne velja generalno pravilo, da če gre za staro zadevo, avtomatično sledi izbris. Ta pride v poštev le, če gre za specifične okoliščine – npr. veliko škodo za posameznika, izrazito nerelevanten podatek za posameznika. Javno bolj znane osebe so vsekakor bolj izpostavljene, praviloma pa ti izbrisi potekajo na zahtevo. Klasične oz. papirne verzije se ne cenzurirajo, saj gre predvsem za umike povezav oz. linkov. Vsekakor pa se vedno pazi tudi na pravico medijev, pravico do svobode izražanja in se vedno tehta od primera do primera, katera od pravic prevlada – pravica do svobode izražanja ali pravica do posameznikove zasebnosti. Ločiti je treba razloge in namen izbrisa podatkov iz evidenc, potem ko je izpolnjen rok hrambe, kjer gre za avtomatizem izbrisa, od razlogov za pravico do pozabe, kot je predvidena v primeru medijev. Dejstvo, da je neki podatek izbrisan iz evidence, npr. kazenske, namreč nikakor ne pomeni, da v realnem svetu nihče ne sme več nikoli omeniti s tem povezanih dejstev. Izbris iz kazenske evidence pomeni pravico do pravne rehabilitacije in ne pozabo dejstva, da je nekdo storil kaznivo dejanje. Če bi bila torej pravica do izbrisa absolutna, kar seveda ni, bi to pomenilo, da bi bili upravljavci ves čas dolžni revidirati zgodovino, kar pa seveda ne gre in tudi ni namen te pravice.«

Uredba prinaša ostrejše pogoje za veljavnost privolitev kot ene temeljnih pravnih podlag za obdelavo osebnih podatkov. Kaj to v praksi pomeni?

»To pomeni, da bodo morala vsa podjetja, ki osebne podatke zbirajo in obdelujejo na podlagi naših osebnih privolitev, sedaj preveriti, ali so te veljavne tudi po novi splošni uredbi. Privolitev mora biti predvsem jasna in razumljiva izjava, dana z nedvoumnim pritrdilnim dejanjem in dokazljiva. Posamezniki bomo morali biti že vnaprej obveščeni tudi o tem, da lahko kadarkoli umaknemo svojo privolitev. Dobiti pa bomo morali tudi druge ustrezne informacije, da bomo torej ustrezno obveščeni o tem, komu damo svoje podatke, katere in zakaj ter kakšne pravice imamo. Podjetja bodo seveda imela problem, če nimajo takih privolitev in se ne bodo lotila pridobivanja novih privolitev ali pa jim posamezniki ne bodo ponovno dali svojih privolitev. V teh primerih jih bodo morala iz svojih zbirk brisati.«

Kaj se bo zgodilo z osebnimi podatki, ki smo jih večinoma le s klikom in brez branja splošnih pogojev zaupali Googlu, Facebooku ...?

»Pričakujemo, da bodo podjetja ustrezno prilagodila svoja pravila glede varstva osebnih podatkov in svoje ravnanje, kot je npr. nedavno zagotovil Facebook v zvezi z razkritji v primeru Cambridge Analytica. Ta dogodek je pokazal vse razsežnosti posegov v zasebnost pa tudi, kaj se zgodi s podjetji, ki izgubijo zaupanje ljudi. V praksi pa se bodo na ravni Evropske unije brez dvoma v letu 2018 začeli oziroma se bodo nadaljevali tudi številni inšpekcijski postopki, v katerih se bo pri tovrstnih podjetjih preverjalo, ali se držijo svojih obljub.«