Milionske kazne za povredu ličnih podataka: Vlada traži da se novi zakon donese po hitnom postupku

Vlada krajem prošle sedmice Skupštini dostavila Predlog novog zakona uz sugestiju da propis bude donesen po hitnom postupku

Predlog propisa predviđa pravo građana na brisanje podataka, ali i naknadu štete, dok su za najteže povrede predviđene sankcije i do dva miliona eura

Pravo na brisanje podataka ne primjenjuje se kada je obrada neophodna radi ostvarivanja prava na slobodu izražavanja i informisanja, radi izvršavanja zakonske obaveze od javnog interesa, zaštite javnog zdravlja…

Iako ista Agencija vodi računa i o primjeni Zakona o slobodnom pristupu informacijama, to se ne vidi iz uslova za izbor članova Savjeta i direktora, pa oni moraju imati iskustva samo u oblasti zaštite ličnih podataka

Pravo na brisanje podataka, mogućnost da građani traže naknadu materijalne i nematerijalne štete zbog nezakonite obrade podataka i kazne do dva miliona eura, samo su dio novina nove regulative u oblasti zaštite ličnih podataka.

Vlada je 7. avgusta utvrdila Predlog zakona o zaštiti ličnih podataka i dostavila ga Skupštini, uz sugestiju da bude donesen po hitnom postupku.

Predlog propisuje da lični podaci moraju biti “obrađivani zakonito, pravično i transparentno u odnosu na lice čiji se podaci obrađuju”, ali i prikupljeni u određene i legitimne svrhe i ograničeni na ono što je neophodno za tu svrhu.

Rukovalac podacima, prema Predlogu, odgovoran je za poštovanje tih pravila i “mora biti u mogućnosti da dokaže tu usklađenost”.

Kada se obrada zasniva na saglasnosti, predlog propisa predviđa pravo građana da je povuku u svakom trenutku.

“Povlačenje saglasnosti mora biti jednako jednostavno kao i njeno davanje”, navodi se u Predlogu zakona.

Posebne kategorije podataka obuhvataju podatke o rasnom ili etničkom porijeklu, političkom mišljenju, vjerskim ili filozofskim uvjerenjima, članstvu u sindikatu, kao i genetske, biometrijske i zdravstvene podatke, te podatke o seksualnom životu ili seksualnoj orijentaciji. Njihova obrada je načelno zabranjena, osim u zakonom propisanim slučajevima.

Međutim, ostavljena je mogućnost ograničavanja pojedinih prava građana kada je to neophodno radi nacionalne bezbjednosti, odbrane i javne bezbjednosti.

Predlog uvodi posebno “pravo na brisanje”, odnosno “pravo na zaborav”.

Građanin može tražiti brisanje ličnih podataka kada oni više nijesu potrebni za svrhu zbog koje su prikupljeni, kada povuče saglasnost i ne postoji drugi pravni osnov za obradu, kada uloži odgovarajući prigovor ili kada su podaci nezakonito obrađeni.

Ako je rukovalac podatke učinio javno dostupnim, dužan je da, uzimajući u obzir dostupnu tehnologiju i troškove, preduzme razumne mjere kako bi obavijestio druge rukovaoce da je zatraženo brisanje linkova, kopija ili reprodukcija tih podataka.

Predlog zakona propisuje da se brisanje ne primjenjuje kada je obrada neophodna “radi ostvarivanja prava na slobodu izražavanja i informisanja”, radi izvršavanja zakonske obaveze ili zadatka od javnog interesa, zaštite javnog zdravlja, arhiviranja, naučnog ili istorijskog istraživanja ili ostvarivanja i odbrane pravnih zahtjeva.

Predlog zakona propisuje da “lice koje je pretrpjelo materijalnu ili nematerijalnu štetu usljed povrede odredaba ovog zakona ima pravo na naknadu štete od rukovaoca ili obrađivača”. Ako je u istoj obradi učestvovalo više odgovornih subjekata, svaki od njih može odgovarati za cjelokupnu štetu, kako bi se obezbijedila potpuna naknada oštećenom.

“Pravo na naknadu štete ostvaruje se pred nadležnim sudom, u skladu sa zakonom”, navodi se u Predlogu zakona.

Zaštita je predviđena i za osobe koje prijave kršenje zakona. Nadležni organ, rukovalac i obrađivač dužni su da uspostave mehanizme za povjerljivo prijavljivanje, a “lice koje u dobroj vjeri prijavi povredu ovog zakona Agenciji, nadležnom organu ili drugom ovlašćenom subjektu ne smije zbog takve prijave biti izloženo bilo kakvom obliku odmazde, diskriminacije”.

Rukovalac i obrađivač moraju primjenjivati tehničke i organizacione mjere koje odgovaraju riziku i štite podatke od uništenja, gubitka, izmjene, neovlašćenog otkrivanja ili pristupa.

U slučaju povrede bezbjednosti podataka, rukovalac je dužan da obavijesti nadzorni organ – Agenciju za zaštitu ličnih podataka i slobodan pristup informacijama “bez nepotrebnog odlaganja”, a kada je moguće najkasnije u roku od 72 časa od saznanja za povredu.

Ako povreda predstavlja visok rizik po prava i slobode fizičkih lica, rukovalac mora bez nepotrebnog odlaganja obavijestiti i lice čiji su podaci ugroženi.

Kada određena vrsta obrade, posebno uz upotrebu novih tehnologija, može izazvati visok rizik po prava i slobode građana, rukovalac mora prije početka obrade sprovesti procjenu uticaja na zaštitu podataka.

Procjena mora sadržati opis planirane obrade, procjenu njene nužnosti i proporcionalnosti, rizike po građane i mjere za umanjenje tih rizika.

Predlog propisa Agenciju određuje kao nezavisni nadzorni organ, koji prati i obezbjeđuje primjenu zakona, daje savjete i mišljenja, postupa po zahtjevima za zaštitu prava i prigovorima, sprovodi nadzor i sarađuje sa drugim nadzornim organima.

Iako ista Agencija vodi računa i o primjeni Zakona o slobodnom pristupu informacijama, to ne vidi iz uslova za izbor članova Savjeta i direktora, jer predlog predviđa da oni moraju imati iskustva samo u oblasti zaštite ličnih podataka.

Savjet Agencije, prema predloženom tekstu zakona, čine predsjednik i dva člana, a bira ih i razrješava Skupština Crne Gore, na predlog nadležnog parlamentarnog odbora. Mandat im traje pet godina, a ista osoba ne može biti imenovana više od dva puta.

Predsjednik ili član Savjeta mora imati crnogorsko državljanstvo, završen fakultet u četvorogodišnjem trajanju, najmanje sedam godina radnog iskustva i “stručna znanja i iskustvo u oblasti zaštite podataka o ličnosti”.

Za člana Savjeta ne može biti imenovan poslanik, odbornik, član Vlade, lice koje obavlja funkciju na koju ga je imenovala ili postavila Vlada, niti funkcioner političke partije. Predsjednik i član Savjeta ne smiju biti pravosnažno osuđivani za krivično djelo za koje se gonjenje preduzima po službenoj dužnosti, bez obzira na izrečenu sankciju. Ne smiju biti ni bračni drugovi poslanika, odbornika, člana izvršne vlasti ili osobe koju je imenovala Vlada…

Direktora Agencije imenuje Savjet na osnovu javnog konkursa, takođe na period od pet godina.

Kandidat mora imati crnogorsko državljanstvo, završen pravni fakultet u trajanju od četiri godine, najmanje pet godina radnog iskustva sa odgovarajućim nivoom kvalifikacije i najmanje tri godine iskustva na rukovodećim poslovima, ali i posjeduje stručna znanja i iskustvo u oblasti zaštite podataka o ličnosti. I na njega se odnose ograničenja kao i na članove Savjeta.

Predlog zakona predviđa administrativne i prekršajne novčane kazne. Administrativne novčane sankcije izriče Agencija privrednim društvima, a visina zavisi od prirode, težine i trajanja povrede, ali i broj osoba na koje se podaci odnose i pretrpljenu štetu. Uzima se u obzir da li je povreda prava učinjena namjerno ili iz nehata, ali i koje su kategorije ličnih podataka time pogođene…

Ta vrsta kazni, pored ostalog, može se izreći ako privredna društva ne primjenjuju osnovna načela obrade ličnih podataka uključujući uslove za davanje saglasnosti, nezakonito prenose podatke u treću zemlju ili međunarodnu organizaciju. Zaprijećena kazna za te prekršaje je do dva miliona eura.

Ista sankcija predviđena je i za “povredu obaveze saradnje sa Agencijom ili nepostupanje po aktu Agencije”, kao i za nepostupanje po nalogu o privremenom ili trajnom ograničenju obrade ili obustavi razmjene podataka koju je odredila Agencija. Predlog propisuje i da se administrativna novčana kazna ne izriče državnom organu, organu državne uprave, organu lokalne samouprave, javnoj ustanovi…

Pravna lica mogu biti i prekršajno sankcionisana i to u rasponu od 150 do 2.000 eura. To se odnosi na slučaj kada ne prijavi Agenciji povredu bezbjednosti ličnih podataka u roku od 72 časa, kada se ne čuva profesionalna tajna, kada se inspektoru ne omogući pristup zbirkama podataka, dokumentaciji, prostorijama i sredstvima elektronske obrade ili kada se ne uspostave mehanizmi za povjerljivo prijavljivanje povreda zakona. Za iste prekršaje odgovorno lice u pravnom licu može biti kažnjeno od 20 do 200 eura, preduzetnik od 50 do 400 eura, a fizičko lice od 20 do 200 eura.