HR Službeni list Europske unije C 463/10

Izvršni sažetak mišljenja Europskog nadzornika za zaštitu podataka o sustavima upravljanja osobnim podacima

(Cjeloviti tekst ovog mišljenja dostupan je na engleskom, francuskom i njemačkom jeziku na portalu Europskog nadzornika za zaštitu podataka www.edps.europa.eu)

(2016/C 463/10)

U ovom se Mišljenju istražuje koncept tehnologija i ekosustava usmjerenih na osnaživanje pojedinaca za kontrolu dijeljenja svojih osobnih podataka („sustavi upravljanja osobnim podacima” ili skraćeno „PIMS”).

Naša je vizija stvoriti novu stvarnost u kojoj pojedinci upravljaju i kontroliraju svoj identitet na internetu. Naš je cilj transformirati trenutačni sustav kojem je u središtu pružatelj u sustav kojem je u središtu čovjek, u kojem su pojedinci zaštićeni od nezakonite obrade svojih podataka i od nametljivih tehnika praćenja i profiliranja kojima je cilj zaobići osnovna načela zaštite podataka.

Ova nova stvarnost bit će olakšana modernizacijom regulatornog okvira EU-a i mogućnostima koje pruža snažna zajednička provedba od strane svih relevantnih nadzornih i regulatornih tijela.

Nedavno donesenom Općom uredbom o zaštiti podataka (GDPR) jača se i modernizira regulatorni okvir kako bi on ostao učinkovit i u eri velikih podataka, jačajući povjerenje pojedinaca u elektroničke usluge i jedinstveno digitalno tržište. Nova pravila, uključujući ona o povećanoj transparentnosti i snažnijim pravima pristupa i prijenosa podataka služe za omogućivanje korisnicima više kontrole nad njihovim podacima, a također mogu doprinijeti razvoju učinkovitijeg tržišta osobnih podataka, što donosi pogodnosti korisnicima, kao i poslovnim subjektima.

Nedavno smo izdali Mišljenje o učinkovitoj provedbi temeljnih prava u doba velikih podataka. Ono ističe trenutačne tržišne uvjete i poslovne prakse koje stvaraju prepreke za učinkovito ostvarivanje prava pojedinaca na zaštitu svojih osobnih podataka i drugih temeljnih prava te poziva na jačanje usklađene i dosljedne provedbe zakona o tržišnom natjecanju, zaštiti potrošača i zaštiti podataka. Nadamo se da će ova povećana provedba omogućiti stvaranje tržišnih uvjeta u kojima usluge koje čuvaju privatnost korisnika mogu napredovati. Cilj je pristupa u ovom Mišljenju jačanje temeljnih prava u našem digitalnom svijetu u isto vrijeme kada se otvaraju nove mogućnosti za poduzeća da razviju inovativne usluge koje se temelje na osobnim podacima izgrađene na međusobnom povjerenju. PIMS obećava da će ponuditi ne samo novu tehničku arhitekturu i organizaciju za upravljanje podacima, već i okvire povjerenja te, kao rezultat toga, alternativne poslovne modele za prikupljanje i obradu osobnih podataka u eri velikih podataka, na način koji se bolje poštuje Europski zakon o zaštiti podataka.

U ovome Mišljenju ukratko opisujemo što su to PIMS-i, koje probleme namjeravaju riješiti i kako. Potom analiziramo kako oni mogu doprinijeti boljoj zaštiti osobnih podataka i s kojim izazovima se suočavaju. Konačno, utvrđujemo poboljšanja za daljnji razvoj mogućnosti koje nude. Da bi novi poslovni modeli zaštite podataka napredovali, mogu biti potrebni dodatni poticaji za pružatelje usluga koji ih nude. Trebalo bi posebice istražiti koje bi političke inicijative mogle motivirati nadzornike podataka da prihvate ovakav način pružanja podataka. Nadalje, inicijativa javnih službi da se PIMS prihvati kao izvor podataka umjesto izravnog prikupljanja podataka moglo bi dovesti do toga da kritična masa prihvati PIMS.

Novonastali pejzaž PIMS-a, čiji je cilj vraćanje kontrole pojedinaca i korisnika nad svojim osobnim podacima, zaslužuje razmatranje, potporu i daljnje istraživanje s ciljem da doprinosi održivoj i etičkoj upotrebi velikih podataka i učinkovitoj provedbi načela nedavno donesenog GDPR-a.

I. PIMS: DIJELJENJE PODATAKA, DIJELJENJE KORISTI?

1. Trenutačni uvjeti za obradu osobnih podataka često su nepravični prema pojedincima čiji se podaci obrađuju. Pravni uvjeti i tehnička pomagala otežavaju pojedincima da ostvare svoja prava i omogućuju nadzornicima da ograniče svoju odgovornost. Posrednici podataka, oglašivačke mreže, pružatelji društvenih mreža i drugi poslovni subjekti imaju sve više kompletnih datoteka o pojedincima koji sudjeluju u današnjem digitalnom društvu i pojedincima koji gube kontrolu nad digitalnim otiscima koje ostavljaju. Ciljani, profilirani i ocijenjeni od strane subjekata, često bez njihove kontrole, pa čak i znanja, pojedinci se mogu osjećati bespomoćno i trebaju moći preuzeti kontrolu nad svojim identitetom. Čak i kada su formalno dobili neki oblik „upozorenja” i priliku da „pristanu” na opće uvjete, pojedinci se često nalaze u sustavu koji je dizajniran tako da poveća unovčenje osobnih podataka, koji pojedincima ne ostavlja puno izbora ili kontrole.

2. Komunikacija Europske komisije o velikim podacima (1) uspostavlja plan djelovanja čiji je zajednički cilj zaštita osobnih podataka i potrošača. To osobito potiče uporabu „prostora za osobne podatke” kojem je u središtu korisnik, sigurna mjesta za pohranu i po mogućnosti omogućivanje pristupa osobnim podacima drugim osobama. Dijelimo mišljenje da treba poticati inovativne digitalne alate i poslovne modele temeljene na davanju ovlasti pojedincima. To može omogućiti pojedincima da imaju koristi od takvog dijeljenja podataka, odnosno da sudjeluju u uporabi i distribuciji svojih osobnih podataka.

3. U našem Mišljenju o temi „Svladavanje izazova velikih podataka” (2) tvrdili smo da trebamo nadopuniti zakonsku obvezu učinkovitog pristanka sa stvarnom, praktičnom kontrolom nad osobnim podacima. Tvrdili smo da „umjesto administrativnog tereta, davanje prava pristupa može postati obilježje usluge pružene korisnicima” te da bi organizacije koje se temelje na iskorištavanju „velikih podataka”„trebale biti spremne podijeliti bogatstvo stvoreno obradom osobnih podataka s onim pojedincima čije podatke obrađuju”. U tom smo kontekstu naveli da „pohrane osobnih podataka mogu pomoći u rješavanju nekih problema zbog gubitka individualne kontrole nad osobnim podacima”. Nedavno donesenom Općom uredbom o zaštiti podataka (GDPR) (3) ojačali su se pravni zahtjevi za pristanak (4) te su se uvela učinkovita, moderna načela zaštite podataka dizajnom te prethodno zadanim postavkama (5), kao i novo pravo na prijenos podataka (6). Da bi novi okvir za zaštitu podataka ispunio svoje obećanje potrebni su nam praktični alati da bi se pojedincima omogućilo da ostvare svoja prava na prikladan i korisniku prilagođen način.

4. U ovom se Mišljenju istražuju nove tehnologije i ekosustavi čiji je cilj omogućiti pojedincima da kontroliraju prikupljanje i razmjenu svojih osobnih podataka. Taj ćemo koncept nazvati „sustav upravljanja osobnim podacima” („PIMS”) (7). Konceptom PIMS nudi se novi pristup kojim su pojedinci vlasnici svojih osobnih podataka. To može stvoriti promjenu paradigme u upravljanju i obradi osobnih podataka, sa socijalnim i ekonomskim posljedicama. Suprotno tome, sadašnji pejzaž internetskih usluga karakterizira mali broj pružatelja usluga koji dominiraju na tržištu unovčenjem osobnih podataka korisnika u zamjenu za „besplatne usluge”. To je često popraćeno neravnotežom moći, pri čemu kupcu preostaje pristup „uzmi ili ostavi”, te asimetrijom informacija između pružatelja usluga i korisnika, s malo ili bez transparentnosti za pojedince o tome što se događa s njihovim osobnim podacima.

5. Osnovna ideja iza koncepta PIMS jest pretvoriti trenutačni sustav kojem je u središtu pružatelj u sustav kojem su u središtu pojedinci koji mogu upravljati i kontrolirati svoj identitet na internetu (8). U načelu, pojedinci bi trebali moći odlučiti hoće li i s kim će dijeliti svoje osobne podatke, u koje svrhu, koliko dugo, te ih pratiti i odlučiti da ih uzmu natrag kada to žele. Valja istražiti kako bi PIMS mogao pomoći u rješavanju nekih problema zbog gubitka individualne kontrole nad osobnim podacima koji su istaknuti kao jedan od ključnih problema u pogledu velikih podataka (9).

6. Cilj je ovog pristupa jačanje temeljnih prava u našem digitalnom svijetu u isto vrijeme kada se otvaraju nove mogućnosti za poduzeća da razviju inovativne usluge koje se temelje na osobnim podacima izgrađene na međusobnom povjerenju. PIMS obećava da će ponuditi novu tehničku arhitekturu i organizaciju za upravljanje podacima kojima se izgrađuju okviri za povjerenje. Nadaju se da će omogućiti alternativnim poslovnim modelima da prikupljaju i obrađuju osobne podatke u doba velikih podataka, koji to rade na način koji bolje poštuje Europski zakon o zaštiti podataka.

7. U ovome Mišljenju ukratko opisujemo što su to PIMS-i, koje probleme namjeravaju riješiti i kako (10). Analiziramo kako oni mogu doprinijeti boljoj zaštiti osobnih podataka i s kojim izazovima se suočavaju. Konačno, utvrđujemo poboljšanja za daljnji razvoj mogućnosti koje nude.

IV. ZAKLJUČCI I SLJEDEĆI KORACI

4.1. Prema punoj primjeni GDPR-a – mogućnosti

54. Kako je prethodno navedeno, zakonodavac EU-a nedavno je donio paket reformi za zaštitu podataka kojim se jača i modernizira regulatorni okvir kako bi on ostao učinkovit i u eri velikih podataka.

55. Novi GDPR, uključujući pravila o povećanoj transparentnosti, i snažnija prava pristupa i prijenosa podataka, trebali bi pomoći da se pojedincima da veća kontrola nad svojim podacima, a također mogu doprinijeti razvoju učinkovitijeg tržišta osobnih podataka, što donosi pogodnosti korisnicima, kao i poslovnim subjektima.

56. Kodeksi ponašanja i sustavi certifikacije, kako su utvrđeni GDPR-om, privilegirani su instrumenti za davanje određene vidljivosti i uloge tehnologiji i proizvodima koji – poput PIMS-a – mogu služiti za učinkovitiju provedbu zakona o zaštiti podataka na praktičnoj razini.

57. Međutim, PIMS-i se suočavaju s glavnom poteškoćom probijanja na tržište kojim dominiraju internetske usluge temeljene na poslovnim modelima i tehničkim arhitekturama u kojima pojedinci nemaju kontrolu nad svojim podacima, kako je objašnjeno u odjeljku 3.9. Prelazak na situaciju u kojoj pojedinci imaju učinkovitu mogućnost dati pristup pružatelju usluga nekim podacima u njihovim PIMS-ima umjesto pružanje podataka izravno pružatelju usluga zahtijevat će dodatne poticaje za pružatelje usluga. Komisija može upotrijebiti inicijative o tokovima podataka i vlasništvu nad podacima koje je najavila (11) da bi istražila koje bi dodatne inicijative politike mogle motivirati nadzornike podataka da prihvate ovakav način pružanja podataka. Nadalje, inicijativa javnih službi eGovernment da se PIMS prihvati kao izvor podataka umjesto izravnog prikupljanja podataka moglo bi dovesti do toga da kritična masa prihvati PIMS.

58. Ova analiza može se nadopuniti mjerama čiji je cilj postavljanje tehničkih, društvenih i ekonomskih temelja, uključujući standardizacijske napore, gospodarske poticaje i poticanje istraživačkih i pilot projekata.

59. Javne uprave Europske unije i država članica i projekti koje one sufinanciraju prva su mjesta na kojima treba ispitati, potaknuti i po mogućnosti realizirati ovu promjenu.

4.2. Pružanje potpore PIMS-ima i osnovnoj tehnologiji prema učinkovitoj zaštiti podataka

60. Iako su dobri propisi nužni, oni sami po sebi nisu dovoljni. Kako smo naveli u svojem Mišljenju o temi „Svladavanje izazova velikih podataka” (12), poduzeća i ostale organizacije koje ulažu mnogo truda da bi pronašli nove načine upotrebe osobnih podataka trebali bi se koristiti istim kreativnim načinom razmišljanja prilikom primjena načela zaštite podataka.

61. Doprinos tehnologije modelu PIMS jest ključan. PIMS može služiti za testiranje pristupa i tehnologija zaštite podataka s pomoću tehnike koje ih podržavaju. Relevantni predmeti istraživanja, u kojima je potrebna adekvatna potpora i ulaganja, uključuju: interoperabilno i privatnosti prilagođeno upravljanje identitetom; mehanizme odobrenja; interoperabilnost podataka; sigurnost podataka; i mehanizme za automatsko provedbu uspostavljenih „ugovora” između pojedinaca i drugih stranaka. Sve to potiče kriptografija i enkripcija i povećava jeftina dostupnost računalne snage. U ovoj početnoj fazi potrebna je odlučujuća podrška kreatora politike, poput Komisije, temeljnom i primijenjenom istraživanju u tim tehnološkim područjima, da se ne izgube trenutačne mogućnosti.

62. Da bi se potaknulo istraživanje i razvoj i raspoređivanje na tržište na području PIMS-a, preporučujemo primjenu plana Komisije za moguće sinergije s drugim područjima strategije jedinstvenog digitalnog tržišta, poput računalstva u oblaku i interneta stvari. Na taj se način pilot projekti mogu provoditi za dizajniranje i testiranje interakcije usluga u oblaku i interneta stvari s PIMS-ima.

4.3. Kako će EDPS unaprijediti ovu raspravu

63. Cilj je EDPS-a doprinijeti poticanju privatnih i javnih napora u prethodno navedenom smjeru. Mi ćemo i dalje potpomagati rasprave, uključujući putem organiziranja događaja/radionica, na primjer, s ciljem utvrđivanja, poticanja i promicanja najbolje prakse radi povećanja transparentnosti i korisničke kontrole i istraživanja mogućnosti koje nudi PIMS. Također ćemo nastaviti potpomagati rad mreže internet Privacy Engineering Network (IPEN) kao interdisciplinarnog čvorišta znanja za inženjere i stručnjake na području privatnosti. U tom ćemo kontekstu nastaviti pružati platformu za programere i promicatelje PIMS-a da bi imali koristi od razmjena sa specijalistima u drugim tehnologijama i zaštiti podataka.

Sastavljeno u Marrakeshu 20. listopada 2016. Giovanni BUTTARELLI Europski nadzornik za zaštitu podataka

(1) Komunikacija COM(2014)442 o rastućem gospodarstvu temeljenom na podacima: https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy.

(2) Mišljenje EDPS-a 7/2015.: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf. Vidjeti osobito odjeljak 3.

(3) Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1.).

(4) Vidjeti, među ostalim, članak 6. stavak 1. točku (a), članke 7. i 8. te uvodne izjave 42.-43. GDPR-a.

(5) Članak 25. GDPR-a.

(6) Članak 20. GDPR-a.

(7) Povezani su pojmovi „pohrane osobnih podataka”, „prostori za osobne podatke” ili „trezori za osobne podatke”. Mi ćemo se koristiti izrazom „PIMS” u ovom Mišljenju jer se čini da se njime najbolje opisuje koncept na općenit i lako razumljiv način. Prema uporabi u ovom Mišljenju, kratica „PIMS” može se odnositi bilo na jedninu ili na množinu: sustava upravljanja osobnim podacima ili sustavi upravljanja osobnim podacima.

(8) Vidjeti uvodnu izjavu 7. GDPR-a: „Pojedinci bi trebali imati nadzor nad vlastitim osobnim podacima”. Također vidjeti, na primjer, Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Vidjeti, npr. Ira S. Rubinstein, Big Data: The End of Privacy or a New Beginning? International Data Privacy Law, 2013, Vol 3, No 2.

(10) Vidjeti, na primjer, Izvješće o pohranama osobnih podataka koje je sastavilo Sveučilište u Cambridgeu za Europsku komisiju: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school.

(11) Komunikacija: Digitalizacija europske industrije – Iskorištavanje svih prednosti jedinstvenog digitalnog tržišta http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm.

(12) Prethodno navedeno Mišljenje EDPS-a 7/2015.