Teško je komentirati i prognozirati što će se dogoditi s internetom nakon današnjeg porinuća ogromnog zakonodavnog kita kao što je Opća uredba o zaštiti podataka (dalje: "Uredba" ili "GDPR"). S koje god strane promatrali opću paniku koja je nastupila među gotovo svim tržišnim akterima teško je procijeniti radi li se o opravdanom strahu nadzorne čizme ili se radi o volumenu straha kakav nije zapamćen još od milenijskog buga Y2K koji je trebao slomiti sve računalne sustave zbog pretpostavljene nemogućnosti funkcioniranja s nulom u zbiru godine.
Također, ne odlazeći pretjerano u pravičnost ili nepravičnost velikih igrača tržišta digitalnih usluga, njihovih internih, ali i vanjskih razina nepovjerenja teško je ne uočiti kako se napokon razvila svijest o važnosti odnosa tehnologije i privatnosti. Pa čak i u Hrvatskoj se dogodila dinamika osvještenja kako smo jasan dio europskog tržišta, kako nas se jasno tretira kao europskog korisnika. Međutim, ostao je jedan ključni dio GDPR misterija koji još čeka svoje rješenje.
Kako su se državna tijela izuzela
Naše tvrtke su postale europske, njima prijete kazne koje propisuje Uredba, no naša tijela javne vlasti su ostala i dalje Hrvatska – ne plaćaju kazne. Argument izuzeća u ovom slučaju je kako se ionako radi o dionicima proračunskog zbira, pa sukladno tome ne postoji jasna volja naplate istih tih kazni u isti taj proračun. Lijepa se igra nameće. Zašto po ovoj argumentaciji od danas ne bismo počeli uplaćivati komunalnu naknadu umjesto Zagrebačkom Holdingu d.o.o. na račun Državnog proračuna Republike Hrvatske?
Zašto ova logika nema nikakve logike? Vrlo jednostavno, javne tvrtke su i ona tijela koja su djelomično strukturirana kroz privatno vlasništvo te su imenovana kao javna tijela posredstvom primjerice MUP-ovog odobrenja o pružanju usluga registriranja vozila. Istovremeno unutarnja logika Uredbe nalaže specifikaciju odnosa tvrtki koje razmjenjuju podatke te dijeljenje odgovornosti u specifičnim slučajevima. Ova "povlaštenost" javnih tijela je čista nepravednost općem nastupanju u okviru tržišta.
Je li Uredba mrtvo slovo na papiru?
Udruga Politiscope je u procesu praćenja koliko je javnih tijela izdalo barem tri osnovne specifikacije javnih tijela koje iste imaju po obvezi Uredbe – jasnu specifikaciju politika zaštite podataka, sustav privola za osobne podatke te imenovanog službenika za zaštitu podataka? Uskoro ćemo vidjeti koliko je Uredba mrtvo slovo na papiru u slučaju kada ne postoji rigorozan aparat represije tijela javne vlasti. Naime, izuzeće od plaćanja kazni ne znači kako iste nisu predmet prilagodbe Uredbi.
Koji je cilj? Cilj je rušenje, trenutačno, nepravednog Zakona o primjeni Opće uredbe o zaštiti podataka koji upravo predviđa ovo izuzeće. Kako? Pa, direktno pred Europskim odborom za zaštitu podataka slanjem učestalih dopisa o kršenju ljudskih prava o zaštiti podataka koje Uredba propisuje, a javna tijela u Hrvatskoj ih, barem dijelom, ne ispunjavaju na današnji dan.
Zbogom baze ili od danas – fazore na pozdrav, stigao je GDPR
Teško se ne oteti dojmu kako Uredba ipak ima svoju snagu sudeći prema općoj panici koja je nastala na terenu u tjednu prije stupanja na snagu. Gotovo svi formati tvrtki su očito čekali zadnji čas kako bi poslali "taj zadnji newsletter"' iz baze koje više neće biti. Od danas – fazori su na pozdrav dragi newsletter komandanti.
Danas možemo komotno utvrditi kliničku smrt ovih prethodno nelegitimnih baza promotivnih ponuda i specijalnih ponuda bez vašeg informiranog pristanka na slanje. Iz konzultantske perspektive mogu reći kako postoji izraziti pritisak rokova na tvrtke koje rade prilagodbu, s današnjim danom, gdje je jako teško klijentima koji nisu upućeni u stavke koje propisuje Uredba objasniti kako proces prilagodbe ne može biti završen u periodu od tjedan ili dva, čak i ako se radi o izrazito 'malom obujmu' posla.
Kako izgleda prilagodba?
Uredba regulira svaki tip podataka (osobne, pseudo i osjetljive osobne podatke), a proceduralno pri prilagodbi prvo se izlaže data mapa tijeka procesa prikupljanja i obrade podataka. Nakon toga se radi procjena strukture privola i mjesta gdje je potrebno dostavljanje eksplicitnih privola ili obavijesti. Osnovni zahvat nakon ovoga je izrada politika privatnosti koje specificiraju sve što se prikuplja i obrađuje zajedno sa svrhama obrade te odnosima s trećim stranama.
Paralelno s ovim procesima se radi procjena učinka na zaštitu podataka interno te prema partnerima ako se tvrtka nalazi u statusu voditelja obrade. Uz sve to potrebno je popratiti interne IT sustave te IT sustave partnera kako bi bili u skladu s Uredbom. Ovo je jako jednostavni nacrt prilagodbe koji na terenu ima široki elaborat na kojem rade cijeli timovi pravnika, IT službenika, prodajnih konzultanata, PR stručnjaka i drugih.
Što slijedi?
Nekakva uobičajena prilagodba traje pet, šest mjeseci ako se radi o srednjem poduzeću jer su potrebne i identifikacije protokola o postupanju, edukacija osoblja te osiguranje poštovanja procedura uz imenovanog službenika za zaštitu podataka. Slučaj korporacija zahtijeva i rokove od preko godinu dana.
Svakako je zanimljivo vrijeme pred nama i prilična tržišna neizvjesnost o budućim praksama naplati kazni. Dobra vijest korisnicima - zaboravljeni smo u svim bazama gdje ne želimo biti. Pitanje je spavamo li sada mirnije? Jedno je sigurno; napokon kao korisnici imamo jamčeni legitiman način skrivanja pred uređajima, procesima, procedurama i uslugama. Možemo odahnuti jer je loptica ukazivanja na poštovanje ili nepoštovanje zakona prešla s korisnika na tvrtke.
AZOP će imati jako puno posla, ali i nevjerojatnu količinu pritiska korisnika, tvrtki, javnih tijela, udruga, Vlade RH te supervizijskih tijela Europske unije.
Stjepan Perko je doktorand političke teorije na Sveučilištu u Zagrebu i Voditelj prilagodbe ključnih projekata u Lolongu.
