PROVEDBENA UREDBA KOMISIJE (EU) 2021/1772

оd 28. lipnja 2021.

u skladu s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća o primjerenoj zaštiti osobnih podataka u Ujedinjenoj Kraljevini

(priopćeno pod brojem dokumenta C(2021) 4800)

(Tekst značajan za EGP)

EUROPSKA KOMISIJA,

uzimajući u obzir Ugovor o funkcioniranju Europske unije,

uzimajući u obzir Uredbu (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (1), a posebno njezin članak 45. stavak 3.,

budući da:

1. UVOD

(1) Uredbom (EU) 2016/679 utvrđuju se pravila za prijenos osobnih podataka od voditelja obrade ili izvršitelja obrade u Europskoj uniji trećim zemljama i međunarodnim organizacijama, u mjeri u kojoj je takav prijenos obuhvaćen njezinim područjem primjene. Pravila o međunarodnim prijenosima podataka utvrđena su u poglavlju V. te uredbe, odnosno u člancima od 44. do 50. Iako je protok osobnih podataka u zemlje izvan Europske unije i iz njih bitan za proširenje međunarodne suradnje i prekogranične trgovine, razina zaštite osobnih podataka u Europskoj uniji ne smije se ugroziti prijenosima trećim zemljama (2).

(2) U skladu s člankom 45. stavkom 3. Uredbe (EU) 2016/679 Komisija može putem provedbenog akta odlučiti da treća zemlja, područje, ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija osigurava primjerenu razinu zaštite. Pod tim uvjetom prijenosi osobnih podataka trećoj zemlji mogu se obavljati bez potrebe za bilo kakvim dodatnim odobrenjem, kako je utvrđeno u članku 45. stavku 1. i uvodnoj izjavi 103. te uredbe.

(3) Kako je navedeno u članku 45. stavku 2. Uredbe (EU) 2016/679, donošenje odluke o primjerenosti mora se temeljiti na sveobuhvatnoj analizi pravnog poretka treće zemlje, koja obuhvaća i pravila koja se primjenjuju na uvoznike podataka i ograničenja i zaštitne mjere u pogledu pristupa tijela javne vlasti osobnim podacima. Komisija u procjeni mora utvrditi jamči li predmetna treća zemlja razinu zaštite koja je „u načelu istovjetna” onoj koja je osigurana u Europskoj uniji (uvodna izjava 104. Uredbe (EU) 2016/679). Standard na temelju kojeg se procjenjuje je li zaštita „u načelu istovjetna” utvrđen je u zakonodavstvu Europske unije, ponajprije Uredbi (EU) 2016/679, te u sudskoj praksi Suda Europske unije (3). U tom je pogledu važan i Referentni dokument o primjerenosti koji je izdao Europski odbor za zaštitu podataka (EDPB) (4).

(4) Kako je pojasnio Sud Europske unije, to ne zahtijeva utvrđivanje potpuno istovjetne razine zaštite (5). Naime, pravna sredstva kojima se predmetna treća zemlja koristi za zaštitu osobnih podataka mogu se razlikovati od onih koja se primjenjuju u Europskoj uniji, pod uvjetom da se u praksi pokažu djelotvornima za osiguravanje primjerene razine zaštite (6). Prema tome, standard primjerenosti ne podrazumijeva doslovno ponavljanje pravila Unije. Umjesto toga ispituje se pruža li predmetni strani sustav kao cjelina potrebnu razinu zaštite podataka sadržajem prava na zaštitu osobnih podataka i njihovom djelotvornom provedbom, nadzorom i ostvarivanjem (7).

(5) Komisija je pomno analizirala pravo i praksu Ujedinjene Kraljevine. Na temelju nalaza navedenih u uvodnim izjavama od 8. do 270. Komisija zaključuje da Ujedinjena Kraljevina osigurava primjerenu razinu zaštite osobnih podataka koji se prenose iz Europske unije u Ujedinjenu Kraljevinu u okviru područja primjene Uredbe (EU) 2016/679.

(6) Taj se zaključak ne odnosi na osobne podatke koji se prenose za potrebe kontrole useljavanja koju provodi Ujedinjena Kraljevina ili koji su na drugi način obuhvaćeni izuzećem od određenih prava ispitanika radi provedbe učinkovite kontrole useljavanja („izuzeće o useljavanju”) u skladu s točkom 4. podtočkom 1. Priloga 2. Zakonu Ujedinjene Kraljevine o zaštiti podataka. Prema odluci Žalbenog suda Engleske i Walesa (Court of Appeal) od 26. svibnja 2021. valjanost i tumačenje izuzeća o useljavanju nisu riješeni u skladu s pravom Ujedinjene Kraljevine. Iako priznaje da se prava ispitanika u načelu mogu ograničiti za potrebe kontrole useljavanja kao „važan aspekt javnog interesa”, Žalbeni sud utvrdio je da je izuzeće o useljavanju u svojem postojećem obliku nespojivo s pravom Ujedinjene Kraljevine jer u zakonodavnoj mjeri nedostaju posebne odredbe kojima se utvrđuju zaštitne mjere iz članka 23. stavka 2. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (8). U tim bi uvjetima prijenose osobnih podataka iz Unije u Ujedinjenu Kraljevinu na koje se može primijeniti izuzeće o useljavanju trebalo isključiti iz područja primjene ove Odluke (9). Nakon što se otkloni nespojivost s pravom Ujedinjene Kraljevine, trebalo bi ponovno ocijeniti izuzeće o useljavanju, kao i potrebu za zadržavanjem ograničenja područja primjene ove Odluke.

(7) Ova Odluka ne bi trebala utjecati na izravnu primjenu Uredbe (EU) 2016/679 na organizacije s poslovnim nastanom u Ujedinjenoj Kraljevini ako su ispunjeni uvjeti o teritorijalnom području primjene te uredbe utvrđeni u njezinu članku 3.

2. PRAVILA KOJA SE PRIMJENJUJU NA OBRADU OSOBNIH PODATAKA

2.1. Ustavni okvir

(8) Ujedinjena Kraljevina je parlamentarna demokracija s ustavnim monarhom kao šefom države. Ima suvereni parlament, koji je nadređen svim ostalim vladinim institucijama, izvršnu vlast koja proizlazi iz parlamenta i odgovorna je parlamentu te neovisno sudstvo. Ovlasti izvršne vlasti proizlaze iz njezine sposobnosti da osigura povjerenje izabranog Zastupničkog doma, a odgovorna je obama domovima Parlamenta, čija je zadaća preispitivanje rada Vlade te raspravljanje o zakonskim prijedlozima i donošenje zakona.

(9) Parlament Ujedinjene Kraljevine prenio je određene ovlasti Škotskom parlamentu (Scottish Parliament), Velškom parlamentu (Senedd Cymru) i Skupštini Sjeverne Irske (Northern Ireland Assembly) koje im omogućuju da u Škotskoj, Walesu i Sjevernoj Irskoj uređuju domaća pitanja koja Parlament Ujedinjene Kraljevine nije zadržao za sebe. Iako je za zaštitu podataka nadležan Parlament Ujedinjene Kraljevine, tj. isti se propisi primjenjuju u cijeloj zemlji, druga područja politike relevantna za ovu Odluku obuhvaćena su prenesenim nadležnostima. Na primjer, nadležnosti za sustave kaznenog pravosuđa, uključujući policijsku djelatnost, u Škotskoj su prenesene Škotskom parlamentu, a u Sjevernoj Irskoj Skupštini Sjeverne Irske. Ujedinjena Kraljevina nema kodificirani ustav u smislu zadanog konstitutivnog dokumenta. Ustavna načela proizašla su s vremenom, posebice iz sudske prakse i običaja. Sudovi su priznali ustavnopravni značaj određenih akata, kao što su Velika povelja sloboda (Magna Carta), Povelja o pravima iz 1689. (Bill of Rights 1689) i Zakon o ljudskim pravima iz 1998. (Human Rights Act 1998). Temeljna prava pojedinaca razvila su se, kao dio ustava, u okviru precedentnog prava (common law), navedenih akata i međunarodnih ugovora, osobito Europske konvencije o ljudskim pravima, koju je Ujedinjena Kraljevina ratificirala 1951. Ujedinjena Kraljevina ratificirala je 1987. i Konvenciju Vijeća Europe za zaštitu osoba glede automatizirane obrade osobnih podataka (Konvencija br. 108) (10).

(10) Zakonom o ljudskim pravima iz 1998. prava iz Europske konvencije o ljudskim pravima ugrađuju se u pravo Ujedinjene Kraljevine. Zakonom o ljudskim pravima svim se pojedincima daju temeljna prava i slobode predviđene člancima od 2. do 12. i člankom 14. Europske konvencije o ljudskim pravima, člancima 1., 2. i 3. Prvog protokola uz tu konvenciju te člankom 1. Trinaestog protokola uz tu konvenciju, u vezi s člancima 16., 17. i 18. te konvencije. To uključuje pravo na poštovanje osobnog i obiteljskog života (i pravo na zaštitu podataka koje je dio tog prava) te pravo na pošteno suđenje (11). Naime, u skladu s člankom 8. te konvencije tijelo javne vlasti smije zadirati u pravo na privatnost samo u skladu sa zakonom i ako je to u demokratskom društvu nužno radi interesa nacionalne sigurnosti, javnog reda i mira ili gospodarske dobrobiti zemlje te radi sprečavanja nereda ili zločina, radi zaštite zdravlja ili morala ili radi zaštite prava i sloboda drugih.

(11) U skladu sa Zakonom o ljudskim pravima iz 1998. svi postupci tijelâ javne vlasti moraju biti u skladu s pravima iz Konvencije (12). Osim toga, primarno i sekundarno zakonodavstvo moraju se tumačiti i provoditi u skladu s pravima iz Konvencije (13).

2.2. Okvir za zaštitu podataka u Ujedinjenoj Kraljevini

(12) Ujedinjena Kraljevina povukla se iz Europske unije 31. siječnja 2020. Na temelju Sporazuma o povlačenju Ujedinjene Kraljevine Velike Britanije i Sjeverne Irske iz Europske unije i Europske zajednice za atomsku energiju (14) pravo Unije nastavilo se primjenjivati u Ujedinjenoj Kraljevini u prijelaznom razdoblju do 31. prosinca 2020. Prije povlačenja i u prijelaznom razdoblju zakonodavni okvir za zaštitu osobnih podataka u Ujedinjenoj Kraljevini sastojao se od relevantnih propisa EU-a (posebno Uredbe (EU) 2016/679 i Direktive (EU) 2016/680 Europskog parlamenta i Vijeća (15)) i nacionalnih propisa, osobito Zakona o zaštiti podataka iz 2018. (DPA iz 2018.) (16) u kojem su propisana nacionalna pravila, kad je to dopušteno Uredbom (EU) 2016/679, kojima se određuje i ograničava primjena pravila iz Uredbe (EU) 2016/679 i prenesene Direktive (EU) 2016/680.

(13) Kako bi se pripremila za povlačenje iz Europske unije, Vlada Ujedinjene Kraljevine donijela je Zakon o povlačenju iz Europske unije iz 2018. (17), kojim se izravno primjenjivo zakonodavstvo Unije uključuje u pravo Ujedinjene Kraljevine (18). To takozvano „zadržano pravo Unije” uključuje cijelu Uredbu (EU) 2016/679 (uključujući uvodne izjave) (19). Prema tom zakonu sudovi u Ujedinjenoj Kraljevini neizmijenjeno zadržano pravo Unije moraju tumačiti u skladu s relevantnom sudskom praksom Suda Europske unije i općim načelima prava Unije, u skladu s učinkom koji ta praksa i načela imaju neposredno prije kraja prijelaznog razdoblja (takozvana „zadržana sudska praksa EU-a” odnosno „zadržana opća načela prava Unije”) (20).

(14) Na temelju Zakona o povlačenju iz Europske unije iz 2018. ministri Ujedinjene Kraljevine imaju ovlast putem zakonskih instrumenata donositi sekundarno zakonodavstvo kako bi uveli potrebne promjene zadržanog prava Unije koje su posljedica povlačenja Ujedinjene Kraljevine iz Europske unije. Ministri su iskoristili tu ovlast tako što su donijeli Uredbu o zaštiti podataka, privatnosti i elektroničkim komunikacijama (izmjene itd.) (izlazak iz Unije) iz 2019. (Uredba DPPEC) (21). Uredbom DPPEC izmijenjena je Uredba (EU) 2016/679, kako je uvedena u pravo Ujedinjene Kraljevine Zakonom o povlačenju iz Europske unije iz 2018., Zakonom o zaštiti podataka iz 2018. i drugim zakonodavstvom o zaštiti podataka, da bi odgovarala nacionalnom kontekstu (22).

(15) Stoga se pravni okvir za zaštitu osobnih podataka u Ujedinjenoj Kraljevini nakon završetka prijelaznog razdoblja sastoji od: — Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, kako je uključena u pravo Ujedinjene Kraljevine na temelju Zakona o povlačenju iz Europske unije iz 2018. i izmijenjena Uredbom DPPEC (23), i — DPA-a iz 2018. (24), kako je izmijenjen Uredbom DPPEC.

(16) Budući da se Opća uredba o zaštiti podataka Ujedinjene Kraljevine temelji na zakonodavstvu EU-a, pravila o zaštiti podataka u Ujedinjenoj Kraljevini u mnogim aspektima uvelike odražavaju odgovarajuća pravila primjenjiva unutar Europske unije.

(17) Uz ovlasti koje su Zakonom o povlačenju iz Europske unije iz 2018. dane ministru, nekoliko odredbi DPA-a iz 2018. daje ovlasti ministru da donosi sekundarno zakonodavstvo kako bi se izmijenile određene odredbe Zakona ili navela dopunska i dodatna pravila (25). Ministar je dosad izvršio ovlast iz članka 137. DPA-a iz 2018. samo kako bi donio Uredbu o zaštiti podataka (naknade i informacije) (izmjena) iz 2019., u kojoj su utvrđene okolnosti u kojima voditelji obrade podataka moraju platiti godišnju naknadu neovisnom tijelu za zaštitu podataka u Ujedinjenoj Kraljevini – povjereniku za informiranje.

(18) Naposljetku, daljnje smjernice o zakonodavstvu Ujedinjene Kraljevine u području zaštite podataka dostupne su u kodeksima dobre prakse i drugim smjernicama koje donosi povjerenik za informiranje. Iako službeno nisu pravno obvezujuće, te smjernice važne su za tumačenje i pokazuju kako se zakonodavstvo u području zaštite podataka primjenjuje i kako ga povjerenik izvršava u praksi. Ponajprije, u člancima od 121. do 125. DPA-a iz 2018. zahtijeva se da povjerenik izradi kodekse dobre prakse o razmjeni podataka, izravnom marketingu, dizajnu i zaštiti podataka primjerenima za dob te novinarstvu.

(19) Stoga su struktura i glavne sastavnice pravnog okvira Ujedinjene Kraljevine koji se primjenjuje na podatke koji se prenose na temelju ove Odluke vrlo slične okviru koji se primjenjuje u Europskoj uniji. To uključuje činjenicu da se taj okvir ne oslanja samo na obveze utvrđene u nacionalnom pravu, koje su oblikovane pravom Unije, već i na obveze iz međunarodnog prava, osobito obveze Ujedinjene Kraljevine da poštuje EKLJP i Konvenciju br. 108 i priznavanje nadležnosti Europskog suda za ljudska prava. Stoga su te obveze koje proizlaze iz pravno obvezujućih međunarodnih instrumenata, a koje se posebno odnose na zaštitu osobnih podataka, važan element pravnog okvira koji se procjenjuje u ovoj Odluci.

2.3. Materijalno i teritorijalno područje primjene

(20) Slično Uredbi (EU) 2016/679, Opća uredba o zaštiti podataka Ujedinjene Kraljevine primjenjuje se na obradu osobnih podataka koja se u cijelosti ili djelomično obavlja automatizirano ili na neautomatiziranu obradu ako su osobni podaci dio sustava pohrane (26). Definicije „osobnih podataka”, „ispitanika” i „obrade” u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine iste su kao i definicije iz Uredbe (EU) 2016/679 (27). Osim toga, Opća uredba o zaštiti podataka Ujedinjene Kraljevine primjenjuje se na ručnu obradu nestrukturiranih osobnih podataka (28) koje drže određena tijela javne vlasti u Ujedinjenoj Kraljevini (29), iako su načela i prava iz Opće uredbe o zaštiti podataka Ujedinjene Kraljevine koja nisu relevantna za takve osobne podatke ukinuta člancima 24. i 25. DPA-a iz 2018. Slično odredbama iz Uredbe (EU) 2016/679, Opća uredba o zaštiti podataka Ujedinjene Kraljevine ne primjenjuje se na obradu osobnih podataka koju provodi pojedinac u okviru isključivo osobne ili kućne aktivnosti (30).

(21) Područje primjene Opće uredbe o zaštiti podataka Ujedinjene Kraljevine prošireno je i na obradu tijekom aktivnosti koje neposredno prije kraja prijelaznog razdoblja nisu bile obuhvaćene područjem primjene prava Unije (npr. nacionalna sigurnost) (31) ili su bile obuhvaćene područjem primjene glave V. poglavlja 2. Ugovora o Europskoj uniji (aktivnosti zajedničke vanjske i sigurnosne politike) (32). Kao i u sustavu Europske unije, Opća uredba o zaštiti podataka Ujedinjene Kraljevine ne primjenjuje se na obradu osobnih podataka koju obavlja nadležno tijelo u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja (takozvane „svrhe kaznenog progona”) (umjesto toga, takva je obrada uređena dijelom 3. DPA-a iz 2018., kao što je uređena i Direktivom (EU) 2016/680 na temelju prava Unije) ni na obradu osobnih podataka koju obavljaju obavještajne službe (Sigurnosna služba, Tajna obavještajna služba i Vladin komunikacijski stožer), koja je uređena dijelom 4. DPA-a iz 2018. (33)

(22) Teritorijalno područje primjene Opće uredbe o zaštiti podataka Ujedinjene Kraljevine opisano je u članku 3. te uredbe (34) i uključuje obradu osobnih podataka (neovisno o tome gdje se ona obavlja) u okviru aktivnosti poslovnog nastana voditelja obrade ili izvršitelja obrade u Ujedinjenoj Kraljevini te obradu osobnih podataka ispitanika koji se nalaze u Ujedinjenoj Kraljevini ako su aktivnosti obrade povezane s ponudom robe ili usluga takvim ispitanicima ili praćenjem njihova ponašanja (35). To odražava pristup iz članka 3. Uredbe (EU) 2016/679.

2.4. Definicije osobnih podataka i koncepata voditelja obrade i izvršitelja obrade

(23) Definicije osobnih podataka, obrade, voditelja obrade, izvršitelja obrade te definicija pseudonimizacije, utvrđene u Uredbi (EU) 2016/679, zadržane su u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine bez bitnih izmjena (36). Nadalje, posebne kategorije podataka definirane su u članku 9. stavku 1. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine na isti način kao i na temelju Uredbe (EU) 2016/679 („koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka ili biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca”). U članku 205. DPA-a iz 2018. navodi se definicija „biometrijskih podataka” (37), „podataka koji se odnose na zdravlje” (38) i „genetskih podataka” (39).

2.5. Zaštitne mjere, prava i obveze

2.5.1. Zakonitost i poštenost obrade

(24) Osobni podaci trebali bi se obrađivati zakonito i pošteno.

(25) Načela zakonitosti, poštenosti i transparentnosti te osnove za zakonitu obradu zajamčeni su pravom Ujedinjene Kraljevine u članku 5. stavku 1. točki (a) i članku 6. stavku 1. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, koji su isti kao odgovarajuće odredbe u Uredbi (EU) 2016/679 (40). Članak 8. DPA-a iz 2018. dopunjuje članak 6. stavak 1. točku (e) tako što se u njemu određuje da obrada osobnih podataka na temelju članka 6. stavka 1. točke (e) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade) uključuje obradu osobnih podataka koja je nužna za pravosuđe, izvršavanje funkcije bilo kojeg doma Parlamenta, izvršavanje funkcije dodijeljene osobi zakonom, propisima ili načelima vladavine prava, izvršavanje funkcije Krune, ministra Krune ili ministarstva ili aktivnost koja podupire ili promiče demokratski angažman.

(26) Kad je riječ o privoli (jedna od osnova za zakonitu obradu), u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine neizmijenjenima su zadržani i uvjeti predviđeni u članku 7. Uredbe (EU) 2016/679, što znači da voditelj obrade mora moći dokazati da je ispitanik dao privolu, pisani zahtjev za privolu mora se predočiti na jasnom i jednostavnom jeziku, ispitanik mora imati pravo da u bilo kojem trenutku povuče privolu, a kad se procjenjuje je li privola bila dobrovoljna, treba uzeti u obzir je li izvršenje ugovora uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora. Nadalje, prema članku 8. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, ako informacijsko društvo pruža usluge djetetu, djetetova privola je zakonita samo ako dijete ima najmanje 13 godina. To je u skladu s dobnom skupinom utvrđenom u članku 8. Uredbe (EU) 2016/679.

2.5.2. Obrada posebnih kategorija osobnih podataka

(27) Trebale bi postojati posebne zaštitne mjere ako se obrađuju „posebne kategorije” podataka.

(28) Opća uredba o zaštiti podataka Ujedinjene Kraljevine i DPA iz 2018. sadržavaju posebna pravila za obradu posebnih kategorija osobnih podataka, koja su definirana u članku 9. stavku 1. te uredbe na isti način kao i na temelju Uredbe (EU) 2016/679 (vidjeti uvodnu izjavu 23.). Prema članku 9. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine obrada posebnih kategorija podataka načelno je zabranjena, osim ako se primjenjuje posebna iznimka.

(29) Te iznimke (navedene u članku 9. stavcima 2. i 3. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine) ne uvode nikakve sadržajne izmjene odredbi iz članka 9. stavaka 2. i 3. Uredbe (EU) 2016/679. Osim ako je ispitanik dao izričitu privolu za obradu tih osobnih podataka, obrada posebnih kategorija osobnih podataka dopuštena je samo u specifičnim i ograničenim okolnostima. U većini slučajeva obrada osjetljivih podataka mora biti nužna za posebnu svrhu definiranu u odgovarajućoj odredbi (vidjeti članak 9. stavak 2. točke (b), (c), (f), (g), (h), (i) i (j)).

(30) Nadalje, ako se za iznimku iz članka 9. stavka 2. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine zahtijeva da bude odobrena u okviru prava ili se upućuje na javni interes, u članku 10. DPA-a iz 2018. zajedno s Prilogom 1. DPA-u iz 2018. dodatno se određuju uvjeti koji se moraju ispuniti da bi se mogle primijeniti iznimke. Na primjer, ako se osjetljivi podaci obrađuju radi zaštite „javnog zdravlja” (članak 9. stavak 2. točka (i) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine), u dijelu 1. točki 3. podtočki (b) Priloga 1., uz provjeru nužnosti, zahtijeva se da takvu obradu provodi „zdravstveni radnik ili da je takva obrada pod odgovornošću zdravstvenog radnika” ili „druga osoba na koju se primjenjuje obveza povjerljivosti na temelju zakona, propisa ili načela vladavine prava”, među ostalim na temelju ustaljene obveze povjerljivosti iz precedentnog prava.

(31) Ako se osjetljivi podaci obrađuju za potrebe značajnog javnog interesa (članak 9. stavak 2. točka (g) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine), u dijelu 2. Priloga 1. DPA-u iz 2018. naveden je iscrpan popis svrha za koje se može smatrati da su od značajnog javnog interesa i za svaku od tih svrha utvrđeni su specifični dodatni uvjeti. Na primjer, promicanje rasne i etničke raznolikosti na visokim razinama rukovodstva organizacije priznaje se kao značajan javni interes. Obrada osjetljivih podataka u tu posebnu svrhu podliježe detaljnim zahtjevima, među ostalim da se provodi u okviru procesa utvrđivanja primjerenih pojedinaca koji mogu biti na visokim položajima, da je nužna za promicanje rasne i etničke raznolikosti te da vjerojatno neće uzrokovati veliku štetu ili duševnu bol ispitanika.

(32) U članku 11. stavku 1. DPA-a iz 2018. utvrđeni su uvjeti za obradu osobnih podataka u okolnostima opisanima u članku 9. stavku 3. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, koji se odnosi na obvezu čuvanja tajne. To uključuje okolnosti u kojima obradu provodi zdravstveni radnik ili socijalni radnik ili je obrada pod njegovom odgovornošću ili ako je provodi druga osoba koja je u tim okolnostima vezana obvezom povjerljivosti na temelju zakona, propisa ili načela vladavine prava.

(33) Osim toga, za primjenu mnogih iznimki navedenih u članku 9. stavku 2. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine potrebne su primjerene i posebne zaštitne mjere. Ovisno o prirodi obrade i stupnju rizika za prava i slobode ispitanika, uvjetima za obradu predviđenima u Prilogu 1. DPA-u iz 2018. utvrđene su različite zaštitne mjere. U Prilogu 1. utvrđeni su uvjeti za svaki slučaj obrade.

(34) U nekim slučajevima DPA iz 2018. uređuje i ograničava vrstu osjetljivih podataka koji se mogu obrađivati kako bi se ispunila određena pravna osnova. Na primjer, u točki 8. Priloga 1. dopušta se obrada osjetljivih podataka u svrhu promicanja jednakih mogućnosti ili jednakog postupanja. Taj uvjet za obradu može se primijeniti samo ako podaci otkrivaju rasno ili etničko podrijetlo, vjerska ili filozofska uvjerenja, spolnu orijentaciju ili ako je riječ o zdravstvenim podacima.

(35) U nekim slučajevima DPA iz 2018. ograničava vrstu voditelja obrade koji može primijeniti uvjet za obradu. Na primjer, u točki 23. Priloga 1. predviđa se obrada osjetljivih podataka s obzirom na odgovore izabranih predstavnika javnosti. Taj uvjet za obradu može se primijeniti samo ako je voditelj obrade izabrani predstavnik ili ako djeluje pod njegovim vodstvom.

(36) U nekim drugim slučajevima DPA iz 2018. ograničava kategorije ispitanika za primjenu uvjeta za obradu. Na primjer, u točki 21. Priloga 1. uređuje se obrada osjetljivih podataka za strukovne mirovinske programe. Taj se uvjet može primijeniti samo ako je predmetni ispitanik brat ili sestra, roditelj, djed ili baka ili pradjed ili prabaka člana programa.

(37) Osim toga, ako se poziva na iznimke iz članka 9. stavka 2. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine koje su dodatno određene u članku 10. DPA-a iz 2018. zajedno s Prilogom 1. DPA-u iz 2018., voditelj obrade u većini je slučajeva obvezan sastaviti „dokument o odgovarajućoj politici”. U tom se dokumentu moraju opisati postupci kojima voditelj obrade osigurava usklađenost s načelima iz članka 5. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine. Moraju se utvrditi i politike za zadržavanje i brisanje te navesti vjerojatno razdoblje pohrane. Voditelji obrade prema potrebi moraju preispitivati i ažurirati taj dokument. Voditelj obrade mora zadržati dokument o politici šest mjeseci nakon završetka obrade i na zahtjev ga mora staviti na raspolaganje povjereniku za informiranje (41).

(38) Prema točki 41. Priloga 1. DPA-u iz 2018., dokumentu o politici uvijek se mora priložiti proširena evidencija obrade. U toj se evidenciji moraju pratiti obveze iz dokumenta o politici, tj. brišu li se ili zadržavaju podaci u skladu s politikama. Ako se ne poštuju politike, u evidenciji se moraju navesti razlozi. U evidenciji se mora opisati i kako obrada ispunjava članak 6. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (zakonitost obrade) i specifični uvjet iz Priloga 1. DPA-u iz 2018. na koji se poziva.

(39) Naposljetku, kao i u Uredbi (EU) 2016/679, u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine predviđaju se i opće zaštitne mjere za određene postupke obrade posebnih kategorija podataka. U članku 35. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine zahtijeva se procjena učinka na zaštitu podataka u slučaju opsežne obrade posebnih kategorija podataka. Prema članku 37. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, voditelj obrade ili izvršitelj obrade mora imenovati službenika za zaštitu podataka ako se njegove osnovne djelatnosti sastoje od opsežne obrade posebnih kategorija podataka.

(40) Kad je riječ o osobnim podacima koji se odnose na kaznene osude i kažnjiva djela, članak 10. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine isti je kao i članak 10. Uredbe (EU) 2016/679. Dopušta obradu osobnih podataka koji se odnose na kaznene osude i kažnjiva djela samo pod nadzorom službenog tijela ili kad je obrada odobrena nacionalnim pravom kojim se propisuju odgovarajuće zaštitne mjere za prava i slobode ispitanikâ.

(41) Ako se obrada podataka koji se odnose na kaznene osude i kažnjiva djela ne obavlja pod nadzorom službenog tijela, u članku 10. stavku 5. DPA-a iz 2018. predviđeno je da se takva obrada može obavljati samo u posebne svrhe/u posebnim situacijama utvrđenima u dijelovima 1., 2. i 3. Priloga 1. DPA-u iz 2018. i da ta obrada podliježe posebnim zahtjevima koji su utvrđeni za svaku od tih svrha/situacija. Na primjer, podatke o kaznenim osudama može obrađivati neprofitno tijelo ako se obrada provodi (a) u sklopu njegovih legitimnih aktivnosti s odgovarajućim zaštitnim mjerama zaklade, udruženja ili drugog neprofitnog tijela s političkim, filozofskim, vjerskim ili sindikalnim ciljem te (b) pod uvjetom i. da se obrada odnosi samo na članove ili bivše članove tijela ili na osobe koje imaju redovan kontakt s njim u vezi s njegovim svrhama i ii. da osobni podaci nisu priopćeni nikome izvan tog tijela bez privole ispitanikâ.

(42) Nadalje, u dijelu 3. Priloga 1. DPA-u iz 2018. utvrđuju se daljnje okolnosti u kojima se podaci o kaznenim osudama mogu koristiti, a koje odgovaraju pravnim osnovama za obradu osjetljivih podataka iz članka 9. stavka 2. Uredbe (EU) 2016/679 i Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (npr. privola ispitanika, životno važni interesi pojedinca ako ispitanik pravno ili fizički nije u mogućnosti dati privolu, ako je očito da je podatke već objavio ispitanik, ako je obrada nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva itd.).

2.5.3. Ograničavanje svrhe, točnost, smanjenje količine podataka, ograničenje pohrane i sigurnost podataka

(43) Osobni podaci trebali bi se obrađivati u određenu svrhu i zatim se upotrebljavati samo ako to nije nespojivo sa svrhom obrade.

(44) To je načelo predviđeno člankom 5. stavkom 1. točkom (b) Uredbe (EU) 2016/679 i zadržano je bez izmjena u članku 5. stavku 1. točki (b) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine. I uvjeti za daljnju usklađenu obradu na temelju članka 6. stavka 4. Uredbe (EU) 2016/679 zadržani su bez bitnih izmjena u članku 6. stavku 4. točkama od (a) do (e) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine.

(45) Nadalje, podaci bi trebali biti točni i, prema potrebi, ažurirani. Trebali bi biti i primjereni i relevantni i ne bi trebali biti pretjerani u odnosu na svrhe u koje se obrađuju te bi se načelno trebali čuvati samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju.

(46) Ta načela smanjenja količine podataka, točnosti i ograničenja pohrane utvrđena su u članku 5. stavku 1. točkama od (c) do (e) Uredbe (EU) 2016/679 i zadržana su bez izmjena u članku 5. stavku 1. točkama od (c) do (e) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine.

(47) Osobni podaci trebali bi se obrađivati i tako da se jamči njihova sigurnost, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja. U tu bi svrhu poslovni subjekti trebali poduzeti odgovarajuće tehničke ili organizacijske mjere za zaštitu osobnih podataka od mogućih prijetnji. Te bi mjere trebalo procijeniti tako da se uzmu u obzir najnovija dostignuća i povezani troškovi.

(48) Sigurnost podataka sadržana je u pravu Ujedinjene Kraljevine primjenom načela cjelovitosti i povjerljivosti u članku 5. stavku 1. točki (f) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine i članku 32. te uredbe o sigurnosti obrade. Te su odredbe iste kao i odgovarajuće odredbe Uredbe (EU) 2016/679. Nadalje, pod istim uvjetima kao što su oni utvrđeni u člancima 33. i 34. Uredbe (EU) 2016/679, u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine zahtijeva se izvješćivanje nadzornog tijela o povredi osobnih podataka (članak 33. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine) i obavješćivanje ispitanika o povredi osobnih podataka (članak 34. te uredbe).

2.5.4. Transparentnost

(49) Ispitanike bi trebalo obavijestiti o glavnim obilježjima obrade njihovih osobnih podataka.

(50) To se osigurava člancima 13. i 14. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, u kojima su uz opće načelo transparentnosti navedena i pravila o informacijama koje treba dostaviti ispitaniku (42). Općom uredbom o zaštiti podataka Ujedinjene Kraljevine nisu uvedene nikakve bitne izmjene tih pravila u usporedbi s odgovarajućim člancima Uredbe (EU) 2016/679. Međutim, kao i na temelju Uredbe (EU) 2016/679, zahtjevi za transparentnost iz tih članaka podložni su određenim iznimkama određenima u DPA-u iz 2018. (vidjeti uvodne izjave od 55. do 72.).

2.5.5. Prava pojedinaca

(51) Ispitanici bi trebali imati određena prava koja mogu ostvariti u odnosu na voditelja obrade ili izvršitelja obrade, osobito pravo na pristup podacima, pravo na prigovor na obradu i pravo na ispravak ili brisanje podataka. Takva prava istodobno mogu biti ograničena ako su ta ograničenja nužna i proporcionalna za zaštitu javne sigurnosti ili drugih važnih ciljeva od općeg javnog interesa.

2.5.5.1. Materijalna prava

(52) U Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine pojedincima se daju ista provediva prava kao i u Uredbi (EU) 2016/679. Odredbe kojima se osiguravaju prava pojedinaca zadržane su u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine bez bitnih izmjena.

(53) Ta prava uključuju pravo ispitanika na pristup (članak 15. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine), pravo na ispravak (članak 16. te uredbe), pravo na brisanje (članak 17. te uredbe), pravo na ograničenje obrade (članak 18. te uredbe), obvezu izvješćivanja u vezi s ispravkom ili brisanjem osobnih podataka ili ograničenjem obrade (članak 19. te uredbe), pravo na prenosivost podataka (članak 20. te uredbe) i pravo na prigovor (članak 21. te uredbe) (43). Potonje uključuje i pravo ispitanika da uloži prigovor na obradu osobnih podataka za potrebe izravnog marketinga predviđene člankom 21. stavcima 2. i 3. Uredbe (EU) 2016/679. Nadalje, na temelju članka 122. DPA-a iz 2018. povjerenik za informiranje mora izraditi kodeks dobre prakse o provođenju izravnog marketinga u skladu sa zahtjevima iz zakonodavstva o zaštiti podataka (i Uredbe o privatnosti i elektroničkim komunikacijama (Direktiva EK-a) iz 2003.) i druge takve smjernice za promicanje dobre prakse u izravnom marketingu koje povjerenik smatra primjerenima. Ured povjerenice za informiranje trenutačno radi na kodeksu za izravni marketing (44).

(54) U Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine bez bitnih izmjena zadržano je i pravo ispitanika da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi koja proizvodi pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu, kako je navedeno u članku 22. Opće uredbe o zaštiti podataka. Međutim, dodan je novi stavak 3.A kako bi se uputilo na to da su u članku 14. DPA-a iz 2018. utvrđene zaštitne mjere za prava, slobode i legitimne interese ispitanika kad se obrada obavlja na temelju članka 22. stavka 2. točke (b) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine. To se primjenjuje samo ako je osnova za takvu odluku odobrenje ili zahtjev na temelju prava Ujedinjene Kraljevine i ne primjenjuje se ako je odluka nužna na temelju ugovora ili ako se donosi uz izričitu privolu ispitanika. Ako se primjenjuje članak 14. DPA-a iz 2018., voditelj obrade mora, čim je to razumno izvedivo, u pisanom obliku obavijestiti ispitanika da je odluka donesena isključivo na temelju automatizirane obrade. Ispitanik ima pravo tražiti da voditelj obrade, u roku od jednog mjeseca od primitka obavijesti, preispita odluku ili da donese novu odluku koja se ne temelji isključivo na automatiziranoj obradi. Ministar ima ovlast donositi daljnje zaštitne mjere u vezi s automatiziranim donošenjem odluka. Ta ovlast još nije iskorištena.

2.5.5.2. Ograničenja prava pojedinaca i druge odredbe

(55) U DPA-u iz 2018. utvrđeno je nekoliko ograničenja prava pojedinaca, koja odgovaraju okviru članka 23. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine. U tom se okviru ne uvode nikakva ograničenja prava na prigovor na izravni marketing, kako je predviđeno u članku 21. stavcima 2. i 3. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, ili prava ispitanika da se na njega ne odnosi automatizirano donošenje odluka, kako je predviđeno u članku 22. te uredbe.

(56) Ograničenja su detaljno opisana u prilozima od 2. do 4. DPA-u iz 2018. Tijela Ujedinjene Kraljevine objasnila su da se vode dvama načelima: načelom specifičnosti (primjena detaljnog pristupa, podjela širokih ograničenja na više specifičnijih odredbi) i načelom uvjetovanosti (svaka je odredba dopunjena zaštitnim mjerama u obliku ograničenja ili uvjeta za sprečavanje zloupotrebe) (45).

(57) Ograničenja opisana u članku 23. stavku 1. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine osmišljena su tako da se osigura da se primjenjuju samo u utvrđenim okolnostima kad je to nužno u demokratskom društvu i proporcionalno legitimnim ciljevima koji se ograničenjima nastoje ostvariti. Nadalje, u skladu s ustaljenom sudskom praksom o tumačenju ograničenja, izuzeće od sustava zaštite podataka može se u nekom određenom slučaju primijeniti samo ako je to nužno i proporcionalno (46). Zahtijeva se da ocjena nužnosti bude „stroga, tako da svako zadiranje u prava ispitanika mora biti proporcionalno ozbiljnosti prijetnje javnom interesu. Stoga je za njegovu primjenu potrebna klasična analiza proporcionalnosti” (47).

(58) Ciljevi koje se nastoji ostvariti tim ograničenjima odgovaraju ciljevima navedenima u članku 23. Uredbe (EU) 2016/679, osim ograničenja za nacionalnu sigurnost i obranu koja su umjesto toga uređena člankom 26. DPA-a iz 2018., ali se na njih primjenjuju isti zahtjevi nužnosti i proporcionalnosti (vidjeti uvodne izjave od 63. do 66.).

(59) Neka ograničenja, na primjer ona povezana sa sprečavanjem i otkrivanjem kaznenih djela, uhićenjem ili kaznenim progonom počinitelja i utvrđivanjem ili naplatom poreza ili pristojbi (48), dopuštaju ograničenja svih prava pojedinaca i obveza u pogledu transparentnosti (uz iznimku prava iz članka 21. stavka 2. i članka 22.). Područje primjene drugih ograničenja ograničeno je na obveze u pogledu transparentnosti i prava pristupa, kao što su ograničenja povezana s odvjetničkom tajnom (49), pravom oslobođenja od zahtjeva za davanje informacija koje bi dovele do samooptuživanja (50) i korporativnim financijama, osobito sprečavanjem trgovanja na temelju povlaštenih informacija (51). Mali broj ograničenja dopušta ograničenje obveze voditelja obrade da obavijesti ispitanika o povredi podataka te načela ograničavanja svrhe i zakonitosti, poštenosti i transparentnosti obrade (52).

(60) Neka se ograničenja automatski „u potpunosti” primjenjuju na određenu vrstu obrade osobnih podataka (na primjer, primjena obveza u pogledu transparentnosti i prava pojedinaca isključena je ako se osobni podaci obrađuju u svrhu procjene primjerenosti osobe za pravosudnu dužnost ili ako osobne podatke obrađuje sud ili pojedinac u okviru svoje sudske nadležnosti).

(61) Međutim, u većini slučajeva relevantna točka iz Priloga 2. DPA-u iz 2018. određuje da se ograničenje primjenjuje samo kad (i u mjeri u kojoj) bi primjena odredbi „vjerojatno dovela u pitanje” legitimni cilj koji se nastoji ostvariti tim ograničenjem: na primjer, navedene odredbe Opće uredbe o zaštiti podataka Ujedinjene Kraljevine ne primjenjuju se na osobne podatke koji se obrađuju u svrhu sprečavanja ili otkrivanja kaznenog djela, uhićenja ili kaznenog progona počinitelja ili utvrđivanja ili naplate poreza ili pristojbi „u mjeri u kojoj bi primjena tih odredbi vjerojatno dovela u pitanje” bilo koju od tih aktivnosti (53).

(62) Sudovi Ujedinjene Kraljevine dosljedno tumače standard „vjerojatno dovela u pitanje” kao „vrlo veliku i važnu vjerojatnost ugrožavanja utvrđenih javnih interesa” (54). Stoga se na ograničenje na koje se primjenjuje test ugrožavanja može pozvati samo ako i u mjeri u kojoj postoji vrlo velika i važna vjerojatnost da bi se dodjelom određenog prava ugrozio predmetni javni interes. Voditelj obrade odgovoran je da u svakom pojedinom slučaju ocijeni jesu li ti uvjeti ispunjeni (55).

(63) Uz ograničenja iz Priloga 2. DPA-u iz 2018., u članku 26. DPA-a iz 2018. predviđeno je izuzeće koje se može primijeniti na određene odredbe Opće uredbe o zaštiti podataka Ujedinjene Kraljevine i DPA-a iz 2018. ako je nužno za potrebe zaštite nacionalne sigurnosti ili u svrhe obrane. To se izuzeće primjenjuje na načela zaštite podataka (osim načela zakonitosti), obveze u pogledu transparentnosti, prava ispitanika, obvezu obavješćivanja o povredi podataka, pravila o međunarodnim prijenosima, neke od dužnosti i ovlasti povjerenika za informiranje te pravila o pravnim sredstvima, odgovornostima i sankcijama, osim na odredbu o općim uvjetima za izricanje upravnih novčanih kazni utvrđenima u članku 83. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine i na odredbu o sankcijama iz članka 84. te uredbe. Nadalje, člankom 28. DPA-a iz 2018. izmijenjena je primjena članka 9. stavka 1. kako bi se omogućila obrada posebnih kategorija podataka iz članka 9. stavka 1. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine u mjeri u kojoj se ta obrada provodi za potrebe zaštite nacionalne sigurnosti ili u svrhe obrane te uz odgovarajuće zaštitne mjere za prava i slobode ispitanika (56).

(64) Izuzeće se može primijeniti samo u mjeri u kojoj je nužno za zaštitu nacionalne sigurnosti ili obranu. Kao što vrijedi i za ostala izuzeća predviđena DPA-om iz 2018., voditelj obrade mora ga uzeti u obzir i pozivati se na njega na pojedinačnoj osnovi. Nadalje, sve primjene izuzeća moraju biti u skladu sa standardima ljudskih prava (koji se temelje na Zakonu o ljudskim pravima iz 1998.), prema kojima bi u demokratskom društvu svako zadiranje u prava na privatnost trebalo biti nužno i proporcionalno (57).

(65) To tumačenje izuzeća potvrđuje ICO, koji je izdao detaljne smjernice o primjeni izuzeća radi nacionalne sigurnosti i obrane, jasno navodeći da ga voditelj obrade mora razmotriti i primjenjivati za svaki slučaj pojedinačno (58). Konkretno, u smjernicama se naglašava da „[to] nije opće izuzeće” i da, kako bi se na njega pozivalo, „nije dovoljno da se podaci obrađuju radi nacionalne sigurnosti”. S druge strane, voditelj obrade koji se koristi tim izuzećem mora „dokazati da postoji stvarna mogućnost negativnog utjecaja na nacionalnu sigurnost” i od njega se, prema potrebi, očekuje da „[ICO-u] dostavi dokaze o tome zašto je primijenio to izuzeće”. Smjernice sadržavaju kontrolni popis i niz primjera kako bi se dodatno pojasnili uvjeti pod kojima se može pozvati na to izuzeće.

(66) Činjenica da se podaci obrađuju u svrhe nacionalne sigurnosti i obrane stoga sama po sebi nije dovoljna za primjenu izuzeća. Voditelj obrade mora uzeti u obzir stvarne posljedice za nacionalnu sigurnost ako bi morao ispuniti određenu odredbu o zaštiti podataka. Izuzeće se može primijeniti samo na specifične odredbe za koje je utvrđeno da predstavljaju rizik i mora se primijeniti što restriktivnije (59).

(67) Taj je pristup potvrdio Sud za informacije (Information Tribunal) (60). U predmetu Baker protiv Secretary of State for the Home Department („Baker protiv Secretary of State”) utvrdio je da je bilo nezakonito primijeniti izuzeće radi nacionalne sigurnosti kao opće izuzeće za pristup zahtjevima koje su primile obavještajne službe. Umjesto toga izuzeće se moralo primjenjivati na pojedinačnoj osnovi, razmatranjem utemeljenosti svakog zahtjeva i s obzirom na pravo pojedinaca na poštovanje njihovih privatnih života (61).

2.5.6. Ograničenja za osobne podatke koji se obrađuju u novinarske, umjetničke, akademske i književne svrhe te u svrhe arhiviranja i istraživanja

(68) Članak 85. stavak 2. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine omogućuje da se predvidi izuzeće osobnih podataka koji se obrađuju u novinarske, umjetničke, akademske i književne svrhe od nekoliko odredbi Opće uredbe o zaštiti podataka Ujedinjene Kraljevine. U dijelu 5. Priloga 2. DPA-u iz 2018. utvrđena su izuzeća za obradu u te svrhe. Predviđaju se izuzeća od načela zaštite podataka (osim načela cjelovitosti i povjerljivosti), pravne osnove za obradu (uključujući posebne kategorije podataka i podatke o kaznenim osudama itd.), uvjeta za privolu, obveza u pogledu transparentnosti, prava ispitanika, obveza obavješćivanja o povredi podataka, zahtjeva za savjetovanje s povjerenikom za informiranje prije visokorizične obrade te pravila o međunarodnim prijenosima (62). U tom smislu Opća uredba o zaštiti podataka Ujedinjene Kraljevine ne odstupa bitno od Uredbe (EU) 2016/679, u čijem se članku 85. isto predviđa mogućnost izuzeća obrade koja se obavlja u novinarske svrhe ili svrhe akademskog, umjetničkog ili književnog izražavanja od nekoliko zahtjeva Uredbe (EU) 2016/679. Odredbe DPA-a iz 2018., osobito dio 5. Priloga 2., u skladu su s Općom uredbom o zaštiti podataka Ujedinjene Kraljevine.

(69) Osnovno uravnoteživanje koje je potrebno na temelju članka 85. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine odnosi se na to jesu li izuzeća od pravilâ o zaštiti podataka navedena u uvodnoj izjavi 68. „potrebna kako bi se uskladilo pravo na zaštitu osobnih podataka sa slobodom izražavanja i informiranja” (63). Prema točki 26. podtočkama 2. i 3. Priloga 2. DPA-u iz 2018. Ujedinjena Kraljevina primjenjuje test „opravdanog uvjerenja” kako bi uspostavila tu ravnotežu. Da bi izuzeće bilo opravdano, voditelj obrade mora opravdano vjerovati i. da je objava od javnog interesa; i ii. da primjena relevantne odredbe Opće uredbe o zaštiti podataka ne bi bila u skladu s novinarskim, akademskim, umjetničkim ili književnim svrhama. Kako je potvrđeno sudskom praksom (64), test „opravdanog uvjerenja” ima i subjektivnu i objektivnu sastavnicu: nije dovoljno da voditelj obrade dokaže da je sâm smatrao da poštovanje pravila nije usklađeno. Njegovo uvjerenje mora biti opravdano, tj. razumna osoba može vjerovati u njega ako poznaje relevantne činjenice. Voditelj obrade stoga mora postupati s dužnom pažnjom pri oblikovanju svojeg uvjerenja kako bi mogao dokazati opravdanost. Prema pojašnjenjima koja su dostavila tijela Ujedinjene Kraljevine test „opravdanog uvjerenja” mora se provoditi za svako pojedinačno izuzeće (65). Ako su uvjeti ispunjeni, izuzeće se smatra nužnim i proporcionalnim na temelju prava Ujedinjene Kraljevine.

(70) Prema članku 124. DPA-a iz 2018. Ured povjerenika za informiranje treba izraditi Kodeks dobre prakse o zaštiti podataka i novinarstvu. U tijeku je izrada tog kodeksa. Objavljene su smjernice o tom pitanju na temelju Zakona o zaštiti podataka iz 1998., u kojima se osobito naglašava da, kako bi se moglo pozvati na to izuzeće, nije dovoljno samo navesti da bi usklađenost stvarala poteškoće za novinarske aktivnosti, već mora postojati jasan argument da je predmetna odredba prepreka odgovornom novinarstvu (66). Smjernice o primjeni testa javnog interesa i uravnoteženju javnog interesa i interesa pojedinca za privatnost objavili su regulator Ujedinjene Kraljevine za telekomunikacije OFCOM i BBC u svojim uredničkim smjernicama (67). U smjernicama se osobito navode primjeri informacija za koje se može smatrati da su od javnog interesa i objašnjava se da je potrebno moći dokazati da javni interes u određenim okolnostima slučaja nadilazi prava na privatnost.

(71) Slično odredbama predviđenima u članku 89. Opće uredbe o zaštiti podataka, i osobni podaci koji se obrađuju u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe mogu se izuzeti od nekoliko navedenih odredbi Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (68). Kad je riječ o istraživanjima i statističkim podacima, moguća su izuzeća od odredbi Opće uredbe o zaštiti podataka Ujedinjene Kraljevine koje se odnose na potvrdu obrade te pristup podacima i zaštitne mjere za prijenose trećim zemljama, pravo na ispravak, ograničavanje obrade i prigovor na obradu. Kad je riječ o arhiviranju u javnom interesu, moguća su i izuzeća od obveze obavješćivanja u vezi s ispravkom ili brisanjem osobnih podataka ili ograničavanjem obrade te od prava na prenosivost podataka.

(72) Prema točki 27. podtočki 1. i točki 28. podtočki 1. Priloga 2. DPA-u iz 2018. izuzeća od navedenih odredbi Opće uredbe o zaštiti podataka Ujedinjene Kraljevine moguća su ako bi njihova primjena „spriječila ili ozbiljno ugrozila postizanje” predmetnih svrha (69).

(73) S obzirom na njihovu važnost za učinkovito ostvarivanje prava pojedinaca, u kontekstu kontinuiranog praćenja ove Odluke propisno će se uzeti u obzir sve relevantne promjene u pogledu tumačenja i praktične primjene prethodno navedenih izuzeća (uz izuzeće koje se odnosi na provedbu učinkovite kontrole useljavanja, kako je objašnjeno u uvodnoj izjavi 6.), uključujući sve daljnje promjene sudske prakse te smjernica ICO-a i mjera izvršenja (70).

2.5.7. Ograničenja daljnjih prijenosa

(74) Razina zaštite osobnih podataka koji se prenose iz Europske unije voditeljima obrade ili izvršiteljima obrade u Ujedinjenoj Kraljevini ne smije se ugroziti daljnjim prijenosom takvih podataka primateljima u trećoj zemlji. Takvi „daljnji prijenosi”, koji su iz perspektive voditelja obrade ili izvršitelja obrade iz Ujedinjene Kraljevine međunarodni prijenosi iz Ujedinjene Kraljevine, trebali bi biti dopušteni samo ako daljnji primatelj izvan Ujedinjene Kraljevine i sam podliježe pravilima koja osiguravaju razinu zaštite sličnu onoj koja se jamči pravnim poretkom Ujedinjene Kraljevine. Zbog toga je primjena pravila iz Opće uredbe o zaštiti podataka Ujedinjene Kraljevine i DPA-a iz 2018. na međunarodne prijenose osobnih podataka važan čimbenik za osiguravanje kontinuiteta zaštite u slučaju osobnih podataka koji se prenose iz Europske unije u Ujedinjenu Kraljevinu na temelju ove Odluke.

(75) Sustav međunarodnih prijenosa osobnih podataka iz Ujedinjene Kraljevine utvrđen je u člancima od 44. do 49. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine i dopunjen je DPA-om iz 2018., a u bitnom je identičan pravilima iz poglavlja V. Uredbe (EU) 2016/679 (71). Prijenosi osobnih podataka trećoj zemlji ili međunarodnoj organizaciji mogući su samo na temelju uredbe o primjerenosti (britanski ekvivalent odluke o primjerenosti iz Uredbe (EU) 2016/679) ili, ako uredba o primjerenost i ne postoji, ako voditelj obrade ili izvršitelj obrade osigura odgovarajuće zaštitne mjere u skladu s člankom 46. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine. Ako ne postoji uredba o primjerenosti ili odgovarajuće zaštitne mjere, prijenos je moguć samo na temelju odstupanja utvrđenih u članku 49. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine.

(76) U uredbama o primjerenosti koje donosi ministar može se odrediti da treća zemlja (ili područje ili sektor unutar treće zemlje), međunarodna organizacija ili opis (72) takve zemlje, područja, sektora ili organizacije osigurava primjerenu razinu zaštite osobnih podataka. Kad ocjenjuje primjerenost razine zaštite, ministar mora uzeti u obzir potpuno iste elemente koje Komisija mora procijeniti na temelju članka 45. stavka 2. točaka od (a) do (c) Uredbe (EU) 2016/679, koje se tumače zajedno s uvodnom izjavom 104. te uredbe i zadržanom sudskom praksom EU-a. To znači da će pri procjeni primjerene razine zaštite treće zemlje relevantni standard biti osigurava li predmetna treća zemlja razinu zaštite koja je „u načelu istovjetna” onoj koja se jamči u Ujedinjenoj Kraljevini.

(77) Na uredbe o primjerenosti primjenjuju se „opći” postupovni zahtjevi predviđeni u članku 182. DPA-a iz 2018. U okviru tog postupka ministar se mora savjetovati s povjerenikom za informiranje kad predlaže donošenje uredbe o primjerenosti Ujedinjene Kraljevine (73). Nakon što je ministar donese, ta se uredba upućuje Parlamentu i podliježe postupku „negativnog vijećanja” (negative resolution procedure), u okviru kojeg oba doma Parlamenta mogu preispitati uredbu i izglasati prijedlog o ukidanju uredbe u roku od 40 dana (74).

(78) Prema članku 17.B stavku 1. DPA-a iz 2018. uredbe o primjerenosti moraju se preispitivati u razmacima koji nisu dulji od četiri godine, a ministar mora kontinuirano pratiti promjene u trećim zemljama i međunarodnim organizacijama koje bi mogle utjecati na odluke o donošenju uredbi o primjerenosti ili na izmjenu ili ukidanje takvih uredbi. Ako ministar utvrdi da određena zemlja ili organizacija više ne osigurava primjerenu razinu zaštite osobnih podataka, mora, u mjeri u kojoj je to potrebno, izmijeniti ili ukinuti uredbu i pokrenuti savjetovanje s predmetnom trećom zemljom ili međunarodnom organizacijom kako bi riješili problem nedostatka primjerene razine zaštite. Ti postupovni aspekti odražavaju i odgovarajuće zahtjeve iz Uredbe (EU) 2016/679.

(79) Ako ne postoje uredbe o primjerenosti, međunarodni prijenosi mogući su ako voditelj obrade ili izvršitelj obrade osigura odgovarajuće zaštitne mjere u skladu s člankom 46. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine. Te zaštitne mjere slične su onima iz članka 46. Uredbe (EU) 2016/679. Uključuju pravno obvezujuće i provedive instrumente između tijela javne vlasti ili javnih tijela, obvezujuća korporativna pravila (75), standardne klauzule o zaštiti podataka, odobrene kodekse ponašanja, odobrene mehanizme certificiranja i, uz odobrenje povjerenika za informiranje, ugovorne klauzule između voditelja obrade (ili izvršitelja obrade) ili administrativne dogovore između tijela javne vlasti. Međutim, pravila su izmijenjena u smislu postupka kako bi funkcionirala unutar okvira Ujedinjene Kraljevine, točnije, standardne klauzule o zaštiti podataka može donositi ministar (članak 17.C) ili povjerenik za informiranje (članak 119.A) u skladu s DPA-om iz 2018.

(80) Ako ne postoji odluka o primjerenosti ili odgovarajuće zaštitne mjere, prijenos je moguć samo na temelju odstupanja utvrđenih u članku 49. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (76). Općom uredbom o zaštiti podataka Ujedinjene Kraljevine nisu uvedene nikakve bitne izmjene tih odstupanja u usporedbi s odgovarajućim pravilima iz Uredbe (EU) 2016/679. Na temelju Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, kao i na temelju Uredbe (EU) 2016/679, na određena odstupanja može se pozvati samo ako je prijenos povremen (77). Nadalje, Ured povjerenika za informiranje u svojim smjernicama o međunarodnim prijenosima pojašnjava: „Trebali biste ih koristiti samo kao prava ,izuzeća’ od općeg pravila prema kojem ne biste trebali provoditi ograničeni prijenos osim ako je obuhvaćen odlukom o primjerenosti ili su uspostavljene odgovarajuće zaštitne mjere” (78). Kad je riječ o prijenosima koji su nužni iz važnih razloga javnog interesa (članak 49. stavak 1. točka (d)), ministar može donijeti uredbe kojima će odrediti okolnosti u kojima prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji nije nužan iz važnih razloga javnog interesa. Nadalje, ministar uredbama može ograničiti prijenos kategorije osobnih podataka trećoj zemlji ili međunarodnoj organizaciji ako prijenos nije moguć na temelju uredbe o primjerenosti, a ministar smatra da je ograničenje nužno iz važnih razloga javnog interesa. Zasad nisu donesene takve uredbe.

(81) Taj okvir za međunarodne prijenose postao je primjenjiv na kraju prijelaznog razdoblja (79). Međutim, u točki 4. Priloga 21. DPA-u iz 2018. (uvedenoj Uredbom DPPEC) predviđa se da se na kraju prijelaznog razdoblja s određenim prijenosima osobnih podataka postupa kao da se temelje na uredbi o primjerenosti. Ti prijenosi uključuju prijenose državi EGP-a, teritoriju Gibraltara, instituciji, tijelu, uredu ili agenciji Unije uspostavljenoj Ugovorom o Europskoj uniji ili na temelju njega te trećim zemljama na koje se na kraju prijelaznog razdoblja primjenjivala odluka o primjerenosti EU-a. Stoga se prijenosi u te zemlje mogu nastaviti kao i prije povlačenja Ujedinjene Kraljevine iz EU-a. Nakon kraja prijelaznog razdoblja ministar mora preispitati te nalaze o primjerenosti u roku od četiri godine, tj. do kraja prosinca 2024. Prema objašnjenju koje su dala tijela Ujedinjene Kraljevine, iako ministar treba provesti to preispitivanje do kraja prosinca 2024., prijelazne odredbe ne sadržavaju odredbu o vremenskom ograničenju valjanosti, pa relevantne prijelazne odredbe neće automatski prestati imati učinak ako se preispitivanje ne dovrši do kraja prosinca 2024.

(82) Naposljetku, kad je riječ o budućem razvoju sustava međunarodnih prijenosa Ujedinjene Kraljevine – donošenjem novih uredaba o primjerenosti, sklapanjem međunarodnih sporazuma ili razvojem drugih mehanizama prijenosa – Komisija će pomno pratiti situaciju, procijeniti upotrebljavaju li se različiti mehanizmi prijenosa na način kojim se osigurava kontinuitet zaštite i, prema potrebi, poduzeti odgovarajuće mjere za uklanjanje mogućih negativnih učinaka na takav kontinuitet (vidjeti uvodne izjave od 278. do 287.). Budući da EU i Ujedinjena Kraljevina imaju slična pravila o međunarodnim prijenosima, očekuje se da bi se problematična odstupanja mogla izbjeći i suradnjom te razmjenom informacija i iskustava, među ostalim između ICO-a i EDPB-a.

2.5.8. Odgovornost

(83) Na temelju načela odgovornosti subjekti koji obrađuju podatke moraju uspostaviti odgovarajuće tehničke i organizacijske mjere kako bi djelotvorno ispunili svoje obveze u pogledu zaštite podataka te mogli dokazati da su ispunjene, prije svega nadležnom nadzornom tijelu.

(84) Načelo odgovornosti predviđeno Uredbom (EU) 2016/679 zadržano je u članku 5. stavku 2. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine bez bitnih izmjena, a isto vrijedi i za članak 24. o obvezama voditelja obrade, članak 25. o tehničkoj i integriranoj zaštiti podataka i članak 30. o evidenciji aktivnosti obrade. Zadržani su i članci 35. i 36. o procjeni učinka na zaštitu podataka i prethodnom savjetovanju s nadzornim tijelom. Članci od 37. od 39. Uredbe (EU) 2016/679 o imenovanju i zadaćama službenika za zaštitu podataka zadržani su u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine bez bitnih izmjena. Nadalje, odredbe članaka 40. i 42. Uredbe (EU) 2016/679 o kodeksima ponašanja i certificiranju zadržane su u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine (80).

2.6. Nadzor i provedba

2.6.1. Neovisni nadzor

(85) Kako bi se u praksi osigurala primjerena razina zaštite podataka, trebalo bi uspostaviti neovisno nadzorno tijelo s ovlastima za praćenje i provedbu usklađenosti s pravilima o zaštiti podataka. Ono bi pri obavljanju dužnosti i izvršavanju ovlasti trebalo djelovati potpuno neovisno i nepristrano.

(86) U Ujedinjenoj Kraljevini nadzor i provedbu usklađenosti s Općom uredbom o zaštiti podataka Ujedinjene Kraljevine i DPA-om iz 2018. obavlja povjerenik za informiranje. Povjerenik za informiranje je tijelo pojedinac (corporation sole): zaseban pravni subjekt koji se sastoji od jedne osobe. Povjerenika za informiranje u radu podupire ured. Ured povjerenice za informiranje (ICO) 31. ožujka 2020. imao je 768 članova stalnog osoblja (81). Povjerenika za informiranje sponzorira Ministarstvo za digitalizaciju, kulturu, medije i sport (82).

(87) Neovisnost povjerenika izričito je utvrđena u članku 52. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, u kojem nema bitnih izmjena članka 52. stavaka od 1. do 3. Opće uredbe o zaštiti podataka. Povjerenik mora djelovati potpuno neovisno pri obavljanju dužnosti i izvršavanju ovlasti u skladu s Općom uredbom o zaštiti podataka Ujedinjene Kraljevine, mora biti slobodan od vanjskog utjecaja (izravnog ili neizravnog) te ne smije tražiti ni primati upute ni od koga. Povjerenik se mora suzdržati i od svih radnji koje nisu u skladu s njegovim dužnostima i za vrijeme mandata ne smije se baviti nikakvom neusklađenom djelatnošću, bez obzira na to je li plaćena.

(88) Uvjeti za imenovanje i razrješenje povjerenika za informiranje utvrđeni su u Prilogu 12. DPA-u iz 2018. Povjerenika za informiranje imenuje Njezino Veličanstvo na preporuku vlade na temelju poštenog i otvorenog natječaja. Kandidat mora imati odgovarajuće kvalifikacije, vještine i kompetencije. U skladu s Kodeksom upravljanja za imenovanje javnih službenika (Governance Code on Public Appointments) (83) savjetodavni odbor za procjenu sastavlja popis kandidata koji se mogu imenovati. Prije nego što ministar za digitalizaciju, kulturu, medije i sport donese konačnu odluku, odgovarajući posebni odbor Parlamenta mora provesti preispitivanje prije imenovanja. Stajalište odbora javno se objavljuje (84).

(89) Mandat povjerenika za informiranje traje do sedam godina. Osobu se ne može imenovati povjerenikom za informiranje više od jednom. Njezino Veličanstvo povjerenika za informiranje može razriješiti dužnosti na molbu obaju domova Parlamenta (85). Zahtjev za razrješenje povjerenika za informiranje ne može se podnijeti nijednom domu Parlamenta ako ministar ne dostavi izvješće u kojem navodi da je uvjeren da je povjerenik za informiranje teško povrijedio dužnosti i/ili da povjerenik više ne ispunjava uvjete koji se zahtijevaju za izvršavanje funkcija povjerenika (86).

(90) Tri su izvora financiranja povjerenika za informiranje: i. naknade za zaštitu podataka koje plaćaju voditelji obrade, koje se određuju uredbom ministra (87) (Uredba o zaštiti podataka (naknade i informacije) iz 2018.) i čine 85–90 % godišnjeg proračuna Ureda (88), ii. subvencija koju Vlada plaća povjereniku za informiranje; subvencija se uglavnom koristi za financiranje troškova poslovanja povjerenika za informiranje u pogledu zadaća koje nisu povezane sa zaštitom podataka (89) i iii. naknada koje se naplaćuju za usluge (90). Trenutačno se ne naplaćuju takve naknade.

(91) Opće funkcije povjerenika za informiranje u pogledu obrade osobnih podataka na koje se primjenjuje Opća uredba o zaštiti podataka Ujedinjene Kraljevine utvrđene su u članku 57. te uredbe i u velikoj mjeri odražavaju odgovarajuća pravila iz Uredbe (EU) 2016/679. Njegove funkcije uključuju praćenje i provedbu Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, promicanje javne svijesti, rješavanje pritužbi koje podnesu ispitanici, provođenje istraga itd. Osim toga, u članku 115. DPA-a iz 2018. utvrđene su opće funkcije povjerenika, koje uključuju dužnost savjetovanja Parlamenta, vlade i drugih institucija i tijela o zakonodavnim i upravnim mjerama koje se odnose na zaštitu prava i sloboda pojedinaca s obzirom na obradu osobnih podataka te ovlast da na vlastitu inicijativu ili na zahtjev daje mišljenja Parlamentu, vladi ili drugim institucijama i tijelima te javnosti o svim pitanjima povezanima sa zaštitom osobnih podataka. Kako bi se sačuvala neovisnost pravosuđa, povjerenik za informiranje nije ovlašten izvršavati svoje funkcije u vezi s obradom osobnih podataka koju provodi pojedinac koji djeluje u sudbenom svojstvu ili sud u okviru svoje sudske nadležnosti. Međutim, nadzor nad sudstvom osiguravaju specijalizirana tijela (vidjeti uvodne izjave od 99. do 103.).

2.6.2. Izvršenje, uključujući sankcije

(92) Ovlasti povjerenika za informiranje utvrđene su u članku 58. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, kojim nisu uvedene bitne izmjene odgovarajućeg članka Uredbe (EU) 2016/679. U DPA-u iz 2018. utvrđena su dodatna pravila o načinu izvršavanja tih ovlasti. Točnije, povjerenik je ovlašten: (a) izdavanjem zahtjeva za dostavu informacija naložiti voditelju obrade i izvršitelju obrade (a u određenim okolnostima i bilo kojoj drugoj osobi) da dostave potrebne informacije („zahtjev za dostavu informacija”) (91), (b) provoditi istrage i revizije izdavanjem zahtjeva za provjeru, kojim se od voditelja obrade ili izvršitelja obrade može zahtijevati da povjereniku dopusti ulazak u određene prostorije, obavljanje inspekcije ili pregleda dokumenata ili opreme, obavljanje razgovora s osobama koje obrađuju osobne podatke u ime voditelja obrade itd. („zahtjev za provjeru”) (92), (c) na drugi način dobiti pristup dokumentima itd. voditelja obrade i izvršitelja obrade i pristup njihovim prostorijama u skladu s člankom 154. DPA-a iz 2018. („ovlasti ulaska i inspekcije”), (d) izvršavati korektivne ovlasti, među ostalim, izdavanjem upozorenja i opomena, ili davati naloge u obliku zahtjeva za izvršenje, kojim se od voditelja obrade/izvršitelja obrade zahtijeva da poduzmu određene mjere ili da se suzdrže od njihova poduzimanja, uključujući nalaganje voditelju obrade ili izvršitelju obrade da učini sve što je navedeno u članku 58. stavku 2. točkama od (c) do (g) i točki (j) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine („zahtjev za izvršenje”) (93), (e) izricati upravne novčane kazne u obliku rješenja o kazni („rješenje o kazni”) (94). Potonje se mogu izreći i ako tijelo javne vlasti ne poštuje odredbe Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (95).

(93) U okviru politike regulatornog djelovanja ICO-a utvrđuju se okolnosti u kojima će on izdavati zahtjev za dostavu informacija, zahtjev za provjeru, zahtjev za izvršenje ili rješenje o kazni (96). Zahtjevom za izvršenje koji se daje kao odgovor na propust voditelja obrade ili izvršitelja obrade mogu se uvesti samo zahtjevi koje povjerenik smatra primjerenima za potrebe ispravljanja propusta. Zahtjev za izvršenje i rješenje o kazni mogu se izdati voditelju obrade ili izvršitelju obrade s obzirom na povrede iz poglavlja II. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (načela obrade) i članaka od 12. do 22. (prava ispitanika), članaka od 25. do 39. (obveze voditelja obrade i izvršitelja obrade) i članaka od 44. do 49. (međunarodni prijenosi) te uredbe. Zahtjev za izvršenje može se izdati i ako voditelj obrade nije ispunio zahtjev za plaćanje naknade iz uredbe donesene na temelju članka 137. DPA-a iz 2018. Osim toga, zahtjev za izvršenje može se izdati tijelu za praćenje iz članka 41. ili pružatelju certifikata ako ne ispuni svoje obveze na temelju Opće uredbe o zaštiti podataka Ujedinjene Kraljevine. Osobi koja nije poštovala zahtjev za dostavu informacija, zahtjev za provjeru ili zahtjev za izvršenje može se izdati i rješenje o kazni.

(94) Rješenjem o kazni od osobe se zahtijeva da plati povjereniku za informiranje iznos naveden u obavijesti. Pri odlučivanju o tome treba li osobi izdati rješenje o kazni i određivanju iznosa te kazne povjerenik za informiranje mora uzeti u obzir pitanja navedena u članku 83. stavcima 1. i 2. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, koja su ista kao i odgovarajuća pravila u Uredbi (EU) 2016/679 (97). Najveći iznos upravnih novčanih kazni u slučaju nepoštovanja obveza iz članka 83. stavka 4. iznosi 8 700 000 GBP, a za nepoštovanja obveza iz članka 83. stavka 5. taj je iznos 17 500 000 GBP. Ako je riječ o poduzetniku, povjerenik za informiranje kazne može izreći i u obliku postotka godišnjeg prometa na svjetskoj razini ako je taj iznos veći. Kao i u istovjetnim odredbama Uredbe (EU) 2016/679, ti su iznosi određeni kao 2 % u članku 83. stavku 4. i 4 % u članku 83. stavku 5. U slučaju nepoštovanja zahtjeva za dostavu informacija, zahtjeva za provjeru ili zahtjeva za izvršenje najveći iznos kazne koji se može izreći u rješenju o kazni iznosi 17 500 000 GBP ili, u slučaju poduzetnika, 4 % godišnjeg prometa na svjetskoj razini, ovisno o tome koji je iznos veći.

(95) Općom uredbom o zaštiti podataka Ujedinjene Kraljevine zajedno s DPA-om iz 2018. ojačane su i druge ovlasti povjerenika za informiranje. Na primjer, zahvaljujući zahtjevima za provjeru povjerenik sad može provoditi obvezne revizije svih voditelja obrade i izvršitelja obrade, dok je na temelju prethodnog propisa (Zakon o zaštiti podataka iz 1998.) tu ovlast imao samo za središnje državne organizacije i zdravstvene organizacije, dok su drugi subjekti morali pristati na reviziju.

(96) Od uvođenja Uredbe (EU) 2016/679 Ured povjerenika za informiranje rješava približno 40 000 pritužbi ispitanika godišnje (98), a uz to provodi približno 2 000 istraga po službenoj dužnosti (99). Većina pritužbi povezana je s pravima na pristup podacima i otkrivanje podataka. Nakon istraga povjerenik poduzima mjere provedbe u velikom nizu sektora. Točnije, prema najnovijem godišnjem izvješću povjerenice za informiranje (2019.–2020.) (100), u razdoblju izvješćivanja povjerenica je izdala 54 zahtjeva za dostavu informacija, 8 zahtjeva za provjeru, 7 zahtjeva za izvršenje, 4 opomene, 15 novčanih kazni i pokrenula je 8 kaznenih progona (101).

(97) To uključuje nekoliko većih novčanih kazni izrečenih na temelju Uredbe (EU) 2016/679 i DPA-a iz 2018. Točnije, povjerenica za informiranje u listopadu 2020. izrekla je britanskom zračnom prijevozniku kaznu od 20 milijuna GBP za povredu podataka koja je utjecala na više od 400 000 klijenata. Krajem listopada 2020. međunarodni hotelski lanac kažnjen je s 18,4 milijuna GBP jer nije čuvao sigurnima osobne podatke milijuna klijenata, a u studenome 2020. britanski pružatelj usluga koji preko interneta prodaje ulaznice za događanja kažnjen je s 1,25 milijuna GBP jer nije zaštitio podatke o plaćanju klijenata (102).

(98) Osim izvršnih ovlasti povjerenika za informiranje opisanih u uvodnoj izjavi 92., određena kršenja zakonodavstva o zaštiti podataka čine kaznena djela i stoga se na njih mogu primjenjivati kaznene sankcije (članak 196. DPA-a iz 2018.). To se, na primjer, odnosi na namjerno ili slučajno prikupljanje ili otkrivanje osobnih podataka bez pristanka voditelja obrade, omogućavanje otkrivanja osobnih podataka drugoj osobi bez pristanka voditelja obrade (103), ponovnu identifikaciju anonimiziranih osobnih podataka bez pristanka voditelja obrade odgovornog za anonimizaciju osobnih podataka (104), namjerno ometanje povjerenika u izvršavanju njegovih ovlasti povezanih s pregledom osobnih podataka u skladu s međunarodnim obvezama (105), davanje lažnih izjava kao odgovor na zahtjev za dostavu informacija ili uništavanje informacija povezanih sa zahtjevima za dostavu informacija i zahtjevima za provjeru (106).

2.6.3. Nadzor nad sudstvom

(99) Nadzor nad obradom osobnih podataka koju provode sudovi i pravosuđe dvostran je. Ako nositelj sudačke dužnosti ili sud ne djeluje u okviru sudske nadležnosti, nadzor obavlja Ured povjerenika za informiranje (ICO). Ako voditelj obrade djeluje u okviru sudske nadležnosti, ICO ne može izvršavati svoje nadzorne funkcije (107), pa nadzor provode posebna tijela. To odražava pristup iz Uredbe (EU) 2016/679 (članak 55. stavak 3.).

(100) Točnije, u drugom slučaju nadzor nad sudovima u Engleskoj i Walesu te Prvostupanjskim sudom i Višim sudom u Engleskoj i Walesu obavlja Odbor za sudsku zaštitu podataka (108). Osim toga, vrhovni sudac (Lord Chief Justice) i visoki predsjednik sudova (Senior President of Tribunals) objavili su Obavijest o zaštiti osobnih podataka (109), u kojoj je navedeno kako sudovi u Engleskoj i Walesu obrađuju osobne podatke za sudbenu funkciju. Sličnu obavijest objavili su i suci Sjeverne Irske (110) i Škotske (111).

(101) Osim toga, vrhovni sudac Sjeverne Irske imenovao je suca Visokog suda koji u Sjevernoj Irskoj djeluje kao sudac za nadzor podataka (112). Objavljene su i smjernice za suce Sjeverne Irske o tome kako postupati u slučaju gubitka ili mogućeg gubitka podataka i postupku za rješavanje svih pitanja koja iz toga mogu proizaći (113).

(102) U Škotskoj je predsjednik Vrhovnog građanskog suda (Lord President) imenovao suca za nadzor podataka, koji ispituje sve pritužbe u vezi sa zaštitom podataka. To je utvrđeno na temelju pravila o pravosudnim pritužbama koja odražavaju pravila utvrđena za Englesku i Wales (114).

(103) Naposljetku, na Vrhovnom sudu jedan od njegovih sudaca predlaže se za funkciju nadziranja zaštite podataka.

2.6.4. Sudska zaštita

(104) Kako bi se osigurala primjerena zaštita, a posebno ostvarivanje prava pojedinca, ispitaniku bi trebalo pružiti učinkovitu upravnu i sudsku zaštitu, uključujući naknadu štete.

(105) Prvo, ispitanik ima pravo podnijeti pritužbu povjereniku za informiranje ako smatra da u vezi s osobnim podacima koji se odnose na njega postoji kršenje Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (115). Pravila iz članka 77. Uredbe (EU) 2016/679 o tom pravu zadržana su u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine bez bitnih izmjena. Isto vrijedi i za članak 57. stavak 1. točku (f) i članak 57. stavak 2. u kojima su utvrđene zadaće povjerenika povezane s rješavanjem pritužbi. Kako je opisano u uvodnim izjavama od 92. do 98., povjerenik za informiranje ovlašten je ocjenjivati usklađenost voditelja obrade i izvršitelja obrade s Općom uredbom o zaštiti podataka Ujedinjene Kraljevine i DPA-om iz 2018., zahtijevati od njih da poduzmu potrebne korake u slučaju neusklađenosti ili da se suzdrže od njih i izricati novčane kazne.

(106) Drugo, u Općoj uredbi o zaštiti podataka Ujedinjene Kraljevine i DPA-u iz 2018. predviđa se pravo na pravni lijek protiv povjerenika za informiranje. Prema članku 78. stavku 1. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine pojedinac ima pravo na učinkovit pravni lijek protiv pravno obvezujuće odluke povjerenika koja se na njega odnosi. U kontekstu sudskog preispitivanja sudac ispituje odluku koja se osporava u zahtjevu i razmatra je li povjerenik za informiranje postupio zakonito. Nadalje, prema članku 78. stavku 2. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, ako povjerenik ne riješi na odgovarajući način pritužbu koju je podnio ispitanik (116), podnositelj pritužbe ima pristup sudskom pravnom lijeku. Može se obratiti Prvostupanjskom sudu, koji će naložiti povjereniku da poduzme odgovarajuće korake kao odgovor na pritužbu ili obavijesti podnositelja pritužbe o ostvarenom napretku u pogledu pritužbe (117). Osim toga, svaka osoba kojoj povjerenik izda bilo koji od navedenih zahtjeva ili rješenja (zahtjev za dostavu informacija, provjeru ili izvršenje ili rješenje o kazni) može podnijeti žalbu Prvostupanjskom sudu (118). Ako smatra da odluka povjerenika nije u skladu sa zakonom ili da je povjerenik za informiranje trebao drukčije izvršavati diskrecijske ovlasti, Sud mora prihvatiti žalbu ili zamijeniti zahtjev, rješenje ili odluku koju je povjerenik za informiranje izdao ili donio drugim zahtjevom, rješenjem ili odlukom.

(107) Treće, pojedinci mogu dobiti sudsku zaštitu protiv voditelja obrade i izvršitelja obrade izravno pred sudovima na temelju članka 79. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine i članka 167. DPA-a iz 2018. Ako je sud, na zahtjev ispitanika, uvjeren da je došlo do povrede prava ispitanika na temelju zakonodavstva o zaštiti podataka, može naložiti voditelju obrade, ili izvršitelju obrade koji djeluje u ime tog voditelja, da poduzme mjere navedene u nalogu ili da se suzdrži od poduzimanja mjera navedenih u nalogu.

(108) Nadalje, na temelju članka 82. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine i članka 168. DPA-a iz 2018. svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja Opće uredbe o zaštiti podataka Ujedinjene Kraljevine ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu. Pravila o naknadi i odgovornosti iz članka 82. stavaka od 1. do 5. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine ista su kao i odgovarajuća pravila iz Uredbe (EU) 2016/679. Na temelju članka 168. DPA-a iz 2018. nematerijalna šteta uključuje i duševnu bol. Na temelju članka 80. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine ispitanik ima i pravo ovlastiti predstavničko tijelo ili organizaciju da povjereniku podnese pritužbu u njegovo ime (na temelju članka 77. Opće uredbe o zaštiti podataka Ujedinjene Kraljevine) i da ostvari prava iz članka 78. (pravo na učinkovit sudski pravni lijek protiv povjerenika), članka 79. (pravo na učinkovit pravni lijek protiv voditelja obrade ili izvršitelja obrade) i članka 82. (pravo na naknadu štete i odgovornost) Opće uredbe o zaštiti podataka Ujedinjene Kraljevine u ime ispitanika.

(109) Četvrto, uz prethodno opisane oblike sudske zaštite svaka osoba koja smatra da su tijela javne vlasti prekršila njezina prava, uključujući prava na privatnost i zaštitu podataka, može dobiti sudsku zaštitu pred sudovima Ujedinjene Kraljevine na temelju Zakona o ljudskim pravima iz 1998. (119) Pojedinac koji tvrdi da je tijelo javne vlasti djelovalo (ili namjerava djelovati) na način koji nije u skladu s pravom iz Konvencije, a time i nezakonito na temelju članka 6. stavka 1. Zakona o ljudskim pravima iz 1998., može pokrenuti postupak protiv tog tijela pred odgovarajućim sudom ili se može pozvati na predmetna prava u svim sudskim postupcima ako jest (ili bi bio) žrtva nezakonite radnje.

(110) Ako utvrdi da je neka radnja tijela javne vlasti nezakonita, sud može u okviru svojih ovlasti odobriti mjeru ili pravni lijek, ili izdati nalog, kako smatra da je pravedno i primjereno (120). Sud može odlučiti i da odredba iz primarnog zakonodavstva nije u skladu s pravom iz Konvencije.

(111) Naposljetku, nakon što iscrpi sve nacionalne pravne lijekove, pojedinac može dobiti sudsku zaštitu pred Europskim sudom za ljudska prava za povrede prava zajamčenih Europskom konvencijom o ljudskim pravima.

3. PRISTUP TIJELA JAVNE VLASTI U UJEDINJENOJ KRALJEVINI OSOBNIM PODACIMA PRENESENIMA IZ EUROPSKE UNIJE I NJIHOVA UPOTREBA TIH PODATAKA

(112) Komisija je procijenila i pravni okvir Ujedinjene Kraljevine za prikupljanje i upotrebu osobnih podataka prenesenih poslovnim subjektima u Ujedinjenoj Kraljevini koje tijela javne vlasti Ujedinjene Kraljevine obavljaju u svrhu javnog interesa, osobito za potrebe kaznenog progona i nacionalne sigurnosti (dalje u tekstu „pristup vlade”). Pri procjeni ispunjavaju li uvjeti pod kojima je omogućen pristup vlade podacima prenesenima Ujedinjenoj Kraljevini na temelju ove Odluke test „načelne istovjetnosti” u skladu s člankom 45. stavkom 1. Uredbe (EU) 2016/679, kako je tumači Sud Europske unije s obzirom na Povelju o temeljnim pravima, Komisija je posebno uzela u obzir kriterije u nastavku.

(113) Prvo, svako ograničenje prava na zaštitu osobnih podataka mora biti predviđeno zakonom, a u samoj se pravnoj osnovi kojom se dopušta zadiranje u takvo pravo mora definirati doseg ograničenja ostvarivanja predmetnog prava (121).

(114) Drugo, da bi se ispunio zahtjev proporcionalnosti, prema kojem se odstupanja od zaštite osobnih podataka i ograničenja te zaštite u demokratskom društvu moraju primjenjivati samo ako je to nužno za ostvarenje specifičnih ciljeva od općeg interesa koji su jednakovrijedni onima koje priznaje Unija, u predmetnom propisu treće zemlje kojim se dopušta zadiranje u to pravo moraju biti utvrđena jasna i precizna pravila o dosegu i primjeni predmetnih mjera i moraju se uvesti minimalne zaštitne mjere tako da osobe čiji su podaci preneseni raspolažu dostatnim jamstvima koja omogućuju djelotvornu zaštitu njihovih osobnih podataka od rizika zlouporabe (122). U propisu se osobito mora navesti u kojim se okolnostima i pod kojim uvjetima može donijeti mjera koja omogućuje obradu tih podataka (123), a ispunjenje takvih zahtjeva mora se podvrgnuti neovisnom nadzoru (124).

(115) Treće, taj propis mora biti pravno obvezujući na temelju nacionalnog prava, a ti pravni zahtjevi moraju biti obvezujući za tijela i izvršivi pred sudovima protiv tijela predmetne treće zemlje (125). Točnije, ispitanici moraju imati mogućnost pokretanja sudskog postupka pred neovisnim i nepristranim sudom radi pristupa svojim osobnim podacima ili ispravka ili brisanja tih podataka (126).

3.1. Opći pravni okvir

(116) Pristup vlade u Ujedinjenoj Kraljevini, u okviru izvršavanja ovlasti tijela javne vlasti, mora se provoditi uz potpuno poštovanje zakona. Ujedinjena Kraljevina ratificirala je Europsku konvenciju o ljudskim pravima (vidjeti uvodnu izjavu 9.) i sva su tijela javne vlasti u Ujedinjenoj Kraljevini obvezna postupati u skladu s Konvencijom (127). U članku 8. Konvencije navedeno je da svako miješanje u privatnost mora biti u skladu sa zakonom, u svrhu jednog od ciljeva utvrđenih u članku 8. stavku 2. i proporcionalno s obzirom na taj cilj. Člankom 8. zahtijeva se i da je miješanje „predvidivo”, tj. da ima jasnu, pristupačnu pravnu osnovu i da su u zakonu dostupne odgovarajuće zaštitne mjere radi sprečavanja zloupotrebe.

(117) Osim toga, Europski sud za ljudska prava u svojoj je sudskoj praksi odredio da se na svako zadiranje u pravo na privatnost i zaštitu podataka treba primjenjivati učinkovit, neovisan i nepristran sustav nadzora koji mora predvidjeti sudac ili drugo neovisno tijelo (128) (npr. upravno ili parlamentarno tijelo).

(118) Nadalje, pojedincima se mora pružiti djelotvoran pravni lijek, a Europski sud za ljudska prava pojasnio je da ga mora ponuditi neovisno i nepristrano tijelo koje je donijelo svoj poslovnik, koje se sastoji od članova koji moraju imati ili su prethodno imali visoki položaj u pravosuđu ili su iskusni pravnici te da ne smije postojati teret dokazivanja koji se mora savladati da bi se tom tijelu podnio zahtjev. Kad ispituje pritužbe pojedinaca, neovisno i nepristrano tijelo trebalo bi imati pristup svim relevantnim informacijama, uključujući zapečaćene materijale. Naposljetku, trebalo bi imati ovlasti otklanjanja neusklađenosti (129).

(119) Ujedinjena Kraljevina ratificirala je i Konvenciju Vijeća Europe za zaštitu osoba glede automatizirane obrade osobnih podataka (Konvencija br. 108), a 2018. potpisala je i Protokol o izmjeni Konvencije za zaštitu osoba glede automatizirane obrade osobnih podataka (poznat kao „Konvencija br. 108+”) (130). U članku 9. Konvencije br. 108 navedeno je da su odstupanja od općih načela zaštite podataka (članak 5. Svojstvo podataka), pravila za posebne kategorije podataka (članak 6. Posebne kategorije podataka) i prava ispitanika (članak 8. Dodatna jamstva za subjekt podataka) dopuštena samo ako je takvo odstupanje predviđeno pravom stranke i ako je to u demokratskom društvu nužna mjera u korist zaštite državne sigurnosti, javne sigurnosti, monetarnih interesa države ili suzbijanja kaznenih djela ili zaštite ispitanika ili prava i slobode drugih (131).

(120) Ujedinjena Kraljevina stoga u okviru članstva u Vijeću Europe, poštovanja Europske konvencije o ljudskim pravima i priznavanja nadležnosti Europskog suda za ljudska prava podliježe nizu obveza iz međunarodnog prava koje oblikuju njezin sustav pristupa vlade tako da se temelji na načelima, zaštitnim mjerama i pravima pojedinaca sličnima onima zajamčenima pravom Unije i primjenjivima u državama članicama. Kako je istaknuto u uvodnoj izjavi 19., kontinuirano poštovanje tih pravnih instrumenata stoga je osobito važan element procjene na kojoj se temelji ova Odluka.

(121) Nadalje, DPA-om iz 2018. jamče se posebne zaštitne mjere i prava u pogledu zaštite podataka ako podatke obrađuju tijela javne vlasti, uključujući tijela kaznenog progona i tijela za nacionalnu sigurnost.

(122) Točnije, sustav za obradu osobnih podataka u kontekstu kaznenog progona utvrđen je u dijelu 3. DPA-a iz 2018., koji je donesen radi prenošenja Direktive (EU) 2016/680. Dio 3. DPA-a iz 2018. primjenjuje se na obradu osobnih podataka koju vrše nadležna tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje (132).

(123) Pojam „nadležno tijelo” definiran je u članku 30. DPA-a kao osoba navedena u Prilogu 7. DPA-u iz 2018. te bilo koja druga osoba u mjeri u kojoj ima zakonski propisane funkcije u obavljanju bilo koje od svrha kaznenog progona (133). Kako je objašnjeno u nastavku (vidjeti uvodnu izjavu 139.), određena nadležna tijela (npr. Nacionalna agencija za kriminal (National Crime Agency)) mogu se, pod određenim uvjetima, koristiti ovlastima predviđenima Zakonom o istražnim ovlastima iz 2016. (IPA iz 2016.). U tom će se slučaju zaštitne mjere predviđene u okviru IPA-e iz 2016. primjenjivati uz zaštitne mjere predviđene u dijelu 3. DPA-a iz 2018. Obavještajne službe (Tajna obavještajna služba (Secret Intelligence Service), Sigurnosna služba (Security Service) i Vladin komunikacijski stožer (Government Communications Headquarters)) nisu „nadležna tijela” (134) obuhvaćena područjem primjene dijela 3. DPA-a iz 2018. pa se pravila iz tog dijela ne primjenjuju ni na jednu od njihovih aktivnosti. Poseban dio DPA-a iz 2018. (dio 4.) posvećen je obradi osobnih podataka koju provode obavještajne službe (za više pojedinosti vidjeti uvodnu izjavu 125.).

(124) Slično Direktivi (EU) 2016/680, u dijelu 3. DPA-a iz 2018. utvrđena su načela zakonitosti i poštenosti (135), ograničavanja svrhe (136), smanjenja količine podataka (137), točnosti (138), ograničenja pohrane (139) i sigurnosti (140). Propisom su uvedene specifične obveze u pogledu transparentnosti (141) i pojedincima se daju pravo na pristup (142), ispravak i brisanje (143) te pravo da se na njih ne odnosi automatizirano donošenje odluka (144). Nadležna tijela moraju uvesti i tehničku i integriranu zaštitu podataka, voditi evidenciju aktivnosti obrade, a za određene postupke obrade provesti procjenu učinka na zaštitu podataka i unaprijed se savjetovati s povjerenikom za informiranje (145). Prema članku 56. DPA-a iz 2018. moraju dokazati usklađenost. Nadalje, moraju uspostaviti odgovarajuće mjere kojima će osigurati sigurnost obrade (146) i podliježu specifičnim obvezama u slučaju povrede podataka, uključujući obavješćivanje povjerenika za informiranje i ispitanika o takvim povredama (147). Kao i u Direktivi (EU) 2016/680, zahtijeva se i da voditelj obrade (osim ako je riječ o sudu ili drugom pravosudnom tijelu koje djeluje u okviru sudske nadležnosti) imenuje službenika za zaštitu podataka (148) koji voditelju obrade pomaže da poštuje svoje obveze i da prati njihovo poštovanje (149). Nadalje, propisom se uvode posebni zahtjevi za međunarodne prijenose osobnih podataka trećim zemljama ili međunarodnim organizacijama u svrhe kaznenog progona radi osiguravanja kontinuiteta zaštite (150). Na isti datum kad i ovu Odluku, Komisija je donijela odluku o primjerenosti na temelju članka 36. stavka 3. Direktive (EU) 2016/680, u kojoj je utvrdila da sustav zaštite podataka primjenjiv na obradu koju vrše tijela kaznenog progona u Ujedinjenoj Kraljevini osigurava razinu zaštite koja je u načelu istovjetna onoj koja je osigurana Direktivom (EU) 2016/680.

(125) Dio 4. DPA-a iz 2018. primjenjuje se na svu obradu koju vrše obavještajne službe ili koja se vrši u njihovo ime. Točnije, u njemu se utvrđuju glavna načela zaštite podataka (zakonitost, poštenost i transparentnost (151), ograničavanje svrhe (152), smanjenje količine podataka (153), točnost (154), ograničenje pohrane (155) i sigurnost (156)), uvode se uvjeti za obradu posebnih kategorija podataka (157), predviđaju se prava ispitanika (158), zahtijeva se tehnička zaštita podataka (159) i uređuju se međunarodni prijenosi osobnih podataka (160). ICO je nedavno izdao detaljne smjernice o obradi podataka koju provode obavještajne agencije u skladu s dijelom 4. DPA-a iz 2018. (161)

(126) Isto tako, u članku 110. DPA-a iz 2018. predviđa se izuzeće od određenih odredbi iz dijela 4. DPA-a iz 2018. (162) kad je to izuzeće potrebno radi zaštite nacionalne sigurnosti. Na to se izuzeće može pozvati na temelju analize za svaki pojedinačni slučaj (163). Kako su objasnila tijela Ujedinjene Kraljevine i kako potvrđuje sudska praksa, „voditelj obrade mora uzeti u obzir stvarne posljedice za nacionalnu sigurnost ili obranu ako bi morao poštovati određenu odredbu o zaštiti podataka i može li opravdano poštovati uobičajeno pravilo bez utjecaja na nacionalnu sigurnost ili obranu” (164). ICO nadzire je li izuzeće primijenjeno na odgovarajući način (165).

(127) Nadalje, u odnosu na mogućnost ograničavanja primjene prethodno utvrđenih odredbi u skladu s člankom 111. DPA-a iz 2018. radi zaštite „nacionalne sigurnosti” voditelj obrade može podnijeti zahtjev za potvrdu koju potpisuje ministar koji je član kabineta ili glavni krunski odvjetnik (Attorney General), kojom se potvrđuje da je ograničavanje tih prava nužna i proporcionalna mjera za zaštitu nacionalne sigurnosti (166).

(128) Vlada Ujedinjene Kraljevine objavila je smjernice kao pomoć voditeljima obrade kad razmatraju hoće li podnijeti zahtjev za potvrdu o nacionalnoj sigurnosti na temelju DPA-a iz 2018., u kojima je osobito istaknuto da svako ograničavanje prava ispitanika radi zaštite nacionalne sigurnosti mora biti proporcionalno i nužno (167). Sve potvrde o nacionalnoj sigurnosti moraju biti objavljene na internetskim stranicama ICO-a (168).

(129) Potvrda bi trebala imati ograničeno trajanje koje nije dulje od pet godina kako bi je izvršna vlast redovito preispitivala (169). U potvrdi se navode osobni podaci ili kategorije osobnih podataka na koje se izuzeće primjenjuje i odredbe iz DPA-a iz 2018. na koje se izuzeće primjenjuje (170).

(130) Važno je napomenuti da potvrde o nacionalnoj sigurnosti ne pružaju dodatni razlog za ograničavanje prava na zaštitu podataka zbog nacionalne sigurnosti. Drugim riječima, voditelj obrade ili izvršitelj obrade može se pozvati na potvrdu samo ako je zaključio da je nužno pozvati se na izuzeće radi nacionalne sigurnosti koje se, kako je prethodno objašnjeno, mora primjenjivati na pojedinačnoj osnovi (171). Čak i ako se potvrda o nacionalnoj sigurnosti primjenjuje na predmetno pitanje, ICO može istražiti je li pozivanje na izuzeće radi nacionalne sigurnosti bilo opravdano u konkretnom slučaju (172).

(131) Sve osobe na koje izdavanje potvrde izravno utječe mogu podnijeti žalbu Višem sudu (173) protiv potvrde (174) ili, ako su u potvrdi podaci identificirani općim opisom, osporiti primjenu potvrde na konkretne podatke (175). Sud će preispitati odluku o izdavanju potvrde i odlučiti jesu li postojali opravdani razlozi za izdavanje potvrde (176). Može razmotriti širok niz pitanja, uključujući nužnost, proporcionalnost i zakonitost, a pritom mora uzeti u obzir učinak na prava ispitanika i uspostaviti ravnotežu s potrebom zaštite nacionalne sigurnosti. Stoga Sud može utvrditi da se potvrda ne primjenjuje na konkretne osobne podatke koji su predmet žalbe (177).

(132) Drugi skup mogućih ograničenja odnosi se na ona koja se primjenjuju, na temelju Priloga 11. DPA-u iz 2018., na određene odredbe iz dijela 4. DPA-a iz 2018. (178) radi zaštite drugih važnih ciljeva od općeg javnog interesa ili zaštićenih interesa kao što su parlamentarni imunitet, odvjetnička tajna, vođenje sudskog postupka ili bojna pripravnost oružanih snaga (179). Primjena tih odredbi izuzeta je za određene kategorije informacija („izuzeća na temelju razreda”) ili je izuzeta u mjeri u kojoj bi primjena tih odredbi vjerojatno dovela u pitanje zaštićeni interes („izuzeća na temelju ugrožavanja”) (180). Na izuzeća na temelju ugrožavanja moguće je pozvati se samo ako bi primjena navedenih odredbi o zaštiti podataka vjerojatno dovela u pitanje predmetni posebni interes. Stoga primjena izuzeća uvijek mora biti opravdana upućivanjem na relevantno ugrožavanje do kojeg bi vjerojatno došlo u pojedinačnom slučaju. Na izuzeća na temelju razreda moguće je pozvati se samo u pogledu posebne, usko definirane kategorije informacija za koju je odobreno izuzeće. Ona su prema svrsi i učinku slična određenim izuzećima od Opće uredbe o zaštiti podataka Ujedinjene Kraljevine (na temelju Priloga 2. DPA-u iz 2018.), koja odražavaju izuzeća predviđena člankom 23. Opće uredbe o zaštiti podataka.

(133) Iz prethodno navedenog proizlazi da su u primjenjivim pravnim odredbama Ujedinjene Kraljevine, kako su ih tumačili i sudovi i povjerenik za informiranje, uspostavljena ograničenja i uvjeti koji osiguravaju da ta izuzeća i ograničenja ostanu u granicama onog što je nužno i proporcionalno za zaštitu nacionalne sigurnosti.

3.2. Pristup tijela javne vlasti Ujedinjene Kraljevine podacima i njihova uporaba za potrebe kaznenog progona

(134) U pravu Ujedinjene Kraljevine nalazi se niz ograničenja pristupa osobnim podacima i njihove uporabe za potrebe kaznenog progona te se u tom području pružaju mehanizmi nadzora i sudske zaštite koji su u skladu sa zahtjevima iz uvodnih izjava od 113. do 115. ove Odluke. Uvjeti u kojima je takav pristup moguć i zaštitne mjere koje se primjenjuju na upotrebu tih ovlasti detaljno su procijenjeni u odjeljcima u nastavku.

3.2.1. Pravne osnove i primjenjiva ograničenja/zaštitne mjere

(135) U skladu s načelom zakonitosti zajamčenim člankom 35. DPA-a iz 2018. obrada osobnih podataka u bilo koju svrhu kaznenog progona zakonita je samo ako se temelji na pravu te ako je ispitanik dao privolu za obradu u tu svrhu (181) ili je obrada nužna za izvršavanje zadaće koju u tu svrhu obavlja nadležno tijelo.

3.2.1.1. Nalozi za pretragu i nalozi za dostavljanje

(136) U pravnom okviru Ujedinjene Kraljevine prikupljanje osobnih podataka od poslovnih subjekata, uključujući one koji bi obrađivali podatke prenesene iz EU-a na temelju sadašnje odluke o primjerenosti, za potrebe kaznenog progona dopušteno je na temelju naloga za pretragu (182) i naloga za dostavljanje (183).

(137) Naloge za pretragu izdaje sud, obično na zahtjev istražitelja. Oni istražitelju dopuštaju ulazak u određene prostore kako bi pronašao materijal ili pojedince relevantne za njegovu istragu i da zadrži sve za što je odobrena pretraga, uključujući sve relevantne dokumente ili materijale koji sadržavaju osobne podatke (184). Nalogom za dostavljanje, koji isto mora izdati sud, od osobe navedene u nalogu zahtijeva se da dostavi ili omogući pristup materijalu u njezinu posjedu ili pod njezinom kontrolom. Podnositelj zahtjeva mora sudu opravdati zašto je nalog za pretragu ili nalog za dostavljanje nužan te zašto je u javnom interesu. Nekoliko je zakonskih ovlasti koje dopuštaju izdavanje naloga za pretragu i naloga za dostavljanje. Svaka odredba povezana je sa zakonski utvrđenim uvjetima koji se moraju ispuniti da bi se izdao nalog za pretragu (185) ili dostavljanje (186).

(138) Nalozi za dostavljanje i nalozi za pretragu mogu se osporiti sudskim preispitivanjem (187). Kad je riječ o zaštitnim mjerama, sva tijela kaznenog progona obuhvaćena područjem primjene dijela 3. DPA-a iz 2018. mogu pristupiti osobnim podacima, što je oblik obrade, samo u skladu s načelima i zahtjevima utvrđenima u DPA-u iz 2018. (vidjeti prethodne uvodne izjave 122. i 124.). Stoga bi zahtjev koji podnese bilo koje tijelo kaznenog progona trebao biti u skladu s načelom prema kojem svrhe obrade moraju biti posebne, izričite i zakonite (188) te prema kojem osobni podaci koje obrađuje nadležno tijelo moraju biti relevantni za tu svrhu i ne smiju biti pretjerani (189).

3.2.1.2. Istražne ovlasti za potrebe kaznenog progona

(139) U svrhu sprečavanja ili otkrivanja samo teških kaznenih djela (190) određena tijela kaznenog progona, primjerice Nacionalna agencija za kriminal ili načelnik policije (191), mogu se koristiti ciljanim istražnim ovlastima na temelju IPA-e iz 2016. U tom će se slučaju zaštitne mjere predviđene u okviru IPA-e iz 2016. primjenjivati uz zaštitne mjere predviđene u dijelu 3. DPA-a iz 2018. Ta tijela kaznenog progona mogu se osloniti na sljedeće posebne istražne ovlasti: ciljano presretanje (dio 2. IPA-e iz 2016.), pribavljanje podataka o komunikacijama (dio 3. IPA-e iz 2016.), zadržavanje podataka o komunikacijama (dio 4. IPA-e iz 2016.) i ciljano ometanje opreme (dio 5. IPA-e iz 2016.). Presretanje obuhvaća pribavljanje sadržaja komunikacije (192), dok svrha pribavljanja i zadržavanja podataka o komunikacijama nije dobivanje sadržaja komunikacije, već podataka o sudionicima, vremenu, mjestu i načinu komunikacije. To obuhvaća, na primjer, vrijeme i trajanje komunikacije, telefonski broj ili e-adresu pošiljatelja i primatelja komunikacije, a ponekad i lokaciju uređaja putem kojih se komunicira, pretplatnika telefonske usluge ili račun s detaljnim ispisom (193). Ometanje opreme niz je tehnika za dobivanje različitih podataka s opreme, koja uključuje računala, tablete i pametne telefone te kabele, žice i uređaje za pohranu (194).

(140) Ovlasti ciljanog presretanja mogu se koristiti i kad je to „potrebno u svrhu provođenja odredbi instrumenta uzajamne pomoći EU-a ili međunarodnog sporazuma o uzajamnoj pomoći” (takozvani „nalog za uzajamnu pomoć” (195)). Nalozi za uzajamnu pomoć daju se samo za presretanje, ali ne i za pribavljanje podataka o komunikacijama ili ometanje opreme. Te su ciljane ovlasti uređene Zakonom o istražnim ovlastima iz 2016. (IPA iz 2016.) (196), koji zajedno sa Zakonom o regulaciji istražnih ovlasti iz 2000. (RIPA) za Englesku, Wales i Sjevernu Irsku te Zakonom o regulaciji istražnih ovlasti (Škotska) iz 2000. (RIPSA) za Škotsku čini pravnu osnovu i određuje primjenjiva ograničenja i zaštitne mjere za upotrebu takvih ovlasti. U IPA-i iz 2016. predviđen je i sustav za upotrebu masovnih istražnih ovlasti, ali one nisu dostupne tijelima kaznenog progona (mogu ih koristiti samo obavještajne agencije) (197).

(141) Kako bi izvršavala te ovlasti, nadležna tijela moraju dobiti nalog (198) koji izdaje nadležno tijelo (199), a odobrava neovisni pravosudni povjerenik (judicial commissioner) (200) (takozvani „postupak dvostruke zaštite”). Da bi se dobio taj nalog, moraju se provjeriti nužnost i proporcionalnost (201). Budući da su te ciljane istražne ovlasti predviđene IPA-om iz 2016. iste kao i one dostupne nacionalnim sigurnosnim agencijama, uvjeti, ograničenja i zaštitne mjere primjenjivi na te ovlasti detaljno su opisani u odjeljku o pristupu tijela javne vlasti Ujedinjene Kraljevine osobnim podacima i njihovoj uporabi za potrebe nacionalne sigurnosti (vidjeti uvodnu izjavu 177. i dalje).

3.2.2. Daljnja uporaba prikupljenih informacija

(142) Razmjena podataka tako da ih tijelo kaznenog progona šalje drugom tijelu u svrhe u koje podaci nisu prvotno prikupljeni (tzv. „daljnja razmjena”) podložno je određenim uvjetima.

(143) Slično odredbama članka 4. stavka 2. Direktive (EU) 2016/680, člankom 36. stavkom 3. DPA-a iz 2018. određeno je da je daljnja obrada (bilo da je obavlja prvotni ili neki drugi voditelj obrade) osobnih podataka koje je prikupilo nadležno tijelo u svrhu kaznenog progona dopuštena za bilo koju drugu svrhu kaznenog progona ako je voditelj obrade zakonski ovlašten za obradu u drugu svrhu te ako je obrada nužna i proporcionalna toj svrsi (202). U tom se slučaju sve zaštitne mjere predviđene dijelom 3. DPA-a iz 2018., na koji se upućuje u uvodnim izjavama 122. i 124., primjenjuju na obradu koju obavlja tijelo primatelj.

(144) U pravnom poretku Ujedinjene Kraljevine više zakona izričito dopušta takvu daljnju razmjenu. Točnije, i. Zakon o digitalnom gospodarstvu iz 2017. dopušta razmjenu podataka između tijela javne vlasti u nekoliko svrha, na primjer u slučaju svih prijevara na štetu javnog sektora koje bi uključivale gubitak ili rizik od gubitka za tijela javne vlasti (203) ili u slučaju duga prema tijelu javne vlasti ili Kruni (204), ii. Zakon o kaznenim djelima i sudovima iz 2013. dopušta razmjenu informacija s Nacionalnom agencijom za kriminal (NCA) (205) u svrhu suzbijanja, istrage i kaznenog progona teških kaznenih djela i organiziranog kriminala, iii. Zakon o teškim kaznenim djelima iz 2007. dopušta tijelima javne vlasti da otkriju informacije organizacijama za borbu protiv prijevara za potrebe sprečavanja prijevara (206).

(145) U tim je zakonima izričito predviđeno da bi razmjena informacija trebala biti u skladu s načelima određenima u DPA-u iz 2018. Osim toga, Nacionalna agencija za policiju (College of Policing) izdala je odobrenu profesionalnu praksu za razmjenu informacija (207) kako bi pomogla policiji da ispuni svoje obveze u pogledu zaštite podataka na temelju Opće uredbe o zaštiti podataka Ujedinjene Kraljevine, DPA-a i Zakona o ljudskim pravima iz 1998. Usklađenost razmjene s primjenjivim pravnim okvirom za zaštitu podataka obvezno podliježe sudskom preispitivanju (208).

(146) Nadalje, slično odredbama članka 9. Direktive (EU) 2016/680, u DPA-u iz 2018. predviđeno je da se osobni podaci prikupljeni u bilo koju svrhu kaznenog progona mogu obrađivati u svrhu koja nije kazneni progon ako je obrada odobrena pravom (209).

(147) Ta vrsta razmjene obuhvaća dva scenarija: 1. tijelo kaznenog progona razmjenjuje podatke s tijelom za izvršavanje zakonodavstva koje se ne bavi kaznenim progonom osim obavještajne agencije (na primjer, financijsko ili porezno tijelo, tijelo za tržišno natjecanje, ured za skrb o mladima itd.) i 2. tijelo kaznenog progona razmjenjuje podatke s obavještajnom agencijom. U prvom scenariju obrada osobnih podataka bit će obuhvaćena područjem primjene Opće uredbe o zaštiti podataka Ujedinjene Kraljevine te dijela 2. DPA-a iz 2018. Komisija je procijenila zaštitne mjere predviđene Općom uredbom o zaštiti podataka Ujedinjene Kraljevine te dijelom 2. DPA-a iz 2018. u uvodnim izjavama od 12. do 111. i zaključila je da Ujedinjena Kraljevina osigurava primjerenu razinu zaštite osobnih podataka koji se prenose iz Europske unije u Ujedinjenu Kraljevinu u okviru područja primjene Uredbe (EU) 2016/679.

(148) U drugom scenariju, u kojem je riječ o razmjeni podataka koje je prikupilo tijelo kaznenog progona s obavještajnom agencijom za potrebe nacionalne sigurnosti, pravna osnova koja omogućuje takvu razmjenu je članak 19. Zakona o borbi protiv terorizma iz 2008. (CTA iz 2008.) (210). Na temelju tog zakona sve osobe mogu dati informacije bilo kojoj obavještajnoj službi u svrhu obavljanja bilo koje funkcije te službe, uključujući „nacionalnu sigurnost”.

(149) Kad je riječ o uvjetima pod kojim