Prihodnost varstva osebnih podatkov v EU pred pomembnimi novimi izzivi

Sporočilo za javnostEvropski parlament je v drugem branju potrdil zakonodajni sveženj, ki določa nov pravni okvir varstva osebnih podatkov v EU, ki so mu evropski poslanci priključili še direktivo o zbiranju osebnih podatkov letalskih potnikov (PNR). Splošna uredba o varstvu podatkov, ki bo stopila v veljavo čez 2 leti in prinaša številne novosti -  med drugim pravico do pozabe, jasnejšo in trdnejšo definicijo posameznikovega soglasja k obdelavi osebnih podatkov, obveznost obveščanja o kršitvah varstva osebnih podatkov, pravila glede obravnave kršitev, ki presegajo meje ene države članice in uvedbo vodilnega nadzornega organa, na ravni celotne EU pa prinaša tudi strožja pravila o nadzoru nad izvajanjem nove uredbe ter grožnjo visokih glob za kršitelje (do 4% skupnega svetovnega letnega prometa podjetja v preteklem proračunskem letu). Direktiva PNR pa pomeni bistveno večji nadzor nad osebnimi podatki letalskih potnikov v/iz EU v tretje države. Praksa bo pokazala ali tveganja za posege v zasebnost posameznikov, ki jih ta prinaša in na katere smo nadzorni organi za varstvo osebnih podatkov opozarjali, resnično odtehtajo (domnevno) izboljšanje varnosti.Kljub številnim dobrim rešitvam pa Informacijski pooblaščenec (IP) opozarja, da je bila doslej v številnih državah EU, tudi v Sloveniji, zakonsko zahtevana raven varstva osebnih podatkov v marsičem višja, kot so bile minimalne zahteve direktive. Zato mora država, v okviru aktivnosti za uveljavitev sprejetega zakonodajnega svežnja poskrbeti, da ta ne bi prinesel znižanja že obstoječih standardov. 

Reforma varstva osebnih podatkov je zakonodajni sveženj, ki vsebuje Uredbo Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (splošna uredba o varstvu podatkov) in Direktivo Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ, ter ga je Evropska komisija predlagala leta 2012. Njegov cilj je tudi vzpostavitev mehanizmov, s katerimi bi zagotovili doslednost pri izvajanju zakonodaje o varstvu podatkov v vsej EU.

Med pomembnimi spremembami, ki jih nova uredba še prinaša, so tudi izpopolnitve uveljavljanja pravic posameznika – določena je na primer obveznost upravljavcev (oseb, odgovornih za obdelavo podatkov), da posameznikom zagotavljajo pregledne in lahko dostopne informacije posameznikom o obdelavi njihovih podatkov. Podrobno so opredeljene tudi splošne obveznosti upravljavcev in oseb, ki osebne podatke obdelujejo v njihovem imenu (obdelovalci). Zelo pomembni pridobitvi sta obveznost izvajanja ustreznih varnostnih ukrepov in obveznost uradnega obveščanja o kršitvah varstva osebnih podatkov. Javni sektor, v določenih primerih pa tudi velika podjetja in podjetja, katerih osrednja dejavnost je obdelava določenih vrst podatkov, bodo morali imenovati odgovorno osebo za varstvo podatkov.  

Uredba ohranja obstoječo obveznost držav članic glede ustanovitve neodvisnega nadzornega organa na nacionalni ravni. Nova pa je ureditev v primeru, ko obdelava osebnih podatkov poteka v več kot eni državi članici in bo pristojnost za spremljanje vseh teh dejavnosti zaupana le enemu – vodilnemu nadzornemu organu. Načelo vse na enem mestu torej pomeni, da bo pristojen organ tiste države članice, v kateri je glavni sedež upravljavca / obdelovalca. 

Vzpostavljen bo nov Evropski odbor za varstvo podatkov, ki ga bodo sestavljali predstavniki vseh 28 neodvisnih nadzornih organov in bo nadomestil sedanjo Delovno skupino za varstvo podatkov iz člena 29. Nova uredba ureja tudi prenos osebnih podatkov v tretje države in mednarodne organizacije in zavezuje Evropsko komisijo, da oceni raven varstva, ki jo nudi področje ali sektor obdelave v tretji državi. Če Evropska komisija ne sprejme odločitve o področni ali sektorski ustreznosti, se lahko prenos osebnih podatkov še vedno izvede v posebnih primerih ali ob ustreznih zagotovilih (standardna določila o varstvu podatkov, odobreni kodeksi ravnanja, pogodbene klavzule). 

Sprejem uredbe pomeni po mnenju IP pomembno prelomnico za varstvo osebnih podatkov na ravni EU, hkrati pa le prvega izmed korakov na tej poti. Prinaša namreč številne izzive, ki jih bodo morale države članice in v praksi potem tudi nadzorni organi za varstvo osebnih podatkov v dveletnem prehodnem obdobju pred začetkom izvajanja nove uredbe razrešiti, da bo želeni napredek dejansko dosežen. Zastavlja se predvsem vprašanje odnosa med uredbo kot neposredno uporabljivim zakonodajnim aktom EU, ki področje ureja na splošni ravni ter nacionalnim pravom, v Sloveniji predvsem krovnim zakonom o varstvu osebnih podatkov, ki ureja nekatere vsebine tudi širše in podrobneje ali pa nudi  posameznikom celo višjo raven varstva, kot bi izhajala zgolj iz nove uredbe.

IP opozarja, da je bila doslej v številnih državah EU, med drugim tudi v Sloveniji, zakonsko zahtevana raven varstva osebnih podatkov v marsičem višja, kot so bile minimalne zahteve direktive. Zato mora država, v okviru aktivnosti za uveljavitev sprejetega zakonodajnega svežnja poskrbeti, da ta ne bi prinesel znižanja že obstoječih standardov. 

Mojca Prelesnik,
informacijska pooblaščenka