Kako firme krše zakon o zaštiti podataka, a da toga nisu svesne?

Kompanije često nisu ni svesne da u svakodnevnom poslovanju obrađuju osetljive podatke o ličnosti, zbog čega mogu imati dodatne zakonske obaveze. Sličan rizik postoji i kada se podaci čuvaju na klaud servisima ili razmenjuju putem stranih digitalnih platformi, a da prethodno nisu provereni uslovi za njihov prenos u inostranstvo.

Osetljivi podaci obuhvataju informacije o rasnom ili etničkom poreklu, političkim stavovima, verskim i filozofskim uverenjima, članstvu u sindikatu, genetskim i biometrijskim karakteristikama, zdravstvenom stanju, seksualnom životu i seksualnoj orijentaciji. U ovu grupu spadaju i podaci o krivičnim presudama, kažnjivim delima i merama bezbednosti, kada se obrađuju u velikom obimu.

„Obrada takvih informacija zahteva posebnu pažnju jer njihovo otkrivanje ili zloupotreba mogu izazvati ozbiljne posledice po ljude na koje se odnose. Šteta može biti dugotrajna, a posledice je često teško otkloniti. Zbog toga kompanije moraju da primenjuju strože procedure i odgovarajuće mere zaštite“, savetuju pravnici kancelarije Stojković Advokati.

Kako ističu, nepoznavanje propisa ne oslobađa privrednike odgovornosti.

„Čak i kada kompanija nije znala da određena informacija pripada kategoriji osetljivih podataka, to ne znači da će biti izuzeta od posledica nepoštovanja zakona. Zato je važno da pre početka obrade utvrdi koje informacije prikuplja, na koji način ih koristi i koje obaveze iz toga proizlaze. U određenim slučajevima, obrada ovih podataka povlači i obavezu imenovanja lica za zaštitu podataka o ličnosti“, navode advokati.

Još jedna oblast na koju privrednici treba da obrate pažnju jeste prenos podataka o ličnosti iz Srbije u druge države. Na prvi pogled, ovo pitanje može delovati nevažno kompanijama koje posluju isključivo na domaćem tržištu i rade sa klijentima iz Srbije. Međutim, korišćenje stranih digitalnih servisa može promeniti situaciju.

„Kompanije koje čuvaju dokumentaciju na klaud servisima ili komuniciraju sa klijentima putem stranih platformi trebalo bi da provere gde se podaci obrađuju i da li se prenose izvan Srbije. Takve okolnosti mogu biti važne i tokom inspekcijske kontrole“, ocenjuju advokati.

Međunarodni prenos podataka sam po sebi nije zabranjen, ali mora da bude sproveden u skladu sa zakonom. To podrazumeva postojanje odgovarajućeg pravnog osnova i primenu mehanizama kojima se obezbeđuje adekvatan nivo zaštite podataka.

Posebno je važno, prema rečima pravnika, utvrditi da li država u koju se podaci prenose obezbeđuje odgovarajuće standarde zaštite, kao i da li su ispunjeni uslovi za primenu potrebnih ugovornih i drugih pravnih mehanizama. Kompanija mora da vodi računa i o odnosima sa drugim subjektima koji imaju pristup podacima, kao i o njihovim obavezama u pogledu bezbednosti i načina obrade.

Odgovornost za zaštitu informacija ne prestaje samim njihovim prosleđivanjem drugom subjektu. Zbog toga je važno unapred jasno definisati pravila saradnje, prava pristupa i obaveze svih učesnika u procesu obrade.

Nakon inspekcijskog nadzora, Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti može da proceni nivo rizika u poslovanju, koji se razvrstava u pet kategorija: neznatan, nizak, srednji, visok i kritičan.

„Iako ovakva podela može delovati široko, procena se, prema opisanom modelu, zasniva na unapred utvrđenim kriterijumima, a ne na proizvoljnom utisku inspektora“, objašnjavaju advokati.

Oni dalje navode da se u postupku razmatra čitav sistem zaštite podataka koji je kompanija uspostavila.

To uključuje vođenje propisanih evidencija, primenu tehničkih i organizacionih mera bezbednosti, imenovanje lica za zaštitu podataka kada je to obavezno, kao i ugovorno uređivanje načina na koji drugi subjekti obrađuju informacije.

Za procenu se koristi bodovna lista sa 14 pitanja, na osnovu koje se vrednuje stepen ispunjenosti zakonskih obaveza. Tako se utvrđuje koliko je poslovanje usklađeno sa propisima i kakav rizik postoji u pogledu zaštite podataka o ličnosti.

„Utvrđene nepravilnosti mogu dovesti do različitih zakonskih posledica, kako za kompaniju, tako i za odgovorna lica, u skladu sa njihovom odgovornošću i primenljivim propisima. U zavisnosti od konkretnih okolnosti, posledice mogu obuhvatiti opomene, naloge za otklanjanje nepravilnosti ili novčane kazne. Finansijski troškovi, međutim, nisu jedini problem. Negativan nalaz inspekcije može da naruši ugled kompanije i oslabi poverenje klijenata, naročito na tržištu na kojem poslovna reputacija predstavlja važnu konkurentsku prednost“, smatraju advokati.

Za kompaniju koja ne može da pokaže da odgovorno postupa sa podacima svojih klijenata, posledice mogu biti mnogo šire od samog inspekcijskog postupka.

„Zaštita podataka zato nije samo formalno ispunjavanje obaveza ili prikupljanje saglasnosti za obradu, već deo ukupnog sistema upravljanja rizicima u poslovanju“, zaključuju pravnici advokatske kancelarije Stojković Advokati.