Дељење података је крвоток модерне трговине. Без обзира да ли се придружујете новом добављачу услуга у облаку, сарађујете са маркетиншком агенцијом или интегришете HR систем треће стране, лични подаци стално теку између организација. Али ево непријатне истине: већина предузећа потцењује правно минско поље које дељење података представља према Општој уредби о заштити података (GDPR).
Улог је реалан. Казне могу достићи 20 милиона евра или 4% глобалног годишњег промета – шта год је веће. Поред финансијских казни, ризикујете штету по репутацију, регулаторну контролу и тужбе за грађанску одговорност од стране погођених појединаца. Холандска агенција за заштиту података (Autoriteit Persoonsgegevens, или AP) је јасно ставила до знања: незнање није одбрана.
Овај чланак вас води кроз седам критичних ризика у вези са Општом уредбом о заштити података (GDPR) који настају приликом дељења личних података. Сваки ризик је заснован на специфичним одредбама GDPR-а, илустрован је последицама из стварног света и упарен је са практичним смерницама које ће вам помоћи да останете у складу са прописима. Без обзира да ли сте власник предузећа, службеник за усклађеност или правни стручњак који послује у Холандији, разумевање ових замки је неопходно.
1. Дељење података без ваљаног правног основа (члан 6 GDPR-а)
Ризик: Не можете делити личне податке само зато што је то згодно или корисно. Сваки случај дељења података захтева валидан правни основ у складу са чланом 6 GDPR-а.
Зашто компаније греше: Многе организације претпостављају да је довољно имати комерцијални разлог за дељење података. Није. GDPR предвиђа шест законских основа за обраду: сагласност, уговорну нужност, законску обавезу, виталне интересе, јавни задатак и легитимне интересе. Сваки има специфичне захтеве и ограничења.
На пример, „легитимни интереси“ се често позивају да би се оправдало дељење података са партнерима или добављачима услуга. Али ова основа захтева пажљив тест равнотеже: ваши интереси не смеју надјачати права и слободе појединаца чије податке обрађујете. И морате документовати ову процену.
Правни основ: Члан 6 GDPR-а наводи исцрпан списак правних основа. Члан 5(1)(а) GDPR-а налаже да свака обрада буде законита, поштена и транспарентна.
Последице у стварном свету: АП је издао казне организацијама које су делиле податке о купцима са трећим лицима у маркетиншке сврхе без одговарајућег правног основа. Чак и ако су подаци анонимизовани или агрегирани, ако је поновна идентификација могућа, они остају лични подаци и захтевају законски основ.
Практичан за понети: Пре него што делите било какве личне податке, идентификујте и документујте који се правни основ примењује. Ако се ослањате на легитимне интересе, спроведите и евидентирајте процену легитимних интереса (LIA). Ако користите сагласност, уверите се да је дата слободно, конкретна, информисана и недвосмислена.
2. Забуна око улога: Контролор наспрам Обрађивача (члан 4(7)–(8) GDPR-а)
Ризик: GDPR прави разлику између контролора (који одређују сврхе и средства обраде) и обрађивача (који обрађују податке у име контролора). Погрешно идентификовање ваше улоге – или улоге вашег партнера – ствара озбиљне празнине у усклађености.
Зашто компаније греше: У пракси, улоге могу бити двосмислене. Ако делите податке са SaaS добављачем, да ли су они контролори или обрађивачи? Шта ако користе ваше податке за побољшање својих алгоритама? Многа предузећа подразумевано називају сваког добављача „обрађивачем“ без правилног анализирања односа.
Погрешна класификација је важна јер контролори и обрађивачи имају различите обавезе. Контролори морају да осигурају да обрађивачи пружају довољне гаранције усклађености (члан 28. Опште уредбе о заштити података). Заједнички контролори морају да се договоре о својим одговорностима (члан 26. Опште уредбе о заштити података). Ако погрешите, можете бити одговорни за кршења за која нисте ни знали да се дешавају.
Правни основ: Члан 4(7) и (8) Опште уредбе о заштити података дефинише „контролора“ и „обрађивача“. Члан 24 Опште уредбе о заштити података наводи обавезе одговорности контролора.
Последице у стварном свету: Европски суд правде је пресудио у Фасхион ИД (C-40/17) да чак и делимично одређивање сврхе може да вас учини заједничким контролором. То значи да можете бити заједнички одговорни за кршења GDPR-а, чак и ако их је проузроковала друга страна.
Практичан за понети: Мапирајте токове података и одредите ко одлучује зашто како подаци се обрађују. Документујте ово у писаној форми и осигурајте да свака страна разуме своју улогу и обавезе.
3. Недостајући или неадекватан уговор о обради података (члан 28 GDPR-а)
Ризик: Ако ангажујете обрађивача да обрађује личне податке у ваше име, законски сте обавезни да имате писани уговор о обради података. Нема изузетака.
Зашто компаније греше: Примамљиво је прескочити папирологију, посебно са поузданим или дугогодишњим партнерима. Али без усклађеног Уговора о заштити података (DPA), кршите Члан 28 GDPR-а од првог дана — чак и ако не дође до стварне штете.
Правилан споразум о заштити података мора да садржи конкретне обавезне клаузуле: предмет и трајање обраде, природу и сврху обраде, врсту личних података, категорије носилаца података и обавезе и права контролора. Такође мора да се бави подобрадом, безбедношћу података и обавештавањем о кршењу.
Правни основ: Члан 28(3) GDPR-а наводи обавезни садржај Уговора о обрађивању података. Члан 28(4) GDPR-а захтева изричито овлашћење за подизвршиоце обраде.
Последице у стварном свету: АП је санкционисао организације због ангажовања обрађивача без одговарајућих уговора о заштити података. Чак и ако сам обрађивач испуњава услове, контролор и даље може бити кажњен због тога што није закључио одговарајући уговор.
Практичан за понети: Користите стандардизовани образац DPA који покрива све захтеве члана 28(3). Прегледајте постојеће уговоре како бисте се уверили да су у складу са GDPR-ом. Не укључивајте новог обрађивача без потписаног DPA.
4. Противправни трансфер у треће земље изван ЕЕП (чланови 44–49 ГДПР и Сцхремс ИИ)
Ризик: Пренос личних података ван Европског економског простора (ЕЕА) је строго ограничен. То можете учинити само ако земља одредишта пружа адекватан ниво заштите — или ако примените одговарајуће мере заштите.
Зашто компаније греше: Многа предузећа користе услуге у облаку, процесоре плаћања или алате за аналитику који се налазе у САД или Азији, а да нису свесни да покрећу правила међународног преноса. Чак и ако је ваш уговор са ентитетом из ЕУ, ако се подаци чувају или им се приступа ван ЕЕА, примењују се правила преноса.
Сцхремс ИИ Пресуда (Случај C-311/18) поништила је Штит приватности ЕУ-САД и потврдила да саме стандардне уговорне клаузуле (СУК) нису довољне. Такође морате спровести процену утицаја преноса (ПУП) како бисте проценили да ли закони земље одредишта поткопавају заштиту коју гарантују СУК.
Правни основ: Чланови 44–49 Опште уредбе о заштити података регулишу међународне преносе података. Поглавље V Опште уредбе о заштити података захтева одлуке о адекватности (члан 45) или одговарајуће заштитне мере (члан 46), као што су стандардне уговорне клаузуле.
Последице у стварном свету: АП вам може наложити да обуставите или забраните пренос података у треће земље ако нису на снази одговарајуће мере заштите. Компаније су се суочиле са мерама спровођења закона и штетом по репутацију због преноса података у САД без спровођења TIA након...Сцхремс ИИ.
Практичан за понети: Идентификујте све преносе података у треће земље у вашим токовима података. Проверите да ли постоји одлука о адекватности. Ако не постоји, имплементирајте стандардне условне клаузуле и спроведите процену утицаја на информациону индустрију (TIA). Документујте додатне мере ако је потребно (нпр. шифровање, псеудонимизација).
5. Неспровођење процене утицаја на заштиту података (члан 35. GDPR-а)
Ризик: Процена утицаја на заштиту података (DPIA) је обавезна када је вероватно да ће дељење података довести до високог ризика по права и слободе појединаца. То укључује обраду посебних категорија података великих размера, систематско праћење или коришћење нових технологија.
Зашто компаније греше: Многе организације третирају процене утицаја на заштиту података (DPIA) као опционе или релевантне само за „велике“ пројекте. У стварности, дељење здравствених података са аналитичком платформом треће стране, примена алата за профилисање заснованих на вештачкој интелигенцији или комбиновање скупова података из више извора могу покренути захтев за DPIA.
Процена утицаја на заштиту података није само вежба штиклирања кућица. То је структурирани процес за идентификацију ризика, процену њихове озбиљности и одређивање мера за њихово ублажавање. Ако преостали ризици остану високи, морате се консултовати са АП-ом пре него што наставите.
Правни основ: Члан 35 Опште уредбе о заштити података (GDPR) налаже процену утицаја на заштиту података (DPIA) за обраду високог ризика. AP је објавио смернице о томе када је потребна DPIA.
Последице у стварном свету: Неспровођење процене утицаја на заштиту података (DPIA) када је то потребно само по себи представља кршење Опште уредбе о заштити података (GDPR). АП је казнио организације због наставка дељења података високог ризика без спровођења DPIA, чак и када није дошло до стварног кршења безбедности података.
Практичан за понети: Проверите све активности дељења података да ли постоје покретачи за процену утицаја на заштиту података. Уколико нисте сигурни, спроведите једну проверу. Укључите свог службеника за заштиту података и темељно документујте процес процене.
6. Неадекватне информације за субјекте података (чланови 13 и 14 GDPR-а)
Ризик: Транспарентност је камен темељац Опште уредбе о заштити података (GDPR). Кад год прикупљате или делите личне податке, морате обавестити субјекте података о томе ко ће примити њихове податке, у коју сврху и на ком правном основу.
Зашто компаније греше: Политика приватности је често нејасна или застарела. Фразе попут „можемо делити ваше податке са поузданим партнерима“ нису довољне. Морате навести категорије прималаца (нпр. „провајдери услуга хостинга у облаку“, „маркетиншке агенције“) и, где је то релевантно, навести њихова имена.
Када се подаци добијају индиректно — на пример, од посредника података или другог контролора — члан 14 GDPR-а намеће додатне обавезе информисања, укључујући извор података.
Правни основ: Чланови 13 и 14 Опште уредбе о заштити података наводе информације које се морају доставити субјектима података. Члан 5(1)(а) Опште уредбе о заштити података захтева транспарентност у свим активностима обраде.
Последице у стварном свету: АП је санкционисао компаније због тога што нису обавестиле појединце да се њихови подаци деле са трећим лицима. Чак и ако је само дељење било законито, неадекватна транспарентност је самостално кршење закона.
Практичан за понети: Прегледајте и ажурирајте своја обавештења о приватности како бисте јасно описали праксе дељења података. Уверите се да су обавештења лако доступна и написана једноставним језиком. Када делите податке са новим партнерима, ажурирајте своја обавештења пре него што дељење почне.
7. Псеудонимизација као лажни осећај сигурности
Ризик: Псеудонимизација – замена директних идентификатора кодовима или токенима – подстиче се према Општој уредби о заштити података (GDPR) као безбедносна мера. Али она не чини податке анонимним. Ако се подаци и даље могу повезати са појединцем, они остају лични подаци и подлежу пуном обиму GDPR-а.
Зашто компаније греше: Предузећа често претпостављају да је псеудонимизоване податке „безбедно“ делити без ограничења. У пракси, псеудонимизација само смањује ризик; она га не елиминише. Ако делите псеудонимизоване податке са партнером који има приступ кључу или другим скуповима података који омогућавају поновну идентификацију, и даље обрађујете личне податке.
Правни основ: Члан 4(5) Опште уредбе о заштити података (GDPR) дефинише псеудонимизацију. Рецитал 26 GDPR-а појашњава да псеудонимизовани подаци остају лични подаци осим ако нису заиста анонимизовани (тј. поновна идентификација више није могућа ни на који разуман начин).
Последице у стварном свету: АП је у смерницама појаснио да псеудонимизација није карта за „излазак из затвора“. Ако је поновна идентификација изводљива, примењују се све обавезе из Опште уредбе о заштити података (GDPR), укључујући постојање правног основа, спровођење процене утицаја на заштиту података (DPIA) и обезбеђивање одговарајуће безбедности.
Практичан за понети: Третирајте псеудонимизоване податке као личне податке, осим ако нисте прошли ригорозан процес анонимизације који су потврдили стручњаци. Документујте техничке и организационе мере које су на снази како би се спречила поновна идентификација.
Најчешћа питања (FAQ)
Када је дељење података дозвољено према GDPR-у?
Дељење података је законито само ако имате ваљани правни основ према члану 6 GDPR-а. Шест правних основа су: сагласност, уговорна нужност, законска обавеза, витални интереси, јавни задатак и легитимни интереси. Такође морате поштовати принципе законитости, правичности, транспарентности, ограничења сврхе, минимизирања података, тачности, ограничења складиштења, интегритета и поверљивости (члан 5 GDPR-а). У пракси, то значи јасно документовање разлога зашто делите податке, осигуравање да је сврха усклађена са разлогом зашто сте их првобитно прикупили и обавештавање субјеката података о дељењу.
Која је разлика између контролера и процесора?
A контролор одређује сврхе и средства обраде личних података. А процесор обрађује податке у име контролора према одређеним упутствима. Ова разлика је важна јер су контролори првенствено одговорни за усклађеност са Општом уредбом о заштити података (GDPR), док обрађивачи имају ограниченије обавезе (углавном обезбеђивање безбедности и поверљивости). Ако делите податке са добављачем који их обрађује према вашим упутствима – на пример, добављачем услуга обрачуна зарада или услугом складиштења у облаку – они су обично обрађивач. Ако такође одлучују како да користе податке за сопствене сврхе, могу бити (заједнички) контролор. Погрешно идентификовање улога може довести до празнина у одговорности и заједничкој одговорности за кршења.
Када је уговор о обради података (DPA) обавезан?
Споразум о обради података је обавезан кад год ангажујете обрађивача да обрађује личне податке у ваше име (члан 28. Опште уредбе о заштити података). Ово се примењује без обзира на величину ваше организације или количину података о којима се ради. Споразум о обради података мора бити у писаној форми и садржати конкретне обавезне клаузуле, као што су предмет и трајање обраде, природа и сврха, врсте података и категорије носилаца података, као и обавезе обе стране у вези са безбедношћу, обавештавањем о кршењу и подобрадом. Без усклађеног споразума о обради података, кршите прописе од тренутка када обрађивач почне са обрадом, чак и ако не настане штета.
Могу ли да делим податке о клијентима са страном ван ЕУ?
Да, али само ако су испуњени строги услови. Према члановима 44–49 Опште уредбе о заштити података, можете пренети податке у трећу земљу ако: (а) Европска комисија је издала одлуку о адекватности за ту земљу или (б) сте успоставили одговарајуће мере заштите, као што су стандардне уговорне клаузуле. Након Сцхремс ИИ пресуде, такође морате спровести процену утицаја трансфера (ТИА) како бисте проценили да ли закони земље одредишта (нпр. владин надзор) поткопавају заштиту коју гарантују стандардне трговинске клаузуле. Ако ризици остану, морате применити додатне мере, као што су шифровање или минимизирање података. Трансфери без адекватних заштитних мера могу довести до мера спровођења од стране АП, укључујући обуставу трансфера.
Када је потребна DPIA процена за дељење података?
Процена утицаја на заштиту података (DPIA) је обавезна према члану 35 GDPR-а када је вероватно да ће обрада довести до високог ризика по права и слободе појединаца. То укључује: обраду посебних категорија података великих размера (нпр. здравствени, биометријски, генетски подаци), систематско праћење јавно доступних подручја, аутоматизовано доношење одлука са правним или сличним значајним последицама и коришћење нових технологија. Приликом дељења података, DPIA је често потребна ако комбинујете скупове података, делите осетљиве информације или користите податке за профилисање или аналитику вођену вештачком интелигенцијом. АП је објавио листу операција обраде које захтевају DPIA. Уколико сте у недоумици, спроведите је – боље је спречити него лечити.
Које казне могу да плати компанијама због кршења GDPR-а?
Општа уредба о заштити података (GDPR) предвиђа два нивоа казни. Нижи ниво – до 10 милиона евра или 2% глобалног годишњег промета – примењује се на прекршаје као што су неспровођење одговарајућих безбедносних мера или неспровођење DPIA када је то потребно. Виши ниво – до 20 милиона евра или 4% глобалног годишњег промета – примењује се на озбиљније прекршаје, укључујући недостатак законског основа за обраду, незаконите међународне преносе или кршење права носилаца података. Апелациони комисар (AP) одређује износ казне на основу фактора који укључују природу и тежину прекршаја, да ли је био намеран или нехатан, број погођених појединаца и све предузете мере за ублажавање. Недавна примена показује да је AP спреман да изрекне значајне казне, посебно за системске или намерне прекршаје.
Да ли је дељење псеудонимизованих података увек безбедно?
Не. Псеудонимизација смањује ризик, али га не елиминише. Према члану 4(5) Опште уредбе о заштити података (GDPR), псеудонимизација значи замену директних идентификатора (као што су имена) кодовима или псеудонимима. Међутим, ако се подаци и даље могу повезати са појединцем – на пример, коришћењем додатних информација које поседујете ви или прималац – они остају лични подаци и у потпуности подлежу GDPR-у. То значи да вам је и даље потребан правни основ, да морате обавестити субјекте података и да морате осигурати одговарајућу безбедност. Само истинска анонимизација – где поновна идентификација више није могућа ни на који разуман начин – уклања податке из делокруга GDPR-а. У пракси, постизање истинске анонимизације је тешко и захтева стручну валидацију.
Шта треба да урадим ако дође до кршења безбедности података у мојој фирми због незаконитог дељења података?
Ако откријете кршење безбедности личних података – укључујући и оно узроковано незаконитим дељењем података – имате sola travel да обавестите АП у складу са чланом 33 GDPR-а (осим ако је мало вероватно да ће кршење довести до ризика по права и слободе појединаца). Такође морате без непотребног одлагања обавестити погођене појединце ако је вероватно да ће кршење довести до високог ризика за њих (члан 34 GDPR-а). Непосредни кораци укључују: обуздавање кршења, процену његовог обима и утицаја, документовање шта се догодило и шта предузимате поводом тога, и обавештавање АП-а путем њиховог онлајн портала. Необавештавање може резултирати посебном казном. АП ће проценити да ли је потребно предузети мере на основу тежине кршења и вашег одговора.
Заштитите своје пословање – добијте стручно правно саветовање
Дељење података је неизбежно, али кршења GDPR-а не морају бити. Седам ризика наведених горе нису теоријски – они су изведени из стварних случајева спровођења прописа, судских пресуда и регулаторних смерница. Сваки од њих може резултирати новчаним казнама, тужбама за одговорност и штетом по репутацију.
Добре вести? Уз прави правни оквир, јасну документацију и проактивне мере усклађености, можете делити податке са поверењем и законом. Али да би се то урадило како треба, потребно је више од генеричких савета – потребна је прилагођена правна подршка која разуме ваше пословање, ваше токове података и специфичне ризике са којима се суочавате.
Не чекајте да вам приступна тачка закуца на врата. Ако нисте сигурни да ли су ваше праксе дељења података у складу са GDPR-ом или ако вам је потребна помоћ у изради Уговора о заштити података (DPA), спровођењу Уговора о заштити података (DPA) или управљању међународним трансферима података, обратите се специјализованом адвокату за заштиту приватности. Ваше пословање – и ваши клијенти – не заслужују ништа мање.
