Ovaj članak daje osnovni uvid u problematiku i iznose kazni koje propisuje GDPR. Za temeljitiji pregled posjetite ovaj članak.
Novi propisi, jedna uredba
Ovi novi propisi olakšat će tvrtkama da se što lakše usklade i posluju jer će se GDPR primjenjivati u svim državama članicama EU-a. Jednom kad se tvrtka uskladi s GDPR-om, može bez poteškoća poslovati na cijelom zajedničkom tržištu, u svih 28 zemalja članica. Svi će propisi biti ujednačeni.
To je vrlo elegantno rješenje, osobito ako ga usporedimo s trenutnim stanjem, gdje svaka država ima svoje zakone. Zbog toga je tvrtkama skupo otvoriti podružnice u drugim zemljama, jer to zahtjeva golemo znanje o zakonima o privatnosti i zaštiti osobnih podataka u svakoj pojedinoj državi.
Lakše usklađivanje, više prava
Premda su propisi za usklađivanje jasniji nego prije, neovisno o državi sjedištu tvrtke, uvjeti za dobivanje privole znatno su postroženi. Pojedinci će imati veći nadzor nad svojim podacima i njihovu korištenju.
Prenosivost podataka olakšat će malim tvrtkama privlačenje novih korisnika, jer će pojedinci lako moći prenijeti svoje podatke s jednog poslužitelja na drugi. Tvrtke su također obavezne obrisati osobne podatke ispitanika (pojedinca) ako zaprime zahtjev, a za njihovu daljnju obradu nema daljnjih osnova. Privola za prikupljanje podataka također je potrebna.
Tu su i ostali propisi, no ovo su ključne promjene. No iako će biti lakše uskladiti se s propisima, kazne za nepridržavanje propisa značajno su veće.
Visoke kazne
Potrebno se u potpunosti uskladiti s novim propisima. Njihovo provođenje strogo će se nadzirati, a nadzorna tijela će moći izreći ogromne kazne, kako je opisano u čl. 83 GDPR-a.
GDPR propisuje dvije razine kazni, ovisno o težini prekršaja. Kazne mogu iznositi do 10 milijuna eura ili do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće. Viša razina kazne udvostručuje gorenavedene svote: do 20 milijuna eura ili do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće. Imajte na umu da su to maksimalne kazne koje se sigurno neće dijeliti u većini slučajeva, ali je prijetnja koju predstavljaju itekako ozbiljna.
Kazne vezane uz godišnji promet primjenjuju se samo kad je riječ o poduzeću, tj. bilo kojem poslovnom subjektu neovisno o njegovom zakonskom statusu ili načinu financiranja. Javna tijela i zaposlenici ne smatraju se ‘poduzećem’.
Nadalje, sve povrede podataka utužive su, pa ispitanici mogu pokrenuti privatne tužbe protiv tvrtki (poduzeća) krivih za povrede. Kazne ne štite tvrtke od daljnje odgovornosti za prouzročenu štetu.
Kršenje propisa
Nisu svi prekršaji isti. Najozbiljniji prekršaji koji se kažnjavaju maksimalnim stupnjem kazne navedeni su kako slijedi:
- kršenje osnovnih načela za obradu podataka i privolu
- kršenje prava ispitanika i prijenos podataka u treće zemlje bez odgovarajućih sigurnosnih mjera
- nepridržavanje postojećih naredbi o ograničenjima obrade podataka
Osnovna načela obuhvaćaju zaštitu osobnih podataka od neovlaštenog pristupa, obrade, gubitka, uništenja i oštećenja.
Ostali prekršaji nose niži stupanj kazne, kako je opisano u prethodnom odjeljku. Uglavnom se odnose na probleme tehničke naravi, a to uključuje kršenje obveza za:
- provođenje odgovarajućih sigurnosnih mjera
- dobivanje privole za obradu dječjih podataka
- izvještavanje o povredama podataka
- vođenje evidencije o obradi
- suradnju s nadzornim tijelima
- imenovanje službenika za zaštitu osobnih podataka
Okolnosti su važne
Prilikom utvrđivanja težine prekršaja, nadzorna će tijela u obzir uzeti razne čimbenike, kako olakotne tako i otegotne, uključujući i:
- težinu prekršaja
- namjeru, odnosno nepažnju
- pokušaje voditelja obrade da smanji potencijalnu štetu
- prethodne prekršaje
- stupanj suradnje s nadzornim tijelima i način na koji su oni doznali za prekršaj (je li ih izvijestila tvrtka ili su ga utvrdili sami)
- kategoriju pogođenih podataka
- pridržavanje usvojenih kodeksa ponašanja i mehanizama za certifikaciju (prema čl. 40 i 42)
Ukratko, od velike je pomoći ako tvrtka svojevoljno pristupi rješavanju nastalih problema i samostalno obavijesti nadzorno tijelo o postojanju povrede. Suradnja s nadzornim tijelom osobito je korisna i sigurno će utjecati na smanjenje visine kazne.
Gledano na duge staze, GDPR će zasigurno tvrtkama uštedjeti novac, jer pojednostavljeni i ujednačeni propisi ujedno znače i manje birokracije i radnih sati utrošenih na ispunjavanje zakonskih obaveza. No to je slučaj samo ako se propisi temeljito i sustavno implementiraju. U suprotnom, visoke kazne mogle bi negativno utjecati na poslovanje tvrtki, ako već ne i uzrokovati njihovu propast. Zato vam preporučujemo da se primite posla i ozbiljno shvatite nadolazeće promjene. Svibanj samo što nije stigao, i sada je vrijeme da se djeluje – i uštedi na eventualnim kaznama.
